EoIP LTE VPN կապի վրա․ փոքր RouterOS լաբորատորիա կառուցելը

EoIP-ը վերցնում է ամբողջական Ethernet կադր, փաթաթում է այն GRE-ի մեջ և ուղարկում կարգավորված հեռավոր հասցե, այդ պատճառով արդյունքը վարվում է որպես մալուխ, ոչ որպես երթուղի։ Երթուղիչից դուրս է գալիս IP 47 արձանագրությունը՝ սկզբնական կադրը որպես բեռ, ուստի հեռարձակումները, ARP-ը և ոչ IP արձանագրությունները բոլորն անցնում են։ GRE-ը սեփական գաղտնիություն չի ավելացնում, և կադրը մնում է ընթեռնելի ամեն ինչի համար, ինչը տեսնում է արտաքին փաթեթը։ Այդ մեկ փաստը որոշում է այս լաբորատորիայի հերթականությունը․ նախ կառուցեք գաղտնագրված ուղին, ապա դրա մեջ տեղափոխեք Ethernet-ը։

Ինչ է փաթաթում EoIP-ը, և ինչ ոչ

Փաթաթումը ամբողջ մեխանիզմն է։ Կադրը հասնում է կամրջված պորտ, ստանում է GRE վերնագիր և արտաքին IP վերնագիր, և հանձնվում է զուգակցող երթուղիչին, որը հանում է երկուսն էլ և կադրը ներարկում է իր կամուրջ։ Ընդունող կամուրջը սովորում է սկզբնաղբյուրի MAC-ը ճիշտ այնպես, ինչպես տեղական պորտից։ Այդ գործընթացում ոչինչ չի վավերացնում կադրը և չի թաքցնում այն։

Ուստի գաղտնիությունը պետք է գա այն ուղուց, որով անցնում է GRE փաթեթը։ Այս նախագծում ստորին շերտը երկու երթուղիչների միջև WireGuard կամ IPsec թունելն է, և EoIP-ը տեղափոխվում է դրա ներսում։ MikroTik-ը նաև առաջարկում է ավտոմատ IPsec տարբերակ հենց EoIP միջերեսի վրա, ինչը այլ դասավորություն է և այն չէ, ինչ կարգավորում է այս լաբորատորիան։

Երթուղավորված IP ծառայությունների համար երթուղավորված VPN-ը ավելի փոքր նախագիծ է և այն, ինչին պետք է նախապատվություն տալ։ Դիմեք երկրորդ շերտին միայն այն ժամանակ, երբ սարքն իսկապես պետք է տեսնի մյուս տեղամասի Ethernet կադրերը։

Նախապայմաններ․ գաղտնագրված ստորին շերտ և երկու չօգտագործված պորտ

Երկու երթուղիչներին էլ պետք է հաստատված գաղտնագրված կապ և դրա վրա հասցե, որին զուգակիցը կարող է հասնել։ Արտաքին միացումը սկսում է LTE կողմը, ուստի հանգույցը երբեք չի զանգահարում բջջային ցանց, և LTE երթուղիչը պահպանում է այն NAT վիճակը, որը պահանջում է օպերատորը։ Համոզվեք, որ թունելն աշխատում է, նախքան դրա վրա ինչ-որ բան ավելացնելը, քանի որ EoIP միջերեսը, որը չի հասնում իր հեռավոր հասցեին, նույն տեսքն ունի, ինչ սխալ կարգավորվածը։

Յուրաքանչյուր երթուղիչի պետք է նաև մեկ պորտ, որը դեռ կամուրջի անդամ չէ, VLAN trunk չէ, կառավարման միջերես չէ և արտադրական կապ չէ։ Լաբորատորիան, որը վերցնում է աշխատող պորտ, լաբորատորիա չէ, և խափանման եղանակը աշխատող ցանցում հեռարձակման փոթորիկն է։ Սկսելուց առաջ կառավարումը տեղափոխեք այլ միջերես կամ վահանակ։

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Այս արժեքները օրինակ են, ոչ պահանջ։ Դրանք պետք է լինեն թունելի միջերեսների վրա և երթուղավորվեն պաշտպանված ուղով։ Երկու երթուղիչների հրաբորբի քաղաքականությունը պետք է թույլատրի GRE-ը երկու թունելի հասցեների միջև, և GRE-ը IP 47 արձանագրություն է, ոչ 47 համարի TCP կամ UDP պորտ։ Այս նախագիծը երբեք չի բացահայտում հում GRE-ն ոչ մի WAN-ի։

Ստեղծեք թունելի զույգը համապատասխան ID-ներով

Երկու ծայրերը մեկ տրամաբանական միջերես են, որը սահմանված է երկու անգամ, ուստի յուրաքանչյուր նույնականացնող դաշտ պետք է համընկնի։ Հանգույցում․

