LTE VPN लिंकवर EoIP: छोटी RouterOS प्रयोगशाळा उभारणे

EoIP संपूर्ण Ethernet फ्रेम घेते, ती GRE मध्ये गुंडाळते आणि कॉन्फिगर केलेल्या दूरच्या पत्त्यावर पाठवते, म्हणून निकाल मार्गासारखा नाही तर केबलसारखा वागतो. राउटरमधून बाहेर पडणारे IP प्रोटोकॉल 47 आहे, मूळ फ्रेम पेलोड म्हणून, त्यामुळे ब्रॉडकास्ट, ARP आणि IP-इतर प्रोटोकॉल सर्व जातात. GRE स्वतःची कोणतीही गोपनीयता जोडत नाही आणि बाह्य पॅकेट पाहू शकणाऱ्या कोणत्याही गोष्टीसाठी फ्रेम वाचनीय राहते. हीच एक गोष्ट या प्रयोगशाळेचा क्रम ठरवते: आधी एन्क्रिप्टेड मार्ग तयार करा, मग त्याच्या आत Ethernet ने.

EoIP काय गुंडाळते आणि काय नाही

एन्कॅप्स्युलेशन ही संपूर्ण यंत्रणा आहे. फ्रेम ब्रिज केलेल्या पोर्टवर येते, GRE हेडर आणि बाह्य IP हेडर मिळवते आणि सहकारी राउटरला पोहोचवली जाते, जो दोन्ही काढून फ्रेम स्वतःच्या ब्रिजमध्ये टाकतो. प्राप्त करणारा ब्रिज स्रोत MAC स्थानिक पोर्टवरून शिकल्यासारखाच शिकतो. त्या प्रक्रियेत काहीही फ्रेमची प्रमाणितता तपासत नाही किंवा ती लपवत नाही.

म्हणून गोपनीयता GRE पॅकेट प्रवास करतो त्या मार्गातून आली पाहिजे. या रचनेत खालचा थर दोन राउटरमधील WireGuard किंवा IPsec बोगदा आहे आणि EoIP त्याच्या आत वाहून नेले जाते. MikroTik EoIP इंटरफेसवरच स्वयंचलित IPsec पर्यायही देतो, जी वेगळी व्यवस्था आहे आणि ही प्रयोगशाळा ती कॉन्फिगर करत नाही.

मार्गित IP सेवांसाठी, मार्गित VPN ही लहान रचना आहे आणि तिलाच प्राधान्य द्यावे. उपकरणाला खरोखर दुसऱ्या साइटचे Ethernet फ्रेम पाहण्याची गरज असेल तेव्हाच दुसऱ्या थराकडे जा.

पूर्वअटी: एन्क्रिप्टेड खालचा थर आणि दोन न वापरलेले पोर्ट

दोन्ही राउटरना प्रस्थापित एन्क्रिप्टेड लिंक आणि त्यावर सहकाऱ्याला पोहोचता येईल असा पत्ता लागतो. बाह्य जोडणी LTE बाजू सुरू करते, म्हणून हब कधीही मोबाइल नेटवर्कला फोन करत नाही आणि LTE राउटर ऑपरेटर मागतो ती NAT स्थिती राखतो. त्यावर काहीही जोडण्यापूर्वी बोगदा सुरू असल्याची खात्री करा, कारण आपल्या दूरच्या पत्त्यापर्यंत न पोहोचणारा EoIP इंटरफेस चुकीच्या कॉन्फिगर केलेल्यासारखाच दिसतो.

प्रत्येक राउटरला अशा एका पोर्टचीही गरज असते जो आधीपासून ब्रिज सदस्य, VLAN ट्रंक, व्यवस्थापन इंटरफेस किंवा उत्पादन लिंक नसेल. चालू पोर्ट उसनवार घेणारी प्रयोगशाळा प्रयोगशाळा नसते आणि बिघाडाची पद्धत चालू नेटवर्कवर ब्रॉडकास्ट वादळ आहे. सुरुवातीपूर्वी व्यवस्थापन दुसऱ्या इंटरफेसवर किंवा कन्सोलवर हलवा.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

ही मूल्ये उदाहरण आहेत, अट नाही. ती बोगद्याच्या इंटरफेसवर असली पाहिजेत आणि संरक्षित मार्गाने मार्गित झाली पाहिजेत. दोन्ही राउटरच्या फायरवॉल धोरणाने दोन बोगदा पत्त्यांमध्ये GRE ला परवानगी दिली पाहिजे आणि GRE हा IP प्रोटोकॉल 47 आहे, 47 क्रमांकाचा TCP किंवा UDP पोर्ट नाही. ही रचना कच्चा GRE कोणत्याही WAN समोर कधीही उघड करत नाही.

