EoIP روی پیوند VPN با LTE: آزمایشگاه کوچک RouterOS را می‌سازیم

EoIP یک قاب کامل اترنت را می‌گیرد، آن را در GRE می‌پیچد و به یک نشانی از راه دور پیکربندی‌شده می‌فرستد، به همین دلیل نتیجه مانند یک کابل رفتار می‌کند نه مانند یک مسیر. آنچه از روتر خارج می‌شود پروتکل IP شماره 47 است با قاب اصلی به‌عنوان بار داده، بنابراین پخش‌های عمومی، ARP و پروتکل‌های غیر IP همگی عبور می‌کنند. GRE هیچ محرمانگی‌ای از خود اضافه نمی‌کند و قاب برای هر چیزی که بسته بیرونی را ببیند قابل خواندن می‌ماند. همین یک واقعیت ترتیب این آزمایشگاه را تعیین می‌کند: نخست مسیر رمزنگاری‌شده را بسازید، سپس اترنت را درون آن حمل کنید.

EoIP چه چیزی را می‌پیچد و چه چیزی را نه

کپسوله‌سازی تمام سازوکار است. قابی به یک درگاه پل‌شده می‌رسد، سرآیند GRE و سرآیند بیرونی IP می‌گیرد و به روتر همتا تحویل داده می‌شود، که هر دو را برمی‌دارد و قاب را به پل خودش تزریق می‌کند. پل گیرنده نشانی MAC مبدأ را دقیقاً همان‌گونه که از یک درگاه محلی می‌آموزد، یاد می‌گیرد. هیچ چیز در آن فرایند قاب را احراز هویت نمی‌کند و پنهانش نمی‌کند.

بنابراین محرمانگی باید از مسیری بیاید که بسته GRE روی آن سفر می‌کند. در این طرح لایه زیرین یک تونل WireGuard یا IPsec میان دو روتر است و EoIP درون آن حمل می‌شود. MikroTik همچنین گزینه IPsec خودکار را روی خود رابط EoIP ارائه می‌دهد، که ترتیب دیگری است و آن چیزی نیست که این آزمایشگاه پیکربندی می‌کند.

برای سرویس‌های IP مسیریابی‌شده، یک VPN مسیریابی‌شده طرح کوچک‌تر و ترجیح‌پذیر است. تنها زمانی به لایه دو دست بزنید که دستگاهی واقعاً نیاز داشته باشد قاب‌های اترنت سایت دیگر را ببیند.

پیش‌نیازها: یک لایه زیرین رمزنگاری‌شده و دو درگاه بلااستفاده

هر دو روتر به یک پیوند رمزنگاری‌شده برقرار و نشانی‌ای روی آن نیاز دارند که همتا بتواند به آن برسد. سمت LTE اتصال بیرونی را آغاز می‌کند، بنابراین هاب هرگز به شبکه موبایل زنگ نمی‌زند و روتر LTE وضعیت NAT را که اپراتور می‌خواهد نگه می‌دارد. پیش از افزودن چیزی روی آن تأیید کنید که تونل برپاست، زیرا رابط EoIP که به نشانی دور خود نمی‌رسد دقیقاً مانند یک رابط بدپیکربندی‌شده به‌نظر می‌رسد.

هر روتر همچنین به یک درگاه نیاز دارد که از پیش عضو پل، ترانک VLAN، رابط مدیریت یا پیوند تولید نباشد. آزمایشگاهی که یک درگاه فعال را قرض می‌گیرد آزمایشگاه نیست، و حالت خرابی یک طوفان پخش عمومی در شبکه‌ای فعال است. پیش از شروع، مدیریت را به رابط دیگری یا به کنسول منتقل کنید.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

این مقادیر یک نمونه‌اند نه یک الزام. باید روی رابط‌های تونل باشند و از مسیر محافظت‌شده مسیریابی شوند. سیاست فایروال روی هر دو روتر باید GRE را میان دو نشانی تونل مجاز کند، و GRE پروتکل IP شماره 47 است نه درگاه TCP یا UDP با شماره 47. این طرح هرگز GRE خام را به هیچ‌یک از دو WAN آشکار نمی‌کند.

