LTE VPN लिंक पर EoIP: छोटी RouterOS प्रयोगशाला बनाना

EoIP पूरा Ethernet फ़्रेम लेता है, उसे GRE में लपेटता है और किसी कॉन्फ़िगर किए गए दूर के पते पर भेजता है, इसलिए नतीजा रूट की तरह नहीं, केबल की तरह व्यवहार करता है। राउटर से जो बाहर जाता है वह IP प्रोटोकॉल 47 है जिसमें मूल फ़्रेम पेलोड है, इसलिए ब्रॉडकास्ट, ARP और गैर-IP प्रोटोकॉल सभी पार होते हैं। GRE अपनी कोई गोपनीयता नहीं जोड़ता, और बाहरी पैकेट देख सकने वाली हर चीज़ के लिए फ़्रेम पठनीय रहता है। यही एक तथ्य इस प्रयोगशाला का क्रम तय करता है: पहले एन्क्रिप्टेड रास्ता बनाइए, फिर उसके अंदर Ethernet ले जाइए।

EoIP क्या लपेटता है, और क्या नहीं

एन्कैप्सुलेशन ही पूरी क्रियाविधि है। एक फ़्रेम ब्रिज वाले पोर्ट पर आता है, GRE हेडर और बाहरी IP हेडर पाता है, और साथी राउटर तक पहुँचाया जाता है, जो दोनों हटाकर फ़्रेम को अपने ब्रिज में डाल देता है। प्राप्त करने वाला ब्रिज स्रोत MAC को ठीक वैसे ही सीखता है जैसे किसी स्थानीय पोर्ट से सीखता। उस प्रक्रिया में कुछ भी फ़्रेम को प्रमाणित नहीं करता और न ही छिपाता है।

इसलिए गोपनीयता उसी रास्ते से आनी चाहिए जिस पर GRE पैकेट यात्रा करता है। इस डिज़ाइन में अंडरले दो राउटरों के बीच WireGuard या IPsec सुरंग है, और EoIP उसके अंदर ढोया जाता है। MikroTik स्वयं EoIP इंटरफ़ेस पर स्वचालित IPsec का विकल्प भी देता है, जो अलग व्यवस्था है और इस प्रयोगशाला में वह कॉन्फ़िगर नहीं होती।

रूटेड IP सेवाओं के लिए, रूटेड VPN छोटा डिज़ाइन है और वही जिसे पसंद करना चाहिए। दूसरी परत की ओर केवल तब जाएँ जब किसी उपकरण को सचमुच दूसरी साइट के Ethernet फ़्रेम देखने हों।

पूर्वापेक्षाएँ: एक एन्क्रिप्टेड अंडरले और दो अप्रयुक्त पोर्ट

दोनों राउटरों को स्थापित एन्क्रिप्टेड लिंक और उस पर ऐसा पता चाहिए जिस तक साथी पहुँच सके। बाहरी कनेक्शन LTE पक्ष शुरू करता है, इसलिए हब कभी मोबाइल नेटवर्क को डायल नहीं करता, और LTE राउटर वही NAT स्थिति बनाए रखता है जो ऑपरेटर माँगता है। ऊपर कुछ भी जोड़ने से पहले पुष्टि करें कि सुरंग चालू है, क्योंकि जो EoIP इंटरफ़ेस अपने दूर के पते तक नहीं पहुँचता वह गलत कॉन्फ़िगर वाले जैसा ही दिखता है।

हर राउटर को एक ऐसा पोर्ट भी चाहिए जो पहले से ब्रिज सदस्य, VLAN ट्रंक, प्रबंधन इंटरफ़ेस या उत्पादन लिंक न हो। जो प्रयोगशाला चलता पोर्ट उधार लेती है वह प्रयोगशाला नहीं है, और विफलता का ढंग चालू नेटवर्क पर ब्रॉडकास्ट तूफ़ान है। शुरू करने से पहले प्रबंधन को दूसरे इंटरफ़ेस या कंसोल पर ले जाएँ।

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

ये मान उदाहरण हैं, अनिवार्यता नहीं। इन्हें सुरंग के इंटरफ़ेस पर होना चाहिए और संरक्षित रास्ते से रूट होना चाहिए। दोनों राउटरों की फ़ायरवॉल नीति को दो सुरंग पतों के बीच GRE की अनुमति देनी चाहिए, और GRE IP प्रोटोकॉल 47 है, 47 नंबर का TCP या UDP पोर्ट नहीं। यह डिज़ाइन कभी कच्चा GRE किसी भी WAN के सामने नहीं खोलता।

मिलते-जुलते ID के साथ सुरंग जोड़ी बनाएँ

दोनों सिरे एक ही तार्किक इंटरफ़ेस हैं जिसे दो बार परिभाषित किया जाता है, इसलिए हर पहचान वाला फ़ील्ड मेल खाना चाहिए। हब पर:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE राउटर पर पते उलट जाते हैं और MAC अलग होता है:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

