EoIP sobre unha ligazón VPN LTE: montar un pequeno laboratorio RouterOS

EoIP toma unha trama Ethernet completa, envólvea en GRE e envíaa a un enderezo remoto configurado, e por iso o resultado compórtase como un cable e non como unha ruta. O que sae do router é o protocolo IP 47 coa trama orixinal como carga útil, así que as difusións, ARP e os protocolos que non son IP pasan todos. GRE non engade confidencialidade propia, e a trama segue a ser lexible para calquera cousa que vexa o paquete exterior. Ese único feito decide a orde deste laboratorio: primeiro constrúa a ruta cifrada e despois transporte Ethernet dentro dela.

Que envolve EoIP e que non

A encapsulación é todo o mecanismo. Unha trama chega a un porto en ponte, recibe unha cabeceira GRE e unha cabeceira IP exterior, e entrégase ao router par, que retira ambas e inxecta a trama na súa propia ponte. A ponte receptora aprende a MAC de orixe exactamente como o faría desde un porto local. Nada nese proceso autentica a trama nin a agocha.

Polo tanto, a confidencialidade ten que vir da ruta pola que viaxa o paquete GRE. Neste deseño a capa inferior é un túnel WireGuard ou IPsec entre os dous routers, e EoIP transpórtase dentro del. MikroTik tamén ofrece unha opción de IPsec automático na propia interface EoIP, que é outra disposición e non é o que configura este laboratorio.

Para servizos IP encamiñados, unha VPN encamiñada é o deseño máis pequeno e o que cómpre preferir. Recorra á capa dous só cando un dispositivo necesite de verdade ver tramas Ethernet do outro sitio.

Requisitos previos: unha capa inferior cifrada e dous portos sen usar

Ambos os routers necesitan unha ligazón cifrada establecida e un enderezo nela que o par poida acadar. O lado LTE inicia a conexión exterior, así que o concentrador nunca marca a rede móbil, e o router LTE mantén o estado NAT que esixa o operador. Confirme que o túnel está activo antes de engadir nada por riba, porque unha interface EoIP que non acada o seu enderezo remoto parécese a unha mal configurada.

Cada router tamén necesita un porto que non sexa xa membro dunha ponte, un troncal VLAN, unha interface de xestión ou unha ligazón de produción. Un laboratorio que toma prestado un porto vivo non é un laboratorio, e o modo de fallo é unha tormenta de difusión nunha rede en funcionamento. Mova a administración a outra interface ou á consola antes de comezar.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Eses valores son un exemplo e non un requisito. Deben estar nas interfaces do túnel e encamiñarse pola ruta protexida. A política de cortafuegos de ambos os routers debe permitir GRE entre os dous enderezos do túnel, e GRE é o protocolo IP 47, non un porto TCP ou UDP co número 47. Este deseño nunca expón GRE en cru a ningunha das dúas WAN.

Cree o par de túneles con ID coincidentes

Os dous extremos son unha soa interface lóxica definida dúas veces, así que cada campo identificador debe coincidir. No concentrador:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

No router LTE os enderezos invírtense e a MAC é distinta:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

O ID do túnel debe coincidir nos dous extremos e non debe chocar con outro par xa configurado en calquera dos routers. Os enderezos MAC son valores administrados localmente que deben ser únicos dentro do dominio de capa dous ao que se incorpora, así que non reutilice un valor dun exemplo de fabricante. Os nomes de interface son locais de cada router e só necesitan ser coherentes para os seus propios guións.

O manual actual de EoIP documenta os campos de punto final e ID de túnel, e di claramente que EoIP é Ethernet sobre GRE. Nada nese comando cifra nada, por iso a comprobación da capa inferior vai primeiro.

Ponte só os portos de proba

Unha ponte é o que converte o túnel nun segmento, e a súa composición é toda a fronteira de seguridade. No concentrador:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

No router LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Estes comandos crean pontes novas e engaden exactamente dous portos a cada unha. A interface EoIP é o membro de capa dous; o túnel cifrado segue sendo un transporte encamiñado e nunca debe engadirse como porto de ponte. Non engada un porto de produción e non inicie un servidor DHCP na ponte do laboratorio.

Dea aos dous equipos de proba enderezos nunha subrede sen usar e sen servidor DHCP competidor, como 192.168.77.11/24 e 192.168.77.12/24. Non necesitan porta de enlace predeterminada para acadarse dentro desa subrede, e non fai falta un enderezo de interface do router para que as tramas crucen.

Orzamente a sobrecarga antes de estender unha LAN

EoIP sobre IPv4 engade cabeceiras Ethernet, GRE e IP exterior arredor da carga transportada. Para o caso sen etiqueta, MikroTik documenta 42 bytes, así que unha capa inferior con 1400 bytes de MTU IP utilizábel deixa 1358 bytes para a trama interior. Esa cifra é un orzamento e non un valor universal de MSS, e non obriga un equipo en ponte a emitir tramas máis pequenas.

Verifique os límites reais na ruta e despois probe coa trama máis grande que o aparello envía de verdade. Unha trama de 1500 bytes que se debe fragmentar dentro da ruta protexida compórtase de forma distinta a unha que cabe, e a diferenza aparece como un bloqueo da aplicación e non como un fallo da ligazón.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP xestiona bucles, non rutas paralelas arbitrarias, así que manteña simple a topoloxía piloto. Estender unha ponte tamén estende o comportamento de difusión, multicast e DHCP pola ligazón móbil, e ese tráfico consome capacidade tanto se se move unha trama útil como se non.

Planifique unha conexión de produción só cando o laboratorio acade o tamaño de trama e o comportamento de aplicación que de verdade necesita. Antes dese cambio, acorde o enderezo, a pertenza a VLAN, a autoridade DHCP, a prevención de bucles e como chega alguén aos routers cando a propia ligazón está caída. Unha extensión Ethernet une dominios de fallo ademais de dispositivos, así que merece unha xanela de cambio e non un porto máis nunha ponte en funcionamento.