EoIP pār LTE VPN saiti: mazas RouterOS laboratorijas izveide

EoIP paņem pilnu Ethernet kadru, ietin to GRE un nosūta uz konfigurētu attālo adresi, tāpēc rezultāts uzvedas kā kabelis, nevis kā maršruts. No maršrutētāja iznāk IP protokols 47 ar oriģinālo kadru kā lietderīgo slodzi, tāpēc apraides, ARP un ne-IP protokoli visi iet cauri. GRE nepievieno savu konfidencialitāti, un kadrs paliek lasāms visam, kas redz ārējo paketi. Šis viens fakts nosaka šīs laboratorijas secību: vispirms izveidojiet šifrēto ceļu, tad pārvietojiet Ethernet tā iekšienē.

Ko EoIP ietin un ko ne

Iekapsulēšana ir viss mehānisms. Kadrs ierodas tiltā iekļautā portā, saņem GRE galveni un ārējo IP galveni un tiek nogādāts partnera maršrutētājam, kas noņem abas un ievada kadru savā tiltā. Saņēmējs tilts iemācās avota MAC tieši tāpat kā no lokāla porta. Nekas šajā procesā neautentificē kadru un to neslēpj.

Tāpēc konfidencialitātei jānāk no ceļa, pa kuru ceļo GRE pakete. Šajā projektā apakšējais slānis ir WireGuard vai IPsec tunelis starp diviem maršrutētājiem, un EoIP tiek pārnests tā iekšienē. MikroTik piedāvā arī automātisku IPsec opciju pašā EoIP saskarnē, taču tas ir cits izkārtojums un nav tas, ko konfigurē šī laboratorija.

Maršrutētiem IP pakalpojumiem maršrutēts VPN ir mazāks projekts un tas, kam jādod priekšroka. Pievērsieties otrajam slānim tikai tad, kad ierīcei patiešām jāredz otras vietas Ethernet kadri.

Priekšnosacījumi: šifrēts apakšējais slānis un divi neizmantoti porti

Abiem maršrutētājiem vajadzīgs izveidots šifrēts savienojums un adrese uz tā, ko partneris var sasniegt. Ārējo savienojumu uzsāk LTE puse, tāpēc centrmezgls nekad nezvana mobilajā tīklā, un LTE maršrutētājs uztur to NAT stāvokli, ko pieprasa operators. Pirms kaut ko virsū pievienot, pārliecinieties, ka tunelis darbojas, jo EoIP saskarne, kas nesasniedz savu attālo adresi, izskatās tieši tāpat kā nepareizi konfigurēta.

Katram maršrutētājam vajadzīgs arī viens ports, kas vēl nav tilta dalībnieks, VLAN trastūra, pārvaldības saskarne vai ražošanas saite. Laboratorija, kas aizņemas dzīvu portu, nav laboratorija, un atteices režīms ir apraides vētra strādājošā tīklā. Pirms sākšanas pārvietojiet pārvaldību uz citu saskarni vai konsoli.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Šīs vērtības ir piemērs, nevis prasība. Tām jāatrodas uz tuneļa saskarnēm un jābūt maršrutētām pa aizsargāto ceļu. Abiem maršrutētājiem ugunsmūra politikai jāatļauj GRE starp divām tuneļa adresēm, un GRE ir IP protokols 47, nevis TCP vai UDP ports ar numuru 47. Šis projekts nekad neatklāj neapstrādātu GRE nevienam no WAN.

Izveidojiet tuneļu pāri ar atbilstošiem ID

Abi gali ir viena loģiskā saskarne, definēta divreiz, tāpēc katram identifikācijas laukam jāsakrīt. Centrmezglā:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE maršrutētājā adreses mainās vietām, un MAC atšķiras:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tuneļa ID jāsakrīt abos galos un nedrīkst sadurties ar citu pāri, kas jau konfigurēts kādā no maršrutētājiem. MAC adreses ir lokāli pārvaldītas vērtības, kurām jābūt unikālām otrā slāņa domēnā, kuram pievienojaties, tāpēc neizmantojiet atkārtoti vērtību no ražotāja piemēra. Saskarņu nosaukumi ir lokāli katram maršrutētājam, un tiem jābūt konsekventiem tikai jūsu pašu skriptiem.

Pašreizējā EoIP rokasgrāmata dokumentē galapunkta un tuneļa ID laukus un skaidri saka, ka EoIP ir Ethernet virs GRE. Nekas šajā komandā neko nešifrē, tāpēc apakšējā slāņa pārbaude notiek vispirms.

Tiltā iekļaujiet tikai testa portus

Tilts ir tas, kas tuneli pārvērš segmentā, un tā sastāvs ir visa drošības robeža. Centrmezglā:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE maršrutētājā:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Šīs komandas izveido jaunus tiltus un katram pievieno tieši divus portus. EoIP saskarne ir otrā slāņa dalībnieks; šifrētais tunelis paliek maršrutēts transports un nekad nedrīkst tikt pievienots kā tilta ports. Nepievienojiet ražošanas portu un nepalaidiet DHCP serveri laboratorijas tiltā.

Dodiet diviem testa datoriem adreses neizmantotā apakštīklā bez konkurējoša DHCP servera, piemēram, 192.168.77.11/24 un 192.168.77.12/24. Viņiem nav vajadzīgs noklusējuma vārteja, lai sasniegtu viens otru šajā apakštīklā, un maršrutētāja saskarnes adrese nav nepieciešama, lai kadri izietu cauri.

Aprēķiniet papildu izmaksas pirms LAN paplašināšanas

EoIP virs IPv4 pievieno Ethernet, GRE un ārējās IP galvenes ap pārnēsāto lietderīgo slodzi. Nezīmētam gadījumam MikroTik dokumentē 42 baitus, tāpēc apakšējais slānis ar 1400 baitu izmantojamu IP MTU atstāj 1358 baitus iekšējam kadram. Šis skaitlis ir budžets, nevis universāla MSS vērtība, un tas neuzspiež tiltā iekļautam datoram sūtīt mazākus kadrus.

Pārbaudiet reālās robežas ceļā un pēc tam testējiet ar lielāko kadru, ko ierīce patiešām sūta. 1500 baitu kadrs, kas jāsadala aizsargātā ceļā, uzvedas savādāk nekā tāds, kas iekļaujas, un atšķirība izpaužas kā lietojumprogrammas apstāšanās, nevis kā saites atteice.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP risina cilpas, nevis patvaļīgus paralēlus ceļus, tāpēc uzturiet izmēģinājuma topoloģiju vienkāršu. Tilta paplašināšana paplašina arī apraides, multicast un DHCP uzvedību pāri mobilajai saitei, un šis trafiks patērē jaudu neatkarīgi no tā, vai kustas lietderīgs kadrs.

Ražošanas pieslēgumu plānojiet tikai tad, kad laboratorija sasniedz to kadra izmēru un lietojumprogrammas uzvedību, kas jums patiešām vajadzīga. Pirms šīs pārejas vienojieties par adresāciju, VLAN dalību, DHCP pilnvarām, cilpu novēršanu un to, kā kāds nokļūst pie maršrutētājiem, kad pati saite ir pazaudēta. Ethernet paplašinājums savieno atteices domēnus kopā ar ierīcēm, tāpēc tas ir pelnījis izmaiņu logu, nevis vēl vienu portu strādājošā tiltā.