LTE VPN байланышы аркылуу EoIP: кичине RouterOS лабораториясын куруу

EoIP Ethernet кадрларын GRE ичинде ташыйт, ал эми GRE эч нерсени шифрлебейт. Лабораторияны иштеп жаткан WireGuard байланышында куруңуз, көпүрөнү обочолонтуп кармаңыз, 42 байтты пландаңыз.

EoIP толук Ethernet кадрын алат, аны GRE ичине ороп, конфигурацияланган алыскы дарекке жөнөтөт, ошондуктан натыйжа маршрут эмес, кабель сыяктуу иштейт. Роутерден IP 47 протоколу чыгат, анда баштапкы кадр пайдалуу жүк болуп эсептелет, ошондуктан жарыялоолор, ARP жана IP эмес протоколдордун баары өтөт. GRE өзүнүн купуялуулугун кошпойт жана кадр тышкы пакетти көргөн ар кандай нерсе үчүн окула турган бойдон калат. Ушул бир факт бул лабораториянын тартибин аныктайт: адегенде шифрленген жолду куруп, анан анын ичинде Ethernet ташыңыз.

EoIP эмнени ороп, эмнени оробойт

Инкапсуляция — бүт механизм. Кадр көпүрөгө кошулган портко келет, GRE темасын жана тышкы IP темасын алат жана шериктеш роутерге жеткирилет, ал экөөнү тең алып салып, кадрды өз көпүрөсүнө киргизет. Кабыл алуучу көпүрө баштапкы MACты дал жергиликтүү порттон үйрөнгөндөй үйрөнөт. Бул процессте эч нерсе кадрды аутентификациялабайт жана жашырбайт.

Ошондуктан купуялуулук GRE пакети жүргөн жолдон келиши керек. Бул долбоордо төмөнкү катмар эки роутердин ортосундагы WireGuard же IPsec туннели, ал эми EoIP анын ичинде ташылат. MikroTik EoIP интерфейсинин өзүндө автоматтык IPsec опциясын да сунуштайт, бирок бул башка жайгашуу жана бул лаборатория конфигурациялаган нерсе эмес.

Маршрутталган IP кызматтары үчүн маршрутталган VPN кичирээк долбоор жана ага артыкчылык бериш керек. Экинчи катмарга түзмөк чын эле башка аянтчанын Ethernet кадрларын көрүшү керек болгондо гана кайрылыңыз.

Алгачкы шарттар: шифрленген төмөнкү катмар жана эки колдонулбаган порт

Эки роутерге тең орнотулган шифрленген байланыш жана ага шериктеш жете ала турган дарек керек. Тышкы байланышты LTE тарабы баштайт, ошондуктан хаб уюлдук тармакка эч качан чалбайт, ал эми LTE роутери оператор талап кылган NAT абалын сактайт. Анын үстүнө бир нерсе кошордон мурун туннелдин иштеп жатканын ырастаңыз, анткени алыскы дарегине жете албаган EoIP интерфейси туура эмес конфигурацияланган интерфейске окшош көрүнөт.

Ар бир роутерге ошондой эле азырынча көпүрө мүчөсү, VLAN транкы, башкаруу интерфейси же өндүрүштүк байланыш болуп саналбаган бир порт керек. Иштеп жаткан портту карызга алган лаборатория лаборатория эмес, ал эми иштен чыгуу режими иштеп жаткан тармактагы жарыялоо бороону. Баштоодон мурун башкарууну башка интерфейске же консолго өткөрүңүз.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Бул маанилер мисал, талап эмес. Алар туннелдин интерфейстеринде болушу жана корголгон жол менен маршрутталышы керек. Эки роутердин брандмауэр саясаты эки туннел дарегинин ортосунда GREге уруксат бериши керек, ал эми GRE — IP 47 протоколу, 47 номурлуу TCP же UDP порт эмес. Бул долбоор чийки GREди эки WANдын эч бирине ачпайт.