सुरंग ID दोनों सिरों पर मेल खानी चाहिए और किसी भी राउटर पर पहले से कॉन्फ़िगर किसी दूसरी जोड़ी से टकरानी नहीं चाहिए। MAC पते स्थानीय रूप से प्रबंधित मान हैं जो उस दूसरी परत के डोमेन में अद्वितीय होने चाहिए जिसमें आप शामिल हो रहे हैं, इसलिए किसी विक्रेता के उदाहरण का मान दोबारा न दोहराएँ। इंटरफ़ेस के नाम हर राउटर के लिए स्थानीय हैं और केवल आपकी अपनी स्क्रिप्टों के लिए सुसंगत होने चाहिए।

मौजूदा EoIP मैनुअल एंडपॉइंट और सुरंग ID के फ़ील्ड का दस्तावेज़ीकरण करता है और स्पष्ट कहता है कि EoIP, GRE के ऊपर Ethernet है। उस कमांड में कुछ भी एन्क्रिप्ट नहीं करता, इसलिए अंडरले की जाँच पहले आती है।

केवल परीक्षण पोर्टों को ब्रिज करें

ब्रिज ही सुरंग को खंड बनाता है, और उसकी सदस्यता ही पूरी सुरक्षा सीमा है। हब पर:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE राउटर पर:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

ये कमांड नए ब्रिज बनाते हैं और हर एक में ठीक दो पोर्ट जोड़ते हैं। EoIP इंटरफ़ेस दूसरी परत का सदस्य है; एन्क्रिप्टेड सुरंग रूटेड परिवहन ही रहती है और उसे कभी ब्रिज पोर्ट के रूप में नहीं जोड़ना चाहिए। कोई उत्पादन पोर्ट न जोड़ें, और प्रयोगशाला के ब्रिज पर DHCP सर्वर शुरू न करें।

दोनों परीक्षण होस्टों को किसी अप्रयुक्त सबनेट में बिना किसी प्रतिस्पर्धी DHCP सर्वर के पते दें, जैसे 192.168.77.11/24 और 192.168.77.12/24। उस सबनेट के भीतर एक-दूसरे तक पहुँचने के लिए उन्हें कोई डिफ़ॉल्ट गेटवे नहीं चाहिए, और फ़्रेमों के पार जाने के लिए राउटर इंटरफ़ेस का पता आवश्यक नहीं है।

LAN बढ़ाने से पहले अतिरिक्त बोझ का हिसाब लगाएँ

IPv4 पर EoIP ढोए जा रहे पेलोड के चारों ओर Ethernet, GRE और बाहरी IP हेडर जोड़ता है। बिना टैग वाले मामले में MikroTik 42 बाइट दर्ज करता है, इसलिए 1400 बाइट उपयोगी IP MTU वाला अंडरले भीतरी फ़्रेम के लिए 1358 बाइट छोड़ता है। यह आँकड़ा बजट है, सार्वभौमिक MSS मान नहीं, और यह ब्रिज वाले होस्ट को छोटे फ़्रेम भेजने के लिए बाध्य नहीं करता।

रास्ते की वास्तविक सीमाएँ जाँचें, फिर उस सबसे बड़े फ़्रेम से परीक्षण करें जो उपकरण वास्तव में भेजता है। 1500 बाइट का फ़्रेम जिसे संरक्षित रास्ते के भीतर विखंडित करना पड़ता है, उस फ़्रेम से अलग व्यवहार करता है जो समा जाता है, और अंतर लिंक विफलता के रूप में नहीं बल्कि एप्लिकेशन रुकने के रूप में दिखता है।

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP लूप संभालता है, मनमाने समानांतर रास्ते नहीं, इसलिए पायलट टोपोलॉजी सरल रखें। ब्रिज बढ़ाने से मोबाइल लिंक पर ब्रॉडकास्ट, मल्टीकास्ट और DHCP का व्यवहार भी बढ़ता है, और वह ट्रैफ़िक क्षमता खाता है, चाहे कोई उपयोगी फ़्रेम चल रहा हो या नहीं।

उत्पादन जोड़ की योजना केवल तब बनाएँ जब प्रयोगशाला उस फ़्रेम आकार और एप्लिकेशन व्यवहार तक पहुँच जाए जो आपको सचमुच चाहिए। उस बदलाव से पहले पता-पद्धति, VLAN सदस्यता, DHCP अधिकार, लूप रोकथाम और यह तय करें कि लिंक के खुद बंद होने पर कोई राउटरों तक कैसे पहुँचेगा। Ethernet विस्तार उपकरणों के साथ-साथ विफलता डोमेन भी जोड़ता है, इसलिए वह चालू ब्रिज पर एक और पोर्ट के बजाय बदलाव खिड़की का हक़दार है।