EoIP thar nasc VPN LTE: saotharlann bheag RouterOS a thógáil

Tógann EoIP fráma Ethernet iomlán, cuireann i GRE é agus seolann chuig seoladh cianda cumraithe é, agus mar sin iompraíonn an toradh é féin mar chábla seachas mar bhealach. Is é an rud a fhágann an ródaire ná prótacal IP 47 agus an fráma bunaidh mar pháid, mar sin téann craoltaí, ARP agus prótacail nach IP trasna go léir. Ní chuireann GRE aon rúndacht féin leis, agus fanann an fráma inléite do gach rud a fheiceann an paicéad seachtrach. Socraíonn an t-aon fhíric sin ord an tsaotharlainne seo: tóg an bealach criptithe ar dtús, ansin iompair Ethernet istigh ann.

Cad a fhilleann EoIP, agus cad nach bhfilleann sé

Is é an t-ionchlaonadh an meicníocht ar fad. Tagann fráma isteach ar phort droichid, faigheann sé ceannteideal GRE agus ceannteideal IP seachtrach, agus seachadtar chuig an ródaire piaraí é, a bhaineann an dá cheann agus a insteallann an fráma ina dhroichead féin. Foghlaimíonn an droichead glactha an MAC foinse go cruinn mar a dhéanfadh sé ó phort áitiúil. Ní dhéanann aon rud sa phróiseas sin an fráma a fhíordheimhniú ná a cheilt.

Mar sin caithfidh an rúndacht teacht ón mbealach a thaistealaíonn an paicéad GRE. Sa dearadh seo is é an t-íochtar ciseal tollán WireGuard nó IPsec idir an dá ródaire, agus iompraítear EoIP istigh ann. Tairgeann MikroTik rogha IPsec uathoibríoch ar an gcomhéadan EoIP féin freisin, arb é socrú eile é agus ní hé an rud a chumraíonn an saotharlann seo.

Do sheirbhísí IP ródáilte, is é VPN ródáilte an dearadh is lú agus an ceann ar cheart a fhabhrú. Ná téigh chuig ciseal a dó ach amháin nuair a bhíonn gá de dhíth ag gléas frámaí Ethernet a fheiceáil ón suíomh eile.

Réamhriachtanais: íochtar criptithe agus dhá phort nár úsáideadh

Teastaíonn nasc criptithe bunaithe ón dá ródaire agus seoladh air a bhfuil an piaraí in ann teacht air. Is é taobh LTE a chuireann tús leis an nasc seachtrach, mar sin ní dhéanann an mol riamh an líonra soghluaiste a dhiailiú, agus coinníonn an ródaire LTE an staid NAT a éilíonn an t-oibreoir. Deimhnigh go bhfuil an tollán suas sula gcuireann tú aon rud air, toisc go bhféachann comhéadan EoIP nach sroicheann a sheoladh cianda go díreach mar an gcéanna le ceann atá míchumraithe.

Teastaíonn ó gach ródaire freisin port amháin nach ball droichid é cheana, nach trunk VLAN é, nach comhéadan bainistíochta é agus nach nasc táirgthe é. Ní saotharlann é saotharlann a fhaigheann port beo ar iasacht, agus is é an mód teipe stoirm chraolta ar líonra atá ag obair. Aistrigh an riarachán chuig comhéadan eile nó chuig an gconsól sula dtosaíonn tú.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Sampla is ea na luachanna sin, ní riachtanas. Caithfidh siad a bheith ar chomhéadain an tolláin agus a bheith ródáilte tríd an mbealach cosanta. Caithfidh polasaí balla dóiteáin an dá ródaire GRE a cheadú idir an dá sheoladh tolláin, agus is prótacal IP 47 é GRE, ní port TCP ná UDP a bhfuil uimhir 47 air. Ní nochtann an dearadh seo GRE amh riamh do cheachtar den dá WAN.