जुळणाऱ्या ID सह बोगदा जोडी तयार करा

दोन्ही टोके दोन वेळा परिभाषित केलेला एकच तार्किक इंटरफेस आहेत, म्हणून प्रत्येक ओळखणारे क्षेत्र जुळले पाहिजे. हबवर:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE राउटरवर पत्ते उलटतात आणि MAC वेगळा असतो:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

बोगदा ID दोन्ही टोकांवर जुळला पाहिजे आणि कोणत्याही राउटरवर आधीच कॉन्फिगर केलेल्या दुसऱ्या जोडीशी टकरू नये. MAC पत्ते स्थानिकरित्या व्यवस्थापित मूल्ये आहेत आणि तुम्ही ज्या दुसऱ्या थराच्या डोमेनमध्ये सामील होत आहात तिथे ती अद्वितीय असली पाहिजेत, म्हणून विक्रेत्याच्या उदाहरणातील मूल्य पुन्हा वापरू नका. इंटरफेसची नावे प्रत्येक राउटरसाठी स्थानिक आहेत आणि फक्त तुमच्या स्वतःच्या स्क्रिप्टसाठी सुसंगत असली पाहिजेत.

सध्याचे EoIP मॅन्युअल एंडपॉइंट आणि बोगदा ID क्षेत्रे नोंदवते आणि EoIP हे GRE वरचे Ethernet आहे असे स्पष्ट सांगते. त्या कमांडमध्ये काहीही एन्क्रिप्ट होत नाही, म्हणून खालच्या थराची तपासणी आधी येते.

फक्त चाचणी पोर्ट ब्रिज करा

ब्रिज बोगद्याचे खंड करतो आणि त्याची रचना ही संपूर्ण सुरक्षा सीमा आहे. हबवर:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE राउटरवर:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

हे आदेश नवीन ब्रिज तयार करतात आणि प्रत्येकात नेमके दोन पोर्ट जोडतात. EoIP इंटरफेस हा दुसऱ्या थराचा सदस्य आहे; एन्क्रिप्टेड बोगदा मार्गित वाहतूक राहतो आणि त्याला कधीही ब्रिज पोर्ट म्हणून जोडू नये. उत्पादन पोर्ट जोडू नका आणि प्रयोगशाळेच्या ब्रिजवर DHCP सर्व्हर सुरू करू नका.

दोन चाचणी होस्टना स्पर्धक DHCP सर्व्हर नसलेल्या न वापरलेल्या सबनेटमध्ये पत्ते द्या, उदाहरणार्थ 192.168.77.11/24 आणि 192.168.77.12/24. त्या सबनेटमध्ये एकमेकांपर्यंत पोहोचण्यासाठी त्यांना डीफॉल्ट गेटवे लागत नाही आणि फ्रेम जाण्यासाठी राउटर इंटरफेसचा पत्ता आवश्यक नाही.

LAN वाढवण्यापूर्वी अतिरिक्त खर्चाचा अंदाज घ्या

IPv4 वरचे EoIP वाहून नेल्या जाणाऱ्या पेलोडभोवती Ethernet, GRE आणि बाह्य IP हेडर जोडते. टॅग नसलेल्या बाबतीत MikroTik 42 बाइट नोंदवते, म्हणून 1400 बाइट उपयुक्त IP MTU असलेला खालचा थर आतील फ्रेमसाठी 1358 बाइट ठेवतो. हा आकडा अर्थसंकल्प आहे, सार्वत्रिक MSS मूल्य नाही आणि तो ब्रिज केलेल्या होस्टला लहान फ्रेम पाठवण्यास भाग पाडत नाही.

मार्गावरील खऱ्या मर्यादा तपासा, नंतर उपकरण खरोखर पाठवते त्या सर्वात मोठ्या फ्रेमने चाचणी करा. संरक्षित मार्गाच्या आत विभाजित करावे लागणारे 1500 बाइटचे फ्रेम बसणाऱ्या फ्रेमपेक्षा वेगळे वागते आणि फरक लिंक बिघाड म्हणून नाही तर अनुप्रयोग थांबल्यासारखा दिसतो.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP लूप हाताळते, मनमानी समांतर मार्ग नाही, म्हणून पायलट टोपोलॉजी सोपी ठेवा. ब्रिज वाढवल्याने मोबाइल लिंकवर ब्रॉडकास्ट, मल्टिकास्ट आणि DHCP वर्तनही वाढते आणि तो रहदारी उपयुक्त फ्रेम फिरत असो वा नसो, क्षमता खातो.

प्रयोगशाळा खरोखर आवश्यक त्या फ्रेम आकारापर्यंत आणि अनुप्रयोग वर्तनापर्यंत पोहोचल्यावरच उत्पादन जोडणीची योजना करा. त्या बदलापूर्वी पत्ता-पद्धत, VLAN सदस्यत्व, DHCP अधिकार, लूप प्रतिबंध आणि लिंकच स्वतः बंद असताना कोणी राउटरपर्यंत कसे पोहोचेल यावर एकमत व्हा. Ethernet विस्तार उपकरणांसोबत बिघाडाचे डोमेनही जोडतो, म्हणून तो चालू ब्रिजवर आणखी एक पोर्ट नाही तर बदलाच्या खिडकीचा हक्कदार आहे.