LTE VPN लिङ्कमा EoIP: सानो RouterOS प्रयोगशाला बनाउने

EoIP ले पूरा Ethernet फ्रेम लिन्छ, त्यसलाई GRE भित्र बेर्छ र कन्फिगर गरिएको टाढाको ठेगानामा पठाउँछ, त्यसैले नतिजा मार्गजस्तो होइन, केबलजस्तो व्यवहार गर्छ। राउटरबाट बाहिर जाने कुरा IP प्रोटोकल 47 हो, मूल फ्रेम पेलोडको रूपमा, त्यसैले प्रसारण, ARP र IP नभएका प्रोटोकल सबै जान्छन्। GRE ले आफ्नै कुनै गोपनीयता थप्दैन, र बाहिरी प्याकेट देख्न सक्ने जुनसुकै कुराका लागि फ्रेम पढ्न योग्य रहन्छ। त्यो एउटै तथ्यले यो प्रयोगशालाको क्रम निर्धारण गर्छ: पहिले इन्क्रिप्ट गरिएको बाटो बनाउनुहोस्, त्यसपछि त्यसभित्र Ethernet बोक्नुहोस्।

EoIP ले के बेर्छ, र के बेर्दैन

इन्क्याप्सुलेसन नै सम्पूर्ण संयन्त्र हो। फ्रेम ब्रिज गरिएको पोर्टमा आउँछ, GRE हेडर र बाहिरी IP हेडर पाउँछ र सहकर्मी राउटरमा पुर्‍याइन्छ, जसले दुवै हटाएर फ्रेमलाई आफ्नै ब्रिजमा हाल्छ। प्राप्त गर्ने ब्रिजले स्रोत MAC लाई स्थानीय पोर्टबाट सिकेजस्तै सिक्छ। त्यो प्रक्रियामा कुनै कुराले फ्रेम प्रमाणित गर्दैन वा लुकाउँदैन।

त्यसैले गोपनीयता GRE प्याकेट यात्रा गर्ने बाटोबाट आउनुपर्छ। यो डिजाइनमा तल्लो तह दुई राउटरबीचको WireGuard वा IPsec सुरुङ हो, र EoIP त्यसभित्र बोकिन्छ। MikroTik ले EoIP इन्टरफेसमै स्वचालित IPsec विकल्प पनि दिन्छ, जुन फरक व्यवस्था हो र यो प्रयोगशालाले कन्फिगर गर्ने कुरा होइन।

रुट गरिएका IP सेवाहरूका लागि, रुट गरिएको VPN सानो डिजाइन हो र प्राथमिकता दिनुपर्ने त्यही हो। यन्त्रलाई साँच्चै अर्को साइटको Ethernet फ्रेम हेर्न आवश्यक पर्दा मात्र दोस्रो तहतिर जानुहोस्।

पूर्वशर्तहरू: इन्क्रिप्ट गरिएको तल्लो तह र दुई अप्रयुक्त पोर्ट

दुवै राउटरलाई स्थापित इन्क्रिप्ट गरिएको लिङ्क र त्यसमा सहकर्मीले पुग्न सक्ने ठेगाना चाहिन्छ। बाहिरी जडान LTE पक्षले सुरु गर्छ, त्यसैले हबले कहिल्यै मोबाइल नेटवर्कमा डायल गर्दैन, र LTE राउटरले अपरेटरले माग्ने NAT अवस्था कायम राख्छ। त्यसमाथि केही थप्नुअघि सुरुङ चलेको छ भनी पुष्टि गर्नुहोस्, किनकि आफ्नो टाढाको ठेगानामा नपुग्ने EoIP इन्टरफेस गलत कन्फिगर गरिएको जस्तै देखिन्छ।

प्रत्येक राउटरलाई पहिले नै ब्रिज सदस्य, VLAN ट्रङ्क, व्यवस्थापन इन्टरफेस वा उत्पादन लिङ्क नभएको एउटा पोर्ट पनि चाहिन्छ। चालु पोर्ट सापटी लिने प्रयोगशाला प्रयोगशाला होइन, र असफलताको ढाँचा चालु नेटवर्कमा प्रसारण आँधी हो। सुरु गर्नुअघि व्यवस्थापन अर्को इन्टरफेस वा कन्सोलमा सार्नुहोस्।

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

ती मानहरू उदाहरण हुन्, अनिवार्यता होइन। ती सुरुङका इन्टरफेसमा हुनुपर्छ र संरक्षित बाटोबाट रुट हुनुपर्छ। दुवै राउटरको फायरवाल नीतिले दुई सुरुङ ठेगानाबीच GRE लाई अनुमति दिनुपर्छ, र GRE IP प्रोटोकल 47 हो, 47 नम्बरको TCP वा UDP पोर्ट होइन। यो डिजाइनले कहिल्यै कच्चा GRE कुनै पनि WAN सामु नखोल्नेछ।

मिल्ने ID सहित सुरुङ जोडी बनाउनुहोस्

दुवै छेउ दुई पटक परिभाषित एउटै तार्किक इन्टरफेस हुन्, त्यसैले हरेक पहिचान क्षेत्र मिल्नुपर्छ। हबमा:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE राउटरमा ठेगानाहरू उल्टिन्छन् र MAC फरक हुन्छ:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

