LTE VPN લિંક પર EoIP: નાની RouterOS લેબ બનાવવી

EoIP સંપૂર્ણ Ethernet ફ્રેમ લે છે, તેને GRE માં લપેટે છે અને કન્ફિગર કરેલા દૂરના સરનામા પર મોકલે છે, તેથી પરિણામ રૂટની જેમ નહીં પણ કેબલની જેમ વર્તે છે. રાઉટરમાંથી બહાર નીકળતું IP પ્રોટોકોલ 47 છે જેમાં મૂળ ફ્રેમ પેલોડ છે, તેથી બ્રોડકાસ્ટ, ARP અને IP-સિવાયના પ્રોટોકોલ બધા પસાર થાય છે. GRE પોતાની કોઈ ગોપનીયતા ઉમેરતું નથી, અને બહારનું પેકેટ જોઈ શકે તેવી કોઈપણ વસ્તુ માટે ફ્રેમ વાંચી શકાય તેવી રહે છે. એ એક જ હકીકત આ લેબનો ક્રમ નક્કી કરે છે: પહેલાં એન્ક્રિપ્ટેડ માર્ગ બનાવો, પછી તેની અંદર Ethernet લઈ જાઓ.

EoIP શું લપેટે છે અને શું નથી

એન્કેપ્સ્યુલેશન એ આખી પદ્ધતિ છે. એક ફ્રેમ બ્રિજ કરેલા પોર્ટ પર આવે છે, GRE હેડર અને બહારનું IP હેડર મેળવે છે, અને સાથી રાઉટરને પહોંચાડવામાં આવે છે, જે બંને દૂર કરીને ફ્રેમને પોતાના બ્રિજમાં નાખે છે. સ્વીકારતું બ્રિજ સ્રોત MAC ને બરાબર સ્થાનિક પોર્ટ પરથી શીખે તેમ શીખે છે. એ પ્રક્રિયામાં કંઈપણ ફ્રેમને પ્રમાણિત કરતું નથી કે છુપાવતું નથી.

તેથી ગોપનીયતા એ માર્ગમાંથી આવવી જોઈએ જેના પર GRE પેકેટ મુસાફરી કરે છે. આ ડિઝાઇનમાં અંડરલે બે રાઉટર વચ્ચેનું WireGuard અથવા IPsec ટનલ છે, અને EoIP તેની અંદર વહન થાય છે. MikroTik EoIP ઇન્ટરફેસ પર જ ઓટોમેટિક IPsec વિકલ્પ પણ આપે છે, જે અલગ ગોઠવણ છે અને આ લેબ જે કન્ફિગર કરે છે તે નથી.

રૂટેડ IP સેવાઓ માટે, રૂટેડ VPN નાની ડિઝાઇન છે અને પસંદ કરવા જેવી છે. બીજા સ્તર તરફ ત્યારે જ જાઓ જ્યારે ઉપકરણને ખરેખર બીજી સાઇટની Ethernet ફ્રેમ જોવાની જરૂર હોય.

પૂર્વશરતો: એન્ક્રિપ્ટેડ અંડરલે અને બે ન વપરાયેલા પોર્ટ

બંને રાઉટરને સ્થાપિત એન્ક્રિપ્ટેડ લિંક અને તેના પર એક સરનામું જોઈએ જે સાથી પહોંચી શકે. બહારનું જોડાણ LTE બાજુ શરૂ કરે છે, તેથી હબ ક્યારેય મોબાઇલ નેટવર્કને ડાયલ કરતું નથી, અને LTE રાઉટર ઓપરેટર જે NAT સ્થિતિ માગે છે તે જાળવી રાખે છે. ઉપર કંઈપણ ઉમેરતા પહેલાં ખાતરી કરો કે ટનલ ચાલુ છે, કારણ કે જે EoIP ઇન્ટરફેસ તેના દૂરના સરનામા સુધી પહોંચી શકતું નથી તે ખોટી રીતે કન્ફિગર કરેલા જેવું જ દેખાય છે.

દરેક રાઉટરને એક પોર્ટ પણ જોઈએ જે પહેલેથી બ્રિજ સભ્ય, VLAN ટ્રંક, મેનેજમેન્ટ ઇન્ટરફેસ કે પ્રોડક્શન લિંક ન હોય. જે લેબ જીવંત પોર્ટ ઉધાર લે છે તે લેબ નથી, અને નિષ્ફળતાનો પ્રકાર ચાલુ નેટવર્ક પર બ્રોડકાસ્ટ તોફાન છે. શરૂ કરતા પહેલાં વ્યવસ્થાપનને બીજા ઇન્ટરફેસ પર અથવા કન્સોલ પર ખસેડો.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

આ મૂલ્યો ઉદાહરણ છે, આવશ્યકતા નથી. તે ટનલ ઇન્ટરફેસ પર હોવા જોઈએ અને સુરક્ષિત માર્ગ દ્વારા રૂટ થવા જોઈએ. બંને રાઉટરની ફાયરવોલ નીતિએ બે ટનલ સરનામાં વચ્ચે GRE ને મંજૂરી આપવી જોઈએ, અને GRE એ IP પ્રોટોકોલ 47 છે, 47 નંબરનો TCP કે UDP પોર્ટ નહીં. આ ડિઝાઇન ક્યારેય કાચું GRE કોઈપણ WAN સામે ખુલ્લું મૂકતું નથી.

