EoIP über eine LTE-VPN-Strecke: ein kleines RouterOS-Labor aufbauen

EoIP nimmt einen vollständigen Ethernet-Rahmen, packt ihn in GRE und sendet ihn an eine konfigurierte Gegenstelle, deshalb verhält sich das Ergebnis wie ein Kabel und nicht wie eine Route. Was den Router verlässt, ist IP-Protokoll 47 mit dem ursprünglichen Rahmen als Nutzlast, sodass Broadcasts, ARP und Nicht-IP-Protokolle alle hindurchgehen. GRE fügt keine eigene Vertraulichkeit hinzu, und der Rahmen bleibt für alles lesbar, was das äußere Paket sehen kann. Diese eine Tatsache bestimmt die Reihenfolge dieses Labors: Erst den verschlüsselten Pfad bauen, dann Ethernet darin transportieren.

Was EoIP verpackt und was nicht

Die Kapselung ist der ganze Mechanismus. Ein Rahmen kommt an einem gebrückten Port an, bekommt einen GRE-Header und einen äußeren IP-Header und wird dem Partnerrouter zugestellt, der beides entfernt und den Rahmen in seine eigene Bridge einspeist. Die empfangende Bridge lernt die Quell-MAC genau so, wie sie es von einem lokalen Port täte. Nichts in diesem Prozess authentifiziert den Rahmen oder verbirgt ihn.

Vertraulichkeit muss daher von dem Pfad kommen, über den das GRE-Paket läuft. In diesem Entwurf ist das Underlay ein WireGuard- oder IPsec-Tunnel zwischen den beiden Routern, und EoIP wird darin transportiert. MikroTik bietet außerdem eine automatische IPsec-Option direkt auf der EoIP-Schnittstelle an, was eine andere Anordnung ist und nicht das, was dieses Labor konfiguriert.

Für geroutete IP-Dienste ist ein geroutetes VPN der kleinere Entwurf und der, den man bevorzugen sollte. Greifen Sie nur dann zu Layer zwei, wenn ein Gerät wirklich Ethernet-Rahmen vom anderen Standort sehen muss.

Voraussetzungen: ein verschlüsseltes Underlay und zwei unbenutzte Ports

Beide Router brauchen eine bestehende verschlüsselte Verbindung und eine Adresse darauf, die der Partner erreichen kann. Die LTE-Seite baut die äußere Verbindung auf, der Hub wählt also nie das Mobilfunknetz, und der LTE-Router hält den NAT-Zustand, den der Betreiber verlangt. Bestätigen Sie, dass der Tunnel läuft, bevor Sie etwas darüber hinzufügen, denn eine EoIP-Schnittstelle, die ihre Gegenstelle nicht erreicht, sieht genauso aus wie eine falsch konfigurierte.

Jeder Router braucht außerdem einen Port, der nicht bereits Bridge-Mitglied, VLAN-Trunk, Management-Schnittstelle oder Produktionsstrecke ist. Ein Labor, das einen produktiven Port ausleiht, ist kein Labor, und der Fehlermodus ist ein Broadcast-Sturm in einem laufenden Netz. Verlagern Sie die Verwaltung vor dem Start auf eine andere Schnittstelle oder auf die Konsole.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Diese Werte sind ein Beispiel und keine Vorgabe. Sie müssen auf den Tunnel-Schnittstellen liegen und über den geschützten Pfad geroutet werden. Die Firewall-Richtlinie auf beiden Routern muss GRE zwischen den beiden Tunneladressen erlauben, und GRE ist IP-Protokoll 47, kein TCP- oder UDP-Port mit der Nummer 47. Dieser Entwurf setzt rohes GRE niemals einem der beiden WANs aus.

