EoIP yfir LTE VPN-tengingu: að byggja litla RouterOS-vinnustofu

EoIP tekur heila Ethernet-ramma, vefur henni inn í GRE og sendir hana á skilgreint fjartengt netfang, þess vegna hegðar niðurstaðan sér eins og kapall en ekki eins og leið. Það sem fer út úr beininum er IP-samskiptareglan 47 með upprunalegu rammann sem farm, þannig að útvarpssendingar, ARP og samskiptareglur sem ekki eru IP fara allar í gegn. GRE bætir engu trúnaði við sjálft sig, og ramminn er áfram læsilegur fyrir allt sem sér ytri pakkann. Þessi eina staðreynd ræður röðinni í þessari vinnustofu: byggðu fyrst dulritaðu leiðina og berðu síðan Ethernet inni í henni.

Hvað EoIP vefur og hvað ekki

Innpökkunin er allt ferlið. Rammi kemur á brúaða tengi, fær GRE-haus og ytri IP-haus og er afhentur hliðstæða beininum, sem fjarlægir báða og sprautar rammanum inn í sína eigin brú. Móttakandi brúin lærir upprunalega MAC-ini alveg eins og hún myndi gera frá staðbundnu tengi. Ekkert í því ferli sannvottar rammann eða felur hann.

Trúnaðurinn verður því að koma frá leiðinni sem GRE-pakkinn fer um. Í þessari hönnun er undirlagið WireGuard- eða IPsec-göng milli beinanna tveggja, og EoIP er borið inni í því. MikroTik býður einnig upp á sjálfvirkan IPsec-valkost á EoIP-tenginu sjálfu, sem er önnur uppsetning og ekki það sem þessi vinnustofa stillir.

Fyrir leiðsendar IP-þjónustur er leiðsent VPN minni hönnunin og sú sem ætti að velja. Gríptu aðeins til annars lags þegar tæki þarf raunverulega að sjá Ethernet-ramma frá hinum staðnum.

Forsendur: dulritað undirlag og tvö ónotuð tengi

Bæði beinin þurfa komið dulritað samband og netfang á því sem hliðstæðan nær til. LTE-hliðin hefur frumkvæði að ytri tengingunni, svo hunangið hringir aldrei í farsímanetið, og LTE-beinið heldur við því NAT-ástandi sem rekstraraðilinn krefst. Staðfestið að göngin séu uppi áður en þið setjið eitthvað ofan á þau, því EoIP-tengi sem nær ekki fjarnetfanginu sínu lítur nákvæmlega eins út og rangt stillt tengi.

Hvert beini þarf líka eitt tengi sem er ekki þegar brúarhluti, VLAN-trunkur, stjórntengi eða framleiðslutenging. Vinnustofa sem fær lánað virkt tengi er ekki vinnustofa, og bilunarhátturinn er útvarpsstormur á virku neti. Færið stjórnun á annað tengi eða á stjórnborðið áður en þið byrjið.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Þessi gildi eru dæmi en ekki krafa. Þau verða að sitja á göngutengjunum og vera leiðsend um hlífðu leiðina. Eldveggjastefna á báðum beinum verður að leyfa GRE milli göngunetfanganna tveggja, og GRE er IP-samskiptareglan 47, ekki TCP- eða UDP-tengi númer 47. Þessi hönnun afhjúpar aldrei hrátt GRE fyrir hvorugu WAN-netinu.

Búðu til gönguparið með samsvarandi auðkennum

Endarnir tveir eru eitt rökrétt tengi sem er skilgreint tvisvar, svo hvert auðkennisreitur verður að stemma. Á hunanginu:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Á LTE-beininu snúast netföngin við og MAC-inið er öðruvísi:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Auðkenni ganganna verður að stemma á báðum endum og má ekki rekast á annað par sem þegar er stillt á öðru hvoru beininu. MAC-netföngin eru gildi sem stýrt er staðbundið og verða að vera einstök innan annars lags lénsins sem þið gangið inn í, svo endurnýtið ekki gildi úr dæmi framleiðanda. Tengjanöfn eru staðbundin fyrir hvert beini og þurfa aðeins að vera samkvæm fyrir ykkar eigin skriftur.

Núverandi EoIP-handbók skjalfestir endapunktinn og auðkennisreiti ganganna og segir skýrt að EoIP sé Ethernet ofan á GRE. Ekkert í þeirri skipun dulritar neitt, þess vegna kemur athugun undirlagsins fyrst.

Brúaðu aðeins prófunartengin

Brú er það sem gerir göngin að hluta, og samsetning hennar er allt öryggismarkið. Á hunanginu:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Á LTE-beininu:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Þessar skipanir búa til nýjar brýr og bæta nákvæmlega tveimur tengjum við hverja. EoIP-tengið er annars lags hlutinn; dulritaða göngin haldast leiðsend flutningur og má aldrei bæta við sem brúartengi. Bætið ekki við framleiðslutengi og ræsið ekki DHCP-þjón á vinnustofubrúnni.

Gefðu prófunarhýslunum tveimur netföng í ónotuðu undirneti án samkeppnis-DHCP-þjóns, til dæmis 192.168.77.11/24 og 192.168.77.12/24. Þau þurfa enga sjálfgefna gátt til að ná hvort í annað innan þess undirnets, og beinategjanetfang er ekki nauðsynlegt til að rammarnir fari yfir.

Gerðu áætlun um aukakostnaðinn áður en þú stækkar LAN

EoIP ofan á IPv4 bætir Ethernet-, GRE- og ytri IP-hausum utan um fluttan farm. Fyrir ómerkt tilvik skjalfestir MikroTik 42 bæti, svo undirlag með 1400 bætum af nothæfu IP MTU skilur eftir 1358 bæti fyrir innri rammann. Þessi tala er fjárhagsáætlun en ekki algilt MSS-gildi, og hún þvingar ekki brúaða hýslu til að senda minni ramma.

Staðfestið raunveruleg mörk á leiðinni og prófið svo með stærsta rammanum sem tækið sendir í raun. Rammi sem er 1500 bæti og þarf að sundra inni í hlífðu leiðinni hegðar sér öðruvísi en sá sem kemst fyrir, og munurinn birtist sem stöðvun forrits en ekki sem bilun tengingar.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP meðhöndlar lykkjur, ekki handahófskenndar samhliða leiðir, svo hafið tilraunatopologiið einfalt. Stækkun brúar stækkar einnig hegðun útvarps, multicast og DHCP yfir farsímatenginguna, og sá umferð eyðir afköstum hvort sem gagnlegur rammi hreyfist eða ekki.

Skipuleggið framleiðslutengingu aðeins þegar vinnustofan nær þeirri rammastærð og forritshegðun sem þið þurfið í raun. Fyrir þessa umskipti þarf að semja um netföng, VLAN-aðild, DHCP-vald, lykkjuvarnir og hvernig einhver nær til beinanna þegar tengingin sjálf er niðri. Ethernet-stækkun tengir bilanalén saman við tækin, svo hún á skilið breytingaglugga frekar en eitt tengi í viðbót á virkri brú.