EoIP преку LTE VPN врска: изградба на мала RouterOS лабораторија

EoIP пренесува Ethernet кадри во GRE, а GRE ништо не шифрира. Изградете ја лабораторијата на работна WireGuard врска, држете го мостот изолиран, планирајте 42 бајти.

EoIP зема целосен Ethernet кадар, го завиткува во GRE и го испраќа до конфигурирана оддалечена адреса, затоа резултатот се однесува како кабел, а не како маршрута. Од рутерот излегува IP протокол 47 со оригиналниот кадар како корисен товар, па затоа емитувањата, ARP и протоколите што не се IP поминуваат сите. GRE не додава сопствена доверливост и кадарот останува читлив за сѐ што го гледа надворешниот пакет. Тој еден факт го одредува редоследот на оваа лабораторија: прво изградете го шифрираниот пат, потоа пренесувајте Ethernet внатре во него.

Што завиткува EoIP и што не

Инкапсулацијата е целиот механизам. Кадар пристигнува на порта во мост, добива GRE заглавие и надворешно IP заглавие и се доставува до партнерскиот рутер, кој ги отстранува двете и го вметнува кадарот во својот мост. Приемниот мост ја учи изворната MAC точно како од локална порта. Ништо во тој процес не го автентицира кадарот и не го крие.

Затоа доверливоста мора да дојде од патот по кој патува GRE пакетот. Во овој проект долниот слој е тунел WireGuard или IPsec помеѓу двата рутера, а EoIP се пренесува внатре во него. MikroTik нуди и опција за автоматски IPsec на самата EoIP интерфејс, што е друг распоред и не е она што го конфигурира оваа лабораторија.

За рутирани IP услуги, рутиран VPN е помалиот проект и оној на кој треба да му се даде предност. Посегнете по вториот слој само кога на уредот навистина му треба да ги гледа Ethernet кадрите од другата локација.

Предуслови: шифриран долен слој и две неискористени порти

На двата рутера им треба воспоставена шифрирана врска и адреса на неа до која партнерот може да стигне. Надворешната врска ја започнува LTE страната, па центарот никогаш не го бира мобилниот мрежен, а LTE рутерот ја одржува NAT-состојбата што ја бара операторот. Потврдете дека тунелот работи пред да додадете нешто врз него, бидејќи EoIP интерфејс што не ја достигнува својата оддалечена адреса изгледа исто како погрешно конфигуриран.

На секој рутер му треба и една порта што веќе не е член на мост, VLAN транк, интерфејс за управување или производствена врска. Лабораторија што позајмува активна порта не е лабораторија, а режимот на откажување е емитувачка бура во работна мрежа. Преместете го управувањето на друг интерфејс или на конзолата пред да започнете.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Овие вредности се пример, а не барање. Тие мора да стојат на тунелските интерфејси и да се рутираат низ заштитениот пат. Политиката на огнениот ѕид на двата рутера мора да дозволува GRE помеѓу двете тунелски адреси, а GRE е IP протокол 47, а не TCP или UDP порта со број 47. Овој проект никогаш не изложува суров GRE на ниту еден од двата WAN.

Создадете пар тунели со соодветни ID

Двата краја се еден логичен интерфејс дефиниран двапати, затоа секое идентификациско поле мора да се совпаѓа. На центарот:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

На LTE рутерот адресите се заменуваат, а MAC се разликува:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID на тунелот мора да се совпаѓа на двата краја и не смее да се судри со друг пар веќе конфигуриран на кој било рутер. MAC адресите се локално управувани вредности што мора да бидат единствени во доменот на вториот слој на кој се приклучувате, затоа не користете повторно вредност од пример на производител. Имињата на интерфејсите се локални за секој рутер и треба да бидат доследни само за вашите сопствени скрипти.

Тековниот прирачник за EoIP ги документира полињата за крајна точка и ID на тунел и јасно вели дека EoIP е Ethernet над GRE. Ништо во таа команда не шифрира ништо, затоа проверката на долниот слој доаѓа прва.

Мост само за тест портите

Мостот е она што тунелот го претвора во сегмент, а неговиот состав е целата безбедносна граница. На центарот:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

На LTE рутерот:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Овие команди создаваат нови мостови и додаваат точно две порти на секој. EoIP интерфејсот е член на вториот слој; шифрираниот тунел останува рутиран транспорт и никогаш не смее да се додаде како порта на мост. Не додавајте производствена порта и не стартувајте DHCP сервер на лабораторискиот мост.

Дајте им на двата тест домаќини адреси во неискористена подмрежа без конкурентен DHCP сервер, на пример 192.168.77.11/24 и 192.168.77.12/24. Тие не им треба стандардна порта за да се достигнат еден со друг во таа подмрежа, а адреса на рутерски интерфејс не е потребна за кадрите да поминат.

Пресметајте ги дополнителните трошоци пред да проширите LAN

EoIP над IPv4 додава Ethernet, GRE и надворешни IP заглавија околу пренесениот корисен товар. За неозначениот случај MikroTik документира 42 бајти, па долниот слој со 1400 бајти употреблив IP MTU остава 1358 бајти за внатрешниот кадар. Таа бројка е буџет, а не универзална MSS вредност, и не го принудува домаќинот во мост да испраќа помали кадри.

Проверете ги вистинските граници на патот, потоа тестирајте со најголемиот кадар што уредот навистина го испраќа. Кадар од 1500 бајти што мора да се фрагментира во заштитениот пат се однесува поинаку од оној што се вклопува, а разликата се појавува како застој на апликацијата, а не како отказ на врската.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP се справува со јамки, не со произволни паралелни патишта, затоа држете ја пилот топологијата едноставна. Проширувањето на мост го проширува и однесувањето на емитување, multicast и DHCP преку мобилната врска, а тој сообраќај троши капацитет без оглед на тоа дали се движи корисен кадар.

Планирајте производно приклучување само кога лабораторијата ќе ја достигне големината на кадарот и однесувањето на апликацијата што навистина ви се потребни. Пред тој премин договорете се за адресирање, членство во VLAN, овластување за DHCP, спречување јамки и како некој стигнува до рутерите кога самата врска е падната. Проширувањето на Ethernet ги поврзува домените на откажување заедно со уредите, затоа заслужува прозорец за промени, а не уште една порта на работен мост.

Поврзани статии