LTE VPN байланысы арқылы EoIP: шағын RouterOS зертханасын құру

EoIP толық Ethernet кадрын алады, оны GRE ішіне орап, конфигурацияланған алыс мекенжайға жібереді, сондықтан нәтиже маршрут емес, кабель сияқты әрекет етеді. Роутерден IP 47 протоколы шығады, онда бастапқы кадр пайдалы жүктеме ретінде болады, сондықтан хабар таратулар, ARP және IP емес протоколдардың барлығы өтеді. GRE өзіндік құпиялылық қоспайды және кадр сыртқы пакетті көретін кез келген нәрсе үшін оқылатын күйінде қалады. Осы бір факт осы зертхананың ретін анықтайды: алдымен шифрланған жолды құрыңыз, содан кейін оның ішінде Ethernet тасымалдаңыз.

EoIP нені орайды және нені орамайды

Инкапсуляция — бүкіл механизм. Кадр көпірге қосылған портқа келеді, GRE тақырыбын және сыртқы IP тақырыбын алады және серіктес роутерге жеткізіледі, ол екеуін де алып тастап, кадрды өз көпіріне енгізеді. Қабылдаушы көпір бастапқы MAC-ты дәл жергілікті порттан үйренгендей үйренеді. Бұл процесте ештеңе кадрды аутентификацияламайды және жасырмайды.

Сондықтан құпиялылық GRE пакеті жүретін жолдан келуі керек. Бұл жобада төменгі қабат екі роутер арасындағы WireGuard немесе IPsec туннелі, ал EoIP соның ішінде тасымалданады. MikroTik EoIP интерфейсінің өзінде автоматты IPsec опциясын да ұсынады, бірақ бұл басқа орналасу және бұл зертхана конфигурациялайтын нәрсе емес.

Маршрутталған IP қызметтері үшін маршрутталған VPN кішірек жоба және оған артықшылық беру керек. Екінші қабатқа құрылғы шынымен басқа алаңның Ethernet кадрларын көруі қажет болғанда ғана жүгініңіз.

Алғышарттар: шифрланған төменгі қабат және екі пайдаланылмаған порт

Екі роутерге де орнатылған шифрланған байланыс және ондағы серіктес жете алатын мекенжай қажет. Сыртқы қосылымды LTE жағы бастайды, сондықтан хаб ұялы желіге ешқашан қоңырау шалмайды, ал LTE роутері оператор талап ететін NAT күйін сақтайды. Оның үстіне бірдеңе қоспас бұрын туннельдің жұмыс істеп тұрғанын растаңыз, өйткені алыс мекенжайына жете алмайтын EoIP интерфейсі дұрыс конфигурацияланбаған интерфейспен бірдей көрінеді.

Әр роутерге сондай-ақ әлі көпір мүшесі, VLAN транкі, басқару интерфейсі немесе өндірістік байланыс болып табылмайтын бір порт қажет. Жұмыс істеп тұрған портты қарызға алатын зертхана зертхана емес, ал істен шығу режимі жұмыс істеп тұрған желідегі хабар тарату дауылы. Бастамас бұрын басқаруды басқа интерфейске немесе консольге көшіріңіз.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Бұл мәндер мысал, талап емес. Олар туннель интерфейстерінде болуы және қорғалған жолмен маршрутталуы керек. Екі роутердің брандмауэр саясаты екі туннель мекенжайы арасында GRE рұқсат етуі керек, ал GRE — IP 47 протоколы, 47 нөмірлі TCP немесе UDP порты емес. Бұл жоба шикі GRE-ді екі WAN-ның ешқайсысына да ашпайды.