Erstellen Sie das Tunnelpaar mit passenden IDs

Die beiden Enden sind eine logische Schnittstelle, zweimal definiert, also muss jedes identifizierende Feld übereinstimmen. Auf dem Hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Auf dem LTE-Router kehren sich die Adressen um, und die MAC unterscheidet sich:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Die Tunnel-ID muss an beiden Enden übereinstimmen und darf nicht mit einem anderen Paar kollidieren, das bereits auf einem der Router konfiguriert ist. Die MAC-Adressen sind lokal verwaltete Werte, die innerhalb der Schicht-zwei-Domäne, der Sie beitreten, eindeutig sein müssen, verwenden Sie also keinen Wert aus einem Herstellerbeispiel erneut. Schnittstellennamen sind lokal für jeden Router und müssen nur für Ihre eigenen Skripte konsistent sein.

Das aktuelle EoIP-Handbuch dokumentiert die Felder für Endpunkt und Tunnel-ID und sagt klar, dass EoIP Ethernet über GRE ist. Nichts in diesem Befehl verschlüsselt etwas, deshalb kommt die Underlay-Prüfung zuerst.

Brücken Sie nur die Testports

Eine Bridge ist das, was den Tunnel zu einem Segment macht, und ihre Mitgliedschaft ist die gesamte Sicherheitsgrenze. Auf dem Hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Auf dem LTE-Router:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Diese Befehle erzeugen neue Bridges und fügen jeder genau zwei Ports hinzu. Die EoIP-Schnittstelle ist das Schicht-zwei-Mitglied; der verschlüsselte Tunnel bleibt gerouteter Transport und darf niemals als Bridge-Port hinzugefügt werden. Fügen Sie keinen Produktionsport hinzu und starten Sie keinen DHCP-Server auf der Labor-Bridge.

Geben Sie den beiden Testhosts Adressen in einem ungenutzten Subnetz ohne konkurrierenden DHCP-Server, etwa 192.168.77.11/24 und 192.168.77.12/24. Sie brauchen kein Standardgateway, um sich innerhalb dieses Subnetzes zu erreichen, und eine Router-Schnittstellenadresse ist für den Durchlauf der Rahmen nicht erforderlich.

Kalkulieren Sie den Overhead, bevor Sie ein LAN ausdehnen

EoIP über IPv4 fügt Ethernet-, GRE- und äußere IP-Header um die transportierte Nutzlast hinzu. Für den ungetaggten Fall dokumentiert MikroTik 42 Byte, ein Underlay mit 1400 Byte nutzbarer IP-MTU lässt also 1358 Byte für den inneren Rahmen. Diese Zahl ist ein Budget und kein universeller MSS-Wert, und sie zwingt einen gebrückten Host nicht, kleinere Rahmen zu senden.

Prüfen Sie die realen Grenzen auf dem Pfad und testen Sie dann mit dem größten Rahmen, den das Gerät tatsächlich sendet. Ein Rahmen von 1500 Byte, der innerhalb des geschützten Pfads fragmentiert werden muss, verhält sich anders als einer, der passt, und der Unterschied zeigt sich als Stocken der Anwendung und nicht als Linkausfall.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP behandelt Schleifen, nicht beliebige parallele Pfade, halten Sie die Pilot-Topologie also einfach. Die Ausdehnung einer Bridge dehnt auch Broadcast-, Multicast- und DHCP-Verhalten über die Mobilfunkstrecke aus, und dieser Verkehr verbraucht Kapazität, ob nun ein nützlicher Rahmen läuft oder nicht.

Planen Sie eine Produktionsanbindung erst, wenn das Labor die Rahmengröße und das Anwendungsverhalten erreicht, die Sie tatsächlich brauchen. Vor diesem Wechsel verständigen Sie sich auf Adressierung, VLAN-Mitgliedschaft, DHCP-Zuständigkeit, Schleifenvermeidung und darauf, wie jemand die Router erreicht, wenn die Verbindung selbst ausgefallen ist. Eine Ethernet-Erweiterung verbindet Fehlerdomänen ebenso wie Geräte, deshalb verdient sie ein Änderungsfenster statt eines weiteren Ports an einer laufenden Bridge.