EoIP over ei LTE-VPN-lenkje: byggje eit lite RouterOS-laboratorium

EoIP ber Ethernet-rammer inne i GRE, og GRE krypterer ingenting. Bygg laboratoriet på ei fungerande WireGuard-lenkje, hald brua isolert, budsjetter 42 byte.

EoIP tek ein fullstendig Ethernet-ramme, pakkar henne inn i GRE og sender henne til ei konfigurert fjernadresse, og difor oppfører resultatet seg som ein kabel og ikkje som ei rute. Det som forlèt rutaren, er IP-protokoll 47 med den opphavlege ramma som nyttelast, så kringkasting, ARP og protokollar som ikkje er IP går alle gjennom. GRE legg ikkje til eigen konfidensialitet, og ramma vert verande lesbar for alt som ser den ytre pakken. Den eine kjensgjerninga avgjer rekkjefølgja i dette laboratoriet: bygg den krypterte vegen fyrst, og bær deretter Ethernet inne i han.

Kva EoIP pakkar inn, og kva det ikkje gjer

Innpakkinga er heile mekanismen. Ei ramme kjem inn på ein brua port, får ein GRE-header og ein ytre IP-header, og vert levert til partnar-rutaren, som fjernar båe og sprøytar ramma inn i si eiga bru. Den mottakande brua lærer kjelde-MAC-en nøyaktig som ho ville gjort frå ein lokal port. Ingenting i den prosessen autentiserer ramma eller skjuler henne.

Konfidensialiteten må difor kome frå vegen GRE-pakken reiser over. I dette designet er underlaget ein WireGuard- eller IPsec-tunnel mellom dei to rutarane, og EoIP vert boren inne i han. MikroTik tilbyd òg eit automatisk IPsec-alternativ på sjølve EoIP-grensesnittet, som er ei anna ordning og ikkje det dette laboratoriet konfigurerer.

For ruta IP-tenester er e ruta VPN det mindre designet og det ein bør føretrekkje. Grip berre etter lag to når ein eining verkeleg treng å sjå Ethernet-rammer frå den andre staden.

Føresetnader: eit kryptert underlag og to ubrukte portar

Båe rutarane treng ei etablert kryptert samband og ei adresse på henne som partnaren kan nå. LTE-sida startar det ytre sambandet, så huben ringjer aldri mobilnettet, og LTE-rutaren held ved NAT-tilstanden operatøren krev. Stadfest at tunnelen er oppe før du legg noko oppå han, for eit EoIP-grensesnitt som ikkje når den fjerne adressa si ser identisk ut med eit feilkonfigurert.

Kvar ritar treng òg ein port som ikkje allereie er brumedlem, VLAN-trunk, styringsgrensesnitt eller produksjonslenkje. Eit laboratorium som låner ein levande port, er ikkje eit laboratorium, og feilmodusen er ein kringkastingsstorm på eit fungerande nett. Flytt styringa til eit anna grensesnitt eller til konsollen før du byrjar.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Desse verdiane er eit døme og ikkje eit krav. Dei må liggje på tunnelgrensesnitta og rutast gjennom den verna vegen. Brannmurpolitikken på båe rutarane må tillate GRE mellom dei to tunneladressene, og GRE er IP-protokoll 47, ikkje ein TCP- eller UDP-port med nummer 47. Dette designet eksponerer aldri rå GRE for nokon av WAN-ane.

Opprett tunnelparet med samsvarande ID-ar

Dei to endane er eitt logisk grensesnitt definert to gonger, så kvart identifiserande felt må stemme. På huben:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

På LTE-rutaren vert adressene snudde, og MAC-en er annleis:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunnel-ID-en må stemme i båe endar og må ikkje kollidere med eit anna par som allereie er konfigurert på nokon av rutarane. MAC-adressene er lokalt styrte verdiar som må vere unike i lag-to-domenet du koplar deg til, så ikkje bruk om att ein verdi frå eit leverandørdøme. Grensesnittnamn er lokale for kvar ritar og treng berre å vere konsistente for dine eigne skript.

Den gjeldande EoIP-handboka dokumenterer felta for endepunkt og tunnel-ID og seier rett ut at EoIP er Ethernet over GRE. Ingenting i den kommandoen krypterer noko, og difor kjem underlagskontrollen fyrst.

Bru berre testportane

Ei bru er det som gjer tunnelen til eit segment, og medlemskapen er heile tryggleiksgrensa. På huben:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

På LTE-rutaren:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Desse kommandoane opprettar nye bruer og legg til nøyaktig to portar i kvar. EoIP-grensesnittet er lag-to-medlemmet; den krypterte tunnelen vert verande ein ruta transport og må aldri leggjast til som bruport. Ikkje legg til ein produksjonsport, og ikkje start ein DHCP-server på laboratoriebrua.

Gje dei to testvertane adresser i eit ubrukt subnett utan konkurrerande DHCP-server, til dømes 192.168.77.11/24 og 192.168.77.12/24. Dei treng ingen standard gateway for å nå kvarandre i det subnettet, og ei ritar-grensesnittadresse er ikkje nødvendig for at rammene skal passere.

Budsjetter overheadkostnaden før du utvidar eit LAN

EoIP over IPv4 legg til Ethernet-, GRE- og ytre IP-headarar rundt nyttelasta som vert boren. For det umerka tilfellet dokumenterer MikroTik 42 byte, så eit underlag med 1400 byte brukbar IP-MTU lèt etter 1358 byte til den indre ramma. Det talet er eit budsjett og ikkje ein universell MSS-verdi, og det tvingar ikkje ein brua vert til å sende mindre rammer.

Kontroller dei reelle grensene på vegen, og test deretter med den største ramma apparatet faktisk sender. Ei ramme på 1500 byte som må fragmenterast inne i den verna vegen, oppfører seg annleis enn ei som passar, og skilnaden viser seg som ein applikasjonsstopp og ikkje som ein lenkefeil.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP handterer lykkjer, ikkje vilkårlege parallelle vegar, så hald pilottopologien enkel. Å utvide ei bru utvidar òg kringkastings-, multicast- og DHCP-åtferd over mobillenkja, og den trafikken brukar kapasitet anten ei nyttig ramme flyttar seg eller ikkje.

Planlegg ein produksjonstilkopling fyrst når laboratoriet når den rammestorleiken og applikasjonsåtferda du faktisk treng. Før den overgangen må du bli samd om adressering, VLAN-medlemskap, DHCP-autoritet, lykkjeførebygging og korleis nokon når rutarane når sjølve lenkja er nede. Ei Ethernet-utviding knyter feildomene saman så vel som einingar, så ho fortener eit endringsvindauge i staden for ein port til på ei fungerande bru.

Relaterte artiklar