Сәйкес ID-лермен туннель жұбын жасаңыз

Екі ұш — екі рет анықталған бір логикалық интерфейс, сондықтан әрбір сәйкестендіру өрісі сәйкес келуі керек. Хабта:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE роутерінде мекенжайлар ауысады және MAC өзгеше:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Туннель ID-і екі ұшта сәйкес келуі және роутерлердің кез келгенінде бұрыннан конфигурацияланған басқа жұппен соқтығыспауы керек. MAC мекенжайлары — жергілікті басқарылатын мәндер және олар сіз қосылатын екінші қабат доменінде бірегей болуы керек, сондықтан өндіруші мысалындағы мәнді қайта пайдаланбаңыз. Интерфейс атаулары әр роутер үшін жергілікті және тек өз скрипттеріңіз үшін дәйекті болуы керек.

Ағымдағы EoIP нұсқаулығы шеткі нүкте мен туннель ID өрістерін құжаттайды және EoIP GRE үстіндегі Ethernet екенін анық айтады. Бұл командада ештеңе ештеңені шифрламайды, сондықтан төменгі қабатты тексеру бірінші келеді.

Тек сынақ порттарын көпірге қосыңыз

Көпір туннельді сегментке айналдыратын нәрсе, ал оның құрамы — бүкіл қауіпсіздік шекарасы. Хабта:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE роутерінде:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Бұл командалар жаңа көпірлер жасайды және әрқайсысына дәл екі порт қосады. EoIP интерфейсі — екінші қабат мүшесі; шифрланған туннель маршрутталған көлік күйінде қалады және оны ешқашан көпір порты ретінде қосуға болмайды. Өндірістік порт қоспаңыз және зертхана көпірінде DHCP серверін іске қоспаңыз.

Екі сынақ хостқа бәсекелес DHCP сервері жоқ пайдаланылмаған ішкі желіде мекенжай беріңіз, мысалы 192.168.77.11/24 және 192.168.77.12/24. Оларға сол ішкі желіде бір-біріне жету үшін әдепкі шлюз қажет емес, ал кадрлардың өтуі үшін роутер интерфейсінің мекенжайы талап етілмейді.

LAN-ды кеңейтпес бұрын үстеме шығысты есептеңіз

IPv4 үстіндегі EoIP тасымалданатын пайдалы жүктеменің айналасына Ethernet, GRE және сыртқы IP тақырыптарын қосады. Белгісіз жағдай үшін MikroTik 42 байтты құжаттайды, сондықтан 1400 байт пайдалы IP MTU-ы бар төменгі қабат ішкі кадрға 1358 байт қалдырады. Бұл сан — бюджет, әмбебап MSS мәні емес және ол көпірдегі хостты кішірек кадрлар жіберуге мәжбүрлемейді.

Жолдағы нақты шектеулерді тексеріп, содан кейін құрылғы шынымен жіберетін ең үлкен кадрмен сынаңыз. 1500 байттық кадр қорғалған жолдың ішінде бөлшектелуі керек болса, ол сыятын кадрдан өзгеше әрекет етеді, ал айырмашылық байланыс ақауы емес, қолданбаның тоқтауы ретінде көрінеді.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP циклдарды өңдейді, еркін параллель жолдарды емес, сондықтан пилоттық топологияны қарапайым ұстаңыз. Көпірді кеңейту мобильді байланыс арқылы хабар тарату, multicast және DHCP мінез-құлқын да кеңейтеді, ал бұл трафик пайдалы кадр қозғалса да, қозғалмаса да сыйымдылықты тұтынады.

Өндірістік қосылымды зертхана шынымен қажет ететін кадр өлшемі мен қолданба мінез-құлқына жеткенде ғана жоспарлаңыз. Сол ауысуға дейін мекенжайлау, VLAN мүшелігі, DHCP өкілеттігі, циклдардың алдын алу және байланыстың өзі үзілгенде біреу роутерлерге қалай жететіні туралы келісіңіз. Ethernet кеңейту құрылғылармен қатар істен шығу домендерін де қосады, сондықтан ол жұмыс істеп тұрған көпірге тағы бір порт емес, өзгеріс терезесіне лайық.