LTE VPN холбоос дээрх EoIP: жижиг RouterOS лаборатори байгуулах

EoIP нь Ethernet фреймийг GRE-ийн дотор зөөдөг бөгөөд GRE юуг ч шифрлэдэггүй. Ажиллаж буй WireGuard холбоос дээр лабораторийг барьж, гүүрийг тусгаарлаж, 42 байтыг төсөвлө.

EoIP бүрэн Ethernet фреймийг авч, GRE-д боож, тохируулсан алсын хаяг руу илгээдэг тул үр дүн нь маршрут биш кабель мэт ажилладаг. Роутераас гарч буй зүйл бол IP протокол 47 бөгөөд анхны фрейм ачаа болдог тул нэвтрүүлэг, ARP болон IP бус протоколууд бүгд дамждаг. GRE өөрийн гэсэн нууцлал нэмдэггүй бөгөөд гадаад пакетыг харж чадах бүхэнд фрейм уншигдахуйц хэвээр байна. Энэ нэг баримт энэ лабораторийн дарааллыг тодорхойлно: эхлээд шифрлэгдсэн замыг барьж, дараа нь түүний дотор Ethernet зөөнө.

EoIP юуг боож, юуг боохгүй вэ

Инкапсуляци нь бүх механизм. Фрейм гүүрэлсэн порт дээр ирж, GRE толгой болон гадаад IP толгойг авч, хос роутерт хүргэгдэх бөгөөд тэр нь хоёуланг нь салгаж, фреймийг өөрийн гүүрт шургуулна. Хүлээн авагч гүүр эх MAC-ийг локал портоос сурсантай яг адил сурна. Тэр процесст юу ч фреймийг баталгаажуулахгүй, нуухгүй.

Тиймээс нууцлал нь GRE пакет явдаг замаас ирэх ёстой. Энэ загварт доод давхарга нь хоёр роутерын хоорондох WireGuard эсвэл IPsec туннель бөгөөд EoIP түүний дотор зөөгдөнө. MikroTik мөн EoIP интерфейс дээр өөрөө автомат IPsec сонголтыг санал болгодог боловч энэ нь өөр зохион байгуулалт бөгөөд энэ лабораторийн тохируулж буй зүйл биш.

Маршрутлагдсан IP үйлчилгээнд маршрутлагдсан VPN нь жижиг загвар бөгөөд давуу тавих ёстой нь юм. Төхөөрөмж нөгөө сайтын Ethernet фреймийг үнэхээр харах шаардлагатай үед л хоёр дахь давхаргад хандаарай.

Урьдчилсан нөхцөл: шифрлэгдсэн доод давхарга болон ашиглагдаагүй хоёр порт

Хоёр роутерт хоёуланд нь тогтоосон шифрлэгдсэн холбоос, түүн дээр хос хүрч чадах хаяг хэрэгтэй. Гадаад холболтыг LTE тал эхлүүлдэг тул төв хэзээ ч гар утасны сүлжээ рүү залгахгүй бөгөөд LTE роутер операторын шаарддаг NAT төлөвийг хадгална. Дээр нь ямар нэгэн зүйл нэмэхийн өмнө туннель ажиллаж байгааг баталгаажуулаарай, учир нь алсын хаягаа хүрч чадахгүй EoIP интерфейс буруу тохируулсантай яг адил харагдана.

Роутер бүрт мөн гүүрийн гишүүн, VLAN транк, удирдлагын интерфейс эсвэл үйлдвэрлэлийн холбоос биш нэг порт хэрэгтэй. Ажиллаж байгаа портыг зээлсэн лаборатори нь лаборатори биш бөгөөд эвдрэлийн горим нь ажиллаж буй сүлжээн дэх нэвтрүүлгийн шуурга юм. Эхлэхийн өмнө удирдлагыг өөр интерфейс эсвэл консол руу шилжүүлээрэй.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Эдгээр утга нь жишээ бөгөөд шаардлага биш. Тэдгээр нь туннелийн интерфейс дээр байх ёстой бөгөөд хамгаалагдсан замаар маршрутлагдах ёстой. Хоёр роутерын галт ханын бодлого хоёр туннелийн хаягийн хооронд GRE-г зөвшөөрөх ёстой бөгөөд GRE нь IP протокол 47, 47 дугаартай TCP эсвэл UDP порт биш. Энэ загвар нь түүхий GRE-г аль ч WAN-д хэзээ ч ил гаргадаггүй.

