LTE VPN ലിങ്കിൽ EoIP: ചെറിയ RouterOS ലാബ് നിർമ്മിക്കുന്നു

EoIP ഒരു പൂർണ്ണ Ethernet ഫ്രെയിം എടുത്ത് GRE-യിൽ പൊതിഞ്ഞ് കോൺഫിഗർ ചെയ്ത ദൂരെയുള്ള വിലാസത്തിലേക്ക് അയയ്ക്കുന്നു, അതിനാൽ ഫലം റൂട്ട് പോലെയല്ല, കേബിൾ പോലെ പെരുമാറുന്നു. റൗട്ടറിൽ നിന്ന് പുറത്തുവരുന്നത് IP പ്രോട്ടോക്കോൾ 47 ആണ്, യഥാർത്ഥ ഫ്രെയിം പേലോഡ് ആയി, അതിനാൽ ബ്രോഡ്കാസ്റ്റുകളും ARP-യും IP അല്ലാത്ത പ്രോട്ടോക്കോളുകളും എല്ലാം കടക്കുന്നു. GRE സ്വന്തമായി രഹസ്യസ്വഭാവം ചേർക്കുന്നില്ല, പുറത്തെ പാക്കറ്റ് കാണുന്ന എന്തിനും ഫ്രെയിം വായിക്കാനാകുന്നതായി തുടരുന്നു. ആ ഒരു വസ്തുതയാണ് ഈ ലാബിന്റെ ക്രമം തീരുമാനിക്കുന്നത്: ആദ്യം എൻക്രിപ്റ്റ് ചെയ്ത പാത നിർമ്മിക്കുക, പിന്നീട് അതിനുള്ളിൽ Ethernet കൊണ്ടുപോകുക.

EoIP എന്താണ് പൊതിയുന്നത്, എന്താണ് പൊതിയാത്തത്

എൻകാപ്സുലേഷനാണ് മുഴുവൻ സംവിധാനം. ഒരു ഫ്രെയിം ബ്രിഡ്ജ് ചെയ്ത പോർട്ടിൽ എത്തുന്നു, GRE ഹെഡറും പുറത്തെ IP ഹെഡറും നേടി ഇണ റൗട്ടറിലേക്ക് എത്തിക്കുന്നു, അത് രണ്ടും നീക്കി ഫ്രെയിം സ്വന്തം ബ്രിഡ്ജിലേക്ക് കുത്തിവയ്ക്കുന്നു. സ്വീകരിക്കുന്ന ബ്രിഡ്ജ് ഉറവിട MAC-നെ പ്രാദേശിക പോർട്ടിൽ നിന്ന് പഠിക്കുന്നതുപോലെ തന്നെ പഠിക്കുന്നു. ആ പ്രക്രിയയിൽ ഒന്നും ഫ്രെയിം പ്രാമാണീകരിക്കുന്നില്ല, മറയ്ക്കുന്നുമില്ല.

അതിനാൽ രഹസ്യസ്വഭാവം GRE പാക്കറ്റ് സഞ്ചരിക്കുന്ന പാതയിൽ നിന്ന് വരണം. ഈ രൂപകൽപ്പനയിൽ താഴത്തെ പാളി രണ്ട് റൗട്ടറുകൾക്കിടയിലുള്ള WireGuard അല്ലെങ്കിൽ IPsec ടണൽ ആണ്, EoIP അതിനുള്ളിൽ കൊണ്ടുപോകുന്നു. MikroTik EoIP ഇന്റർഫേസിൽ തന്നെ സ്വയമേവയുള്ള IPsec ഓപ്ഷനും നൽകുന്നു, അത് മറ്റൊരു ക്രമീകരണമാണ്, ഈ ലാബ് കോൺഫിഗർ ചെയ്യുന്നത് അല്ല.

റൂട്ട് ചെയ്ത IP സേവനങ്ങൾക്ക്, റൂട്ട് ചെയ്ത VPN ആണ് ചെറിയ രൂപകൽപ്പനയും മുൻഗണന നൽകേണ്ടതും. ഒരു ഉപകരണത്തിന് യഥാർത്ഥത്തിൽ മറ്റേ സൈറ്റിലെ Ethernet ഫ്രെയിമുകൾ കാണേണ്ടിവന്നാൽ മാത്രം രണ്ടാം പാളിയിലേക്ക് പോകുക.

