EoIP üle LTE VPN-lingi: väikese RouterOS-labori ehitamine

EoIP võtab terve Etherneti kaadri, mähkib selle GRE sisse ja saadab konfigureeritud kaugaadressile, seetõttu käitub tulemus nagu kaabel, mitte nagu marsruut. Ruuterist väljub IP-protokoll 47, mille kandevõte on algne kaader, nii et leviedastused, ARP ja mitte-IP protokollid läbivad kõik. GRE ei lisa omaenda konfidentsiaalsust ja kaader jääb loetavaks kõigele, mis välispaketti näeb. See üks fakt määrab selle labori järjekorra: kõigepealt ehitage krüpteeritud tee, seejärel kandke Ethernet selle sees.

Mida EoIP mähkib ja mida mitte

Kapseldamine on kogu mehhanism. Kaader saabub sillatud pordile, saab GRE päise ja välimise IP päise ning toimetatakse partnerruuterile, mis eemaldab mõlemad ja sisestab kaadri oma silda. Vastuvõttev sild õpib lähtemac'i täpselt nii, nagu seda teeks kohalikult pordilt. Miski selles protsessis ei autendi kaadrit ega peida seda.

Konfidentsiaalsus peab seega tulema teest, mida mööda GRE pakett liigub. Selles lahenduses on aluskiht WireGuard- või IPsec-tunnel kahe ruuteri vahel ja EoIP kantakse selle sees. MikroTik pakub ka automaatset IPsec-valikut EoIP-liidesel endal, mis on teine lahendus ega ole see, mida see labor konfigureerib.

Marsruuditud IP-teenuste jaoks on marsruuditud VPN väiksem lahendus ja see, mida eelistada. Pöörduge teise kihi poole ainult siis, kui seade vajab tõesti teise saidi Etherneti kaadrite nägemist.

Eeldused: krüpteeritud aluskiht ja kaks kasutamata porti

Mõlemad ruuterid vajavad loodud krüpteeritud linki ja sellel aadressi, millele partner pääseb. Välisühenduse algatab LTE pool, seega jaotur ei helista kunagi mobiilivõrku ja LTE-ruuter hoiab seda NAT-olekut, mida operaator nõuab. Kinnitage, et tunnel töötab, enne kui midagi selle peale lisate, sest EoIP-liides, mis ei pääse oma kaugaadressile, näeb välja täpselt nagu valesti konfigureeritud.

Iga ruuter vajab ka ühte porti, mis ei ole juba silla liige, VLAN-trunk, haldusliides ega tootmislink. Labor, mis laenab töötava pordi, ei ole labor, ja rikkerežiim on leviedastustorm töötavas võrgus. Enne alustamist viige haldus teisele liidesele või konsoolile.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Need väärtused on näide, mitte nõue. Need peavad asuma tunneli liidestel ja olema marsruuditud kaitstud tee kaudu. Mõlema ruuteri tulemüüripoliitika peab lubama GRE-d kahe tunneli aadressi vahel, ja GRE on IP-protokoll 47, mitte TCP- või UDP-port numbriga 47. See lahendus ei paljasta kunagi toorest GRE-d kummagile WAN-ile.

Looge tunnelipaar sobivate ID-dega

Kaks otsa on üks loogiline liides, mis on määratletud kaks korda, seega peab iga identifitseeriv väli ühtima. Jaoturis:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE-ruuteris pöörduvad aadressid ja MAC erineb:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunneli ID peab mõlemas otsas ühtima ega tohi põrkuda teise paariga, mis on juba kummaski ruuteris konfigureeritud. MAC-aadressid on kohalikult hallatavad väärtused, mis peavad olema unikaalsed teise kihi domeenis, millega liitute, seega ärge kasutage uuesti müüja näite väärtust. Liidesenimed on iga ruuteri jaoks kohalikud ja peavad olema järjekindlad ainult teie enda skriptide jaoks.

Praegune EoIP-käsiraamat dokumenteerib lõpp-punkti ja tunneli ID väljad ning ütleb selgesõnaliselt, et EoIP on Ethernet GRE kohal. Miski selles käsus ei krüpteeri midagi, seetõttu tuleb aluskihi kontroll esimesena.

Sillake ainult testpordid

Sild on see, mis muudab tunneli segmendiks, ja selle koosseis on kogu turvapiir. Jaoturis:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE-ruuteris:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Need käsud loovad uued sillad ja lisavad kummaleegi täpselt kaks porti. EoIP-liides on teise kihi liige; krüpteeritud tunnel jääb marsruuditud transpordiks ja seda ei tohi kunagi lisada sillapordina. Ärge lisage tootmisporti ja ärge käivitage DHCP-serverit labori sillal.

Andke kahele testhostile aadressid kasutamata alamvõrgus, kus pole konkureerivat DHCP-serverit, näiteks 192.168.77.11/24 ja 192.168.77.12/24. Neil pole vaja vaikelüüsi, et selles alamvõrgus teineteiseni jõuda, ja kaadrite läbimiseks pole ruuteri liidese aadressi vaja.

Arvestage ülekulu enne LAN-i laiendamist

EoIP IPv4 kohal lisab kantava kandevõtte ümber Etherneti, GRE ja välimise IP päised. Märgistamata juhu jaoks dokumenteerib MikroTik 42 baiti, seega 1400 baidi kasutatava IP MTU-ga aluskiht jätab sisemisele kaadrile 1358 baiti. See arv on eelarve, mitte universaalne MSS-väärtus, ja see ei sunni sillatud hosti väiksemaid kaadreid saatma.

Kontrollige tee tegelikke piire ja katsetage siis suurima kaadriga, mille seade tegelikult saadab. 1500-baidine kaader, mida tuleb kaitstud tee sees fragmentida, käitub teisiti kui see, mis mahub, ja erinevus ilmneb rakenduse takerdumisena, mitte lingi rikkena.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP käsitleb silmuseid, mitte suvalisi paralleelseid teid, seega hoidke piloottopoloogia lihtne. Silla laiendamine laiendab ka leviedastuse, multicast'i ja DHCP käitumist üle mobiillinki, ja see liiklus tarbib mahtu olenemata sellest, kas mõni kasulik kaader liigub.

Planeerige tootmiskinnitus alles siis, kui labor saavutab kaadri suuruse ja rakenduse käitumise, mida tegelikult vajate. Enne seda üleminekut leppige kokku adresseerimises, VLAN-liikmelisuses, DHCP-volituses, silmuste vältimises ja selles, kuidas keegi ruuteriteni jõuab, kui link ise on maas. Etherneti laiendus ühendab rikkedomeenid nagu ka seadmed, seetõttu väärib see muudatusakent, mitte veel ühte porti töötaval sillal.