EoIP čez povezavo VPN LTE: gradnja majhnega laboratorija RouterOS

EoIP prenaša okvire Ethernet znotraj GRE, GRE pa ničesar ne šifrira. Zgradite laboratorij na delujoči povezavi WireGuard, držite most izoliran, predvidite 42 bajtov.

EoIP vzame celoten okvir Ethernet, ga ovije v GRE in pošlje na nastavljeni oddaljeni naslov, zato se rezultat obnaša kot kabel in ne kot pot. Iz usmerjevalnika pride protokol IP 47 z izvirnim okvirom kot koristnim bremenom, zato razpošiljanja, ARP in protokoli, ki niso IP, vsi preidejo. GRE ne doda lastne zaupnosti in okvir ostane berljiv vsemu, kar vidi zunanji paket. To eno dejstvo določa vrstni red tega laboratorija: najprej zgradite šifrirano pot, nato v njej prenašajte Ethernet.

Kaj EoIP ovije in česa ne

Enkapsulacija je celoten mehanizem. Okvir prispe na vrata v mostu, dobi glavo GRE in zunanjo glavo IP ter se dostavi partnerskemu usmerjevalniku, ki obe odstrani in okvir vstavi v svoj most. Prejemni most se nauči izvornega MAC natanko tako, kot bi se iz lokalnih vrat. Nič v tem postopku okvira ne overi in ga ne skrije.

Zaupnost mora torej priti s poti, po kateri potuje paket GRE. V tej zasnovi je spodnji sloj tunel WireGuard ali IPsec med dvema usmerjevalnikoma, EoIP pa se prenaša znotraj njega. MikroTik ponuja tudi možnost samodejnega IPsec na samem vmesniku EoIP, kar je drugačna postavitev in ni tisto, kar nastavlja ta laboratorij.

Za usmerjene storitve IP je usmerjeni VPN manjša zasnova in tista, ki ji je treba dati prednost. Po drugi plasti posezite le takrat, ko naprava res potrebuje vpogled v okvire Ethernet z druge lokacije.

Predpogoji: šifriran spodnji sloj in dve neuporabljeni vrati

Oba usmerjevalnika potrebujeta vzpostavljeno šifrirano povezavo in naslov na njej, ki ga partner lahko doseže. Zunanjo povezavo začne stran LTE, zato zvezdišče nikoli ne kliče mobilnega omrežja, usmerjevalnik LTE pa ohranja stanje NAT, ki ga zahteva operater. Potrdite, da tunel deluje, preden nanj kar koli dodate, ker je vmesnik EoIP, ki ne doseže svojega oddaljenega naslova, videti enako kot nepravilno nastavljen.

Vsak usmerjevalnik potrebuje tudi ena vrata, ki niso že član mostu, trunk VLAN, upravljalni vmesnik ali proizvodna povezava. Laboratorij, ki si izposodi delujoča vrata, ni laboratorij, način odpovedi pa je nevihta razpošiljanja v delujočem omrežju. Pred začetkom premaknite upravljanje na drug vmesnik ali na konzolo.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Te vrednosti so primer in ne zahteva. Morajo stati na vmesnikih tunela in biti usmerjene po zaščiteni poti. Požarna politika na obeh usmerjevalnikih mora dovoliti GRE med obema naslovoma tunela, GRE pa je protokol IP 47, ne vrata TCP ali UDP s številko 47. Ta zasnova nikoli ne izpostavi surovega GRE nobenemu od obeh WAN.

Ustvarite par tunelov z ujemajočimi se ID

Oba konca sta en vmesnik, definiran dvakrat, zato se mora vsako identifikacijsko polje ujemati. Na zvezdišču:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Na usmerjevalniku LTE se naslova zamenjata, MAC pa je drugačen:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID tunela se mora ujemati na obeh koncih in ne sme trčiti ob drug par, ki je že nastavljen na katerem koli usmerjevalniku. Naslovi MAC so lokalno upravljane vrednosti, ki morajo biti edinstvene v domeni druge plasti, v katero vstopate, zato ne uporabite znova vrednosti iz primera proizvajalca. Imena vmesnikov so lokalna za vsak usmerjevalnik in morajo biti dosledna le za vaše lastne skripte.

Trenutni priročnik za EoIP dokumentira polji končne točke in ID tunela ter jasno pove, da je EoIP Ethernet nad GRE. Nič v tem ukazu ne šifrira ničesar, zato je preverjanje spodnjega sloja prvo.

V most povežite le preskusna vrata

Most je tisto, kar tunel spremeni v segment, njegova sestava pa je celotna varnostna meja. Na zvezdišču:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Na usmerjevalniku LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Ti ukazi ustvarijo nove mostove in vsakemu dodajo natanko dvoje vrat. Vmesnik EoIP je član druge plasti; šifrirani tunel ostane usmerjeni prenos in ga nikoli ne smete dodati kot mostna vrata. Ne dodajte proizvodnih vrat in ne zaženite strežnika DHCP na laboratorijskem mostu.

Dvema preskusnima gostiteljema dajte naslove v neuporabljenem podomrežju brez konkurenčnega strežnika DHCP, na primer 192.168.77.11/24 in 192.168.77.12/24. Za doseganje drug drugega v tem podomrežju ne potrebujeta privzetih vrat, naslov vmesnika usmerjevalnika pa za prehod okvirov ni potreben.

Načrtujte stroške glave, preden razširite LAN

EoIP nad IPv4 doda glave Ethernet, GRE in zunanje IP okrog prenašanega koristnega bremena. Za neoznačeni primer MikroTik navaja 42 bajtov, tako da spodnji sloj s 1400 bajti uporabnega MTU IP pusti 1358 bajtov za notranji okvir. Ta številka je proračun in ne univerzalna vrednost MSS, gostitelja v mostu pa ne sili k pošiljanju manjših okvirov.

Preverite resnične meje na poti in nato preskusite z največjim okvirom, ki ga naprava res pošlje. Okvir s 1500 bajti, ki ga je treba razdrobiti znotraj zaščitene poti, se obnaša drugače od tistega, ki se prilega, razlika pa se pokaže kot zastoj aplikacije in ne kot odpoved povezave.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP obravnava zanke, ne poljubnih vzporednih poti, zato naj bo pilotna topologija preprosta. Razširitev mosta razširi tudi vedenje razpošiljanja, multicast in DHCP čez mobilno povezavo, ta promet pa porablja zmogljivost ne glede na to, ali se premika koristen okvir.

Proizvodno priključitev načrtujte šele, ko laboratorij doseže velikost okvirov in vedenje aplikacije, ki ju res potrebujete. Pred tem prehodom se dogovorite o naslavljanju, članstvu v VLAN, pristojnosti DHCP, preprečevanju zank in o tem, kako nekdo doseže usmerjevalnike, ko sama povezava odpove. Razširitev Ethernet poveže domene odpovedi skupaj z napravami, zato si zasluži okno sprememb in ne še enih vrat na delujočem mostu.

Sorodni članki