सुरुङ ID दुवै छेउमा मिल्नुपर्छ र कुनै पनि राउटरमा पहिले नै कन्फिगर गरिएको अर्को जोडीसँग ठोकिनु हुँदैन। MAC ठेगानाहरू स्थानीय रूपमा व्यवस्थापित मान हुन् र तपाईं जोडिनुहुने दोस्रो तहको डोमेनभित्र अद्वितीय हुनुपर्छ, त्यसैले विक्रेताको उदाहरणको मान फेरि प्रयोग नगर्नुहोस्। इन्टरफेसका नाम प्रत्येक राउटरका लागि स्थानीय हुन् र तपाईंका आफ्नै स्क्रिप्टका लागि मात्र एकरूप भए पुग्छ।

हालको EoIP म्यानुअल ले इन्डपोइन्ट र सुरुङ ID का क्षेत्रहरू अभिलेख गर्छ र EoIP GRE माथिको Ethernet हो भनी स्पष्ट भन्छ। त्यो आदेशमा केहीले पनि केही इन्क्रिप्ट गर्दैन, त्यसैले तल्लो तहको जाँच पहिले आउँछ।

परीक्षण पोर्टहरू मात्र ब्रिज गर्नुहोस्

ब्रिजले सुरुङलाई खण्ड बनाउँछ, र त्यसको संरचना नै सम्पूर्ण सुरक्षा सीमा हो। हबमा:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE राउटरमा:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

यी आदेशहरूले नयाँ ब्रिज बनाउँछन् र प्रत्येकमा ठ्याक्कै दुई पोर्ट थप्छन्। EoIP इन्टरफेस दोस्रो तहको सदस्य हो; इन्क्रिप्ट गरिएको सुरुङ रुट गरिएको ढुवानी रहन्छ र कहिल्यै ब्रिज पोर्टको रूपमा थप्नु हुँदैन। उत्पादन पोर्ट नथप्नुहोस् र प्रयोगशालाको ब्रिजमा DHCP सर्भर सुरु नगर्नुहोस्।

दुई परीक्षण होस्टलाई प्रतिस्पर्धी DHCP सर्भर नभएको अप्रयुक्त सबनेटमा ठेगाना दिनुहोस्, जस्तै 192.168.77.11/24 र 192.168.77.12/24। त्यो सबनेटभित्र एकअर्कासम्म पुग्न उनीहरूलाई पूर्वनिर्धारित गेटवे चाहिँदैन, र फ्रेमहरू जान राउटर इन्टरफेसको ठेगाना आवश्यक हुँदैन।

LAN विस्तार गर्नुअघि थप लागत गणना गर्नुहोस्

IPv4 माथिको EoIP ले बोकिएको पेलोडको वरिपरि Ethernet, GRE र बाहिरी IP हेडर थप्छ। ट्याग नभएको अवस्थामा MikroTik ले 42 बाइट अभिलेख गर्छ, त्यसैले 1400 बाइट उपयोगी IP MTU भएको तल्लो तहले भित्री फ्रेमका लागि 1358 बाइट छोड्छ। त्यो सङ्ख्या बजेट हो, सार्वभौमिक MSS मान होइन, र यसले ब्रिज गरिएको होस्टलाई साना फ्रेम पठाउन बाध्य पार्दैन।

बाटोमा वास्तविक सीमाहरू जाँच्नुहोस्, त्यसपछि यन्त्रले साँच्चै पठाउने सबैभन्दा ठूलो फ्रेमले परीक्षण गर्नुहोस्। संरक्षित बाटोभित्र टुक्र्याउनुपर्ने 1500 बाइटको फ्रेम अट्ने फ्रेमभन्दा फरक व्यवहार गर्छ, र फरक लिङ्क असफलताको रूपमा होइन, अनुप्रयोग अड्किएको रूपमा देखिन्छ।

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP ले लुपहरू सम्हाल्छ, मनपरी समानान्तर बाटोहरू होइन, त्यसैले पाइलट टोपोलोजी सरल राख्नुहोस्। ब्रिज विस्तार गर्दा मोबाइल लिङ्कभरि प्रसारण, मल्टिकास्ट र DHCP व्यवहार पनि विस्तार हुन्छ, र त्यो ट्राफिक उपयोगी फ्रेम चलेको होस् वा नहोस्, क्षमता खपत गर्छ।

प्रयोगशाला साँच्चै आवश्यक फ्रेम आकार र अनुप्रयोग व्यवहारमा पुगेपछि मात्र उत्पादन जडान योजना गर्नुहोस्। त्यो परिवर्तनअघि ठेगाना, VLAN सदस्यता, DHCP अधिकार, लुप रोकथाम र लिङ्क आफैं बन्द हुँदा कसैले राउटरहरूमा कसरी पुग्ने भन्नेमा सहमत हुनुहोस्। Ethernet विस्तारले यन्त्रहरूसँगै असफलता डोमेनहरू पनि जोड्छ, त्यसैले यो चालु ब्रिजमा अर्को पोर्ट नभई परिवर्तन विन्डोको योग्य छ।