EoIP iwwer eng LTE-VPN-Verbindung: e klengen RouterOS-Laboratoire opbauen

EoIP hëlt en kompletten Ethernet-Frame, wéckelt en a GRE an schéckt en op eng konfiguréiert wäit Adress, dofir verhält sech d'Resultat wéi e Kabel an net wéi eng Route. Aus dem Router kënnt IP-Protokoll 47 mam urspréngleche Frame als Notzlaascht, sou datt Broadcasts, ARP an Net-IP-Protokoller all duerchgoen. GRE bäisetzt keng eege Vertraulechkeet, an de Frame bleift liesbar fir alles, wat de baussenzege Pak gesäit. Dës eenzeg Tatsaach bestëmmt d'Reiefolleg vun dësem Laboratoire: baut d'éischt de verschlësselte Wee a féiert dann Ethernet dobannen.

Wat EoIP wéckelt, a wat net

D'Kapselung ass de ganze Mechanismus. E Frame kënnt op engem gebréckte Port un, kritt e GRE-Header an en baussenzegen IP-Header a gëtt dem Partnerrouter geliwwert, deen déi zwee ofhëlt an de Frame a seng eege Bréck sprëtzt. D'Bréck, déi en empfängt, léiert d'Quell-MAC genau sou wéi vun engem lokale Port. Näischt an deem Prozess authentifizéiert de Frame oder verstoppt en.

D'Vertraulechkeet muss also aus dem Wee kommen, iwwer deen de GRE-Pak reest. An dësem Design ass den Ënnergrond en WireGuard- oder IPsec-Tunnel tëscht deenen zwéi Routeren, an EoIP gëtt dobannen transportéiert. MikroTik bitt och eng automatesch IPsec-Optioun um EoIP-Interface selwer un, wat eng aner Usiicht ass an net dat, wat dëse Laboratoire konfiguréiert.

Fir geroute IP-Servicer ass e geroutete VPN dee klengere Design an deen, dee mer preferéiere sollen. Gräift nëmmen op déi zweet Schicht, wann en Apparat wierklech Ethernet-Framen aus dem anere Site muss gesinn.

Virbedingungen: en verschlësselten Ënnergrond an zwee net benotzt Porten

Béid Routere brauchen eng etabléiert verschlësselte Verbindung an eng Adress drop, déi de Partner erreeche kann. D'LTE-Säit fänkt déi baussenzeg Verbindung un, dofir wielt den Hub ni de mobilen Netz, an den LTE-Router hält de NAT-Zoustand, deen den Operateur verlangt. Bestätegt, datt den Tunnel leeft, ier Dir eppes drop bäisetzt, well en EoIP-Interface, deen seng wäit Adress net erreecht, genee sou ausgesäit wéi en falsch konfiguréierten.

Jidweren Router brauch och ee Port, deen nach kee Bréckmember, keen VLAN-Trunk, keen Administratiounsinterface an och keng Produktiounsverbindung ass. E Laboratoire, deen e liewege Port léint, ass kee Laboratoire, an de Fehlermodus ass e Broadcaststuerm an engem funktionéierenden Netz. Verréckelt d'Administratioun op en aneren Interface oder op d'Konsole, ier Dir ufänkt.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Dës Wäerter sinn e Beispill an net eng Fuerderung. Si musse op den Tunnelinterfacen leien an iwwer de geschützte Wee geroutt ginn. D'Firewallpolitik op béide Routere muss GRE tëscht den zwou Tunneladressen erlaben, a GRE ass IP-Protokoll 47, keen TCP- oder UDP-Port mat der Nummer 47. Dësen Design setzt ni rohe GRE engem vun deenen zwéi WAN aus.

