EoIP πάνω από ζεύξη VPN LTE: χτίζοντας ένα μικρό εργαστήριο RouterOS

Το EoIP παίρνει ένα πλήρες πλαίσιο Ethernet, το τυλίγει σε GRE και το στέλνει σε μια διαμορφωμένη απομακρυσμένη διεύθυνση, γι' αυτό το αποτέλεσμα συμπεριφέρεται σαν καλώδιο και όχι σαν διαδρομή. Αυτό που φεύγει από τον δρομολογητή είναι το πρωτόκολλο IP 47 με το αρχικό πλαίσιο ως ωφέλιμο φορτίο, άρα οι εκπομπές, το ARP και τα πρωτόκολλα εκτός IP περνούν όλα. Το GRE δεν προσθέτει δική του εμπιστευτικότητα, και το πλαίσιο παραμένει αναγνώσιμο σε οτιδήποτε βλέπει το εξωτερικό πακέτο. Αυτό το ένα γεγονός καθορίζει τη σειρά αυτού του εργαστηρίου: χτίστε πρώτα την κρυπτογραφημένη διαδρομή και μετά μεταφέρετε Ethernet μέσα της.

Τι τυλίγει το EoIP και τι όχι

Η ενθυλάκωση είναι ολόκληρος ο μηχανισμός. Ένα πλαίσιο φτάνει σε μια θύρα μέσα σε γέφυρα, παίρνει μια κεφαλίδα GRE και μια εξωτερική κεφαλίδα IP και παραδίδεται στον ομότιμο δρομολογητή, ο οποίος αφαιρεί και τις δύο και εισάγει το πλαίσιο στη δική του γέφυρα. Η γέφυρα που λαμβάνει μαθαίνει τη MAC προέλευσης ακριβώς όπως θα έκανε από μια τοπική θύρα. Τίποτε σε αυτή τη διαδικασία δεν επαληθεύει το πλαίσιο ούτε το κρύβει.

Η εμπιστευτικότητα επομένως πρέπει να προέρχεται από τη διαδρομή πάνω στην οποία ταξιδεύει το πακέτο GRE. Σε αυτόν τον σχεδιασμό το υπόστρωμα είναι ένα τούνελ WireGuard ή IPsec ανάμεσα στους δύο δρομολογητές, και το EoIP μεταφέρεται μέσα του. Το MikroTik εκθέτει επίσης μια επιλογή αυτόματου IPsec στην ίδια τη διεπαφή EoIP, που είναι άλλη διάταξη και δεν είναι αυτό που ρυθμίζει αυτό το εργαστήριο.

Για δρομολογημένες υπηρεσίες IP, ένα δρομολογημένο VPN είναι ο μικρότερος σχεδιασμός και αυτός που πρέπει να προτιμάτε. Καταφύγετε στο δεύτερο επίπεδο μόνο όταν μια συσκευή χρειάζεται πραγματικά να βλέπει πλαίσια Ethernet από την άλλη τοποθεσία.

Προαπαιτούμενα: ένα κρυπτογραφημένο υπόστρωμα και δύο αχρησιμοποίητες θύρες

Και οι δύο δρομολογητές χρειάζονται μια εδραιωμένη κρυπτογραφημένη ζεύξη και μια διεύθυνση πάνω της που ο ομότιμος μπορεί να φτάσει. Η πλευρά LTE ξεκινά την εξωτερική σύνδεση, άρα ο κόμβος δεν καλεί ποτέ το δίκτυο κινητής και ο δρομολογητής LTE διατηρεί όποια κατάσταση NAT απαιτεί ο πάροχος. Επιβεβαιώστε ότι το τούνελ είναι ενεργό πριν προσθέσετε οτιδήποτε πάνω του, γιατί μια διεπαφή EoIP που δεν φτάνει στην απομακρυσμένη διεύθυνσή της μοιάζει ίδια με μια κακώς ρυθμισμένη.

Κάθε δρομολογητής χρειάζεται επίσης μία θύρα που δεν είναι ήδη μέλος γέφυρας, trunk VLAN, διεπαφή διαχείρισης ή ζεύξη παραγωγής. Ένα εργαστήριο που δανείζεται μια ενεργή θύρα δεν είναι εργαστήριο, και η κατάσταση αποτυχίας είναι μια καταιγίδα εκπομπών σε ένα δίκτυο που δουλεύει. Μετακινήστε τη διαχείριση σε άλλη διεπαφή ή στην κονσόλα πριν ξεκινήσετε.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Αυτές οι τιμές είναι παράδειγμα και όχι απαίτηση. Πρέπει να βρίσκονται στις διεπαφές του τούνελ και να δρομολογούνται μέσω της προστατευμένης διαδρομής. Η πολιτική του τείχους προστασίας και στους δύο δρομολογητές πρέπει να επιτρέπει GRE ανάμεσα στις δύο διευθύνσεις του τούνελ, και το GRE είναι πρωτόκολλο IP 47, όχι θύρα TCP ή UDP με αριθμό 47. Αυτός ο σχεδιασμός δεν εκθέτει ποτέ ακατέργαστο GRE σε κανένα από τα δύο WAN.