મેળ ખાતા ID સાથે ટનલ જોડી બનાવો

બંને છેડા એક જ લોજિકલ ઇન્ટરફેસ છે જે બે વાર વ્યાખ્યાયિત થાય છે, તેથી દરેક ઓળખ ક્ષેત્ર મેળ ખાવું જોઈએ. હબ પર:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE રાઉટર પર સરનામાં ઉલટાય છે અને MAC અલગ હોય છે:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ટનલ ID બંને છેડે મેળ ખાવો જોઈએ અને કોઈપણ રાઉટર પર પહેલેથી કન્ફિગર કરેલી બીજી જોડી સાથે અથડાવું ન જોઈએ. MAC સરનામાં સ્થાનિક રીતે સંચાલિત મૂલ્યો છે જે તમે જોડાઈ રહ્યા છો તે બીજા સ્તરના ડોમેનમાં અનન્ય હોવા જોઈએ, તેથી વિક્રેતાના ઉદાહરણનું મૂલ્ય ફરી વાપરશો નહીં. ઇન્ટરફેસના નામ દરેક રાઉટર માટે સ્થાનિક છે અને ફક્ત તમારી પોતાની સ્ક્રિપ્ટો માટે સુસંગત હોવા જોઈએ.

વર્તમાન EoIP મેન્યુઅલ એન્ડપોઇન્ટ અને ટનલ ID ક્ષેત્રોનું દસ્તાવેજીકરણ કરે છે અને સ્પષ્ટ કહે છે કે EoIP એ GRE પરનું Ethernet છે. એ આદેશમાં કંઈપણ એન્ક્રિપ્ટ કરતું નથી, તેથી અંડરલેની ચકાસણી પહેલી આવે છે.

ફક્ત પરીક્ષણ પોર્ટને બ્રિજ કરો

બ્રિજ એ છે જે ટનલને સેગમેન્ટમાં ફેરવે છે, અને તેની રચના આખી સુરક્ષા સીમા છે. હબ પર:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE રાઉટર પર:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

આ આદેશો નવા બ્રિજ બનાવે છે અને દરેકમાં બરાબર બે પોર્ટ ઉમેરે છે. EoIP ઇન્ટરફેસ બીજા સ્તરનું સભ્ય છે; એન્ક્રિપ્ટેડ ટનલ રૂટેડ પરિવહન રહે છે અને તેને ક્યારેય બ્રિજ પોર્ટ તરીકે ઉમેરવું જોઈએ નહીં. પ્રોડક્શન પોર્ટ ઉમેરશો નહીં અને લેબ બ્રિજ પર DHCP સર્વર શરૂ કરશો નહીં.

બે પરીક્ષણ હોસ્ટને ન વપરાયેલા સબનેટમાં સ્પર્ધક DHCP સર્વર વિના સરનામાં આપો, જેમ કે 192.168.77.11/24 અને 192.168.77.12/24. તે સબનેટની અંદર એકબીજા સુધી પહોંચવા માટે તેમને ડિફોલ્ટ ગેટવેની જરૂર નથી, અને ફ્રેમ પસાર થવા માટે રાઉટર ઇન્ટરફેસ સરનામું જરૂરી નથી.

LAN વિસ્તારતા પહેલાં વધારાનો ખર્ચ ગણો

IPv4 પર EoIP વહન કરેલા પેલોડની આસપાસ Ethernet, GRE અને બહારના IP હેડર ઉમેરે છે. ટૅગ વગરના કિસ્સામાં MikroTik 42 બાઇટ દસ્તાવેજ કરે છે, તેથી 1400 બાઇટ વાપરી શકાય તેવા IP MTU ધરાવતું અંડરલે આંતરિક ફ્રેમ માટે 1358 બાઇટ છોડે છે. એ આંકડો બજેટ છે, સાર્વત્રિક MSS મૂલ્ય નથી, અને તે બ્રિજ કરેલા હોસ્ટને નાની ફ્રેમ મોકલવા મજબૂર કરતું નથી.

માર્ગ પરના વાસ્તવિક મર્યાદા ચકાસો, પછી ઉપકરણ ખરેખર મોકલે છે તે સૌથી મોટી ફ્રેમ સાથે પરીક્ષણ કરો. 1500 બાઇટની ફ્રેમ જેને સુરક્ષિત માર્ગની અંદર ટુકડાઓમાં વહેંચવી પડે છે તે બંધ બેસતી ફ્રેમ કરતાં અલગ રીતે વર્તે છે, અને તફાવત લિંક નિષ્ફળતા તરીકે નહીં પણ એપ્લિકેશન અટકી જવા તરીકે દેખાય છે.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP લૂપ સંભાળે છે, મનસ્વી સમાંતર માર્ગ નહીં, તેથી પાયલોટ ટોપોલોજી સરળ રાખો. બ્રિજ વિસ્તારવાથી મોબાઇલ લિંક પર બ્રોડકાસ્ટ, મલ્ટિકાસ્ટ અને DHCP વર્તન પણ વિસ્તરે છે, અને એ ટ્રાફિક કોઈ ઉપયોગી ફ્રેમ ખસે કે ન ખસે, ક્ષમતા વાપરે છે.

ફક્ત ત્યારે જ પ્રોડક્શન જોડાણનું આયોજન કરો જ્યારે લેબ તમને ખરેખર જરૂરી ફ્રેમ કદ અને એપ્લિકેશન વર્તન સુધી પહોંચે. એ સંક્રમણ પહેલાં સરનામાંકન, VLAN સભ્યપદ, DHCP સત્તા, લૂપ અટકાવ અને લિંક પોતે બંધ હોય ત્યારે કોઈ રાઉટર સુધી કેવી રીતે પહોંચે તે અંગે સંમત થાઓ. Ethernet વિસ્તરણ ઉપકરણોની સાથે નિષ્ફળતાના ડોમેન પણ જોડે છે, તેથી તે ચાલુ બ્રિજ પર એક વધુ પોર્ટને બદલે ફેરફાર વિન્ડોને લાયક છે.