EoIP fuq rabta VPN LTE: nibnu laboratorju żgħir RouterOS

EoIP iġorr frames Ethernet ġewwa GRE, u GRE ma jikkripta xejn. Ibni l-laboratorju fuq rabta WireGuard li taħdem, żomm il-pont iżolat, ibbudgetja 42 byte.

EoIP jieħu frame Ethernet sħiħ, jgeżwru fi GRE u jibgħatu lejn indirizz remot ikkonfigurat, u għalhekk ir-riżultat iġib ruħu bħal kejbil u mhux bħal rotta. Li joħroġ mir-router huwa protokoll IP 47 bil-frame oriġinali bħala tagħbija, u għalhekk ix-xandiriet, ARP u protokolli mhux IP kollha jgħaddu. GRE ma jżidx kunfidenzjalità tiegħu, u l-frame jibqa' jinqara minn kull ħaġa li tara l-pakkett ta' barra. Dan il-fatt wieħed jiddeċiedi l-ordni ta' dan il-laboratorju: ibni l-passaġġ encrypted l-ewwel, imbagħad ġorr Ethernet ġewwa fih.

X'jgeżwer EoIP, u x'ma jgeżwrix

L-inkapsulament huwa l-mekkaniżmu kollu. Frame jasal fuq port imqabbad ma' pont, jieħu header GRE u header IP ta' barra, u jiġi mgħoddi lir-router sieħeb, li jneħħi t-tnejn u jdaħħal il-frame fil-pont tiegħu stess. Il-pont li jirċievi jitgħallem il-MAC tas-sors eżattament kif kien jagħmel minn port lokali. Xejn f'dak il-proċess ma jawtentika l-frame jew jaħbih.

Għalhekk il-kunfidenzjalità trid tiġi mill-passaġġ li jgħaddi minnu l-pakkett GRE. F'dan id-disinn is-saff t'isfel huwa tunnel WireGuard jew IPsec bejn iż-żewġ routers, u EoIP jinġarr ġewwa fih. MikroTik joffri wkoll għażla ta' IPsec awtomatiku fuq l-interface EoIP stess, li hija arranġament ieħor u mhux dak li jikkonfigura dan il-laboratorju.

Għal servizzi IP bir-rotot, VPN bir-rotot huwa d-disinn iżgħar u dak li għandu jiġi ppreferut. Iddur għas-saff tnejn biss meta apparat verament ikollu bżonn jara frames Ethernet mis-sit l-ieħor.

Prerekwiżiti: saff t'isfel encrypted u żewġ ports mhux użati

Iż-żewġ routers għandhom bżonn rabta encrypted stabbilita u indirizz fuqha li s-sieħeb jista' jasal għalih. In-naħa LTE tibda l-konnessjoni ta' barra, u għalhekk l-hub qatt ma jċempel in-netwerk mobbli, u r-router LTE jżomm l-istat NAT li jitlob l-operatur. Ikkonferma li t-tunnel qiegħed jaħdem qabel ma żżid xi ħaġa fuqu, għax interface EoIP li ma jasalx għall-indirizz remot tiegħu jidher eżattament bħal wieħed ikkonfigurat ħażin.

Kull router għandu bżonn ukoll port wieħed li mhuwiex diġà membru tal-pont, trunk VLAN, interface tal-immaniġġjar jew rabta tal-produzzjoni. Laboratorju li jislef port ħaj mhuwiex laboratorju, u l-mod ta' falliment huwa tempesta ta' xandir fuq netwerk li qed jaħdem. Mexxi l-amministrazzjoni għal interface ieħor jew għall-console qabel ma tibda.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Dawk il-valuri huma eżempju u mhux rekwiżit. Iridu jkunu fuq l-interfaces tat-tunnel u jiġu rrotati mill-passaġġ protett. Il-politika tal-firewall fuq iż-żewġ routers trid tippermetti GRE bejn iż-żewġ indirizzi tat-tunnel, u GRE huwa protokoll IP 47, mhux port TCP jew UDP bin-numru 47. Dan id-disinn qatt ma jesponi GRE nej għal kwalunkwe WAN.

