EoIP per LTE VPN ryšį: mažos RouterOS laboratorijos kūrimas

EoIP paima visą Ethernet kadrą, apvynioja jį GRE ir nusiunčia į sukonfigūruotą nuotolinį adresą, todėl rezultatas elgiasi kaip kabelis, o ne kaip maršrutas. Iš maršrutizatoriaus išeina IP protokolas 47 su pirminiu kadru kaip naudinguoju kroviniu, todėl transliacijos, ARP ir ne IP protokolai visi praeina. GRE neprideda savo konfidencialumo, o kadras lieka skaitomas viskam, kas mato išorinį paketą. Šis vienas faktas nulemia šios laboratorijos tvarką: pirmiausia sukurkite šifruotą kelią, tada perkelkite Ethernet jo viduje.

Ką EoIP apvynioja, o ko ne

Inkapsuliavimas yra visas mechanizmas. Kadras atvyksta į tiltu sujungtą prievadą, gauna GRE antraštę ir išorinę IP antraštę ir perduodamas partneriui maršrutizatoriui, kuris pašalina abi ir įterpia kadrą į savo tiltą. Priimantis tiltas išmoksta šaltinio MAC lygiai taip pat, kaip iš vietinio prievado. Niekas tame procese neautentifikuoja kadro ir jo neslepia.

Todėl konfidencialumas turi ateiti iš kelio, kuriuo keliauja GRE paketas. Šioje konstrukcijoje apatinis sluoksnis yra WireGuard arba IPsec tunelis tarp dviejų maršrutizatorių, o EoIP pernešamas jo viduje. MikroTik taip pat siūlo automatinę IPsec parinktį pačioje EoIP sąsajoje, tačiau tai kita schema ir ne tai, ką konfigūruoja ši laboratorija.

Maršrutizuotoms IP paslaugoms maršrutizuotas VPN yra mažesnė konstrukcija ir ta, kuriai reikėtų teikti pirmenybę. Į antrą sluoksnį kreipkitės tik tada, kai įrenginiui tikrai reikia matyti kito objekto Ethernet kadrus.

Būtinos sąlygos: šifruotas apatinis sluoksnis ir du nenaudojami prievadai

Abiem maršrutizatoriams reikia nustatyto šifruoto ryšio ir jame adreso, kurį partneris gali pasiekti. Išorinį ryšį inicijuoja LTE pusė, todėl šakotuvas niekada neskambina mobiliojo tinklo, o LTE maršrutizatorius palaiko tą NAT būseną, kurios reikalauja operatorius. Patvirtinkite, kad tunelis veikia, prieš ką nors pridėdami ant jo, nes EoIP sąsaja, kuri nepasiekia savo nuotolinio adreso, atrodo lygiai taip pat kaip neteisingai sukonfigūruota.

Kiekvienam maršrutizatoriui taip pat reikia vieno prievado, kuris dar nėra tilto narys, VLAN trunkas, valdymo sąsaja ar gamybinis ryšys. Laboratorija, kuri skolinasi veikiantį prievadą, nėra laboratorija, o gedimo režimas yra transliacijos audra veikiančiame tinkle. Prieš pradėdami perkelkite administravimą į kitą sąsają arba į konsolę.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Šios reikšmės yra pavyzdys, o ne reikalavimas. Jos turi būti tunelio sąsajose ir maršrutizuojamos apsaugotu keliu. Abiejų maršrutizatorių ugniasienės politika turi leisti GRE tarp dviejų tunelio adresų, o GRE yra IP protokolas 47, o ne 47 numerio TCP ar UDP prievadas. Ši konstrukcija niekada neatskleidžia neapdoroto GRE nė vienam WAN.

Sukurkite tunelių porą su atitinkančiais ID

Abu galai yra viena loginė sąsaja, apibrėžta du kartus, todėl kiekvienas identifikavimo laukas turi sutapti. Šakotuve:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE maršrutizatoriuje adresai apsikeičia, o MAC skiriasi:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunelio ID turi sutapti abiejuose galuose ir neturi susidurti su kita pora, jau sukonfigūruota bet kuriame maršrutizatoriuje. MAC adresai yra vietoje administruojamos reikšmės, kurios turi būti unikalios antro sluoksnio domene, į kurį jungiatės, todėl nekartokite reikšmės iš gamintojo pavyzdžio. Sąsajų pavadinimai yra vietiniai kiekvienam maršrutizatoriui ir turi būti nuoseklūs tik jūsų paties scenarijams.

Dabartinis EoIP vadovas dokumentuoja galinio taško ir tunelio ID laukus ir aiškiai sako, kad EoIP yra Ethernet virš GRE. Niekas toje komandoje nieko nešifruoja, todėl apatinio sluoksnio patikra atliekama pirmiausia.

Tiltu sujunkite tik bandymo prievadus

Tiltas yra tai, kas tunelį paverčia segmentu, o jo sudėtis yra visa saugumo riba. Šakotuve:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE maršrutizatoriuje:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Šios komandos sukuria naujus tiltus ir prie kiekvieno prideda lygiai du prievadus. EoIP sąsaja yra antro sluoksnio narys; šifruotas tunelis lieka maršrutizuotu transportu ir niekada neturi būti pridedamas kaip tilto prievadas. Nepridėkite gamybinio prievado ir nepaleiskite DHCP serverio laboratorijos tilte.

Duokite dviem bandymo mazgams adresus nenaudojamame potinklyje be konkuruojančio DHCP serverio, pavyzdžiui, 192.168.77.11/24 ir 192.168.77.12/24. Jiems nereikia numatytojo šliuzo, kad pasiektų vienas kitą tame potinklyje, o maršrutizatoriaus sąsajos adresas nereikalingas kadrams praeiti.

Suplanuokite pridėtines išlaidas prieš plėsdami LAN

EoIP virš IPv4 prideda Ethernet, GRE ir išorines IP antraštes aplink pernešamą naudingąjį krovinį. Nežymėtam atvejui MikroTik dokumentuoja 42 baitus, todėl apatinis sluoksnis su 1400 baitų naudingo IP MTU palieka 1358 baitus vidiniam kadrui. Šis skaičius yra biudžetas, o ne universalus MSS dydis, ir jis neverčia tilto mazgo siųsti mažesnių kadrų.

Patikrinkite tikruosius ribas kelyje, tada išbandykite didžiausiu kadru, kurį įrenginys iš tikrųjų siunčia. 1500 baitų kadras, kurį reikia fragmentuoti apsaugotame kelyje, elgiasi kitaip nei telpantis, o skirtumas pasireiškia kaip programos sustojimas, o ne kaip ryšio gedimas.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP tvarko kilpas, o ne savavališkus lygiagrečius kelius, todėl palaikykite bandomąją topologiją paprastą. Tilto plėtimas taip pat išplečia transliacijos, multicast ir DHCP elgseną per mobilųjį ryšį, o tas srautas naudoja pralaidumą nepriklausomai nuo to, ar juda naudingas kadras.

Gamybinį prijungimą planuokite tik tada, kai laboratorija pasiekia tuos kadro dydžius ir programos elgseną, kurių jums tikrai reikia. Prieš tą perėjimą susitarkite dėl adresavimo, VLAN narystės, DHCP įgaliojimų, kilpų prevencijos ir kaip kas nors pasiekia maršrutizatorius, kai pats ryšys neveikia. Ethernet plėtinys sujungia gedimų sritis kartu su įrenginiais, todėl jis nusipelno pakeitimų lango, o ne dar vieno prievado veikiančiame tilte.