د LTE VPN لینک پرمخ EoIP: کوچنی RouterOS لابراتوار جوړول

EoIP یو بشپړ Ethernet فریم اخلي، په GRE کې یې تړي او یوې تنظیم شوې لیرې پتې ته یې لیږي، نو ځکه پایله د لارې په څېر نه، بلکې د کیبل په څېر چلند کوي. له روټر څخه چې وځي هغه IP پروتوکول 47 دی، چې اصلي فریم د بار په توګه لري، نو ځکه خپرونې، ARP او هغه پروتوکولونه چې IP نه دي ټول تېریږي. GRE خپله پټتوب نه زیاتوي، او فریم د هر هغه څه لپاره لوستل کیدونکی پاتې کیږي چې بهرنی پیکټ ویني. همدا یوه حقیقت د دې لابراتوار ترتیب ټاکي: لومړی کوډ شوې لاره جوړه کړه، بیا د هغې په داخل کې Ethernet بوږه.

EoIP څه تړي او څه نه تړي

انکپسولیشن ټول میکانیزم دی. یو فریم په پل شوې بندر راځي، GRE سرلیک او بهرنی IP سرلیک اخلي او همکار روټر ته رسول کیږي، چې دواړه لیرې کوي او فریم خپل پل ته ننباسي. ترلاسه کوونکی پل د سرچینې MAC په سمه توګه زده کوي لکه له سیمه ییز بندر څخه چې زده کوي. په دې بهیر کې هېڅ شی فریم نه تصدیقوي او نه یې پټوي.

نو ځکه پټتوب باید له هغې لارې راشي چې GRE پیکټ پرې سفر کوي. په دې ډیزاین کې لاندې پوړ د دوو روټرونو ترمنځ WireGuard یا IPsec تونل دی، او EoIP د هغې په داخل کې بوږل کیږي. MikroTik په خپله EoIP انټرفیس باندې اتوماتیک IPsec انتخاب هم وړاندې کوي، چې بېله ترتیب دی او دا لابراتوار هغه نه تنظیموي.

د روټ شوو IP خدمتونو لپاره، روټ شوی VPN کوچنی ډیزاین دی او هغه دی چې باید غوره شي. دویم پوړ ته یوازې هغه وخت ولاړ شه چې یو وسیله واقعاً د بل سایټ Ethernet فریمونه وګوري.

پیش شرطونه: کوډ شوی لاندې پوړ او دوه نه کارول شوي بندرونه

دواړو روټرونو ته تاسیس شوی کوډ شوی لینک او پر هغه یوه پته چې همکار ورته رسیدلی شي اړینه ده. بهرنۍ اړیکه LTE اړخ پیلوي، نو ځکه هب هېڅکله موبایل شبکې ته زنګ نه وهلو، او LTE روټر هغه NAT حالت ساتي چې آپریټر غواړي. د هغې پرمخ د یو څه اضافه کولو دمخه تصدیق کړه چې تونل روان دی، ځکه هغه EoIP انټرفیس چې خپلې لیرې پتې ته نه رسیږي د غلط تنظیم شوي په څېر ښکاریږي.

هر روټر ته یو داسې بندر هم اړین دی چې لا دمخه د پل غړی، VLAN ټرنک، مدیریت انټرفیس یا تولیدي لینک نه وي. هغه لابراتوار چې روان بندر په قرض اخلي لابراتوار نه دی، او د ناکامۍ طریقه په روانه شبکه کې خپریدونکی طوفان دی. د پیل دمخه مدیریت بل انټرفیس یا کنسول ته واړوه.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

دا ارزښتونه بېلګه ده، نه اړتیا. باید په تونل انټرفیسونو وي او د ساتل شوې لارې له مخې روټ شي. د دواړو روټرونو فایر وال پالیسي باید د دوو تونل پتو ترمنځ GRE ته اجازه ورکړي، او GRE د IP پروتوکول 47 دی، نه د 47 شمیرې TCP یا UDP بندر. دا ډیزاین هېڅکله خام GRE کوم WAN ته نه ښکاره کوي.

