EoIP LTE-VPN-linkin yli: pienen RouterOS-laboratorion rakentaminen

EoIP ottaa kokonaisen Ethernet-kehyksen, kääri sen GRE:hen ja lähettää sen määritettyyn etäosoitteeseen, minkä vuoksi tulos käyttäytyy kuin kaapeli eikä kuin reitti. Reitittimestä lähtee IP-protokolla 47, jonka hyötykuormana on alkuperäinen kehys, joten lähetykset, ARP ja muut kuin IP-protokollat kulkevat kaikki. GRE ei lisää omaa luottamuksellisuuttaan, ja kehys pysyy luettavana kaikelle, joka näkee ulomman paketin. Tämä yksi tosiasia määrää tämän laboratorion järjestyksen: rakenna ensin salattu polku ja kuljeta sitten Ethernet sen sisällä.

Mikä EoIP käärii ja mitä ei

Kapselointi on koko mekanismi. Kehys saapuu sillattuun porttiin, saa GRE-otsikon ja ulomman IP-otsikon ja toimitetaan vastapuolen reitittimelle, joka poistaa molemmat ja työntää kehyksen omaan siltaansa. Vastaanottava silta oppii lähde-MAC:n täsmälleen kuten paikallisesta portista. Mikään siinä prosessissa ei todista kehystä tai kätke sitä.

Luottamuksellisuuden on siis tultava polulta, jota pitkin GRE-paketti kulkee. Tässä suunnittelussa alusta on WireGuard- tai IPsec-tunneli kahden reitittimen välillä, ja EoIP kulkee sen sisällä. MikroTik tarjoaa myös automaattisen IPsec-vaihtoehdon itse EoIP-liitännässä, mikä on toinen järjestely eikä se, mitä tämä laboratorio määrittää.

Reititetyille IP-palveluille reititetty VPN on pienempi suunnittelu ja se, jota kannattaa suosia. Turvaudu kakkostason ratkaisuun vain, kun laite todella tarvitsee nähdä toisen toimipisteen Ethernet-kehyksiä.

Edellytykset: salattu alusta ja kaksi käyttämätöntä porttia

Molemmat reitittimet tarvitsevat muodostetun salatun yhteyden ja siinä osoitteen, johon vastapuoli pääsee. LTE-puoli aloittaa ulomman yhteyden, joten keskitin ei koskaan soita mobiiliverkkoon, ja LTE-reititin ylläpitää sitä NAT-tilaa, jota operaattori vaatii. Varmista, että tunneli on pystyssä ennen kuin lisäät mitään sen päälle, sillä EoIP-liitäntä, joka ei tavoita etäosoitettaan, näyttää samalta kuin väärin määritetty.

Jokainen reititin tarvitsee myös yhden portin, joka ei ole jo sillan jäsen, VLAN-trunkki, hallintaliitäntä tai tuotantoyhteys. Laboratorio, joka lainaa elävää porttia, ei ole laboratorio, ja vikatila on lähetysmyrsky toimivassa verkossa. Siirrä hallinta toiseen liitäntään tai konsoliin ennen aloittamista.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Nämä arvot ovat esimerkki, eivät vaatimus. Niiden on oltava tunnelin liitännöissä ja reititettävä suojatun polun kautta. Molempien reitittimien palomuurikäytännön on sallittava GRE kahden tunneliosoitteen välillä, ja GRE on IP-protokolla 47, ei TCP- tai UDP-portti numerolla 47. Tämä suunnittelu ei koskaan paljasta raakaa GRE:tä kummallekaan WAN-verkolle.

Luo tunnelipari täsmäävillä ID-tunnisteilla

Kaksi päätä on yksi looginen liitäntä, joka on määritelty kahdesti, joten jokaisen tunnistekentän on täsmättävä. Keskitimessä:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE-reitittimessä osoitteet kääntyvät ja MAC eroaa:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunnelin ID:n on täsmättävä molemmissa päissä eikä se saa törmätä toiseen pariin, joka on jo määritetty jommallakummalla reitittimellä. MAC-osoitteet ovat paikallisesti hallinnoituja arvoja, joiden on oltava ainutkertaisia siinä kakkostason toimialueessa, johon liityt, joten älä käytä uudelleen valmistajan esimerkin arvoa. Liitäntöjen nimet ovat paikallisia kullekin reitittimelle ja niiden on oltava johdonmukaisia vain omia skriptejäsi varten.

Nykyinen EoIP-käsikirja dokumentoi päätepisteen ja tunnelin ID:n kentät ja sanoo suoraan, että EoIP on Ethernetiä GRE:n päällä. Mikään siinä komennossa ei salaa mitään, siksi alustan tarkistus tulee ensin.

Sillaa vain testiportit

Silta on se, mikä tekee tunnelista segmentin, ja sen kokoonpano on koko turvaraja. Keskitimessä:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE-reitittimessä:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Nämä komennot luovat uudet sillat ja lisäävät kumpaankin täsmälleen kaksi porttia. EoIP-liitäntä on kakkostason jäsen; salattu tunneli pysyy reititettynä siirtona eikä sitä saa koskaan lisätä siltaportiksi. Älä lisää tuotantoporttia äläkä käynnistä DHCP-palvelinta laboratorion sillassa.

Anna kahdelle testi-isännälle osoitteet käyttämättömästä aliverkosta, jossa ei ole kilpailevaa DHCP-palvelinta, esimerkiksi 192.168.77.11/24 ja 192.168.77.12/24. Ne eivät tarvitse oletusyhdyskäytävää toistensa tavoittamiseen siinä aliverkossa, eikä reitittimen liitäntäosoitetta tarvita kehysten kulkuun.

Budjetoi ylikuorma ennen kuin laajennat lähiverkkoa

EoIP IPv4:n päällä lisää Ethernet-, GRE- ja ulkoisia IP-otsikoita kuljetetun hyötykuorman ympärille. Merkitsemättömässä tapauksessa MikroTik dokumentoi 42 tavua, joten alusta, jossa on 1400 tavua käytettävää IP-MTU:ta, jättää sisemmälle kehykselle 1358 tavua. Tämä luku on budjetti eikä yleinen MSS-arvo, eikä se pakota sillattua isäntää lähettämään pienempiä kehyksiä.

Tarkista polun todelliset rajat ja testaa sitten suurimmalla kehyksellä, jonka laite todella lähettää. Kehys, joka on 1500 tavua ja joka on pilkottava suojatun polun sisällä, käyttäytyy eri tavalla kuin mahtuva, ja ero näkyy sovelluksen pysähtymisenä eikä linkin vikana.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP käsittelee silmukoita, ei mielivaltaisia rinnakkaisia polkuja, joten pidä pilottitopologia yksinkertaisena. Sillan laajentaminen laajentaa myös lähetys-, multicast- ja DHCP-käyttäytymistä matkapuhelinlinkin yli, ja tämä liikenne kuluttaa kapasiteettia riippumatta siitä, liikkuuko hyödyllinen kehys.

Suunnittele tuotantoliitäntä vasta, kun laboratorio saavuttaa sen kehyskoot ja sovelluskäyttäytymisen, joita todella tarvitset. Ennen sitä siirtymää sovi osoitteista, VLAN-jäsenyydestä, DHCP-vallasta, silmukoiden estämisestä ja siitä, miten joku pääsee reitittimiin, kun itse yhteys on alhaalla. Ethernetin laajennus yhdistää vika-alueet samoin kuin laitteet, joten se ansaitsee muutosikkunan eikä yhtä porttia lisää toimivassa sillassa.