മുൻവ്യവസ്ഥകൾ: എൻക്രിപ്റ്റ് ചെയ്ത താഴത്തെ പാളിയും രണ്ട് ഉപയോഗിക്കാത്ത പോർട്ടുകളും

രണ്ട് റൗട്ടറുകൾക്കും സ്ഥാപിതമായ എൻക്രിപ്റ്റ് ചെയ്ത ലിങ്കും ഇണയ്ക്ക് എത്താനാകുന്ന അതിലെ ഒരു വിലാസവും വേണം. പുറത്തെ കണക്ഷൻ LTE വശമാണ് ആരംഭിക്കുന്നത്, അതിനാൽ ഹബ് ഒരിക്കലും മൊബൈൽ നെറ്റ്വർക്കിലേക്ക് ഡയൽ ചെയ്യുന്നില്ല, LTE റൗട്ടർ ഓപ്പറേറ്റർ ആവശ്യപ്പെടുന്ന NAT അവസ്ഥ നിലനിർത്തുന്നു. അതിന് മുകളിൽ എന്തെങ്കിലും ചേർക്കുന്നതിന് മുമ്പ് ടണൽ പ്രവർത്തിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക, കാരണം അതിന്റെ ദൂരെയുള്ള വിലാസത്തിൽ എത്താത്ത EoIP ഇന്റർഫേസ് തെറ്റായി കോൺഫിഗർ ചെയ്തതുപോലെ തന്നെ കാണപ്പെടുന്നു.

ഓരോ റൗട്ടറിനും ഇതിനകം ബ്രിഡ്ജ് അംഗമോ VLAN ട്രങ്കോ മാനേജ്മെന്റ് ഇന്റർഫേസോ പ്രൊഡക്ഷൻ ലിങ്കോ അല്ലാത്ത ഒരു പോർട്ട് കൂടി വേണം. സജീവമായ പോർട്ട് കടം വാങ്ങുന്ന ലാബ് ലാബല്ല, പ്രവർത്തിക്കുന്ന നെറ്റ്വർക്കിൽ ബ്രോഡ്കാസ്റ്റ് കൊടുങ്കാറ്റാണ് പരാജയരീതി. തുടങ്ങുന്നതിന് മുമ്പ് മാനേജ്മെന്റ് മറ്റൊരു ഇന്റർഫേസിലേക്കോ കൺസോളിലേക്കോ മാറ്റുക.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

ആ മൂല്യങ്ങൾ ഒരു ഉദാഹരണമാണ്, ആവശ്യകതയല്ല. അവ ടണൽ ഇന്റർഫേസുകളിൽ ആയിരിക്കണം, സംരക്ഷിത പാതയിലൂടെ റൂട്ട് ചെയ്യണം. രണ്ട് റൗട്ടറുകളുടെയും ഫയർവാൾ നയം രണ്ട് ടണൽ വിലാസങ്ങൾക്കിടയിൽ GRE അനുവദിക്കണം, GRE എന്നത് IP പ്രോട്ടോക്കോൾ 47 ആണ്, 47 നമ്പർ TCP അല്ലെങ്കിൽ UDP പോർട്ടല്ല. ഈ രൂപകൽപ്പന ഒരിക്കലും അസംസ്കൃത GRE ഏതെങ്കിലും WAN-ന് വെളിപ്പെടുത്തുന്നില്ല.