د ورته ID سره د تونل جوړه جوړه کړه

دواړه پایونه یو منطقي انټرفیس دی چې دوه ځله تعریف شوی، نو هر پیژندونکی ساحه باید سره سمون وخورې. په هب:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

په LTE روټر کې پتې بدلیږي او MAC توپیر لري:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

د تونل ID باید په دواړو پایونو کې ورته وي او له بلې جوړې سره چې لا دمخه په هر روټر کې تنظیم شوې ده ټکر نه کوي. MAC پتې په سیمه ییزه توګه اداره شوي ارزښتونه دي او باید په هغه دویم پوړیز ډومین کې چې تاسو ورته یوځای کیږئ بې ساري وي، نو ځکه د جوړونکي له بېلګې څخه ارزښت بیا مه کاروه. د انټرفیس نومونه د هر روټر لپاره سیمه ییز دي او یوازې ستاسو د خپلو سکریپټونو لپاره ورته والی ته اړتیا لري.

اوسنی EoIP لارښود د پای ټکي او تونل ID ساحې مستند کوي او په روښانه توګه وایي چې EoIP د GRE پرمخ Ethernet دی. په هغه کمانډ کې هېڅ شی هېڅ نه کوډ کوي، نو ځکه د لاندې پوړ تفتیش لومړی راځي.

یوازې د ازموینې بندرونه پل کړه

پل هغه شی دی چې تونل په برخه بدلوي، او د هغې جوړښت ټوله امنیتي پوله ده. په هب:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

په LTE روټر:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

دا کمانډونه نوي پلونه جوړوي او په هر یوه کې بېخي دوه بندرونه زیاتوي. EoIP انټرفیس د دویم پوړ غړی دی؛ کوډ شوی تونل روټ شوی لېږد پاتې کیږي او هېڅکله باید د پل بندر په توګه ورزیات نشي. تولیدي بندر مه زیاتوه او د لابراتوار په پل کې DHCP سرور مه پیلوه.

دواړو ازمویښتي کوربه ته په نه کارول شوې فرعي شبکه کې پرته له سیالي کوونکي DHCP سرور پتې ورکړه، لکه 192.168.77.11/24 او 192.168.77.12/24. دوی ته په هغې فرعي شبکه کې یو بل ته د رسیدو لپاره تلواله ګېټوې اړینه نه ده، او د فریمونو د تېریدو لپاره د روټر انټرفیس پته اړینه نه ده.

د LAN د پراخولو دمخه اضافي لګښت حساب کړه

IPv4 پرمخ EoIP د لېږدول شوي بار شاوخوا Ethernet، GRE او بهرني IP سرلیکونه زیاتوي. د بې نښې حالت لپاره MikroTik 42 بایټ مستند کوي، نو ځکه 1400 بایټ کاریدونکي IP MTU لرونکی لاندې پوړ د داخلي فریم لپاره 1358 بایټ پریږدي. دا شمیره بودیجه ده، نه نړیوال MSS ارزښت، او پل شوی کوربه د کوچنیو فریمونو لیږلو ته اړ نه کوي.

په لار کې ریښتیني حدود وګوره، بیا د هغه ترټولو لوی فریم سره ازموینه وکړه چې وسیله واقعاً لیږي. 1500 بایټ فریم چې باید د ساتل شوې لارې په داخل کې ټوټه شي، د هغه فریم څخه چې ځای پرځای کیږي بېل چلند کوي، او توپیر د لینک ناکامۍ په توګه نه، بلکې د اپلیکیشن د بندیدو په توګه ښکاریږي.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP لوپونه سمبالوي، نه خپل سري موازي لارې، نو ځکه پایلټ ټوپولوژي ساده وساته. د پل پراخول په موبایل لینک باندې د خپرونو، multicast او DHCP چلند هم پراخوي، او هغه ټرافیک که ګټور فریم ځي یا نه، ظرفیت خوري.

تولیدي نښلون یوازې هغه وخت پلان کړه چې لابراتوار هغه فریم اندازه او د اپلیکیشن چلند ته ورسیږي چې تاسو واقعاً ورته اړتیا لرئ. د هغه بدلون دمخه د پتو، VLAN غړیتوب، DHCP واک، د لوپونو مخنیوي او د دې په اړه سلا وکړه چې کله لینک پخپله ښکته وي څوک روټرونو ته څنګه رسیږي. Ethernet پراخول د وسایلو سره یوځای د ناکامۍ ډومینونه هم نښلوي، نو ځکه د روان پل پرمخ بل بندر نه، بلکې د بدلون کړکۍ وړ دی.