LTE VPN ಲಿಂಕ್‌ನಲ್ಲಿ EoIP: ಸಣ್ಣ RouterOS ಪ್ರಯೋಗಾಲಯ ನಿರ್ಮಿಸುವುದು

EoIP ಪೂರ್ಣ Ethernet ಫ್ರೇಮ್ ಅನ್ನು ತೆಗೆದುಕೊಂಡು GRE ಒಳಗೆ ಸುತ್ತಿ ಸಂರಚಿತ ದೂರದ ವಿಳಾಸಕ್ಕೆ ಕಳುಹಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಫಲಿತಾಂಶ ಮಾರ್ಗದಂತೆ ಅಲ್ಲ, ಕೇಬಲ್‌ನಂತೆ ವರ್ತಿಸುತ್ತದೆ. ರೂಟರ್‌ನಿಂದ ಹೊರಬರುವುದು IP ಪ್ರೋಟೋಕಾಲ್ 47, ಮೂಲ ಫ್ರೇಮ್ ಪೇಲೋಡ್ ಆಗಿ, ಆದ್ದರಿಂದ ಪ್ರಸಾರಗಳು, ARP ಮತ್ತು IP-ಅಲ್ಲದ ಪ್ರೋಟೋಕಾಲ್‌ಗಳು ಎಲ್ಲವೂ ದಾಟುತ್ತವೆ. GRE ತನ್ನದೇ ಆದ ಗೋಪ್ಯತೆಯನ್ನು ಸೇರಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಹೊರಗಿನ ಪ್ಯಾಕೆಟ್ ಅನ್ನು ನೋಡಬಲ್ಲ ಯಾವುದಕ್ಕೂ ಫ್ರೇಮ್ ಓದಲು ಸಾಧ್ಯವಾಗುತ್ತದೆ. ಆ ಒಂದೇ ಸತ್ಯ ಈ ಪ್ರಯೋಗಾಲಯದ ಕ್ರಮವನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ: ಮೊದಲು ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಮಾರ್ಗವನ್ನು ನಿರ್ಮಿಸಿ, ನಂತರ ಅದರೊಳಗೆ Ethernet ಸಾಗಿಸಿ.

EoIP ಏನನ್ನು ಸುತ್ತುತ್ತದೆ, ಏನನ್ನು ಸುತ್ತುವುದಿಲ್ಲ

ಎನ್ಕ್ಯಾಪ್ಸುಲೇಷನ್ ಇಡೀ ಕಾರ್ಯವಿಧಾನ. ಫ್ರೇಮ್ ಒಂದು ಸೇತುವೆಯ ಪೋರ್ಟ್‌ಗೆ ಬರುತ್ತದೆ, GRE ಹೆಡರ್ ಮತ್ತು ಹೊರಗಿನ IP ಹೆಡರ್ ಪಡೆದು ಸಹ ರೂಟರ್‌ಗೆ ತಲುಪಿಸಲಾಗುತ್ತದೆ, ಅದು ಎರಡನ್ನೂ ತೆಗೆದು ತನ್ನ ಸೇತುವೆಗೆ ಫ್ರೇಮ್ ಅನ್ನು ಚುಚ್ಚುತ್ತದೆ. ಸ್ವೀಕರಿಸುವ ಸೇತುವೆ ಮೂಲ MAC ಅನ್ನು ಸ್ಥಳೀಯ ಪೋರ್ಟ್‌ನಿಂದ ಕಲಿಯುವಂತೆಯೇ ಕಲಿಯುತ್ತದೆ. ಆ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ ಯಾವುದೂ ಫ್ರೇಮ್ ಅನ್ನು ದೃಢೀಕರಿಸುವುದಿಲ್ಲ ಅಥವಾ ಮರೆಮಾಡುವುದಿಲ್ಲ.

ಆದ್ದರಿಂದ ಗೋಪ್ಯತೆ GRE ಪ್ಯಾಕೆಟ್ ಸಂಚರಿಸುವ ಮಾರ್ಗದಿಂದ ಬರಬೇಕು. ಈ ವಿನ್ಯಾಸದಲ್ಲಿ ಕೆಳ ಪದರವು ಎರಡು ರೂಟರ್‌ಗಳ ನಡುವಿನ WireGuard ಅಥವಾ IPsec ಸುರಂಗ, ಮತ್ತು EoIP ಅದರೊಳಗೆ ಸಾಗಿಸಲಾಗುತ್ತದೆ. MikroTik ಸ್ವತಃ EoIP ಇಂಟರ್‌ಫೇಸ್‌ನಲ್ಲಿ ಸ್ವಯಂಚಾಲಿತ IPsec ಆಯ್ಕೆಯನ್ನೂ ನೀಡುತ್ತದೆ, ಅದು ಬೇರೆ ವ್ಯವಸ್ಥೆ ಮತ್ತು ಈ ಪ್ರಯೋಗಾಲಯ ಸಂರಚಿಸುವುದು ಅಲ್ಲ.