പൊരുത്തപ്പെടുന്ന ID-കളുമായി ടണൽ ജോടി സൃഷ്ടിക്കുക

രണ്ട് അറ്റങ്ങളും രണ്ടുതവണ നിർവചിച്ച ഒരു ലോജിക്കൽ ഇന്റർഫേസാണ്, അതിനാൽ ഓരോ തിരിച്ചറിയൽ ഫീൽഡും പൊരുത്തപ്പെടണം. ഹബിൽ:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE റൗട്ടറിൽ വിലാസങ്ങൾ മാറുന്നു, MAC വ്യത്യസ്തമാണ്:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ടണൽ ID രണ്ട് അറ്റങ്ങളിലും പൊരുത്തപ്പെടണം, ഏതെങ്കിലും റൗട്ടറിൽ ഇതിനകം കോൺഫിഗർ ചെയ്ത മറ്റൊരു ജോടിയുമായി കൂട്ടിയിടിക്കരുത്. MAC വിലാസങ്ങൾ പ്രാദേശികമായി നിർവഹിക്കുന്ന മൂല്യങ്ങളാണ്, നിങ്ങൾ ചേരുന്ന രണ്ടാം പാളി ഡൊമെയ്നിൽ അവ അദ്വിതീയമായിരിക്കണം, അതിനാൽ വിൽപ്പനക്കാരന്റെ ഉദാഹരണത്തിലെ മൂല്യം വീണ്ടും ഉപയോഗിക്കരുത്. ഇന്റർഫേസ് പേരുകൾ ഓരോ റൗട്ടറിനും പ്രാദേശികമാണ്, നിങ്ങളുടെ സ്വന്തം സ്ക്രിപ്റ്റുകൾക്ക് മാത്രം സ്ഥിരതയുണ്ടായാൽ മതി.

നിലവിലെ EoIP മാനുവൽ എൻഡ്പോയിന്റും ടണൽ ID ഫീൽഡുകളും രേഖപ്പെടുത്തുന്നു, EoIP GRE-യ്ക്ക് മുകളിലുള്ള Ethernet ആണെന്ന് വ്യക്തമായി പറയുന്നു. ആ കമാൻഡിൽ ഒന്നും എൻക്രിപ്റ്റ് ചെയ്യുന്നില്ല, അതിനാൽ താഴത്തെ പാളിയുടെ പരിശോധന ആദ്യം വരുന്നു.

പരീക്ഷണ പോർട്ടുകൾ മാത്രം ബ്രിഡ്ജ് ചെയ്യുക

ടണലിനെ സെഗ്മെന്റാക്കി മാറ്റുന്നത് ബ്രിഡ്ജാണ്, അതിന്റെ ഘടനയാണ് മുഴുവൻ സുരക്ഷാ അതിർത്തി. ഹബിൽ:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE റൗട്ടറിൽ:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

ഈ കമാൻഡുകൾ പുതിയ ബ്രിഡ്ജുകൾ സൃഷ്ടിക്കുകയും ഓരോന്നിനും കൃത്യമായി രണ്ട് പോർട്ടുകൾ ചേർക്കുകയും ചെയ്യുന്നു. EoIP ഇന്റർഫേസാണ് രണ്ടാം പാളി അംഗം; എൻക്രിപ്റ്റ് ചെയ്ത ടണൽ റൂട്ട് ചെയ്ത ഗതാഗതമായി തുടരുന്നു, ഒരിക്കലും ബ്രിഡ്ജ് പോർട്ടായി ചേർക്കരുത്. പ്രൊഡക്ഷൻ പോർട്ട് ചേർക്കരുത്, ലാബ് ബ്രിഡ്ജിൽ DHCP സെർവർ ആരംഭിക്കരുത്.

രണ്ട് പരീക്ഷണ ഹോസ്റ്റുകൾക്ക് മത്സരിക്കുന്ന DHCP സെർവറില്ലാത്ത ഉപയോഗിക്കാത്ത സബ്നെറ്റിൽ വിലാസങ്ങൾ നൽകുക, ഉദാഹരണത്തിന് 192.168.77.11/24, 192.168.77.12/24. ആ സബ്നെറ്റിനുള്ളിൽ പരസ്പരം എത്താൻ അവർക്ക് ഡിഫോൾട്ട് ഗേറ്റ്വേ ആവശ്യമില്ല, ഫ്രെയിമുകൾ കടക്കാൻ റൗട്ടർ ഇന്റർഫേസ് വിലാസവും ആവശ്യമില്ല.