Erstellt d'Tunnelpaar mat passenden IDen

Déi zwou Enn sinn een logeschen Interface, zweemol definéiert, dofir muss all identifizéierend Feld iwwerenee stëmmen. Um Hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Um LTE-Router dréien d'Adressen ëm an d'MAC ass anescht:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

D'Tunnel-ID muss op béiden Enne stëmmen a däerf net mat engem anere Paar kollidéieren, dat schonn op engem vun de Routere konfiguréiert ass. D'MAC-Adressen si lokal geréiert Wäerter, déi bannent der zweeter-Schicht-Domän, an déi Dir Iech agitt, eenzegaarteg musse sinn, dofir benotzt kee Wäert aus engem Hierstellerbeispill nach eng Kéier. Interface-Nimm si lokal fir jidweren Router a mussen nëmmen fir Är eege Skripte konsequent sinn.

Den aktuellen EoIP-Manuel dokumentéiert den Endpunkt an d'Tunnel-ID-Felder an seet kloer, datt EoIP Ethernet iwwer GRE ass. Näischt an deem Kommando verschlësselt eppes, dofir kënnt d'Préifung vum Ënnergrond als éischt.

Bréckt nëmmen d'Testports

Eng Bréck ass dat, wat den Tunnel zu engem Segment mécht, an hir Zesummesetzung ass déi ganz Sécherheetsgrenz. Um Hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Um LTE-Router:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Dës Kommandoen erleeën nei Brécken a bäisetzen all just zwou Porten. Den EoIP-Interface ass dat zweeter-Schicht-Member; den verschlësselten Tunnel bleift geroutenen Transport a däerf ni als Bréckport bäigesat ginn. Setzt keng Produktiounsport bäi a start keng DHCP-Server op der Laborbréck.

Gitt den zwéin Testhosts Adressen an engem net benotzten Subnetz ouni konkurréierende DHCP-Server, zum Beispill 192.168.77.11/24 an 192.168.77.12/24. Si brauchen keen Standardgateway, fir sech an deem Subnetz ze erreechen, an eng Routerinterfaceadress ass net néideg, fir datt d'Framen duerchgoen.

Kalkuléiert den Iwwerkapp, ier Dir e LAN erweidert

EoIP iwwer IPv4 bäisetzt Ethernet-, GRE- an baussenzeg IP-Header ëm d'transportéiert Notzlaascht. Fir den ongetaggte Fall dokumentéiert MikroTik 42 Byte, dofir léisst en Ënnergrond mat 1400 Byte notzbarer IP-MTU 1358 Byte fir den inneren Frame. Dës Zuel ass e Budget an keen universelle MSS-Wäert, an et zwingt keen gebréckten Host, méi kleng Frame ze schécken.

Iwwerpréift déi reell Grenzen um Wee an test dann mat dem gréisste Frame, deen den Apparat wierklech schéckt. En Frame vun 1500 Byte, deen am geschützte Wee fragmentéiert muss ginn, verhält sech anescht wéi een, deen erapasst, an den Ënnerscheed weist sech als Stocke vun der Applikatioun an net als Linkfehler.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP behandelt Schleifen, net arbiträr parallell Weeër, dofir hält d'Pilot-Topologie einfach. D'Erweidere vun enger Bréck erweidert och Broadcast-, Multicast- an DHCP-Verhalen iwwer de mobille Link, an deen Trafic verbraucht Kapazitéit, ob e notzlechen Frame leeft oder net.

Plangt eng Produktiounsuconnection eréischt, wann de Laboratoire d'Framgréisst an d'Applikatiounsverhalen erreecht, déi Dir wierklech braucht. Virun deem Wiessel musst Dir Iech iwwer Adresséierung, VLAN-Memberschaft, DHCP-Autoritéit, Schleifepréventioun a wéi een d'Routere erreecht, wann d'Verbindung selwer ënnen ass, eens ginn. Eng Ethernet-Erweiderung verbënnt Fehlerdomänen souwéi Apparater, dofir verdéngt se eng Ännerungsfenster amplaz nach ee Port op enger funktionéierender Bréck.