Тохирох ID-тай туннелийн хосыг үүсгэ

Хоёр төгсгөл нь хоёр удаа тодорхойлогдсон нэг логик интерфейс тул таних талбар бүр тохирох ёстой. Төв дээр:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE роутер дээр хаягууд эсрэгээрээ болж, MAC өөр байна:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Туннелийн ID нь хоёр төгсгөлд тохирох ёстой бөгөөд аль ч роутерт өмнө нь тохируулсан өөр хосотой мөргөлдөх ёсгүй. MAC хаягууд нь локалаар удирдагдах утга бөгөөд таны нэгдэж буй хоёр дахь давхаргын домэйнд өвөрмөц байх ёстой тул үйлдвэрлэгчийн жишээнээс утгыг дахин бүү ашигла. Интерфейсийн нэрс роутер бүрт локал бөгөөд зөвхөн өөрийн скриптэд нийцэхэд хангалттай.

Одоогийн EoIP гарын авлага төгсгөлийн цэг болон туннелийн ID талбарыг баримтжуулж, EoIP нь GRE дээрх Ethernet гэдгийг тодорхой хэлдэг. Тэр командад юу ч юуг ч шифрлэдэггүй тул доод давхаргын шалгалт эхэндээ байна.

Зөвхөн туршилтын портуудыг гүүрлэ

Гүүр нь туннелийг сегмент болгодог зүйл бөгөөд түүний бүрэлдэхүүн нь бүх аюулгүй байдлын хил юм. Төв дээр:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE роутер дээр:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Эдгээр команд шинэ гүүр үүсгэж, тус бүрд яг хоёр порт нэмнэ. EoIP интерфейс нь хоёр дахь давхаргын гишүүн; шифрлэгдсэн туннель нь маршрутлагдсан тээвэр хэвээр үлдэх бөгөөд хэзээ ч гүүрийн порт болгон нэмж болохгүй. Үйлдвэрлэлийн порт бүү нэм, лабораторийн гүүр дээр DHCP сервер бүү ажиллуул.

Хоёр туршилтын хостод өрсөлдөгч DHCP сервергүй ашиглагдаагүй дэд сүлжээнд хаяг өг, жишээ нь 192.168.77.11/24 ба 192.168.77.12/24. Тэд тухайн дэд сүлжээнд бие бие рүүгээ хүрэхэд анхдагч гарц хэрэггүй бөгөөд фреймүүд дамжихад роутерын интерфейсийн хаяг шаардлагагүй.

LAN-ыг өргөтгөхийн өмнө нэмэлт зардлыг тооцоол

IPv4 дээрх EoIP нь зөөгдөж буй ачааны эргэн тойронд Ethernet, GRE болон гадаад IP толгой нэмдэг. Шошгогүй тохиолдолд MikroTik 42 байт гэж баримтжуулдаг тул 1400 байт ашигтай IP MTU-тай доод давхарга дотоод фреймд 1358 байт үлдээдэг. Энэ тоо нь төсөв бөгөөд бүх нийтийн MSS утга биш бөгөөд гүүрэлсэн хост жижиг фрейм илгээхийг албаддаггүй.

Замын бодит хязгаарыг шалгаад, дараа нь төхөөрөмжийн үнэхээр илгээдэг хамгийн том фреймээр туршина. Хамгаалагдсан замын дотор хуваагдах ёстой 1500 байтын фрейм багтах фреймээс өөрөөр ажиллах бөгөөд ялгаа нь холбоосын эвдрэл биш харин програмын гацалт хэлбэрээр илэрдэг.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP нь гогцоог зохицуулдаг, дур мэдэн зэрэгцээ замыг биш, тиймээс нислэгийн топологийг энгийн байлга. Гүүр өргөтгөх нь нэвтрүүлэг, multicast болон DHCP-ийн зан төлөвийг мобайл холбоосоор өргөтгөдөг бөгөөд тэр урсгал ашигтай фрейм хөдөлж байгаа эсэхээс үл хамааран багтаамж иддэг.

Үйлдвэрлэлийн холболтыг лаборатори үнэхээр хэрэгтэй фреймийн хэмжээ болон програмын зан төлөвт хүрсний дараа л төлөвлө. Тэр шилжилтийн өмнө хаяглалт, VLAN гишүүнчлэл, DHCP-ийн эрх мэдэл, гогцоог урьдчилан сэргийлэх, холбоос өөрөө унасан үед хэн нэгэн роутеруу хэрхэн хүрэх талаар санал нэгд. Ethernet өргөтгөл нь төхөөрөмжүүдийн зэрэгцээ эвдрэлийн домэйнуудыг холбодог тул ажиллаж буй гүүр дээр дахин нэг порт биш өөрчлөлтийн цонх хүртэх ёстой.

Холбоотой нийтлэлүүд