EoIP LTE VPN კავშირზე: პატარა RouterOS ლაბორატორიის აგება

EoIP იღებს სრულ Ethernet კადრს, ახვევს მას GRE-ში და უგზავნის კონფიგურირებულ დისტანციურ მისამართს, ამიტომ შედეგი იქცევა როგორც კაბელი და არა როგორც მარშრუტი. როუტერიდან გამოდის IP პროტოკოლი 47, ორიგინალური კადრით დატვირთვად, ამიტომ ბროდკასტები, ARP და არა-IP პროტოკოლები ყველა გადის. GRE არ ამატებს საკუთარ კონფიდენციალურობას და კადრი რჩება წაკითხვადი ყველაფრისთვის, რაც გარე პაკეტს ხედავს. ეს ერთი ფაქტი განსაზღვრავს ამ ლაბორატორიის რიგს: ჯერ ააგეთ დაშიფრული გზა, შემდეგ მასში გადაიტანეთ Ethernet.

რას ახვევს EoIP და რას არა

ინკაპსულაცია მთელი მექანიზმია. კადრი მოდის ხიდში ჩართულ პორტზე, იღებს GRE სათაურს და გარე IP სათაურს და გადაეცემა პარტნიორ როუტერს, რომელიც ორივეს ხსნის და კადრს თავის ხიდში უშვებს. მიმღები ხიდი წყაროს MAC-ს სწავლობს ზუსტად ისე, როგორც ლოკალური პორტიდან. ამ პროცესში არაფერი ამოწმებს კადრს და არ მალავს მას.

ამიტომ კონფიდენციალურობა უნდა მოვიდეს იმ გზიდან, რომლითაც GRE პაკეტი მოძრაობს. ამ დიზაინში ქვედა ფენა არის WireGuard ან IPsec გვირაბი ორ როუტერს შორის და EoIP მის შიგნით გადაადგილდება. MikroTik ასევე გვთავაზობს ავტომატურ IPsec ვარიანტს თვით EoIP ინტერფეისზე, რაც სხვა განლაგებაა და არა ის, რასაც ეს ლაბორატორია აყენებს.

მარშრუტიზებული IP სერვისებისთვის მარშრუტიზებული VPN უფრო მცირე დიზაინია და სწორედ ის, რომელსაც უპირატესობა უნდა მიენიჭოს. მეორე დონეს მიმართეთ მხოლოდ მაშინ, როცა მოწყობილობას ნამდვილად სჭირდება მეორე ადგილის Ethernet კადრების ნახვა.

წინაპირობები: დაშიფრული ქვედა ფენა და ორი გამოუყენებელი პორტი

ორივე როუტერს სჭირდება დამყარებული დაშიფრული კავშირი და მასზე მისამართი, რომელსაც პარტნიორი მიაღწევს. გარე კავშირს LTE მხარე იწყებს, ამიტომ ჰაბი არასოდეს რეკავს მობილურ ქსელში და LTE როუტერი ინარჩუნებს იმ NAT მდგომარეობას, რომელსაც ოპერატორი მოითხოვს. დარწმუნდით, რომ გვირაბი მუშაობს, სანამ მასზე რამეს დაამატებთ, რადგან EoIP ინტერფეისი, რომელიც თავის დისტანციურ მისამართს ვერ აღწევს, ზუსტად ისე გამოიყურება, როგორც არასწორად კონფიგურირებული.

თითოეულ როუტერს ასევე სჭირდება ერთი პორტი, რომელიც ჯერ არ არის ხიდის წევრი, VLAN ტრანკი, მართვის ინტერფეისი ან საწარმოო კავშირი. ლაბორატორია, რომელიც მოქმედ პორტს სესხულობს, ლაბორატორია არ არის და მარცხის რეჟიმი სამუშაო ქსელში ბროდკასტური ქარიშხალია. დაწყებამდე მართვა გადაიტანეთ სხვა ინტერფეისზე ან კონსოლზე.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

ეს მნიშვნელობები მაგალითია და არა მოთხოვნა. ისინი უნდა იყოს გვირაბის ინტერფეისებზე და მარშრუტიზდეს დაცული გზით. ორივე როუტერის ფაირვოლის პოლიტიკამ უნდა დაუშვას GRE ორ გვირაბის მისამართს შორის, ხოლო GRE არის IP პროტოკოლი 47 და არა 47 ნომრის TCP ან UDP პორტი. ეს დიზაინი არასოდეს ამჟღავნებს ნედლ GRE-ს არც ერთი WAN-ისთვის.