جفت تونل را با شناسه‌های همسان بسازید

دو انتها یک رابط منطقی هستند که دو بار تعریف شده، پس هر فیلد شناسایی باید همخوان باشد. روی هاب:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

روی روتر LTE نشانی‌ها برعکس می‌شوند و MAC متفاوت است:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

شناسه تونل باید در دو انتها یکسان باشد و با جفت دیگری که از پیش روی هر یک از روترها پیکربندی شده برخورد نکند. نشانی‌های MAC مقادیر مدیریت‌شده محلی هستند که باید در دامنه لایه دوی که به آن می‌پیوندید یکتا باشند، پس مقداری از نمونه یک فروشنده را دوباره استفاده نکنید. نام رابط‌ها برای هر روتر محلی است و تنها باید برای اسکریپت‌های خودتان سازگار باشد.

راهنمای کنونی EoIP فیلدهای نقطه پایانی و شناسه تونل را مستند می‌کند و صریح می‌گوید که EoIP همان اترنت روی GRE است. هیچ چیز در آن دستور چیزی را رمزنگاری نمی‌کند، به همین دلیل بررسی لایه زیرین نخست می‌آید.

تنها درگاه‌های آزمون را پل کنید

پل همان چیزی است که تونل را به یک قطعه تبدیل می‌کند و عضویت آن تمام مرز امنیتی است. روی هاب:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

روی روتر LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

این دستورها پل‌های تازه می‌سازند و به هر یک دقیقاً دو درگاه می‌افزایند. رابط EoIP عضو لایه دو است؛ تونل رمزنگاری‌شده یک ترابری مسیریابی‌شده می‌ماند و هرگز نباید به‌عنوان درگاه پل افزوده شود. درگاه تولید اضافه نکنید و سرور DHCP را روی پل آزمایشگاه راه‌اندازی نکنید.

به دو میزبان آزمون نشانی‌هایی در یک زیرشبکه بلااستفاده و بدون سرور DHCP رقیب بدهید، مانند 192.168.77.11/24 و 192.168.77.12/24. آن‌ها برای رسیدن به یکدیگر در آن زیرشبکه به دروازه پیش‌فرض نیازی ندارند و برای عبور قاب‌ها نشانی رابط روتر لازم نیست.

پیش از گسترش یک LAN سربار را بودجه‌بندی کنید

EoIP روی IPv4 سرآیندهای اترنت، GRE و IP بیرونی را پیرامون بار حمل‌شده می‌افزاید. برای حالت بدون برچسب MikroTik عدد 42 بایت را مستند می‌کند، پس لایه زیرینی با 1400 بایت MTU قابل استفاده IP برای قاب درونی 1358 بایت باقی می‌گذارد. این عدد یک بودجه است نه مقدار جهانی MSS، و میزبان پل‌شده را مجبور به فرستادن قاب‌های کوچک‌تر نمی‌کند.

محدودیت‌های واقعی مسیر را بررسی کنید، سپس با بزرگ‌ترین قابی که دستگاه واقعاً می‌فرستد آزمون کنید. قابی با 1500 بایت که باید درون مسیر محافظت‌شده قطعه‌قطعه شود متفاوت از قابی رفتار می‌کند که جا می‌شود، و تفاوت به‌صورت توقف برنامه نمایان می‌شود نه شکست پیوند.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP حلقه‌ها را مدیریت می‌کند نه مسیرهای موازی دلبخواه را، پس توپولوژی آزمایشی را ساده نگه دارید. گسترش یک پل رفتار پخش عمومی، multicast و DHCP را نیز در سراسر پیوند موبایل گسترش می‌دهد، و آن ترافیک ظرفیت مصرف می‌کند چه قاب مفیدی حرکت کند چه نه.

پیوند تولید را تنها زمانی برنامه‌ریزی کنید که آزمایشگاه به اندازه قاب و رفتار برنامه‌ای که واقعاً لازم دارید برسد. پیش از آن گذار، درباره نشانی‌دهی، عضویت VLAN، اختیار DHCP، جلوگیری از حلقه و اینکه کسی وقتی خود پیوند قطع است چگونه به روترها می‌رسد توافق کنید. گسترش اترنت دامنه‌های خرابی را همانند دستگاه‌ها به هم می‌پیوندد، پس شایسته یک پنجره تغییر است نه یک درگاه دیگر روی پلی فعال.