Дал келген IDлер менен туннел жупун түзүңүз

Эки уч — эки жолу аныкталган бир логикалык интерфейс, ошондуктан ар бир идентификациялоочу талаа дал келиши керек. Хабда:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE роутеринде даректер алмашат жана MAC башкача:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Туннелдин IDси эки учта тең дал келиши керек жана роутерлердин кайсынысында болбосун мурунтан конфигурацияланган башка жуп менен кагылышпашы керек. MAC даректери — жергиликтүү башкарылуучу маанилер жана алар сиз кошулган экинчи катмар доменинде уникалдуу болушу керек, ошондуктан өндүрүүчүнүн мисалындагы маанини кайра колдонбоңуз. Интерфейс аттары ар бир роутер үчүн жергиликтүү жана өз скрипттериңиз үчүн гана ырааттуу болушу керек.

Учурдагы EoIP колдонмосу акыркы чекит жана туннел ID талааларын документтештирет жана EoIP GRE үстүндөгү Ethernet экенин ачык айтат. Бул буйрукта эч нерсе эч нерсени шифрлебейт, ошондуктан төмөнкү катмарды текшерүү биринчи келет.

Тек сыноо портторун көпүрөгө кошуңуз

Көпүрө туннелди сегментке айландырат, ал эми анын курамы бүткүл коопсуздук чек арасы. Хабда:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE роутеринде:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Бул буйруктар жаңы көпүрөлөрдү түзүп, ар бирине так эки порт кошот. EoIP интерфейси — экинчи катмардын мүчөсү; шифрленген туннел маршрутталган транспорт бойдон калат жана аны эч качан көпүрө порту катары кошууга болбойт. Өндүрүштүк порт кошпоңуз жана лабораториялык көпүрөдө DHCP серверин иштетпеңиз.

Эки сыноо хостко атаандаш DHCP сервери жок колдонулбаган ички тармакта дарек бериңиз, мисалы 192.168.77.11/24 жана 192.168.77.12/24. Аларга ошол ички тармакта бири-бирине жетүү үчүн демейки шлюз керек эмес, ал эми кадрлардын өтүшү үчүн роутер интерфейсинин дареги талап кылынбайт.

LANды кеңейтүүдөн мурун кошумча чыгымды эсептеңиз

IPv4 үстүндөгү EoIP ташылып жаткан пайдалуу жүктүн айланасына Ethernet, GRE жана тышкы IP темаларын кошот. Белгисиз учур үчүн MikroTik 42 байтты документтештирет, ошондуктан 1400 байт пайдалуу IP MTUга ээ төмөнкү катмар ички кадрга 1358 байт калтырат. Бул сан — бюджет, универсалдуу MSS мааниси эмес жана ал көпүрөдөгү хостту кичирээк кадрларды жөнөтүүгө мажбурлабайт.

Жолдогу реалдуу чектерди текшерип, анан түзмөк чын эле жөнөткөн эң чоң кадр менен сынаңыз. 1500 байттык кадр корголгон жолдун ичинде бөлүнүшү керек болсо, ал баткан кадрдан башкача иштейт, ал эми айырма байланыш бузулушу эмес, колдонмонун токтоп калышы катары көрүнөт.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP циклдерди иштетет, эркин параллелдүү жолдорду эмес, ошондуктан пилоттук топологияны жөнөкөй кармаңыз. Көпүрөнү кеңейтүү уюлдук байланыш аркылуу жарыялоо, multicast жана DHCP жүрүм-турумун да кеңейтет, ал эми бул трафик пайдалуу кадр кыймылдаса да, кыймылдабаса да сыйымдуулукту сарптайт.

Өндүрүштүк туташууну лаборатория чын эле керектүү кадр өлчөмүнө жана колдонмо жүрүм-турумуна жеткенде гана пландаңыз. Ошол өтүүгө чейин даректөө, VLAN мүчөлүгү, DHCP ыйгарым укугу, циклдердин алдын алуу жана байланыш өзү үзүлгөндө кимдир бирөө роутерлерге кантип жетээри тууралуу макулдашыңыз. Ethernet кеңейтүү түзмөктөр менен катар иштен чыгуу домендерин да бириктирет, ошондуктан ал иштеп жаткан көпүрөгө дагы бир порт эмес, өзгөртүү терезесине татыктуу.

Тектеш макалалар