LAN വിപുലീകരിക്കുന്നതിന് മുമ്പ് അധിക ചെലവ് കണക്കാക്കുക

IPv4-ന് മുകളിലുള്ള EoIP കൊണ്ടുപോകുന്ന പേലോഡിന് ചുറ്റും Ethernet, GRE, പുറത്തെ IP ഹെഡറുകൾ ചേർക്കുന്നു. ടാഗ് ഇല്ലാത്ത കേസിന് MikroTik 42 ബൈറ്റ് രേഖപ്പെടുത്തുന്നു, അതിനാൽ 1400 ബൈറ്റ് ഉപയോഗയോഗ്യമായ IP MTU ഉള്ള താഴത്തെ പാളി ആന്തരിക ഫ്രെയിമിന് 1358 ബൈറ്റ് ബാക്കി നിർത്തുന്നു. ആ സംഖ്യ ഒരു ബജറ്റാണ്, സാർവത്രിക MSS മൂല്യമല്ല, ബ്രിഡ്ജ് ചെയ്ത ഹോസ്റ്റിനെ ചെറിയ ഫ്രെയിമുകൾ അയയ്ക്കാൻ അത് നിർബന്ധിക്കുന്നുമില്ല.

പാതയിലെ യഥാർത്ഥ പരിധികൾ പരിശോധിച്ച്, ഉപകരണം യഥാർത്ഥത്തിൽ അയയ്ക്കുന്ന ഏറ്റവും വലിയ ഫ്രെയിം ഉപയോഗിച്ച് പരീക്ഷിക്കുക. സംരക്ഷിത പാതയ്ക്കുള്ളിൽ വിഭജിക്കേണ്ട 1500 ബൈറ്റ് ഫ്രെയിം ഇടംപിടിക്കുന്ന ഫ്രെയിമിൽ നിന്ന് വ്യത്യസ്തമായി പെരുമാറുന്നു, വ്യത്യാസം ലിങ്ക് പരാജയമായല്ല, ആപ്ലിക്കേഷൻ നിലയ്ക്കലായാണ് കാണുന്നത്.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP ലൂപ്പുകൾ കൈകാര്യം ചെയ്യുന്നു, അനിയന്ത്രിത സമാന്തര പാതകളല്ല, അതിനാൽ പൈലറ്റ് ടോപ്പോളജി ലളിതമായി സൂക്ഷിക്കുക. ബ്രിഡ്ജ് വിപുലീകരിക്കുന്നത് മൊബൈൽ ലിങ്കിലുടനീളം ബ്രോഡ്കാസ്റ്റ്, മൾട്ടികാസ്റ്റ്, DHCP സ്വഭാവവും വിപുലീകരിക്കുന്നു, ഉപയോഗപ്രദമായ ഫ്രെയിം നീങ്ങുന്നുണ്ടെങ്കിലും ഇല്ലെങ്കിലും ആ ട്രാഫിക് ശേഷി ഉപഭോഗിക്കുന്നു.

ലാബ് യഥാർത്ഥത്തിൽ ആവശ്യമുള്ള ഫ്രെയിം വലിപ്പത്തിലും ആപ്ലിക്കേഷൻ സ്വഭാവത്തിലും എത്തിയശേഷം മാത്രം പ്രൊഡക്ഷൻ ബന്ധം ആസൂത്രണം ചെയ്യുക. ആ മാറ്റത്തിന് മുമ്പ് വിലാസവൽക്കരണം, VLAN അംഗത്വം, DHCP അധികാരം, ലൂപ്പ് പ്രതിരോധം, ലിങ്ക് തന്നെ തകർന്നാൽ ആരെങ്കിലും റൗട്ടറുകളിൽ എങ്ങനെ എത്തും എന്നിവയിൽ യോജിക്കുക. Ethernet വിപുലീകരണം ഉപകരണങ്ങൾക്കൊപ്പം പരാജയ ഡൊമെയ്നുകളും ബന്ധിപ്പിക്കുന്നു, അതിനാൽ പ്രവർത്തിക്കുന്ന ബ്രിഡ്ജിൽ ഒരു പോർട്ട് കൂടി ചേർക്കുന്നതിന് പകരം മാറ്റ വിൻഡോയ്ക്ക് അർഹമാണ്.