EoIP preko LTE VPN veze: izgradnja malog RouterOS laboratorija

EoIP prenosi Ethernet okvire unutar GRE-a, a GRE ništa ne kriptira. Izgradite laboratorij na radnoj WireGuard vezi, držite most izoliranim, planirajte 42 bajta.

EoIP uzima cijeli Ethernet okvir, umotava ga u GRE i šalje na konfiguriranu udaljenu adresu, zato se rezultat ponaša kao kabel, a ne kao ruta. Iz routera izlazi IP protokol 47 s izvornim okvirom kao korisnim teretom, pa broadcast, ARP i protokoli izvan IP-a prolaze svi. GRE ne dodaje vlastitu povjerljivost i okvir ostaje čitljiv svemu što vidi vanjski paket. Ta jedna činjenica određuje redoslijed ovog laboratorija: prvo izgradite kriptirani put, a zatim unutar njega prenosite Ethernet.

Što EoIP umotava, a što ne

Enkapsulacija je cijeli mehanizam. Okvir stiže na port u mostu, dobiva GRE zaglavlje i vanjsko IP zaglavlje i dostavlja se partnerskom routeru, koji oba skida i ubacuje okvir u svoj most. Prijemni most uči izvorni MAC isto kao s lokalnog porta. Ništa u tom procesu ne provjerava autentičnost okvira niti ga skriva.

Povjerljivost zato mora doći s puta kojim GRE paket putuje. U ovom dizajnu podloga je WireGuard ili IPsec tunel između dva routera, a EoIP se prenosi unutar njega. MikroTik također nudi opciju automatskog IPsec-a na samom EoIP sučelju, što je drugačije rješenje i nije ono što ovaj laboratorij konfigurira.

Za rutirane IP usluge rutirani VPN manji je dizajn i onaj koji treba preferirati. Posegnite za drugim slojem samo kada uređaju zaista treba vidjeti Ethernet okvire s druge lokacije.

Preduvjeti: kriptirana podloga i dva neiskorištena porta

Oba routera trebaju uspostavljenu kriptiranu vezu i adresu na njoj do koje partner može doći. Vanjsku vezu inicira LTE strana, pa čvorište nikada ne zove mobilnu mrežu, a LTE router održava NAT stanje koje operater zahtijeva. Potvrdite da je tunel aktivan prije nego što bilo što dodate iznad, jer EoIP sučelje koje ne može doći do svoje udaljene adrese izgleda isto kao pogrešno konfigurirano.

Svakom routeru treba i jedan port koji već nije član mosta, VLAN trunk, upravljačko sučelje ili produkcijska veza. Laboratorij koji posuđuje živi port nije laboratorij, a način otkaza je broadcast oluja na radnoj mreži. Premjestite administraciju na drugo sučelje ili na konzolu prije nego što počnete.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Te vrijednosti su primjer, a ne zahtjev. Moraju stajati na tunelskim sučeljima i biti rutirane kroz zaštićeni put. Vatrozidna politika na oba routera mora dopustiti GRE između dvije tunelske adrese, a GRE je IP protokol 47, a ne TCP ili UDP port s brojem 47. Ovaj dizajn nikada ne izlaže sirovi GRE nijednom WAN-u.

Napravite par tunela s odgovarajućim ID-ovima

Dva kraja su jedno logičko sučelje definirano dvaput, pa se svako identifikacijsko polje mora slagati. Na čvorištu:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Na LTE routeru adrese se zamjenjuju, a MAC se razlikuje:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID tunela mora se slagati na oba kraja i ne smije se sudariti s drugim parom koji je već konfiguriran na bilo kojem routeru. MAC adrese su lokalno administrirane vrijednosti koje moraju biti jedinstvene unutar domene drugog sloja kojoj se pridružujete, zato ne koristite ponovno vrijednost iz primjera proizvođača. Imena sučelja lokalna su za svaki router i moraju biti dosljedna samo za vaše vlastite skripte.

Aktualni EoIP priručnik dokumentira polja krajnje točke i ID-a tunela i jasno kaže da je EoIP Ethernet preko GRE-a. Ništa u toj naredbi ne kriptira ništa, zato provjera podloge dolazi prva.

Premostite samo testne portove

Most je ono što tunel pretvara u segment, a njegovo članstvo je cijela sigurnosna granica. Na čvorištu:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Na LTE routeru:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Ove naredbe prave nove mostove i dodaju točno dva porta svakom. EoIP sučelje je član drugog sloja; kriptirani tunel ostaje rutirani transport i nikada se ne smije dodati kao port mosta. Ne dodajte produkcijski port i ne pokrećite DHCP poslužitelj na laboratorijskom mostu.

Dajte dva testna hosta adrese u neiskorištenoj podmreži bez konkurentskog DHCP poslužitelja, kao što su 192.168.77.11/24 i 192.168.77.12/24. Njima ne treba zadani gateway da bi dosegli jedan drugog unutar te podmreže, a adresa routerskog sučelja nije potrebna da bi okviri prešli.

Planirajte trošak zaglavlja prije nego što proširite LAN

EoIP preko IPv4 dodaje Ethernet, GRE i vanjska IP zaglavlja oko prenesenog tereta. Za neoznačeni slučaj MikroTik dokumentira 42 bajta, pa podloga sa 1400 bajtova upotrebljivog IP MTU-a ostavlja 1358 bajtova za unutarnji okvir. Ta brojka je budžet, a ne univerzalna MSS vrijednost, i ne prisiljava host u mostu da šalje manje okvire.

Provjerite stvarne granice na putu, pa testirajte najvećim okvirom koji uređaj zaista šalje. Okvir od 1500 bajtova koji se mora fragmentirati unutar zaštićenog puta ponaša se drugačije od onog koji stane, a razlika se pokazuje kao zastoj aplikacije, a ne kao otkaz veze.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP rješava petlje, ne proizvoljne paralelne putove, zato držite pilot topologiju jednostavnom. Proširenje mosta proširuje i ponašanje broadcasta, multicasta i DHCP-a preko mobilne veze, a taj promet troši kapacitet bez obzira na to kreće li se koristan okvir.

Planirajte produkcijsko priključenje tek kada laboratorij dosegne veličinu okvira i ponašanje aplikacije koje vam zaista trebaju. Prije tog prijelaza dogovorite adresiranje, članstvo u VLAN-u, ovlaštenje za DHCP, sprječavanje petlji i kako netko dolazi do routera kada je sama veza pala. Proširenje Etherneta spaja domene otkaza zajedno s uređajima, zato zaslužuje prozor za promjene, a ne još jedan port na radnom mostu.

Povezani članci