EoIP cez LTE VPN spoj: stavba malého laboratória RouterOS

EoIP prevezme celý Ethernet rámec, zabalí ho do GRE a odošle na nakonfigurovanú vzdialenú adresu, preto sa výsledok správa ako kábel a nie ako trasa. Z routera vychádza IP protokol 47 s pôvodným rámcom ako užitočným zaťažením, takže broadcasty, ARP a protokoly mimo IP prechádzajú všetky. GRE nepridáva vlastnú dôvernosť a rámec zostáva čitateľný pre všetko, čo vidí vonkajší paket. Tento jediný fakt určuje poradie tohto laboratória: najprv postavte šifrovanú cestu, potom v nej prenášajte Ethernet.

Čo EoIP obaľuje a čo nie

Zapuzdrenie je celý mechanizmus. Rámec prichádza na port v moste, dostane GRE hlavičku a vonkajšiu IP hlavičku a je doručený partnerskému routeru, ktorý obe odstráni a rámec vloží do svojho mosta. Prijímajúci most sa naučí zdrojovú MAC presne tak, ako by to urobil z lokálneho portu. Nič v tomto procese rámec neautentifikuje ani neskrýva.

Dôvernosť teda musí prichádzať z cesty, po ktorej GRE paket putuje. V tomto návrhu je podložím tunel WireGuard alebo IPsec medzi dvoma routermi a EoIP sa prenáša v jeho vnútri. MikroTik tiež ponúka voľbu automatického IPsec priamo na rozhraní EoIP, čo je iné usporiadanie a nie to, čo toto laboratórium konfiguruje.

Pre smerované IP služby je smerovaná VPN menší návrh a ten, ktorý treba uprednostniť. Po druhú vrstvu siahnite len vtedy, keď zariadenie naozaj potrebuje vidieť Ethernet rámce z druhej lokality.

Predpoklady: šifrované podložie a dva nepoužité porty

Oba routery potrebujú nadviazané šifrované spojenie a adresu na ňom, ktorú partner dokáže dosiahnuť. Vonkajšie spojenie iniciuje strana LTE, takže hub nikdy nevytáča mobilnú sieť a LTE router udržiava stav NAT, ktorý operátor vyžaduje. Potvrďte, že tunel beží, skôr než naň čokoľvek pridáte, pretože rozhranie EoIP, ktoré nedosiahne svoju vzdialenú adresu, vyzerá rovnako ako nesprávne nastavené.

Každý router potrebuje aj jeden port, ktorý už nie je členom mosta, VLAN trunkom, riadiacim rozhraním ani produkčným spojom. Laboratórium, ktoré si požičiava živý port, nie je laboratórium a režimom zlyhania je broadcastová búrka v produkčnej sieti. Pred začiatkom presuňte správu na iné rozhranie alebo na konzolu.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Tieto hodnoty sú príklad, nie požiadavka. Musia ležať na tunelových rozhraniach a byť smerované chránenou cestou. Firewallová politika na oboch routeroch musí povoliť GRE medzi oboma tunelovými adresami a GRE je IP protokol 47, nie TCP alebo UDP port s číslom 47. Tento návrh nikdy nevystavuje surové GRE žiadnej zo sietí WAN.

Vytvorte pár tunelov so zhodnými ID

Oba konce sú jedno logické rozhranie definované dvakrát, takže každé identifikačné pole musí súhlasiť. Na hubu:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Na LTE routeri sa adresy obrátia a MAC sa líši:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID tunela musí na oboch koncoch súhlasiť a nesmie kolidovať s iným párom už nakonfigurovaným na ktoromkoľvek routeri. MAC adresy sú lokálne spravované hodnoty, ktoré musia byť jedinečné v doméne druhej vrstvy, do ktorej vstupujete, preto neopakujte hodnotu z príkladu výrobcu. Názvy rozhraní sú lokálne pre každý router a musia byť konzistentné len pre vaše vlastné skripty.

Aktuálny manuál k EoIP dokumentuje polia koncového bodu a ID tunela a jasne hovorí, že EoIP je Ethernet nad GRE. Nič v tom príkaze nič nešifruje, a preto kontrola podložia prichádza prvá.

Premostenujte len testovacie porty

Most je to, čo z tunela robí segment, a jeho zloženie je celá bezpečnostná hranica. Na hubu:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Na LTE routeri:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Tieto príkazy vytvárajú nové mosty a pridávajú do každého práve dva porty. Rozhranie EoIP je členom druhej vrstvy; šifrovaný tunel zostáva smerovanou prepravou a nikdy sa nesmie pridať ako port mosta. Nepridávajte produkčný port a nespúšťajte DHCP server na laboratórnom moste.

Dajte obom testovacím hostiteľom adresy v nepoužitej podsieti bez konkurenčného DHCP servera, napríklad 192.168.77.11/24 a 192.168.77.12/24. Na vzájomné dosiahnutie v tej podsieti nepotrebujú predvolenú bránu a adresa rozhrania routera nie je na prechod rámcov potrebná.

Naplánujte réžiu skôr, než rozšírite LAN

EoIP nad IPv4 pridáva okolo prenášaného užitočného zaťaženia Ethernet, GRE a vonkajšie IP hlavičky. Pre neoznačený prípad MikroTik uvádza 42 bajtov, takže podložie so 1400 bajtmi použiteľného IP MTU ponechá 1358 bajtov pre vnútorný rámec. Tento údaj je rozpočet, nie univerzálna hodnota MSS, a nenúti hostiteľa v moste vysielať menšie rámce.

Overte skutočné hranice na ceste a potom testujte najväčším rámcom, ktorý zariadenie naozaj odosiela. Rámec s 1500 bajtmi, ktorý sa musí v chránenej ceste fragmentovať, sa správa inak než ten, ktorý sa vmestí, a rozdiel sa prejaví ako zaseknutie aplikácie, nie ako výpadok spoja.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP rieši slučky, nie ľubovoľné paralelné cesty, preto držte pilotnú topológiu jednoduchú. Rozšírenie mosta rozširuje aj správanie broadcastu, multicastu a DHCP cez mobilné spojenie a táto prevádzka spotrebúva kapacitu bez ohľadu na to, či sa pohybuje užitočný rámec.

Produkčné pripojenie plánujte až vtedy, keď laboratórium dosiahne veľkosť rámcov a správanie aplikácie, ktoré skutočne potrebujete. Pred týmto prechodom sa dohodnite na adresovaní, členstve vo VLAN, právomoci DHCP, prevencii slučiek a na tom, ako sa niekto dostane k routerom, keď samotné spojenie vypadne. Rozšírenie Ethernetu spája domény zlyhania spolu so zariadeniami, preto si zaslúži zmenové okno, nie ďalší port na bežiacom moste.