ಮಾರ್ಗನಿರ್ದೇಶಿತ IP ಸೇವೆಗಳಿಗೆ, ಮಾರ್ಗನಿರ್ದೇಶಿತ VPN ಚಿಕ್ಕ ವಿನ್ಯಾಸ ಮತ್ತು ಆದ್ಯತೆ ನೀಡಬೇಕಾದದ್ದು. ಸಾಧನವು ನಿಜವಾಗಿಯೂ ಇನ್ನೊಂದು ಸೈಟ್‌ನ Ethernet ಫ್ರೇಮ್‌ಗಳನ್ನು ನೋಡಬೇಕಾದಾಗ ಮಾತ್ರ ಎರಡನೇ ಪದರಕ್ಕೆ ಹೋಗಿ.

ಪೂರ್ವಾಪೇಕ್ಷೆಗಳು: ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಕೆಳ ಪದರ ಮತ್ತು ಎರಡು ಬಳಸದ ಪೋರ್ಟ್‌ಗಳು

ಎರಡೂ ರೂಟರ್‌ಗಳಿಗೆ ಸ್ಥಾಪಿತ ಎನ್ಕ್ರಿಪ್ಟ್ ಲಿಂಕ್ ಮತ್ತು ಅದರ ಮೇಲೆ ಸಹ ರೂಟರ್ ತಲುಪಬಲ್ಲ ವಿಳಾಸ ಬೇಕು. ಹೊರಗಿನ ಸಂಪರ್ಕವನ್ನು LTE ಬದಿ ಪ್ರಾರಂಭಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಹಬ್ ಎಂದಿಗೂ ಮೊಬೈಲ್ ನೆಟ್‌ವರ್ಕ್‌ಗೆ ಡಯಲ್ ಮಾಡುವುದಿಲ್ಲ, ಮತ್ತು LTE ರೂಟರ್ ಆಪರೇಟರ್ ಬಯಸುವ NAT ಸ್ಥಿತಿಯನ್ನು ನಿರ್ವಹಿಸುತ್ತದೆ. ಅದರ ಮೇಲೆ ಏನನ್ನೂ ಸೇರಿಸುವ ಮೊದಲು ಸುರಂಗ ಕೆಲಸ ಮಾಡುತ್ತಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ತನ್ನ ದೂರದ ವಿಳಾಸವನ್ನು ತಲುಪದ EoIP ಇಂಟರ್‌ಫೇಸ್ ತಪ್ಪಾಗಿ ಸಂರಚಿಸಿದಂತೆಯೇ ಕಾಣುತ್ತದೆ.

ಪ್ರತಿ ರೂಟರ್‌ಗೆ ಈಗಾಗಲೇ ಸೇತುವೆ ಸದಸ್ಯ, VLAN ಟ್ರಂಕ್, ನಿರ್ವಹಣಾ ಇಂಟರ್‌ಫೇಸ್ ಅಥವಾ ಉತ್ಪಾದನಾ ಲಿಂಕ್ ಅಲ್ಲದ ಒಂದು ಪೋರ್ಟ್ ಕೂಡ ಬೇಕು. ಜೀವಂತ ಪೋರ್ಟ್ ಅನ್ನು ಎರವಲು ಪಡೆಯುವ ಪ್ರಯೋಗಾಲಯ ಪ್ರಯೋಗಾಲಯವಲ್ಲ, ಮತ್ತು ವೈಫಲ್ಯದ ಮಾದರಿ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಪ್ರಸಾರದ ಬಿರುಗಾಳಿ. ಪ್ರಾರಂಭಿಸುವ ಮೊದಲು ನಿರ್ವಹಣೆಯನ್ನು ಇನ್ನೊಂದು ಇಂಟರ್‌ಫೇಸ್‌ಗೆ ಅಥವಾ ಕನ್ಸೋಲ್‌ಗೆ ಸರಿಸಿ.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