Oħloq il-par tat-tunnel b'ID li jaqblu

Iż-żewġ trufijiet huma interface loġiku wieħed definit darbtejn, u għalhekk kull qasam ta' identifikazzjoni jrid jaqbel. Fuq l-hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Fuq ir-router LTE l-indirizzi jinqlibu u l-MAC huwa differenti:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

L-ID tat-tunnel irid jaqbel fuq iż-żewġ trufijiet u m'għandux jaħbat ma' par ieħor diġà kkonfigurat fuq kwalunkwe router. L-indirizzi MAC huma valuri amministrati lokalment u jridu jkunu uniċi fid-dominju tas-saff tnejn li qed tingħaqad miegħu, u għalhekk terġax tuża valur minn eżempju tal-fornitur. L-ismijiet tal-interfaces huma lokali għal kull router u jridu jkunu konsistenti biss għall-iskripts tiegħek.

Il-manwal EoIP attwali jiddokumenta l-qasam tal-punt tat-tarf u tal-ID tat-tunnel, u jgħid b'mod ċar li EoIP huwa Ethernet fuq GRE. Xejn f'dak il-kmand ma jikkripta xejn, u għalhekk il-verifika tas-saff t'isfel tiġi l-ewwel.

Ippontja biss il-ports tat-test

Pont huwa dak li jagħmel it-tunnel segment, u l-kompożizzjoni tiegħu hija l-fruntiera kollha tas-sigurtà. Fuq l-hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Fuq ir-router LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Dawn il-kmandi joħolqu pontijiet ġodda u jżidu eżattament żewġ ports ma' kull wieħed. L-interface EoIP huwa l-membru tas-saff tnejn; it-tunnel encrypted jibqa' trasport bir-rotot u qatt m'għandu jiġi miżjud bħala port tal-pont. Tħux port tal-produzzjoni u tħaddimx server DHCP fuq il-pont tal-laboratorju.

Agħti liż-żewġ hosts tat-test indirizzi f'subnet mhux użat mingħajr server DHCP konkurenti, bħal 192.168.77.11/24 u 192.168.77.12/24. M'għandhomx bżonn gateway default biex jilħqu lil xulxin f'dak is-subnet, u indirizz tal-interface tar-router mhuwiex meħtieġ biex il-frames jgħaddu.

Ibbudgetja l-ispiża żejda qabel ma tespandi LAN

EoIP fuq IPv4 iżid headers Ethernet, GRE u IP ta' barra madwar it-tagħbija li tinġarr. Għall-każ mingħajr tikketta, MikroTik jiddokumenta 42 byte, u għalhekk saff t'isfel b'1400 byte ta' MTU IP użabbli jħalli 1358 byte għall-frame ta' ġewwa. Dak in-numru huwa baġit u mhux valur MSS universali, u ma jġiegħelx host impontjat joħroġ frames iżgħar.

Ivverifika l-limiti reali fuq il-passaġġ, imbagħad ittestja bl-akbar frame li l-apparat verament jibgħat. Frame ta' 1500 byte li jrid jiġi frammentat fil-passaġġ protett iġib ruħu b'mod differenti minn wieħed li jidħol, u d-differenza tidher bħala waqfien tal-applikazzjoni u mhux bħala falliment tar-rabta.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP jimmaniġġja l-linjiċi, mhux passaġġi paralleli arbitrarji, u għalhekk żomm it-topoloġija pilota sempliċi. L-estensjoni ta' pont testendi wkoll l-imġiba tax-xandir, multicast u DHCP fuq ir-rabta mobbli, u dak it-traffiku jikkonsma kapaċità kemm jekk frame utli jiċċaqlaq u kemm jekk le.

Ippjana konnessjoni tal-produzzjoni biss meta l-laboratorju jilħaq id-daqs tal-frame u l-imġiba tal-applikazzjoni li verament għandek bżonn. Qabel dak it-tibdil, eqreb lejn qbil dwar l-indirizzar, is-sħubija fil-VLAN, l-awtorità DHCP, il-prevenzjoni tal-linjiċi u kif xi ħadd jilħaq ir-routers meta r-rabta stess tkun waqgħet. Estensjoni Ethernet tgħaqqad dominji ta' falliment kif ukoll apparati, u għalhekk jistħoqqilha tieqa ta' bidla u mhux port ieħor fuq pont li qed jaħdem.

Artikli relatati