EoIP di atas tautan VPN LTE: membangun lab RouterOS kecil

EoIP mengambil bingkai Ethernet lengkap, membungkusnya dalam GRE dan mengirimkannya ke alamat jarak jauh yang dikonfigurasi, itulah sebabnya hasilnya berperilaku seperti kabel, bukan seperti rute. Yang keluar dari router adalah protokol IP 47 dengan bingkai asli sebagai muatan, sehingga siaran, ARP, dan protokol non-IP semuanya melintas. GRE tidak menambahkan kerahasiaan sendiri, dan bingkai itu tetap dapat dibaca oleh apa pun yang melihat paket luarnya. Satu fakta itu menentukan urutan lab ini: bangun jalur terenkripsi lebih dulu, lalu bawa Ethernet di dalamnya.

Apa yang dibungkus EoIP, dan apa yang tidak

Enkapsulasi adalah seluruh mekanismenya. Sebuah bingkai tiba di port yang dijembatani, mendapat header GRE dan header IP luar, lalu dikirim ke router pasangan, yang melepas keduanya dan menyuntikkan bingkai itu ke jembatannya sendiri. Jembatan penerima mempelajari MAC sumber persis seperti dari port lokal. Tidak ada apa pun dalam proses itu yang mengautentikasi bingkai atau menyembunyikannya.

Karena itu kerahasiaan harus datang dari jalur yang dilalui paket GRE. Dalam rancangan ini lapisan bawahnya adalah terowongan WireGuard atau IPsec antara kedua router, dan EoIP dibawa di dalamnya. MikroTik juga menyediakan opsi IPsec otomatis pada antarmuka EoIP itu sendiri, yang merupakan susunan berbeda dan bukan yang dikonfigurasi lab ini.

Untuk layanan IP yang dirutekan, VPN yang dirutekan adalah rancangan yang lebih kecil dan yang patut diutamakan. Beralih ke lapisan dua hanya ketika sebuah perangkat benar-benar perlu melihat bingkai Ethernet dari situs lain.

Prasyarat: lapisan bawah yang terenkripsi dan dua port yang tidak terpakai

Kedua router memerlukan tautan terenkripsi yang sudah terjalin dan alamat di atasnya yang dapat dijangkau pasangannya. Sisi LTE yang memulai koneksi luar, jadi hub tidak pernah menghubungi jaringan seluler, dan router LTE mempertahankan status NAT yang diminta operator. Pastikan terowongan aktif sebelum menambahkan apa pun di atasnya, karena antarmuka EoIP yang tidak dapat menjangkau alamat jauhnya tampak sama persis dengan yang salah konfigurasi.

Setiap router juga memerlukan satu port yang belum menjadi anggota jembatan, trunk VLAN, antarmuka manajemen, atau tautan produksi. Lab yang meminjam port aktif bukanlah lab, dan mode kegagalannya adalah badai siaran pada jaringan yang sedang berjalan. Pindahkan administrasi ke antarmuka lain atau ke konsol sebelum memulai.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Nilai-nilai itu adalah contoh, bukan keharusan. Nilai itu harus berada pada antarmuka terowongan dan dirutekan melalui jalur yang terlindungi. Kebijakan firewall pada kedua router harus mengizinkan GRE antara kedua alamat terowongan, dan GRE adalah protokol IP 47, bukan port TCP atau UDP bernomor 47. Rancangan ini tidak pernah mengekspos GRE mentah ke salah satu WAN.

Buat pasangan terowongan dengan ID yang cocok

Kedua ujungnya adalah satu antarmuka logis yang didefinisikan dua kali, jadi setiap bidang pengenal harus sesuai. Di hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Di router LTE alamatnya terbalik dan MAC-nya berbeda:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID terowongan harus cocok di kedua ujung dan tidak boleh bentrok dengan pasangan lain yang sudah dikonfigurasi di salah satu router. Alamat MAC adalah nilai yang dikelola secara lokal dan harus unik di dalam domain lapisan dua yang Anda masuki, jadi jangan memakai ulang nilai dari contoh vendor. Nama antarmuka bersifat lokal untuk setiap router dan hanya perlu konsisten untuk skrip Anda sendiri.

Panduan EoIP terkini mendokumentasikan bidang titik akhir dan ID terowongan, dan menyatakan dengan jelas bahwa EoIP adalah Ethernet di atas GRE. Tidak ada apa pun dalam perintah itu yang mengenkripsi apa pun, itulah sebabnya pemeriksaan lapisan bawah dilakukan lebih dulu.

Jembatani hanya port uji

Jembatan adalah yang mengubah terowongan menjadi segmen, dan komposisinya adalah seluruh batas keamanan. Di hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Di router LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Perintah ini membuat jembatan baru dan menambahkan tepat dua port ke masing-masing. Antarmuka EoIP adalah anggota lapisan dua; terowongan terenkripsi tetap menjadi transportasi yang dirutekan dan tidak boleh pernah ditambahkan sebagai port jembatan. Jangan menambahkan port produksi dan jangan menjalankan server DHCP di jembatan lab.

Beri kedua host uji alamat di subnet yang tidak terpakai tanpa server DHCP pesaing, misalnya 192.168.77.11/24 dan 192.168.77.12/24. Keduanya tidak memerlukan gateway default untuk saling menjangkau di dalam subnet itu, dan alamat antarmuka router tidak diperlukan agar bingkai dapat melintas.

Anggarkan biaya tambahan sebelum memperluas LAN

EoIP di atas IPv4 menambahkan header Ethernet, GRE, dan IP luar di sekitar muatan yang dibawa. Untuk kasus tanpa tag, MikroTik mendokumentasikan 42 byte, sehingga lapisan bawah dengan 1400 byte MTU IP yang dapat dipakai menyisakan 1358 byte untuk bingkai dalam. Angka itu adalah anggaran, bukan nilai MSS universal, dan tidak memaksa host yang dijembatani mengirim bingkai lebih kecil.

Verifikasi batas sebenarnya di jalur, lalu uji dengan bingkai terbesar yang benar-benar dikirim perangkat. Bingkai 1500 byte yang harus difragmentasi di dalam jalur terlindungi berperilaku berbeda dari bingkai yang muat, dan perbedaannya muncul sebagai kemacetan aplikasi, bukan sebagai kegagalan tautan.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP menangani loop, bukan jalur paralel sembarangan, jadi jaga topologi percontohan tetap sederhana. Memperluas jembatan juga memperluas perilaku siaran, multicast, dan DHCP melintasi tautan seluler, dan lalu lintas itu mengonsumsi kapasitas entah ada bingkai berguna yang bergerak atau tidak.

Rencanakan sambungan produksi hanya setelah lab mencapai ukuran bingkai dan perilaku aplikasi yang benar-benar Anda butuhkan. Sebelum peralihan itu, sepakati pengalamatan, keanggotaan VLAN, otoritas DHCP, pencegahan loop, dan bagaimana seseorang menjangkau router ketika tautannya sendiri mati. Perluasan Ethernet menyatukan domain kegagalan sekaligus perangkat, jadi ia layak mendapat jendela perubahan, bukan satu port lagi di jembatan yang sedang berjalan.