EoIP melalui pautan VPN LTE: membina makmal RouterOS kecil

EoIP mengambil bingkai Ethernet lengkap, membungkusnya dalam GRE dan menghantarnya ke alamat jauh yang dikonfigurasi, sebab itu hasilnya berkelakuan seperti kabel dan bukan seperti laluan. Yang keluar dari penghala ialah protokol IP 47 dengan bingkai asal sebagai muatan, jadi siaran, ARP dan protokol bukan IP semuanya melintas. GRE tidak menambah kerahsiaan sendiri, dan bingkai itu kekal boleh dibaca oleh apa sahaja yang melihat paket luar. Satu fakta itu menentukan urutan makmal ini: bina laluan tersulit dahulu, kemudian bawa Ethernet di dalamnya.

Apa yang EoIP bungkus, dan apa yang tidak

Enkapsulasi ialah seluruh mekanisme. Satu bingkai tiba di port yang dijambatani, mendapat pengepala GRE dan pengepala IP luar, dan diserahkan kepada penghala rakan, yang membuang kedua-duanya dan menyuntik bingkai itu ke dalam jambatannya sendiri. Jambatan penerima mempelajari MAC sumber sama seperti dari port setempat. Tiada apa-apa dalam proses itu mengesahkan bingkai atau menyembunyikannya.

Oleh itu kerahsiaan mesti datang dari laluan yang dilalui paket GRE. Dalam reka bentuk ini lapisan bawah ialah terowong WireGuard atau IPsec antara dua penghala, dan EoIP dibawa di dalamnya. MikroTik juga menawarkan pilihan IPsec automatik pada antara muka EoIP itu sendiri, yang merupakan susunan berbeza dan bukan yang dikonfigurasi makmal ini.

Untuk perkhidmatan IP berpenghala, VPN berpenghala ialah reka bentuk yang lebih kecil dan yang patut diutamakan. Cuma berpaling ke lapisan dua apabila peranti benar-benar perlu melihat bingkai Ethernet dari tapak lain.

Prasyarat: lapisan bawah tersulit dan dua port yang tidak digunakan

Kedua-dua penghala memerlukan pautan tersulit yang sudah terjalin dan alamat padanya yang boleh dicapai rakan. Bahagian LTE yang memulakan sambungan luar, jadi hab tidak pernah mendail rangkaian mudah alih, dan penghala LTE mengekalkan keadaan NAT yang dikehendaki pengendali. Sahkan terowong itu hidup sebelum menambah apa-apa di atasnya, kerana antara muka EoIP yang tidak dapat mencapai alamat jauhnya kelihatan sama seperti yang salah dikonfigurasi.

Setiap penghala juga memerlukan satu port yang belum menjadi ahli jambatan, trunk VLAN, antara muka pengurusan atau pautan pengeluaran. Makmal yang meminjam port hidup bukan makmal, dan mod kegagalannya ialah ribut siaran pada rangkaian yang sedang berjalan. Pindahkan pentadbiran ke antara muka lain atau ke konsol sebelum bermula.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Nilai-nilai itu ialah contoh dan bukan keperluan. Ia mesti berada pada antara muka terowong dan dihalakan melalui laluan terlindung. Dasar firewall pada kedua-dua penghala mesti membenarkan GRE antara dua alamat terowong, dan GRE ialah protokol IP 47, bukan port TCP atau UDP bernombor 47. Reka bentuk ini tidak pernah mendedahkan GRE mentah kepada mana-mana WAN.

Cipta pasangan terowong dengan ID yang sepadan

Kedua-dua hujung ialah satu antara muka logik yang ditakrifkan dua kali, jadi setiap medan pengenal mesti sepadan. Pada hab:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Pada penghala LTE alamat diterbalikkan dan MAC berbeza:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID terowong mesti sepadan di kedua-dua hujung dan tidak boleh berlanggar dengan pasangan lain yang sudah dikonfigurasi pada mana-mana penghala. Alamat MAC ialah nilai yang ditadbir secara setempat dan mesti unik dalam domain lapisan dua yang anda sertai, jadi jangan guna semula nilai daripada contoh vendor. Nama antara muka adalah setempat kepada setiap penghala dan hanya perlu konsisten untuk skrip anda sendiri.

Manual EoIP semasa mendokumenkan medan titik akhir dan ID terowong, dan menyatakan dengan jelas bahawa EoIP ialah Ethernet di atas GRE. Tiada apa-apa dalam arahan itu menyulitkan apa-apa, sebab itu pemeriksaan lapisan bawah didahulukan.

Jambatani port ujian sahaja

Jambatan ialah yang menjadikan terowong sebagai segmen, dan komposisinya ialah seluruh sempadan keselamatan. Pada hab:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Pada penghala LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Arahan ini mencipta jambatan baharu dan menambah tepat dua port pada setiap satu. Antara muka EoIP ialah ahli lapisan dua; terowong tersulit kekal sebagai pengangkutan berpenghala dan tidak boleh sekali-kali ditambah sebagai port jambatan. Jangan tambah port pengeluaran dan jangan mulakan pelayan DHCP pada jambatan makmal.

Beri kedua-dua hos ujian alamat dalam subnet yang tidak digunakan tanpa pelayan DHCP pesaing, seperti 192.168.77.11/24 dan 192.168.77.12/24. Mereka tidak memerlukan gerbang lalai untuk saling mencapai dalam subnet itu, dan alamat antara muka penghala tidak diperlukan untuk bingkai melintas.

Bajet overhed sebelum melanjutkan LAN

EoIP di atas IPv4 menambah pengepala Ethernet, GRE dan IP luar di sekeliling muatan yang dibawa. Untuk kes tanpa tag, MikroTik mendokumenkan 42 bait, jadi lapisan bawah dengan 1400 bait MTU IP yang boleh digunakan meninggalkan 1358 bait untuk bingkai dalam. Angka itu ialah bajet dan bukan nilai MSS sejagat, dan ia tidak memaksa hos yang dijambatani mengeluarkan bingkai lebih kecil.

Sahkan had sebenar pada laluan, kemudian uji dengan bingkai terbesar yang benar-benar dihantar oleh peranti. Bingkai 1500 bait yang mesti difragmentasi di dalam laluan terlindung berkelakuan berbeza daripada bingkai yang muat, dan perbezaannya muncul sebagai tersekatnya aplikasi dan bukan sebagai kegagalan pautan.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP mengendalikan gelung, bukan laluan selari sewenang-wenangnya, jadi kekalkan topologi perintis itu mudah. Melanjutkan jambatan juga melanjutkan kelakuan siaran, multicast dan DHCP merentas pautan mudah alih, dan trafik itu memakan kapasiti sama ada ada bingkai berguna bergerak atau tidak.

Rancang sambungan pengeluaran hanya apabila makmal mencapai saiz bingkai dan kelakuan aplikasi yang benar-benar anda perlukan. Sebelum peralihan itu, persetujui pengalamatan, keahlian VLAN, kuasa DHCP, pencegahan gelung dan cara seseorang mencapai penghala apabila pautan itu sendiri terputus. Lanjutan Ethernet menyatukan domain kegagalan bersama peranti, jadi ia wajar mendapat tetingkap perubahan dan bukan satu lagi port pada jambatan yang sedang berjalan.