EoIP over en LTE-VPN-lenke: å bygge et lite RouterOS-laboratorium

EoIP tar imot en komplett Ethernet-ramme, pakker den inn i GRE og sender den til en konfigurert ekstern adresse, og derfor oppfører resultatet seg som en kabel og ikke som en rute. Det som forlater routeren, er IP-protokoll 47 med den opprinnelige rammen som nyttelast, så kringkasting, ARP og protokoller som ikke er IP går alle gjennom. GRE legger ikke til egen konfidensialitet, og rammen forblir lesbar for alt som ser den ytre pakken. Den ene kjensgjerningen avgjør rekkefølgen i dette laboratoriet: bygg den krypterte veien først, og bær deretter Ethernet inne i den.

Hva EoIP pakker inn, og hva det ikke gjør

Innkapslingen er hele mekanismen. En ramme ankommer en broet port, får en GRE-header og en ytre IP-header, og leveres til partnerruteren, som fjerner begge og injiserer rammen i sin egen bro. Den mottakende broen lærer kilde-MAC-en nøyaktig som den ville gjort fra en lokal port. Ingenting i den prosessen autentiserer rammen eller skjuler den.

Konfidensialiteten må derfor komme fra veien GRE-pakken reiser over. I dette designet er underlaget en WireGuard- eller IPsec-tunnel mellom de to ruterne, og EoIP bæres inne i den. MikroTik tilbyr også et automatisk IPsec-alternativ på selve EoIP-grensesnittet, som er en annen ordning og ikke det dette laboratoriet konfigurerer.

For rutede IP-tjenester er en rutet VPN det mindre designet og det en bør foretrekke. Grip bare etter lag to når en enhet virkelig trenger å se Ethernet-rammer fra det andre stedet.

Forutsetninger: et kryptert underlag og to ubrukte porter

Begge ruterne trenger en etablert kryptert forbindelse og en adresse på den som partneren kan nå. LTE-siden starter den ytre forbindelsen, så huben ringer aldri mobilnettet, og LTE-ruteren opprettholder den NAT-tilstanden operatøren krever. Bekreft at tunnelen er oppe før du legger noe oppå den, for et EoIP-grensesnitt som ikke når sin eksterne adresse ser identisk ut med et feilkonfigurert.

Hver ruter trenger også en port som ikke allerede er bromedlem, VLAN-trunk, administrasjonsgrensesnitt eller produksjonslenke. Et laboratorium som låner en levende port, er ikke et laboratorium, og feilmodusen er en kringkastingsstorm på et fungerende nett. Flytt administrasjonen til et annet grensesnitt eller til konsollen før du begynner.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Disse verdiene er et eksempel og ikke et krav. De må ligge på tunnelgrensesnittene og rutes gjennom den beskyttede veien. Brannmurpolitikken på begge ruterne må tillate GRE mellom de to tunneladressene, og GRE er IP-protokoll 47, ikke en TCP- eller UDP-port med nummer 47. Dette designet eksponerer aldri rå GRE for noen av WAN-ene.

Opprett tunnelparet med samsvarende ID-er

De to endene er ett logisk grensesnitt definert to ganger, så hvert identifiserende felt må stemme. På huben:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

På LTE-ruteren snus adressene, og MAC-en er forskjellig:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunnel-ID-en må stemme i begge ender og må ikke kollidere med et annet par som allerede er konfigurert på noen av ruterne. MAC-adressene er lokalt administrerte verdier som må være unike i det lag-to-domenet du kobler deg til, så ikke gjenbruk en verdi fra et leverandøreksempel. Grensesnittnavn er lokale for hver ruter og trenger bare å være konsistente for dine egne skript.

Den gjeldende EoIP-håndboken dokumenterer feltene for endepunkt og tunnel-ID og sier rett ut at EoIP er Ethernet over GRE. Ingenting i den kommandoen krypterer noe, og derfor kommer underlagskontrollen først.

Bro bare testportene

En bro er det som gjør tunnelen til et segment, og medlemskapet er hele sikkerhetsgrensen. På huben:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

På LTE-ruteren:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Disse kommandoene oppretter nye broer og legger til nøyaktig to porter i hver. EoIP-grensesnittet er lag-to-medlemmet; den krypterte tunnelen forblir en rutet transport og må aldri legges til som broport. Ikke legg til en produksjonsport, og ikke start en DHCP-server på laboratoriebroen.

Gi de to testvertene adresser i et ubrukt subnett uten konkurrerende DHCP-server, for eksempel 192.168.77.11/24 og 192.168.77.12/24. De trenger ingen standard gateway for å nå hverandre i det subnettet, og en ruter-grensesnittadresse er ikke nødvendig for at rammene skal passere.

Budsjetter overheadkostnaden før du utvider et LAN

EoIP over IPv4 legger til Ethernet-, GRE- og ytre IP-headere rundt nyttelasten som bæres. For det umerkede tilfellet dokumenterer MikroTik 42 byte, så et underlag med 1400 byte brukbar IP-MTU etterlater 1358 byte til den indre rammen. Det tallet er et budsjett og ikke en universell MSS-verdi, og det tvinger ikke en broet vert til å sende mindre rammer.

Kontroller de reelle grensene på veien, og test deretter med den største rammen apparatet faktisk sender. En ramme på 1500 byte som må fragmenteres inne i den beskyttede veien, oppfører seg annerledes enn en som passer, og forskjellen viser seg som en applikasjonsstopp og ikke som en lenkefeil.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP håndterer løkker, ikke vilkårlige parallelle veier, så hold pilottopologien enkel. Å utvide en bro utvider også kringkastings-, multicast- og DHCP-atferd over mobillenken, og den trafikken bruker kapasitet enten en nyttig ramme beveger seg eller ikke.

Planlegg en produksjonstilkobling først når laboratoriet når den rammestørrelsen og applikasjonsatferden du faktisk trenger. Før den overgangen må du bli enig om adressering, VLAN-medlemskap, DHCP-autoritet, løkkeforebygging og hvordan noen når ruterne når selve lenken er nede. En Ethernet-utvidelse forbinder feildomener så vel som enheter, så den fortjener et endringsvindu i stedet for en port til på en fungerende bro.