EoIP LTE VPN esteka baten gainean: RouterOS laborategi txiki bat eraikitzen

EoIP-ek Ethernet marko osoa hartzen du, GRE barruan bildu eta konfiguratutako urruneko helbide batera bidaltzen du, horregatik emaitza kable baten moduan portatzen da, bide baten moduan eta ez. Routerretik irteten dena IP protokolo 47 da, jatorrizko markoa karga gisa duela, beraz difusioak, ARP eta IP ez diren protokoloak denak pasatzen dira. GRE-k ez du konfidentzialtasunik gehitzen bere kabuz, eta markoa ikusgai geratzen da kanpoko paketea ikus dezakeen edonorentzat. Gertaera bakar horrek zehazten du laborategi honen ordena: lehenengo bide zifratua eraiki, gero Ethernet bertan garraiatu.

Zer biltzen du EoIP-ek, eta zer ez

Kapsulaketa da mekanismo osoa. Marko bat zubidun ataka batera iristen da, GRE goiburua eta kanpoko IP goiburua jasotzen ditu, eta pareko routerrari ematen zaio; hark biak kentzen ditu eta markoa bere zubira sartzen du. Hartzen duen zubiak iturburu MACa ataka lokal batetik bezala ikasten du. Prozesu horretan ezerk ez du markoa egiaztatzen ezta ezkutatzen ere.

Beraz, konfidentzialtasuna GRE paketeak zeharkatzen duen bidetik etorri behar du. Diseinu honetan azpiko geruza bi routerren arteko WireGuard edo IPsec tunela da, eta EoIP haren barruan garraiatzen da. MikroTik-ek IPsec automatikoko aukera ere eskaintzen du EoIP interfazean bertan, baina beste konfigurazio bat da eta ez da laborategi honek konfiguratzen duena.

IP zerbitzu bideratuetarako, bideratutako VPN bat diseinu txikiagoa da eta hobestekoa. Bigarren geruzara jo ezazu gailu batek benetan beste gunearen Ethernet markoak ikusi behar dituenean soilik.

Aurretiazko baldintzak: azpiko geruza zifratua eta erabili gabeko bi ataka

Bi routerrek ezarritako esteka zifratua behar dute, eta harekin parekoak irits dezakeen helbide bat. LTE aldeak hasten du kanpoko konexioa, beraz hubak ez du inoiz sare mugikorra deitzen, eta LTE routerrak operadoreak eskatzen duen NAT egoera mantentzen du. Egiaztatu tunela martxan dagoela gainean ezer gehitu aurretik, urruneko helbidera iristen ez den EoIP interfazea gaizki konfiguratutako baten berdin agertzen baita.

Router bakoitzak zubi kide ez den ataka bat ere behar du, ez VLAN trunk bat, ez kudeaketa interfaze bat, ez ekoizpen esteka bat. Ataka bat maileguan hartzen duen laborategia ez da laborategia, eta hutsegite modua sare eraginkor bateko difusio ekaitza da. Eraman kudeaketa beste interfaze batera edo kontsolara hasi aurretik.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Balio horiek adibide bat dira, ez baldintza bat. Tunelaren interfazeetan egon behar dute eta bide babestutik bideratuta. Bi routerren suebakien politikak GRE baimendu behar du bi tunel helbideen artean, eta GRE IP protokolo 47 da, ez 47 zenbakiko TCP edo UDP ataka. Diseinu honek ez du inoiz GRE gordina WAN sareetara agertarazten.

Sortu tunel bikotea bat datozen IDekin

Bi muturrak behin baino gehiagotan definitutako interfaze logiko bakarra dira, beraz eremu identifikatzaile guztiek bat etorri behar dute. Huban:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE routerrean helbideak alderantziz jartzen dira eta MACa desberdina da:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunelaren IDak bi muturretan bat etorri behar du eta ezin du routerren batean jada konfiguratutako beste bikote batekin talka egin. MAC helbideak tokian bertan kudeatutako balioak dira eta sartzen ari zaren bigarren geruzako domeinuan bakarrak izan behar dute, beraz ez erabili berriz saltzaile baten adibideko baliorik. Interfaze izenak router bakoitzeko lokalak dira eta zure scriptetarako koherenteak izatea besterik ez dute behar.

EoIP eskuliburu berriak amaiera-puntuaren eta tunel IDaren eremuak dokumentatzen ditu, eta argi dio EoIP Ethernet dela GREren gainean. Komando horretan ezerk ez du ezer zifratzen, horregatik azpiko geruzaren egiaztapena da lehena.

Zubiratu probako atakak soilik

Zubiak tunela segmentu bihurtzen du, eta haren osaera da segurtasun muga osoa. Huban:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE routerrean:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Komando hauek zubi berriak sortzen dituzte eta bakoitzari zehazki bi ataka gehitzen dizkiote. EoIP interfazea bigarren geruzako kidea da; tunel zifratuak garraio bideratua izaten jarraitzen du eta ez zaio inoiz zubi ataka gisa gehitu behar. Ez gehitu ekoizpen atakarik eta ez abiarazi DHCP zerbitzaririk laborategiko zubian.

Eman probako bi ostalariei helbideak erabili gabeko azpisare batean, DHCP zerbitzari lehiakiderik gabe, adibidez 192.168.77.11/24 eta 192.168.77.12/24. Ez dute ate lehenetsirik behar azpisare horretan elkar iristeko, eta ez da router interfazearen helbiderik behar markoak igarotzeko.

Aurrekontua egin gainkosturako LAN bat handitu aurretik

IPv4ren gaineko EoIP-ek Ethernet, GRE eta kanpoko IP goiburuak gehitzen ditu garraiatutako kargaren inguruan. Etiketatu gabeko kasurako MikroTik-ek 42 byte dokumentatzen ditu, beraz 1400 byte IP MTU erabilgarri dituen azpiko geruza batek 1358 byte uzten ditu barne markorako. Zenbaki hori aurrekontu bat da, ez MSS balio unibertsal bat, eta ez dio zubidun ostalariari marko txikiagoak bidaltzera behartzen.

Egiaztatu bideko benetako mugak, eta gero probatu gailuak benetan bidaltzen duen markorik handienarekin. Bide babestuaren barruan zatikatu behar den 1500 byteko marko bat sartzen den marko bat ez bezala portatzen da, eta aldea aplikazioaren blokeo gisa agertzen da, ez estekaren hutsegite gisa.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP-k begiztak kudeatzen ditu, ez edozein bide paralelo, beraz mantendu pilotu topologia sinple. Zubi bat handitzeak difusio, multicast eta DHCP portaera ere hedatzen du esteka mugikorretik zehar, eta trafiko horrek gaitasuna kontsumitzen du marko erabilgarririk mugitzen den ala ez.

Planeatu ekoizpen konexioa laborategiak benetan behar dituzun marko tamaina eta aplikazio portaera lortzen dituenean soilik. Aldaketa horren aurretik, adostu helbideratzea, VLAN kidetza, DHCP aginpidea, begiztaren prebentzioa eta norbait routerretara nola iristen den esteka bera behera dagoenean. Ethernet hedapen batek hutsegite domeinuak zein gailuak lotzen ditu, beraz aldaketa leiho bat merezi du, ez zubi eraginkor batean beste ataka bat.