EoIP sobre un enlace VPN LTE: montar un pequeño laboratorio RouterOS

EoIP toma una trama Ethernet completa, la envuelve en GRE y la envía a una dirección remota configurada, y por eso el resultado se comporta como un cable y no como una ruta. Lo que sale del router es el protocolo IP 47 con la trama original como carga útil, así que las difusiones, ARP y los protocolos que no son IP pasan todos. GRE no añade confidencialidad propia, y la trama sigue siendo legible para cualquier cosa que vea el paquete exterior. Ese único hecho decide el orden de este laboratorio: primero construya la ruta cifrada y luego transporte Ethernet dentro de ella.

Qué envuelve EoIP y qué no

La encapsulación es todo el mecanismo. Una trama llega a un puerto en puente, recibe una cabecera GRE y una cabecera IP exterior, y se entrega al router par, que quita ambas e inyecta la trama en su propio puente. El puente receptor aprende la MAC de origen exactamente como lo haría desde un puerto local. Nada en ese proceso autentica la trama ni la oculta.

Por tanto, la confidencialidad tiene que venir de la ruta por la que viaja el paquete GRE. En este diseño la capa inferior es un túnel WireGuard o IPsec entre los dos routers, y EoIP se transporta dentro de él. MikroTik también ofrece una opción de IPsec automático en la propia interfaz EoIP, que es otra disposición y no es lo que configura este laboratorio.

Para servicios IP enrutados, una VPN enrutada es el diseño más pequeño y el que conviene preferir. Recurra a la capa dos solo cuando un dispositivo necesite de verdad ver tramas Ethernet del otro sitio.

Requisitos previos: una capa inferior cifrada y dos puertos sin usar

Ambos routers necesitan un enlace cifrado establecido y una dirección en él que el par pueda alcanzar. El lado LTE inicia la conexión exterior, así que el concentrador nunca marca la red móvil, y el router LTE mantiene el estado NAT que exija el operador. Confirme que el túnel está activo antes de añadir nada encima, porque una interfaz EoIP que no alcanza su dirección remota se ve idéntica a una mal configurada.

Cada router también necesita un puerto que no sea ya miembro de un puente, un troncal VLAN, una interfaz de gestión o un enlace de producción. Un laboratorio que toma prestado un puerto vivo no es un laboratorio, y el modo de fallo es una tormenta de difusión en una red en funcionamiento. Mueva la administración a otra interfaz o a la consola antes de empezar.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Esos valores son un ejemplo y no un requisito. Deben estar en las interfaces del túnel y enrutarse por la ruta protegida. La política de cortafuegos de ambos routers debe permitir GRE entre las dos direcciones del túnel, y GRE es el protocolo IP 47, no un puerto TCP o UDP con el número 47. Este diseño nunca expone GRE en crudo a ninguna de las dos WAN.

Cree el par de túneles con ID coincidentes

Los dos extremos son una sola interfaz lógica definida dos veces, así que cada campo identificador debe coincidir. En el concentrador:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

En el router LTE las direcciones se invierten y la MAC es distinta:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

El ID del túnel debe coincidir en ambos extremos y no debe chocar con otro par ya configurado en cualquiera de los routers. Las direcciones MAC son valores administrados localmente que deben ser únicos dentro del dominio de capa dos al que se une, así que no reutilice un valor de un ejemplo de fabricante. Los nombres de interfaz son locales de cada router y solo necesitan ser coherentes para sus propios guiones.

El manual actual de EoIP documenta los campos de punto final e ID de túnel, y dice claramente que EoIP es Ethernet sobre GRE. Nada en ese comando cifra nada, por eso la comprobación de la capa inferior va primero.

Puente solo los puertos de prueba

Un puente es lo que convierte el túnel en un segmento, y su composición es toda la frontera de seguridad. En el concentrador:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

En el router LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Estos comandos crean puentes nuevos y añaden exactamente dos puertos a cada uno. La interfaz EoIP es el miembro de capa dos; el túnel cifrado sigue siendo un transporte enrutado y nunca debe añadirse como puerto de puente. No añada un puerto de producción y no inicie un servidor DHCP en el puente del laboratorio.

Dé a los dos equipos de prueba direcciones en una subred sin usar y sin servidor DHCP competidor, como 192.168.77.11/24 y 192.168.77.12/24. No necesitan puerta de enlace predeterminada para alcanzarse dentro de esa subred, y no hace falta una dirección de interfaz del router para que las tramas crucen.

Presupueste la sobrecarga antes de extender una LAN

EoIP sobre IPv4 añade cabeceras Ethernet, GRE e IP exterior alrededor de la carga transportada. Para el caso sin etiqueta, MikroTik documenta 42 bytes, así que una capa inferior con 1400 bytes de MTU IP utilizable deja 1358 bytes para la trama interior. Esa cifra es un presupuesto y no un valor universal de MSS, y no obliga a un equipo en puente a emitir tramas más pequeñas.

Verifique los límites reales en la ruta y luego pruebe con la trama más grande que el aparato envía de verdad. Una trama de 1500 bytes que debe fragmentarse dentro de la ruta protegida se comporta de forma distinta a una que cabe, y la diferencia aparece como un bloqueo de la aplicación y no como un fallo del enlace.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP gestiona bucles, no rutas paralelas arbitrarias, así que mantenga simple la topología piloto. Extender un puente también extiende el comportamiento de difusión, multicast y DHCP a través del enlace móvil, y ese tráfico consume capacidad tanto si se mueve una trama útil como si no.

Planifique una conexión de producción solo cuando el laboratorio alcance el tamaño de trama y el comportamiento de aplicación que de verdad necesita. Antes de ese cambio, acuerde el direccionamiento, la pertenencia a VLAN, la autoridad DHCP, la prevención de bucles y cómo llega alguien a los routers cuando el propio enlace está caído. Una extensión Ethernet une dominios de fallo además de dispositivos, así que merece una ventana de cambio y no un puerto más en un puente en funcionamiento.