ಈ ಮೌಲ್ಯಗಳು ಉದಾಹರಣೆ, ಅಗತ್ಯವಲ್ಲ. ಅವು ಸುರಂಗದ ಇಂಟರ್‌ಫೇಸ್‌ಗಳ ಮೇಲೆ ಇರಬೇಕು ಮತ್ತು ರಕ್ಷಿತ ಮಾರ್ಗದ ಮೂಲಕ ಮಾರ್ಗನಿರ್ದೇಶನಗೊಳ್ಳಬೇಕು. ಎರಡೂ ರೂಟರ್‌ಗಳ ಫೈರ್‌ವಾಲ್ ನೀತಿ ಎರಡು ಸುರಂಗ ವಿಳಾಸಗಳ ನಡುವೆ GRE ಗೆ ಅನುಮತಿ ನೀಡಬೇಕು, ಮತ್ತು GRE ಯು IP ಪ್ರೋಟೋಕಾಲ್ 47, 47 ಸಂಖ್ಯೆಯ TCP ಅಥವಾ UDP ಪೋರ್ಟ್ ಅಲ್ಲ. ಈ ವಿನ್ಯಾಸ ಯಾವುದೇ WAN ಗೆ ಕಚ್ಚಾ GRE ಅನ್ನು ಎಂದಿಗೂ ಒಡ್ಡುವುದಿಲ್ಲ.

ಹೊಂದಿಕೆಯಾಗುವ ID ಗಳೊಂದಿಗೆ ಸುರಂಗ ಜೋಡಿ ರಚಿಸಿ

ಎರಡೂ ತುದಿಗಳು ಎರಡು ಬಾರಿ ವ್ಯಾಖ್ಯಾನಿಸಲಾದ ಒಂದೇ ತಾರ್ಕಿಕ ಇಂಟರ್‌ಫೇಸ್, ಆದ್ದರಿಂದ ಪ್ರತಿ ಗುರುತಿಸುವ ಕ್ಷೇತ್ರವೂ ಹೊಂದಿಕೆಯಾಗಬೇಕು. ಹಬ್‌ನಲ್ಲಿ:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE ರೂಟರ್‌ನಲ್ಲಿ ವಿಳಾಸಗಳು ತಿರುಗುತ್ತವೆ ಮತ್ತು MAC ಭಿನ್ನವಾಗಿರುತ್ತದೆ:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ಸುರಂಗ ID ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಹೊಂದಿಕೆಯಾಗಬೇಕು ಮತ್ತು ಯಾವುದೇ ರೂಟರ್‌ನಲ್ಲಿ ಈಗಾಗಲೇ ಸಂರಚಿಸಿದ ಇನ್ನೊಂದು ಜೋಡಿಯೊಂದಿಗೆ ಘರ್ಷಿಸಬಾರದು. MAC ವಿಳಾಸಗಳು ಸ್ಥಳೀಯವಾಗಿ ನಿರ್ವಹಿಸಲಾದ ಮೌಲ್ಯಗಳು ಮತ್ತು ನೀವು ಸೇರುವ ಎರಡನೇ ಪದರದ ಡೊಮೇನ್‌ನಲ್ಲಿ ಅನನ್ಯವಾಗಿರಬೇಕು, ಆದ್ದರಿಂದ ಮಾರಾಟಗಾರರ ಉದಾಹರಣೆಯ ಮೌಲ್ಯವನ್ನು ಮತ್ತೆ ಬಳಸಬೇಡಿ. ಇಂಟರ್‌ಫೇಸ್ ಹೆಸರುಗಳು ಪ್ರತಿ ರೂಟರ್‌ಗೆ ಸ್ಥಳೀಯ ಮತ್ತು ನಿಮ್ಮ ಸ್ವಂತ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳಿಗೆ ಸ್ಥಿರವಾಗಿದ್ದರೆ ಸಾಕು.

ಪ್ರಸ್ತುತ EoIP ಕೈಪಿಡಿ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಮತ್ತು ಸುರಂಗ ID ಕ್ಷೇತ್ರಗಳನ್ನು ದಾಖಲಿಸುತ್ತದೆ ಮತ್ತು EoIP ಎಂಬುದು GRE ಮೇಲಿನ Ethernet ಎಂದು ಸ್ಪಷ್ಟವಾಗಿ ಹೇಳುತ್ತದೆ. ಆ ಆದೇಶದಲ್ಲಿ ಯಾವುದೂ ಏನನ್ನೂ ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಕೆಳ ಪದರದ ಪರಿಶೀಲನೆ ಮೊದಲು ಬರುತ್ತದೆ.

