EoIP dros gyswllt VPN LTE: adeiladu labordy RouterOS bach

Mae EoIP yn cymryd ffrâm Ethernet gyflawn, yn ei lapio mewn GRE ac yn ei hanfon i gyfeiriad pell wedi'i ffurfweddu, a dyna pam mae'r canlyniad yn ymddwyn fel cebl yn hytrach nag fel llwybr. Yr hyn sy'n gadael y llwybrydd yw protocol IP 47 gyda'r ffrâm wreiddiol fel llwyth, felly mae darllediadau, ARP a phrotocolau nad ydynt yn IP i gyd yn croesi. Nid yw GRE yn ychwanegu unrhyw gyfrinachedd ei hun, ac mae'r ffrâm yn parhau i fod yn ddarllenadwy i unrhyw beth sy'n gweld y pecyn allanol. Mae'r un ffaith honno yn penderfynu trefn y labordy hwn: adeiladwch y llwybr amgryptiedig yn gyntaf, yna cludwch Ethernet y tu mewn iddo.

Beth mae EoIP yn ei lapio, a beth nad yw'n ei lapio

Yr ymgorffori yw'r mecanwaith cyfan. Mae ffrâm yn cyrraedd porth mewn pont, yn cael pennawd GRE a phennawd IP allanol, ac yn cael ei danfon i'r llwybrydd cymar, sy'n tynnu'r ddau ac yn chwistrellu'r ffrâm i'w bont ei hun. Mae'r bont sy'n derbyn yn dysgu MAC y ffynhonnell yn union fel y byddai o borth lleol. Nid oes dim yn y broses honno yn dilysu'r ffrâm nac yn ei chuddio.

Felly rhaid i gyfrinachedd ddod o'r llwybr y mae'r pecyn GRE yn teithio drosto. Yn y cynllun hwn, y waelod haen yw tiwnel WireGuard neu IPsec rhwng y ddau lwybrydd, ac mae EoIP yn cael ei gludo y tu mewn iddo. Mae MikroTik hefyd yn cynnig opsiwn IPsec awtomatig ar y rhyngwyneb EoIP ei hun, sy'n drefniant gwahanol ac nid yw'n beth mae'r labordy hwn yn ei ffurfweddu.

Ar gyfer gwasanaethau IP wedi'u llwybro, VPN wedi'i llwybro yw'r cynllun llai a'r un y dylid ei ffafrio. Trowch at haen dau dim ond pan fo dyfais wir angen gweld fframiau Ethernet o'r safle arall.

Rhagofynion: gwaelod haen amgryptiedig a dau borth nas defnyddiwyd

Mae angen cysylltiad amgryptiedig sefydledig ar y ddau lwybrydd ac arno gyfeiriad y gall y cymar ei gyrraedd. Yr ochr LTE sy'n cychwyn y cysylltiad allanol, felly nid yw'r canolbwynt byth yn deialu'r rhwydwaith symudol, ac mae'r llwybrydd LTE yn cynnal unrhyw gyflwr NAT y mae'r gweithredwr yn ei ofyn. Cadarnhewch fod y tiwnel i fyny cyn ychwanegu unrhyw beth ar ei ben, oherwydd mae rhyngwyneb EoIP na all gyrraedd ei gyfeiriad pell yn edrych yn union yr un fath â un wedi'i gamffurfweddu.

Mae angen hefyd ar bob llwybrydd un porth nad yw eisoes yn aelod pont, yn drwnc VLAN, yn rhyngwyneb rheoli nac yn gyswllt cynhyrchu. Nid yw labordy sy'n benthyca porth byw yn labordy, a'r modd methu yw storm ddarlledu ar rwydwaith sy'n gweithio. Symudwch weinyddiaeth i ryngwyneb arall neu i'r consol cyn dechrau.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Enghraifft yw'r gwerthoedd hynny, nid gofyniad. Rhaid iddynt fod ar ryngwynebau'r tiwnel a chael eu llwybro drwy'r llwybr gwarchodedig. Rhaid i bolisi'r wal dân ar y ddau lwybrydd ganiatáu GRE rhwng dau gyfeiriad y tiwnel, a phrotocol IP 47 yw GRE, nid porth TCP neu UDP â'r rhif 47. Nid yw'r cynllun hwn byth yn datgelu GRE crai i'r naill WAN na'r llall.