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE երթուղիչում հասցեները շրջվում են, և MAC-ը տարբերվում է․

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Թունելի ID-ն պետք է համընկնի երկու ծայրերում և չբախվի մեկ այլ զույգի հետ, որն արդեն կարգավորված է երթուղիչներից որևէ մեկում։ MAC հասցեները տեղական կառավարվող արժեքներ են, որոնք պետք է եզակի լինեն այն երկրորդ շերտի տիրույթում, որին միանում եք, ուստի չօգտագործեք արտադրողի օրինակի արժեքը կրկին։ Միջերեսների անունները տեղական են յուրաքանչյուր երթուղիչի համար և պետք է համապատասխան լինեն միայն ձեր սեփական սցենարների համար։

EoIP-ի ընթացիկ ձեռնարկը փաստաթղթավորում է վերջնակետի և թունելի ID դաշտերը և հստակ ասում, որ EoIP-ը Ethernet է GRE-ի վրա։ Այդ հրահանգում ոչինչ ոչինչ չի գաղտնագրում, ուստի ստորին շերտի ստուգումն առաջինն է։

Կամրջեք միայն փորձնական պորտերը

Կամուրջն է, որ թունելը դարձնում է սեգմենտ, և դրա կազմը ամբողջ անվտանգության սահմանն է։ Հանգույցում․

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE երթուղիչում․

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Այս հրահանգները ստեղծում են նոր կամուրջներ և յուրաքանչյուրին ավելացնում ուղիղ երկու պորտ։ EoIP միջերեսը երկրորդ շերտի անդամն է․ գաղտնագրված թունելը մնում է երթուղավորված տրանսպորտ և երբեք չպետք է ավելացվի որպես կամրջի պորտ։ Չավելացնեք արտադրական պորտ և չմիացնեք DHCP սերվեր լաբորատորիայի կամրջի վրա։

Երկու փորձնական հոստերին տվեք հասցեներ չօգտագործված ենթացանցում՝ առանց մրցակից DHCP սերվերի, օրինակ 192.168.77.11/24 և 192.168.77.12/24։ Նրանց պետք չէ լռելյայն դարպաս՝ այդ ենթացանցում միմյանց հասնելու համար, և երթուղիչի միջերեսի հասցե պետք չէ կադրերի անցման համար։

Նախագծեք ծախսը, նախքան LAN-ը ընդլայնելը

IPv4-ի վրա EoIP-ը ավելացնում է Ethernet, GRE և արտաքին IP վերնագրեր տեղափոխվող բեռի շուրջ։ Առանց պիտակի դեպքի համար MikroTik-ը փաստաթղթավորում է 42 բայթ, ուստի 1400 բայթ օգտակար IP MTU ունեցող ստորին շերտը ներքին կադրի համար թողնում է 1358 բայթ։ Այդ թիվը բյուջե է, ոչ համընդհանուր MSS արժեք, և այն չի ստիպում կամրջված հոստին ուղարկել ավելի փոքր կադրեր։

Ստուգեք ուղու իրական սահմանները, ապա փորձարկեք ամենամեծ կադրով, որն իսկապես ուղարկում է սարքը։ 1500 բայթանոց կադրը, որը պետք է բաժանվի պաշտպանված ուղու ներսում, այլ կերպ է վարվում, քան տեղավորվողը, և տարբերությունը երևում է որպես հավելվածի կանգ, ոչ որպես կապի խափանում։

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP-ն զբաղվում է հանգույցներով, ոչ կամայական զուգահեռ ուղիներով, ուստի փորձնական տոպոլոգիան պահեք պարզ։ Կամուրջի ընդլայնումը ընդլայնում է նաև հեռարձակման, multicast-ի և DHCP-ի վարքը բջջային կապի վրայով, և այդ երթևեկությունը սպառում է հզորություն՝ անկախ նրանից՝ օգտակար կադր շարժվում է, թե ոչ։

Արտադրական միացում պլանավորեք միայն այն ժամանակ, երբ լաբորատորիան հասնի այն կադրի չափին և հավելվածի վարքին, որն իսկապես պետք է ձեզ։ Այդ անցումից առաջ պայմանավորվեք հասցեավորման, VLAN անդամակցության, DHCP լիազորության, հանգույցների կանխարգելման և այն մասին, թե ինչպես մեկը հասնում է երթուղիչներին, երբ կապն ինքն անջատված է։ Ethernet-ի ընդլայնումը միացնում է խափանման տիրույթները սարքերի հետ միասին, ուստի այն արժանի է փոփոխության պատուհանի, ոչ թե ևս մեկ պորտի աշխատող կամրջի վրա։