Δημιουργήστε το ζεύγος τούνελ με ταιριαστά ID

Τα δύο άκρα είναι μία λογική διεπαφή ορισμένη δύο φορές, άρα κάθε πεδίο ταυτοποίησης πρέπει να συμφωνεί. Στον κόμβο:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Στον δρομολογητή LTE οι διευθύνσεις αντιστρέφονται και η MAC διαφέρει:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Το ID του τούνελ πρέπει να ταιριάζει στα δύο άκρα και να μη συγκρούεται με άλλο ζεύγος που έχει ήδη ρυθμιστεί σε κάποιον από τους δρομολογητές. Οι διευθύνσεις MAC είναι τοπικά διαχειριζόμενες τιμές που πρέπει να είναι μοναδικές μέσα στο πεδίο δεύτερου επιπέδου στο οποίο μπαίνετε, γι' αυτό μην επαναχρησιμοποιείτε τιμή από παράδειγμα κατασκευαστή. Τα ονόματα διεπαφών είναι τοπικά για κάθε δρομολογητή και χρειάζεται να είναι συνεπή μόνο για τα δικά σας σενάρια.

Το τρέχον εγχειρίδιο του EoIP τεκμηριώνει τα πεδία τελικού σημείου και ID τούνελ και λέει καθαρά ότι το EoIP είναι Ethernet πάνω από GRE. Τίποτε σε αυτή την εντολή δεν κρυπτογραφεί τίποτε, γι' αυτό ο έλεγχος του υποστρώματος έρχεται πρώτος.

Γεφυρώστε μόνο τις δοκιμαστικές θύρες

Η γέφυρα είναι αυτό που μετατρέπει το τούνελ σε τμήμα, και η σύνθεσή της είναι ολόκληρο το όριο ασφαλείας. Στον κόμβο:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Στον δρομολογητή LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Αυτές οι εντολές δημιουργούν νέες γέφυρες και προσθέτουν ακριβώς δύο θύρες σε καθεμία. Η διεπαφή EoIP είναι το μέλος του δεύτερου επιπέδου· το κρυπτογραφημένο τούνελ παραμένει δρομολογημένη μεταφορά και δεν πρέπει ποτέ να προστεθεί ως θύρα γέφυρας. Μην προσθέσετε θύρα παραγωγής και μην ξεκινήσετε διακομιστή DHCP στη γέφυρα του εργαστηρίου.

Δώστε στους δύο δοκιμαστικούς κεντρικούς υπολογιστές διευθύνσεις σε ένα αχρησιμοποίητο υποδίκτυο χωρίς ανταγωνιστικό διακομιστή DHCP, όπως 192.168.77.11/24 και 192.168.77.12/24. Δεν χρειάζονται προεπιλεγμένη πύλη για να φτάσει ο ένας τον άλλο μέσα σε αυτό το υποδίκτυο, και δεν απαιτείται διεύθυνση διεπαφής δρομολογητή για να περάσουν τα πλαίσια.

Υπολογίστε το κόστος επιβάρυνσης πριν επεκτείνετε ένα LAN

Το EoIP πάνω από IPv4 προσθέτει κεφαλίδες Ethernet, GRE και εξωτερικής IP γύρω από το μεταφερόμενο ωφέλιμο φορτίο. Για τη μη σημασμένη περίπτωση το MikroTik τεκμηριώνει 42 byte, άρα ένα υπόστρωμα με 1400 byte χρήσιμου IP MTU αφήνει 1358 byte για το εσωτερικό πλαίσιο. Αυτό το νούμερο είναι προϋπολογισμός και όχι καθολική τιμή MSS, και δεν αναγκάζει έναν κεντρικό υπολογιστή σε γέφυρα να στέλνει μικρότερα πλαίσια.

Επαληθεύστε τα πραγματικά όρια στη διαδρομή και μετά δοκιμάστε με το μεγαλύτερο πλαίσιο που στέλνει πράγματι η συσκευή. Ένα πλαίσιο 1500 byte που πρέπει να κατατμηθεί μέσα στην προστατευμένη διαδρομή συμπεριφέρεται διαφορετικά από ένα που χωρά, και η διαφορά εμφανίζεται ως κόλλημα της εφαρμογής και όχι ως αποτυχία ζεύξης.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

Το RSTP χειρίζεται βρόχους, όχι αυθαίρετες παράλληλες διαδρομές, γι' αυτό κρατήστε την τοπολογία πιλοτικής απλή. Η επέκταση μιας γέφυρας επεκτείνει επίσης τη συμπεριφορά εκπομπών, multicast και DHCP πάνω από τη ζεύξη κινητής, και αυτή η κίνηση καταναλώνει χωρητικότητα είτε κινείται κάποιο χρήσιμο πλαίσιο είτε όχι.

Σχεδιάστε μια σύνδεση παραγωγής μόνο όταν το εργαστήριο φτάσει το μέγεθος πλαισίου και τη συμπεριφορά εφαρμογής που χρειάζεστε πραγματικά. Πριν από αυτή τη μετάβαση, συμφωνήστε για τη διευθυνσιοδότηση, τη συμμετοχή σε VLAN, την αρμοδιότητα DHCP, την πρόληψη βρόχων και το πώς κάποιος φτάνει στους δρομολογητές όταν η ίδια η ζεύξη είναι κάτω. Μια επέκταση Ethernet ενώνει πεδία αποτυχίας μαζί με συσκευές, γι' αυτό αξίζει ένα παράθυρο αλλαγής και όχι μια ακόμη θύρα σε μια γέφυρα που δουλεύει.