Crëwch y pâr tiwnel gyda IDau sy'n cyfateb

Un rhyngwyneb rhesymegol yw'r ddau ben, wedi'i ddiffinio ddwywaith, felly rhaid i bob maes adnabod gytuno. Ar y canolbwynt:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Ar y llwybrydd LTE mae'r cyfeiriadau'n gwrthdroi ac mae'r MAC yn wahanol:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Rhaid i ID y tiwnel gytuno ar y ddau ben a pheidio â gwrthdaro â phâr arall sydd eisoes wedi'i ffurfweddu ar y naill lwybrydd neu'r llall. Gwerthoedd a weinyddir yn lleol yw'r cyfeiriadau MAC ac maent yn rhaid iddynt fod yn unigryw o fewn y parth haen dau yr ydych yn ymuno ag ef, felly peidiwch ag ailddefnyddio gwerth o enghraifft gwerthwr. Mae enwau rhyngwynebau'n lleol i bob llwybrydd ac nid oes angen iddynt fod yn gyson ond ar gyfer eich sgriptiau eich hun.

Mae llawlyfr EoIP cyfredol yn dogfennu'r meysydd pen draw ac ID y tiwnel, ac yn dweud yn blwmp ac yn blaen mai Ethernet dros GRE yw EoIP. Nid oes dim yn y gorchymyn hwnnw yn amgryptio dim, a dyna pam mae'r gwiriad gwaelod haen yn dod yn gyntaf.

Pontiwch y pyrth prawf yn unig

Pont yw'r hyn sy'n troi'r tiwnel yn segment, a'i haelodaeth yw'r ffin ddiogelwch gyfan. Ar y canolbwynt:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Ar y llwybrydd LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Mae'r gorchmynion hyn yn creu pontydd newydd ac yn ychwanegu dau borth yn union at bob un. Y rhyngwyneb EoIP yw'r aelod haen dau; mae'r tiwnel amgryptiedig yn parhau'n gludiant wedi'i lwybro ac ni ddylid byth ei ychwanegu fel porth pont. Peidiwch ag ychwanegu porth cynhyrchu, a pheidiwch â chychwyn gweinydd DHCP ar bont y labordy.

Rhowch gyfeiriadau i'r ddau westeiwr prawf mewn is-rwydwaith nas defnyddiwyd heb weinydd DHCP cystadleuol, fel 192.168.77.11/24 a 192.168.77.12/24. Nid oes angen porth cyrchfan arnynt i gyrraedd ei gilydd o fewn yr is-rwydwaith hwnnw, ac nid oes angen cyfeiriad rhyngwyneb llwybrydd i'r fframiau groesi.

Cyfrifwch y gorbenion cyn estyn LAN

Mae EoIP dros IPv4 yn ychwanegu penawdau Ethernet, GRE ac IP allanol o amgylch y llwyth a gludir. Ar gyfer yr achos heb dag, mae MikroTik yn dogfennu 42 beit, felly mae gwaelod haen â 1400 beit o MTU IP defnyddiadwy yn gadael 1358 beit i'r ffrâm fewnol. Cyllideb yw'r ffigur hwnnw, nid gwerth MSS cyffredinol, ac nid yw'n gorfodi gwesteiwr mewn pont i ollwng fframiau llai.

Gwiriwch y terfynau go iawn ar y llwybr, yna profwch gyda'r ffrâm fwyaf y mae'r offeryn yn ei hanfon mewn gwirionedd. Mae ffrâm o 1500 beit y mae'n rhaid ei darnio o fewn y llwybr gwarchodedig yn ymddwyn yn wahanol i un sy'n ffitio, ac mae'r gwahaniaeth yn ymddangos fel stop ar y rhaglen yn hytrach nag fel methiant cyswllt.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

Mae RSTP yn delio â dolennau, nid llwybrau cyfochrog mympwyol, felly cadwch y topoleg beilot yn syml. Mae estyn pont hefyd yn estyn ymddygiad darlledu, multicast a DHCP ar draws y cyswllt symudol, ac mae'r traffig hwnnw'n bwyta capasiti p'un a oes ffrâm ddefnyddiol yn symud ai peidio.

Cynlluniwch atodiad cynhyrchu dim ond pan fydd y labordy'n cyrraedd maint y ffrâm a'r ymddygiad rhaglen sydd eu hangen arnoch mewn gwirionedd. Cyn y trosglwyddiad hwnnw, cytunwch ar gyfeiriannu, aelodaeth VLAN, awdurdod DHCP, atal dolennau a sut mae rhywun yn cyrraedd y llwybryddion pan fo'r cyswllt ei hun i lawr. Mae estyniad Ethernet yn cysylltu parthau methiant yn ogystal â dyfeisiau, felly mae'n haeddu ffenestr newid yn hytrach na un porth arall ar bont sy'n gweithio.