EoIP super LTE-VPN-ligo: konstrui malgrandan RouterOS-laboratorion

EoIP prenas kompletan Ethernet-kadron, envolvas ĝin en GRE kaj sendas ĝin al agordita malproksima adreso, tial la rezulto kondutas kiel kablo, ne kiel itinerero. El la enkursigilo eliras IP-protokolo 47 kun la origina kadro kiel utila ŝarĝo, do dissendoj, ARP kaj ne-IP-protokoloj ĉiuj trapasas. GRE aldonas nenian propran konfidecon, kaj la kadro restas legebla por ĉio, kio vidas la eksteran paketon. Tiu unu fakto decidas la sinsekvon de ĉi tiu laboratorio: unue konstruu la ĉifritan vojon, poste portu Ethernet ene de ĝi.

Kion EoIP envolvas, kaj kion ne

La enkapsuligo estas la tuta mekanismo. Kadro alvenas sur pontigita pordo, ricevas GRE-kapon kaj eksteran IP-kapon, kaj estas transdonata al la partnersistema enkursigilo, kiu forigas ambaŭ kaj enigas la kadron en sian propran ponton. La ricevanta ponto lernas la fontan MAC same kiel de loka pordo. Nenio en tiu procezo aŭtentikigas la kadron aŭ kaŝas ĝin.

Konfideco do devas veni de la vojo, sur kiu vojaĝas la GRE-paketo. En ĉi tiu dezajno la suba tavolo estas WireGuard aŭ IPsec-tunelo inter la du enkursigiloj, kaj EoIP estas portata ene de ĝi. MikroTik ankaŭ proponas aŭtomatan IPsec-opcion sur la EoIP-interfaco mem, kio estas alia aranĝo kaj ne estas tio, kion agordas ĉi tiu laboratorio.

Por enkursigitaj IP-servoj, enkursigita VPN estas la pli malgranda dezajno kaj la preferinda. Uzu la duan tavolon nur kiam aparato vere bezonas vidi Ethernet-kadrojn de la alia ejo.

Antaŭkondiĉoj: ĉifrita suba tavolo kaj du neuzitaj pordoj

Ambaŭ enkursigiloj bezonas establitajn ĉifritan ligon kaj adreson sur ĝi, kiun la partnero povas atingi. La LTE-flanko iniciatas la eksteran konekton, do la centro neniam alvokas la poŝan reton, kaj la LTE-enkursigilo konservas tiun NAT-staton, kiun la operatoro postulas. Konfirmu, ke la tunelo funkcias antaŭ ol aldoni ion supre, ĉar EoIP-interfaco, kiu ne atingas sian malproksiman adreson, aspektas idente al malĝuste agordita.

Ĉiu enkursigilo ankaŭ bezonas unu pordon, kiu jam ne estas pontano, VLAN-trunk, administra interfaco aŭ produktada ligo. Laboratorio, kiu prunteprenas vivan pordon, ne estas laboratorio, kaj la fiaskoreĝimo estas dissendostormo en funkcianta reto. Movu administradon al alia interfaco aŭ al la konzolo antaŭ ol vi komencos.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Tiuj valoroj estas ekzemplo, ne postulo. Ili devas sidi sur la tunnelaj interfacoj kaj esti enkursigitaj tra la protektita vojo. La fajroŝirma politiko sur ambaŭ enkursigiloj devas permesi GRE inter la du tunnelaj adresoj, kaj GRE estas IP-protokolo 47, ne TCP- aŭ UDP-pordo kun numero 47. Ĉi tiu dezajno neniam elmetas krudan GRE al iu ajn el la du WAN-oj.

Kreu la tunelan paron kun kongruaj ID-oj

La du finoj estas unu logika interfaco difinita dufoje, do ĉiu identiga kampo devas kongrui. Sur la centro:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Sur la LTE-enkursigilo la adresoj renversiĝas kaj la MAC malsamas:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

La tunela ID devas kongrui ĉe ambaŭ finoj kaj ne rajtas kolizii kun alia paro jam agordita sur iu ajn el la enkursigiloj. La MAC-adresoj estas loke administrataj valoroj, kiuj devas esti unikaj ene de la dua-tavola domajno, kiun vi aliĝas, do ne reuzu valoron el vendista ekzemplo. Interfacaj nomoj estas lokaj por ĉiu enkursigilo kaj devas esti konsekvencaj nur por viaj propraj skriptoj.

La aktuala EoIP-manlibro dokumentas la kampojn de finpunkto kaj tunela ID kaj diras klare, ke EoIP estas Ethernet super GRE. Nenio en tiu komando ĉifras ion ajn, tial la kontrolo de la suba tavolo venas unue.

Pontigu nur la testajn pordojn

Ponto estas tio, kio igas la tunelon segmento, kaj ĝia membreco estas la tuta sekureca limo. Sur la centro:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Sur la LTE-enkursigilo:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Ĉi tiuj komandoj kreas novajn pontojn kaj aldonas ekzakte du pordojn al ĉiu. La EoIP-interfaco estas la dua-tavola membro; la ĉifrita tunelo restas enkursigita transporto kaj neniam devas esti aldonita kiel ponta pordo. Ne aldonu produktadan pordon kaj ne startigu DHCP-servilon sur la laboratoria ponto.

Donu al la du testaj gastigantoj adresojn en neuzita subreto sen konkurenca DHCP-servilo, ekzemple 192.168.77.11/24 kaj 192.168.77.12/24. Ili bezonas neniun defaŭltan enirejon por atingi unu la alian ene de tiu subreto, kaj enkursigila interfaca adreso ne necesas por ke la kadroj trapasu.

Buĝetu la superkoston antaŭ ol etendi LAN-on

EoIP super IPv4 aldonas Ethernet-, GRE- kaj eksterajn IP-kaperojn ĉirkaŭ la portata utila ŝarĝo. Por la neetikeda kazo MikroTik dokumentas 42 bajtojn, do suba tavolo kun 1400 bajtoj da uzebla IP MTU lasas 1358 bajtojn por la interna kadro. Tiu nombro estas buĝeto, ne universala MSS-valoro, kaj ĝi ne devigas pontigitan gastiganton elsendi pli malgrandajn kadrojn.

Kontrolu la realajn limojn sur la vojo, poste testu per la plej granda kadro, kiun la aparato efektive sendas. Kadro de 1500 bajtoj, kiun oni devas fragmentigi ene de la protektita vojo, kondutas alie ol tiu, kiu enigas, kaj la diferenco montriĝas kiel halto de la aplikaĵo, ne kiel fiasko de la ligo.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP traktas buklojn, ne arbitrajn paralelajn vojojn, do tenu la pilotan topologion simpla. Etendi ponton ankaŭ etendas dissendan, multicast- kaj DHCP-konduton trans la poŝa ligo, kaj tiu trafiko konsumas kapaciton ĉu utila kadro moviĝas ĉu ne.

Planu produktadan alligon nur kiam la laboratorio atingos la kadrograndecon kaj la aplikaĵan konduton, kiujn vi efektive bezonas. Antaŭ tiu transiro, interkonsentu pri adresado, VLAN-membreco, DHCP-aŭtoritato, bukla preventado kaj kiel iu atingas la enkursigilojn, kiam la ligo mem estas malsupre. Ethernet-etendo kunigas fiaskodomajnojn same kiel aparatojn, do ĝi meritas ŝanĝan fenestron anstataŭ ankoraŭ unu pordon sur funkcianta ponto.