EoIP oer in LTE-VPN-ferbining: in lyts RouterOS-laboratoarium bouwe

EoIP nimt in folslein Ethernet-ramt, ferpakt it yn GRE en stjoert it nei in konfigurearre fiere adres, dêrom gedraacht it resultaat him as in kabel en net as in rûte. Wat de router ferlit is IP-protokol 47 mei it oarspronklike ramt as lading, sadat broadcasts, ARP en net-IP-protokollen allegear trochgean. GRE foeget gjin eigen fertroulikens ta, en it ramt bliuwt lêsber foar alles dat it bûtenpakket sjocht. Dat iene feit bepaalt de folchoarder fan dit laboratoarium: bou earst it fersifere paad en drage dan Ethernet dêrbinnen.

Wat EoIP ferpakt, en wat net

De ynkapseling is it hiele meganisme. In ramt komt oan op in oerbrêge poarte, krijt in GRE-kop en in bûtenste IP-kop, en wurdt by de partnerrouter besoarge, dy't beide fuorthellet en it ramt yn syn eigen brêge bringt. De ûntfangende brêge leart de boarne-MAC krekt sa't se dat fan in pleatslike poarte dwaan soe. Neat yn dat proses autentisearret it ramt of ferberget it.

Fertroulikens moat dus komme fan it paad dat it GRE-pakket reizget. Yn dit ûntwerp is de ûnderlaach in WireGuard- of IPsec-tunnel tusken de twa routers, en EoIP wurdt dêrbinnen droegen. MikroTik biedt ek in automatyske IPsec-opsje op de EoIP-ynterface sels, wat in oare regeling is en net wat dit laboratoarium konfigurearret.

Foar rûte IP-tsjinsten is in rûte VPN it lytsere ûntwerp en datjinge dat de foarkar hat. Gryp allinne nei laach twa as in apparaat wier Ethernet-ramten fan 'e oare lokaasje sjen moat.

Betinksten: in fersifere ûnderlaach en twa ûnbrûkte poarten

Beide routers hawwe in feststige fersifere ferbining nedich en in adres dêrop dat de partner berikke kin. De LTE-kant begjint de bûtenferbining, dus de hub skillet nea it mobile netwurk, en de LTE-router hâldt de NAT-steat by dy't de operator easket. Befestigje dat de tunnel oan is foardat jo der eat op tafoegje, want in EoIP-ynterface dy't syn fiere adres net berikke kin, liket itselde as ien dy't ferkeard konfigurearre is.

Elke router hat ek ien poarte nedich dy't noch gjin brêgelid is, gjin VLAN-trunk, gjin behear-ynterface of produksjeferbining. In laboratoarium dat in libbene poarte lient is gjin laboratoarium, en de flatermode is in broadcaststoarm op in wurkjend netwurk. Ferpleats behear nei in oare ynterface of nei de console foardat jo begjinne.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Dy wearden binne in foarbyld en gjin eask. Se moatte op 'e tunnel-ynterfaces stean en fia it beskerme paad rûte wurde. It firewallbelied op beide routers moat GRE tastean tusken de twa tunneladressen, en GRE is IP-protokol 47, gjin TCP- of UDP-poarte mei it nûmer 47. Dit ûntwerp stelt nea rûge GRE bleat oan ien fan beide WAN's.

Meitsje it tunnelpear mei oerienkommende ID's

De twa einen binne ien logyske ynterface dy't twa kear definiearre is, dus elk identifisearjend fjild moat oerienkomme. Op 'e hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Op 'e LTE-router keare de adressen om en de MAC ferskilt:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

De tunnel-ID moat oan beide einen oerienkomme en mei net botsen mei in oar pear dat al op ien fan 'e routers konfigurearre is, dus werbrûk gjin wearde út in foarbyld fan in leveransier. Ynterfacenammen binne lokaal foar elke router en hoege allinnich foar jo eigen skripts konsekwint te wêzen.

De hjoeddeiske EoIP-hantlieding dokumintearret de fjilden foar einpunt en tunnel-ID en seit rjochtút dat EoIP Ethernet oer GRE is. Neat yn dat kommando fersiferelet neat, dêrom komt de kontrôle fan 'e ûnderlaach earst.

Oerbrêgje allinnich de testpoarten

In brêge is wat de tunnel ta in segmint makket, en har ledmaatskip is de hiele feiligensgrins. Op 'e hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Op 'e LTE-router:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Dizze kommando's meitsje nije brêgen en foegje krekt twa poarten oan elk ta. De EoIP-ynterface is it laach-twa-lid; de fersifere tunnel bliuwt in rûte ferfier en moat nea as brêgepoarte tafoege wurde. Foegje gjin produksjepoarte ta en start gjin DHCP-tsjinner op 'e laboratoariumbrêge.

Jou de twa testhosts adressen yn in ûnbrûkt subnet sûnder konkurrearjende DHCP-tsjinner, lykas 192.168.77.11/24 en 192.168.77.12/24. Se hawwe gjin standertgateway nedich om inoar yn dat subnet te berikken, en in router-ynterfaceadres is net nedich om 'e ramten oer te stekken.

Begroat de oerheap foardat jo in LAN útwreidzje

EoIP oer IPv4 foeget Ethernet-, GRE- en bûtenste IP-koppen ta om 'e droegen lading. Foar it net-tagged gefal dokumintearret MikroTik 42 byte, dus in ûnderlaach mei 1400 byte brûkbere IP-MTU lit 1358 byte oer foar it binnenste ramt. Dat sifer is in budzjet en gjin universele MSS-wearde, en it twingt in oerbrêge host net om lytsere ramten te stjoeren.

Kontrolearje de echte grinzen op it paad en test dan mei it grutste ramt dat it apparaat wier stjoert. In ramt fan 1500 byte dat binnen it beskerme paad fragmintearre wurde moat, gedraacht him oars as ien dat past, en it ferskil docht bliken as in applikaasje dy't stokt en net as in ferbiningsflater.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP behannelt lussen, net willekeurige parallelle paden, hâld de pilot-topology dus ienfâldich. It útwreidzjen fan in brêge wreidet ek it broadcast-, multicast- en DHCP-gedrach oer de mobile ferbining út, en dat ferkear brûkt kapasiteit of der no in nuttich ramt beweecht of net.

Plan in produksje-oansluting pas as it laboratoarium de ramtgrutte en it applikaasjegedrach berikt dat jo wier nedich hawwe. Foar dy omskeakeling moatte jo it iens wurde oer adressearring, VLAN-lidmaatskip, DHCP-befoechdheid, it foarkommen fan lussen en hoe't immen de routers berikt as de ferbining sels del is. In Ethernet-útwreiding ferbynt flaterdomeinen likegoed as apparaten, dus fertsjinnet se in feroaringsfinster yn plak fan noch in poarte op in wurkjende brêge.