EoIP over et LTE-VPN-link: at bygge et lille RouterOS-laboratorium

EoIP tager en komplet Ethernet-ramme, pakker den ind i GRE og sender den til en konfigureret fjernadresse, og derfor opfører resultatet sig som et kabel snarere end som en rute. Det, der forlader routeren, er IP-protokol 47 med den oprindelige ramme som nyttelast, så broadcast, ARP og ikke-IP-protokoller passerer alle. GRE tilføjer ingen egen fortrolighed, og rammen forbliver læsbar for alt, der kan se den ydre pakke. Den ene kendsgerning bestemmer rækkefølgen i dette laboratorium: byg først den krypterede vej, og bær derefter Ethernet indeni den.

Hvad EoIP pakker ind, og hvad det ikke gør

Indkapslingen er hele mekanismen. En ramme ankommer på en port i en bro, får et GRE-hoved og et ydre IP-hoved og leveres til partnerrouteren, som fjerner begge og injicerer rammen i sin egen bro. Den modtagende bro lærer kilde-MAC'en præcis som fra en lokal port. Intet i den proces autentificerer rammen eller skjuler den.

Fortroligheden skal derfor komme fra den vej, GRE-pakken rejser over. I dette design er underlaget en WireGuard- eller IPsec-tunnel mellem de to routere, og EoIP bæres indeni den. MikroTik udbyder også en automatisk IPsec-mulighed på selve EoIP-interfacet, hvilket er en anden ordning og ikke det, dette laboratorium konfigurerer.

Til rutede IP-tjenester er en rutet VPN det mindre design og det, man bør foretrække. Grib kun efter lag to, når en enhed virkelig har brug for at se Ethernet-rammer fra det andet sted.

Forudsætninger: et krypteret underlag og to ubrugte porte

Begge routere har brug for en etableret krypteret forbindelse og en adresse på den, som partneren kan nå. LTE-siden starter den ydre forbindelse, så hubben ringer aldrig til mobilnettet, og LTE-routeren opretholder den NAT-tilstand, operatøren kræver. Bekræft, at tunnelen er oppe, før du tilføjer noget ovenpå, for et EoIP-interface, der ikke kan nå sin fjernadresse, ser identisk ud med et forkert konfigureret.

Hver router har også brug for en port, der ikke allerede er bromedlem, VLAN-trunk, administrationsinterface eller produktionslink. Et laboratorium, der låner en levende port, er ikke et laboratorium, og fejltilstanden er en broadcast-storm på et fungerende netværk. Flyt administrationen til et andet interface eller til konsollen, før du begynder.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Disse værdier er et eksempel og ikke et krav. De skal ligge på tunnelinterfaces og rutes gennem den beskyttede vej. Firewallpolitikken på begge routere skal tillade GRE mellem de to tunneladresser, og GRE er IP-protokol 47, ikke en TCP- eller UDP-port med nummer 47. Dette design eksponerer aldrig rå GRE for nogen af WAN-forbindelserne.

Opret tunnelparret med matchende ID'er

De to ender er ét logisk interface defineret to gange, så hvert identificerende felt skal stemme. På hubben:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

På LTE-routeren vendes adresserne, og MAC'en er forskellig:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunnel-ID'et skal stemme i begge ender og må ikke kollidere med et andet par, der allerede er konfigureret på en af routerne. MAC-adresserne er lokalt administrerede værdier, som skal være unikke i det lag-to-domæne, du tilslutter dig, så genbrug ikke en værdi fra et producenteksempel. Interface-navne er lokale for hver router og skal kun være konsistente for dine egne scripts.

Den aktuelle EoIP-manual dokumenterer felterne for endpoint og tunnel-ID og siger rent ud, at EoIP er Ethernet over GRE. Intet i den kommando krypterer noget, og derfor kommer underlagskontrollen først.

Bro kun testportene

En bro er det, der gør tunnelen til et segment, og dens medlemskab er hele sikkerhedsgrænsen. På hubben:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

På LTE-routeren:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Disse kommandoer opretter nye broer og tilføjer præcis to porte til hver. EoIP-interfacet er lag-to-medlemmet; den krypterede tunnel forbliver en rutet transport og må aldrig tilføjes som broport. Tilføj ikke en produktionsport, og start ikke en DHCP-server på laboratoriebroen.

Giv de to testværter adresser i et ubrugt subnet uden konkurrerende DHCP-server, for eksempel 192.168.77.11/24 og 192.168.77.12/24. De har ikke brug for en standardgateway for at nå hinanden i det subnet, og en router-interfaceadresse er ikke nødvendig, for at rammerne kan passere.

Budgetter overheadet, før du udvider et LAN

EoIP over IPv4 tilføjer Ethernet-, GRE- og ydre IP-hoveder omkring den bårede nyttelast. For det umærkede tilfælde dokumenterer MikroTik 42 byte, så et underlag med 1400 byte brugbar IP-MTU efterlader 1358 byte til den indre ramme. Det tal er et budget og ikke en universel MSS-værdi, og det tvinger ikke en broet vært til at sende mindre rammer.

Kontroller de reelle grænser på vejen, og test derefter med den største ramme, apparatet faktisk sender. En ramme på 1500 byte, som skal fragmenteres inde i den beskyttede vej, opfører sig anderledes end en, der passer, og forskellen viser sig som en applikationsstopning snarere end som en linkfejl.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP håndterer sløjfer, ikke vilkårlige parallelle veje, så hold pilottopologien enkel. Udvidelse af en bro udvider også broadcast-, multicast- og DHCP-adfærd over mobillinket, og den trafik bruger kapacitet, uanset om der flyttes en nyttig ramme.

Planlæg en produktionsvedhæftning, først når laboratoriet når den rammestørrelse og applikationsadfærd, du faktisk har brug for. Inden den overgang skal du blive enig om adressering, VLAN-medlemskab, DHCP-autoritet, sløjfeforebyggelse og hvordan nogen når routerne, når selve forbindelsen er nede. En Ethernet-udvidelse forbinder fejldomæner såvel som enheder, så den fortjener et ændringsvindue i stedet for endnu en port på en fungerende bro.