EoIP preko LTE VPN veze: izgradnja malog RouterOS praktikuma

EoIP preuzima ceo Ethernet okvir, umotava ga u GRE i šalje na podešenu udaljenu adresu, zato se rezultat ponaša kao kabl, a ne kao ruta. Iz rutera izlazi IP protokol 47 sa izvornim okvirom kao teretom, pa broadcast, ARP i protokoli izvan IP-a prolaze svi. GRE ne dodaje sopstvenu tajnost i okvir ostaje čitljiv svemu što vidi spoljni paket. Ta jedna činjenica određuje redosled ovog praktikuma: prvo izgradite šifrovani put, a zatim unutar njega prenesite Ethernet.

Šta EoIP umotava, a šta ne

Enkapsulacija je ceo mehanizam. Okvir stiže na port u mostu, dobija GRE zaglavlje i spoljno IP zaglavlje i predaje se partnerskom ruteru, koji oba skida i ubacuje okvir u sopstveni most. Prijemni most uči izvorni MAC isto kao sa lokalnog porta. Ništa u tom procesu ne proverava verodostojnost okvira niti ga skriva.

Tajnost zato mora doći sa puta kojim GRE paket putuje. U ovom dizajnu podloga je WireGuard ili IPsec tunel između dva rutera, a EoIP se prenosi unutar njega. MikroTik takođe nudi opciju automatskog IPsec-a na samom EoIP interfejsu, što je drugačije rešenje i nije ono što ovaj praktikum podešava.

Za rutirane IP usluge rutirani VPN je manji dizajn i onaj koji treba preferirati. Posegnite za drugim slojem samo kada uređaju zaista treba da vidi Ethernet okvire sa druge lokacije.

Preduslovi: šifrovana podloga i dva neiskorišćena porta

Oba rutera trebaju uspostavljenu šifrovanu vezu i adresu na njoj do koje partner može doći. Spoljnu vezu pokreće LTE strana, pa čvorište nikada ne poziva mobilnu mrežu, a LTE ruter održava NAT stanje koje operater zahteva. Potvrdite da je tunel aktivan pre nego što bilo šta dodate iznad, jer EoIP interfejs koji ne može doći do svoje udaljene adrese izgleda isto kao pogrešno podešen.

Svakom ruteru treba i jedan port koji već nije član mosta, VLAN trunk, upravljački interfejs ili proizvodna veza. Praktikum koji pozajmljuje živ port nije praktikum, a način otkaza je broadcast oluja na radnoj mreži. Premestite administraciju na drugi interfejs ili na konzolu pre nego što počnete.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Te vrednosti su primer, a ne zahtev. Moraju stajati na tunelskim interfejsima i biti rutirane kroz zaštićeni put. Vatrozidna politika na oba rutera mora dozvoliti GRE između dve tunelske adrese, a GRE je IP protokol 47, a ne TCP ili UDP port sa brojem 47. Ovaj dizajn nikada ne izlaže sirovi GRE nijednom WAN-u.

Napravite par tunela sa odgovarajućim ID-ovima

Dva kraja su jedan logički interfejs definisan dvaput, pa se svako identifikaciono polje mora slagati. Na čvorištu:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Na LTE ruteru adrese se zamjenjuju, a MAC se razlikuje:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID tunela mora se slagati na oba kraja i ne sme se sudariti sa drugim parom koji je već podešen na bilo kom ruteru. MAC adrese su lokalno administrirane vrednosti koje moraju biti jedinstvene unutar domena drugog sloja kojem se pridružujete, zato ne koristite ponovo vrednost iz primera proizvođača. Imena interfejsa su lokalna za svaki ruter i moraju biti dosledna samo za vaše sopstvene skripte.

Aktualni EoIP priručnik dokumentuje polja krajnje tačke i ID-a tunela i jasno kaže da je EoIP Ethernet preko GRE-a. Ništa u toj naredbi ne šifruje ništa, zato provera podloge dolazi prva.

Premostite samo testne portove

Most je ono što tunel pretvara u segment, a njegov sastav je cela bezbednosna granica. Na čvorištu:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Na LTE ruteru:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Ove naredbe prave nove mostove i dodaju tačno dva porta svakom. EoIP interfejs je član drugog sloja; šifrovani tunel ostaje rutirani transport i nikada se ne sme dodati kao port mosta. Ne dodajte proizvodni port i ne pokrećite DHCP server na praktikumskom mostu.

Dajte dva testna hosta adrese u neiskorišćenoj podmreži bez konkurentskog DHCP servera, kao što su 192.168.77.11/24 i 192.168.77.12/24. Njima ne treba podrazumevani gejtvej da bi dosegli jedan drugog unutar te podmreže, a adresa ruterskog interfejsa nije potrebna da bi okviri prešli.

Isplanirajte trošak zaglavlja pre nego što proširite LAN

EoIP preko IPv4 dodaje Ethernet, GRE i spoljna IP zaglavlja oko prenetog tereta. Za neoznačeni slučaj MikroTik dokumentuje 42 bajta, pa podloga sa 1400 bajtova upotrebljivog IP MTU-a ostavlja 1358 bajtova za unutrašnji okvir. Ta brojka je budžet, a ne univerzalna MSS vrednost, i ne prisiljava host u mostu da šalje manje okvire.

Proverite stvarne granice na putu, pa testirajte najvećim okvirom koji uređaj zaista šalje. Okvir od 1500 bajtova koji se mora fragmentirati unutar zaštićenog puta ponaša se drugačije od onog koji stane, a razlika se pokazuje kao zastoj aplikacije, a ne kao otkaz veze.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP rešava petlje, ne proizvoljne paralelne puteve, zato držite pilot topologiju jednostavnom. Proširenje mosta proširuje i ponašanje broadcasta, multicasta i DHCP-a preko mobilne veze, a taj saobraćaj troši kapacitet bez obzira na to kreće li se koristan okvir.

Planirajte proizvodno priključenje tek kada praktikum dostigne veličinu okvira i ponašanje aplikacije koje vam zaista trebaju. Pre tog prelaska dogovorite adresiranje, članstvo u VLAN-u, ovlašćenje za DHCP, sprečavanje petlji i kako neko dolazi do rutera kada je sama veza pala. Proširenje Etherneta spaja domene otkaza zajedno sa uređajima, zato zaslužuje prozor za promene, a ne još jedan port na radnom mostu.