Cruthaigh an péire tollán le IDanna a thagann le chéile

Is ionann an dá cheann agus comhéadan loighciúil amháin a shainítear faoi dhó, mar sin caithfidh gach réimse aitheantais a bheith ag teacht le chéile. Ar an mol:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Ar an ródaire LTE aisionpófar na seoltaí agus tá an MAC difriúil:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Caithfidh ID an tolláin a bheith ag teacht le chéile ag an dá cheann agus ní fhéadfaidh sé teacht salach ar phéire eile atá cumraithe cheana ar cheachtar den dá ródaire. Is luachanna a riarann go háitiúil iad na seoltaí MAC agus caithfidh siad a bheith uathúil laistigh den fhearann ciseal a dó a bhfuil tú ag teacht isteach ann, mar sin ná húsáid luach ó shampla déantóra arís. Tá ainmneacha comhéadan áitiúil do gach ródaire agus ní gá dóibh a bheith comhsheasmhach ach amháin do do scripteanna féin.

Déanann lámhleabhar EoIP reatha doiciméadú ar na réimsí críochphointe agus ID tolláin, agus deir sé go soiléir gurb é EoIP Ethernet thar GRE. Ní chriptíonn aon rud sa ordú sin rud ar bith, agus is é sin an fáth a dtagann an tseiceáil íochtair ar dtús.

Droichidigh na portanna tástála amháin

Is é droichead an rud a iompaíonn an tollán ina dheighleog, agus is é a chomhdhéanamh an teorainn slándála ar fad. Ar an mol:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Ar an ródaire LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Cruthaíonn na horduithe seo droichid nua agus cuireann siad go cruinn dhá phort le gach ceann. Is é an comhéadan EoIP an ball ciseal a dó; fanann an tollán criptithe ina iompar ródáilte agus níor cheart riamh é a chur leis mar phort droichid. Ná cuir port táirgthe leis agus ná tosaigh freastalaí DHCP ar dhroichead an tsaotharlainne.

Tabhair seoltaí do na dhá óstach tástála i bhfo-líonra nár úsáideadh gan freastalaí DHCP iomaíoch, mar shampla 192.168.77.11/24 agus 192.168.77.12/24. Ní theastaíonn geata réamhshocraithe uathu chun teacht ar a chéile laistigh den fho-líonra sin, agus ní gá seoladh comhéadan ródaire chun go dtrasnódh na frámaí.

Déan buiséad den fhorchostas sula leathnaíonn tú LAN

Cuireann EoIP thar IPv4 ceannteidil Ethernet, GRE agus IP seachtrach timpeall an pháid iompair. Don chás gan chlib, déanann MikroTik doiciméadú ar 42 beart, mar sin fágann íochtar a bhfuil 1400 beart de MTU IP inúsáidte aige 1358 beart don fhráma inmheánach. Is buiséad é an figiúr sin agus ní luach MSS uilíoch é, agus ní chuireann sé iallach ar óstach droichid frámaí níos lú a astú.

Fíoraigh na teorainneacha nithiúla ar an mbealach, ansin tástáil leis an bhfráma is mó a sheolann an gléas i ndáiríre. Iompraíonn fráma 1500 beart nach mór a fhragmintiú laistigh den bhealach cosanta é féin ar bhealach difriúil ó cheann a oireann, agus taispeántar an difríocht mar stopadh feidhmchláir seachas mar theip nasc.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

Láimhseálann RSTP lúba, ní cosáin chomhthreomhara treallacha, mar sin coinnigh an topolaíocht phíolótach simplí. Leathnaíonn leathnú droichid iompar craolta, multicast agus DHCP freisin thar an nasc soghluaiste, agus ídíonn an trácht sin acmhainn cibé an bhfuil fráma úsáideach ag gluaiseacht nó nach bhfuil.

Ná pleanáil ceangal táirgthe go dtí go sroicheann an saotharlann an mhéid fráma agus an t-iompar feidhmchláir a theastaíonn uait i ndáiríre. Roimh an aistriú sin, aontaigh ar sheoladh, ballraíocht VLAN, údarás DHCP, cosc lúb agus conas a shroicheann duine na ródairí nuair a bhíonn an nasc féin síos. Nascann síneadh Ethernet fearainn teipe chomh maith le gléasanna, mar sin tá fuinneog athraithe tuillte aige seachas port amháin eile ar dhroichead atá ag obair.