შექმენით გვირაბების წყვილი შესაბამისი ID-ებით

ორი ბოლო არის ერთი ლოგიკური ინტერფეისი, ორჯერ განსაზღვრული, ამიტომ ყველა საიდენტიფიკაციო ველი უნდა ემთხვეოდეს. ჰაბზე:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE როუტერზე მისამართები იცვლება და MAC განსხვავდება:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

გვირაბის ID უნდა ემთხვეოდეს ორივე ბოლოში და არ უნდა შეეჯახოს სხვა წყვილს, რომელიც უკვე კონფიგურირებულია რომელიმე როუტერზე. MAC მისამართები ლოკალურად მართული მნიშვნელობებია და უნდა იყოს უნიკალური იმ მეორე დონის დომენში, რომელსაც უერთდებით, ამიტომ ნუ გამოიყენებთ ხელახლა მწარმოებლის მაგალითის მნიშვნელობას. ინტერფეისების სახელები ლოკალურია თითოეული როუტერისთვის და მხოლოდ თქვენი სკრიპტებისთვის უნდა იყოს თანმიმდევრული.

EoIP-ის მიმდინარე სახელმძღვანელო აღწერს ბოლო წერტილისა და გვირაბის ID ველებს და ცხადად ამბობს, რომ EoIP არის Ethernet GRE-ის თავზე. ამ ბრძანებაში არაფერი არ შიფრავს არაფერს, ამიტომ ქვედა ფენის შემოწმება პირველია.

ხიდი მხოლოდ სატესტო პორტებზე

ხიდი არის ის, რაც გვირაბს სეგმენტად აქცევს და მისი შემადგენლობა მთელი უსაფრთხოების საზღვარია. ჰაბზე:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE როუტერზე:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

ეს ბრძანებები ქმნიან ახალ ხიდებს და თითოეულს ზუსტად ორ პორტს უმატებს. EoIP ინტერფეისი მეორე დონის წევრია; დაშიფრული გვირაბი რჩება მარშრუტიზებულ ტრანსპორტად და არასოდეს უნდა დაემატოს ხიდის პორტად. ნუ დაამატებთ საწარმოო პორტს და ნუ გაუშვებთ DHCP სერვერს ლაბორატორიის ხიდზე.

მიეცით ორ სატესტო ჰოსტს მისამართები გამოუყენებელ ქვექსელში კონკურენტი DHCP სერვერის გარეშე, მაგალითად 192.168.77.11/24 და 192.168.77.12/24. მათ არ სჭირდებათ ნაგულისხმევი შესასვლელი ერთმანეთის მისაღწევად ამ ქვექსელში და როუტერის ინტერფეისის მისამართი არ არის საჭირო კადრების გასავლელად.

დაგეგმეთ ხარჯი, სანამ LAN-ს გააფართოებთ

EoIP IPv4-ის თავზე ამატებს Ethernet, GRE და გარე IP სათაურებს გადატანილი დატვირთვის ირგვლივ. უნიშნო შემთხვევისთვის MikroTik აღნიშნავს 42 ბაიტს, ამიტომ 1400 ბაიტი გამოსადეგი IP MTU-ის მქონე ქვედა ფენა შიდა კადრისთვის 1358 ბაიტს ტოვებს. ეს რიცხვი ბიუჯეტია და არა უნივერსალური MSS მნიშვნელობა და ის არ აიძულებს ხიდში ჩართულ ჰოსტს უფრო პატარა კადრები გაგზავნოს.

შეამოწმეთ გზის რეალური საზღვრები, შემდეგ გამოსცადეთ ყველაზე დიდი კადრით, რომელსაც მოწყობილობა ნამდვილად აგზავნის. 1500 ბაიტიანი კადრი, რომელიც დაცულ გზაში უნდა დაიყოს, სხვაგვარად იქცევა, ვიდრე მოთავსებადი, და განსხვავება ჩანს როგორც აპლიკაციის შეჩერება და არა როგორც კავშირის მარცხი.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP ციკლებს მართავს და არა თვითნებურ პარალელურ გზებს, ამიტომ პილოტური ტოპოლოგია მარტივად შეინარჩუნეთ. ხიდის გაფართოება აფართოებს ბროდკასტის, multicast-ის და DHCP-ის ქცევას მობილურ კავშირზე და ეს ტრაფიკი ტევადობას მოიხმარს, მოძრაობს თუ არა სასარგებლო კადრი.

საწარმოო მიერთება დაგეგმეთ მხოლოდ მაშინ, როცა ლაბორატორია მიაღწევს იმ კადრის ზომას და აპლიკაციის ქცევას, რომელიც ნამდვილად გჭირდებათ. ამ გადასვლამდე შეთანხმდით მისამართებზე, VLAN წევრობაზე, DHCP უფლებამოსილებაზე, ციკლების პრევენციაზე და იმაზე, თუ როგორ აღწევს ვინმე როუტერებს, როცა თავად კავშირი გათიშულია. Ethernet-ის გაფართოება აკავშირებს მარცხის დომენებსაც და მოწყობილობებსაც, ამიტომ ის იმსახურებს ცვლილების ფანჯარას და არა კიდევ ერთ პორტს მოქმედ ხიდზე.