ಪರೀಕ್ಷಾ ಪೋರ್ಟ್‌ಗಳನ್ನು ಮಾತ್ರ ಸೇತುವೆ ಮಾಡಿ

ಸೇತುವೆಯೇ ಸುರಂಗವನ್ನು ವಿಭಾಗವಾಗಿ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಅದರ ಸಂಯೋಜನೆಯೇ ಸಂಪೂರ್ಣ ಸುರಕ್ಷತಾ ಗಡಿ. ಹಬ್‌ನಲ್ಲಿ:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE ರೂಟರ್‌ನಲ್ಲಿ:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

ಈ ಆದೇಶಗಳು ಹೊಸ ಸೇತುವೆಗಳನ್ನು ರಚಿಸಿ ಪ್ರತಿಯೊಂದಕ್ಕೂ ನಿಖರವಾಗಿ ಎರಡು ಪೋರ್ಟ್‌ಗಳನ್ನು ಸೇರಿಸುತ್ತವೆ. EoIP ಇಂಟರ್‌ಫೇಸ್ ಎರಡನೇ ಪದರದ ಸದಸ್ಯ; ಎನ್ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ಸುರಂಗ ಮಾರ್ಗನಿರ್ದೇಶಿತ ಸಾಗಣೆಯಾಗಿ ಉಳಿಯುತ್ತದೆ ಮತ್ತು ಅದನ್ನು ಎಂದಿಗೂ ಸೇತುವೆ ಪೋರ್ಟ್ ಆಗಿ ಸೇರಿಸಬಾರದು. ಉತ್ಪಾದನಾ ಪೋರ್ಟ್ ಸೇರಿಸಬೇಡಿ ಮತ್ತು ಪ್ರಯೋಗಾಲಯದ ಸೇತುವೆಯಲ್ಲಿ DHCP ಸರ್ವರ್ ಪ್ರಾರಂಭಿಸಬೇಡಿ.

ಎರಡು ಪರೀಕ್ಷಾ ಹೋಸ್ಟ್‌ಗಳಿಗೆ ಸ್ಪರ್ಧಿಸುವ DHCP ಸರ್ವರ್ ಇಲ್ಲದ ಬಳಸದ ಸಬ್‌ನೆಟ್‌ನಲ್ಲಿ ವಿಳಾಸಗಳನ್ನು ನೀಡಿ, ಉದಾಹರಣೆಗೆ 192.168.77.11/24 ಮತ್ತು 192.168.77.12/24. ಆ ಸಬ್‌ನೆಟ್‌ನೊಳಗೆ ಒಬ್ಬರನ್ನೊಬ್ಬರು ತಲುಪಲು ಅವರಿಗೆ ಡೀಫಾಲ್ಟ್ ಗೇಟ್‌ವೇ ಅಗತ್ಯವಿಲ್ಲ, ಮತ್ತು ಫ್ರೇಮ್‌ಗಳು ದಾಟಲು ರೂಟರ್ ಇಂಟರ್‌ಫೇಸ್ ವಿಳಾಸ ಅಗತ್ಯವಿಲ್ಲ.

LAN ವಿಸ್ತರಿಸುವ ಮೊದಲು ಹೆಚ್ಚುವರಿ ವೆಚ್ಚವನ್ನು ಲೆಕ್ಕಿಸಿ

IPv4 ಮೇಲೆ EoIP ಸಾಗಿಸುವ ಪೇಲೋಡ್‌ನ ಸುತ್ತ Ethernet, GRE ಮತ್ತು ಹೊರಗಿನ IP ಹೆಡರ್‌ಗಳನ್ನು ಸೇರಿಸುತ್ತದೆ. ಟ್ಯಾಗ್ ಇಲ್ಲದ ಸಂದರ್ಭಕ್ಕೆ MikroTik 42 ಬೈಟ್ ದಾಖಲಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ 1400 ಬೈಟ್ ಬಳಸಬಹುದಾದ IP MTU ಇರುವ ಕೆಳ ಪದರ ಒಳಗಿನ ಫ್ರೇಮ್‌ಗೆ 1358 ಬೈಟ್ ಬಿಡುತ್ತದೆ. ಆ ಸಂಖ್ಯೆ ಬಜೆಟ್, ಸಾರ್ವತ್ರಿಕ MSS ಮೌಲ್ಯವಲ್ಲ, ಮತ್ತು ಅದು ಸೇತುವೆಯ ಹೋಸ್ಟ್ ಅನ್ನು ಚಿಕ್ಕ ಫ್ರೇಮ್‌ಗಳನ್ನು ಕಳುಹಿಸಲು ಒತ್ತಾಯಿಸುವುದಿಲ್ಲ.

ಮಾರ್ಗದ ನೈಜ ಮಿತಿಗಳನ್ನು ಪರಿಶೀಲಿಸಿ, ನಂತರ ಸಾಧನವು ನಿಜವಾಗಿ ಕಳುಹಿಸುವ ಅತಿದೊಡ್ಡ ಫ್ರೇಮ್‌ನೊಂದಿಗೆ ಪರೀಕ್ಷಿಸಿ. ರಕ್ಷಿತ ಮಾರ್ಗದೊಳಗೆ ವಿಭಜಿಸಬೇಕಾದ 1500 ಬೈಟ್ ಫ್ರೇಮ್ ಹೊಂದಿಕೊಳ್ಳುವ ಫ್ರೇಮ್‌ಗಿಂತ ಭಿನ್ನವಾಗಿ ವರ್ತಿಸುತ್ತದೆ, ಮತ್ತು ವ್ಯತ್ಯಾಸವು ಲಿಂಕ್ ವೈಫಲ್ಯದಂತೆ ಅಲ್ಲ, ಅಪ್ಲಿಕೇಶನ್ ನಿಲ್ಲುವಿಕೆಯಂತೆ ಕಾಣುತ್ತದೆ.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP ಲೂಪ್‌ಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತದೆ, ಅನಿಯಂತ್ರಿತ ಸಮಾನಾಂತರ ಮಾರ್ಗಗಳನ್ನಲ್ಲ, ಆದ್ದರಿಂದ ಪೈಲಟ್ ಟೋಪಾಲಜಿಯನ್ನು ಸರಳವಾಗಿರಿಸಿ. ಸೇತುವೆಯನ್ನು ವಿಸ್ತರಿಸುವುದು ಮೊಬೈಲ್ ಲಿಂಕ್ ಮೇಲೆ ಪ್ರಸಾರ, ಮಲ್ಟಿಕಾಸ್ಟ್ ಮತ್ತು DHCP ವರ್ತನೆಯನ್ನೂ ವಿಸ್ತರಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಸಂಚಾರ ಉಪಯುಕ್ತ ಫ್ರೇಮ್ ಚಲಿಸುತ್ತಿದ್ದರೂ ಇಲ್ಲದಿದ್ದರೂ ಸಾಮರ್ಥ್ಯವನ್ನು ಬಳಸುತ್ತದೆ.

ಪ್ರಯೋಗಾಲಯವು ನಿಜವಾಗಿ ಬೇಕಾದ ಫ್ರೇಮ್ ಗಾತ್ರ ಮತ್ತು ಅಪ್ಲಿಕೇಶನ್ ವರ್ತನೆಯನ್ನು ತಲುಪಿದಾಗ ಮಾತ್ರ ಉತ್ಪಾದನಾ ಸಂಪರ್ಕವನ್ನು ಯೋಜಿಸಿ. ಆ ಬದಲಾವಣೆಯ ಮೊದಲು ವಿಳಾಸೀಕರಣ, VLAN ಸದಸ್ಯತ್ವ, DHCP ಅಧಿಕಾರ, ಲೂಪ್ ತಡೆಗಟ್ಟುವಿಕೆ ಮತ್ತು ಲಿಂಕ್ ಸ್ವತಃ ಕೆಳಗಿದ್ದಾಗ ಯಾರಾದರೂ ರೂಟರ್‌ಗಳನ್ನು ಹೇಗೆ ತಲುಪುತ್ತಾರೆ ಎಂಬುದನ್ನು ಒಪ್ಪಿಕೊಳ್ಳಿ. Ethernet ವಿಸ್ತರಣೆ ಸಾಧನಗಳೊಂದಿಗೆ ವೈಫಲ್ಯ ಡೊಮೇನ್‌ಗಳನ್ನೂ ಸೇರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಅದು ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಸೇತುವೆಯ ಮೇಲೆ ಇನ್ನೊಂದು ಪೋರ್ಟ್ ಬದಲು ಬದಲಾವಣೆ ವಿಂಡೋಗೆ ಅರ್ಹವಾಗಿದೆ.