EoIP mbi një lidhje VPN LTE: ndërtimi i një laboratori të vogël RouterOS

EoIP merr një kornizë të plotë Ethernet, e mbështjell në GRE dhe e dërgon në një adresë të largët të konfiguruar, prandaj rezultati sillet si kabllo dhe jo si rrugë. Ajo që del nga ruteri është protokolli IP 47 me kornizën origjinale si ngarkesë, kështu që transmetimet, ARP dhe protokollet që nuk janë IP kalojnë të gjitha. GRE nuk shton konfidencialitet të vetin, dhe korniza mbetet e lexueshme për çdo gjë që sheh paketën e jashtme. Ky fakt i vetëm përcakton rendin e këtij laboratori: ndërtoni fillimisht rrugën e kriptuar, pastaj transportoni Ethernet brenda saj.

Çfarë mbështjell EoIP dhe çfarë jo

Enkapsulimi është i gjithë mekanizmi. Një kornizë arrin në një port të urëzuar, merr një kokë GRE dhe një kokë IP të jashtme, dhe dorëzohet te ruteri partner, i cili i heq të dyja dhe e fut kornizën në urën e vet. Ura marrëse mëson MAC-në burimore saktësisht siç do të mësonte nga një port lokal. Asgjë në atë proces nuk e vërteton kornizën dhe nuk e fsheh atë.

Prandaj konfidencialiteti duhet të vijë nga rruga nëpër të cilën udhëton paketa GRE. Në këtë projekt shtresa e poshtme është një tunel WireGuard ose IPsec midis dy ruterave, dhe EoIP transportohet brenda tij. MikroTik ofron gjithashtu një opsion IPsec automatik në vetë ndërfaqen EoIP, që është një rregullim tjetër dhe nuk është ai që konfiguron ky laborator.

Për shërbimet IP të rrugëzuara, një VPN i rrugëzuar është projekti më i vogël dhe ai që duhet preferuar. Drejtojuni shtresës së dytë vetëm kur një pajisje ka vërtet nevojë të shohë kornizat Ethernet të sitit tjetër.

Parakushte: një shtresë e poshtme e kriptuar dhe dy porta të papërdorura

Të dy ruterat kanë nevojë për një lidhje të kriptuar të vendosur dhe një adresë mbi të që partneri mund ta arrijë. Ana LTE e nis lidhjen e jashtme, prandaj hub-i nuk e telefonon kurrë rrjetin celular, dhe ruteri LTE mban gjendjen NAT që kërkon operatori. Konfirmoni se tuneli është aktiv përpara se të shtoni diçka mbi të, sepse një ndërfaqe EoIP që nuk e arrin adresën e saj të largët duket njësoj si një e konfiguruar gabimisht.

Secili ruter ka nevojë edhe për një port që nuk është tashmë anëtar ure, trunk VLAN, ndërfaqe administrimi ose lidhje prodhimi. Një laborator që huazon një port aktiv nuk është laborator, dhe mënyra e dështimit është një stuhi transmetimi në një rrjet funksional. Zhvendosni administrimin në një ndërfaqe tjetër ose në konsolë përpara se të filloni.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Këto vlera janë shembull dhe jo kërkesë. Ato duhet të qëndrojnë në ndërfaqet e tunelit dhe të rrugëzohen përmes rrugës së mbrojtur. Politika e firewalit në të dy ruterat duhet të lejojë GRE midis dy adresave të tunelit, dhe GRE është protokolli IP 47, jo një port TCP ose UDP me numrin 47. Ky projekt nuk ekspozon kurrë GRE të papërpunuar ndaj ndonjërit prej dy WAN-ve.

Krijoni çiftin e tuneleve me ID që përputhen

Dy skajet janë një ndërfaqe logjike e përcaktuar dy herë, prandaj çdo fushë identifikuese duhet të përputhet. Në hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Në ruterin LTE adresat kthehen mbrapsht dhe MAC ndryshon:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID-ja e tunelit duhet të përputhet në të dy skajet dhe nuk duhet të përplaset me një çift tjetër të konfiguruar tashmë në ndonjërin ruter. Adresat MAC janë vlera të administruara lokalisht që duhet të jenë unike brenda domenit të shtresës së dytë ku po hyni, prandaj mos ripërdorni një vlerë nga një shembull shitësi. Emrat e ndërfaqeve janë lokalë për secilin ruter dhe duhet të jenë konsistentë vetëm për skriptet tuaja.

Manuali aktual i EoIP dokumenton fushat e pikës fundore dhe të ID-së së tunelit dhe thotë qartë se EoIP është Ethernet mbi GRE. Asgjë në atë komandë nuk kripton asgjë, prandaj kontrolli i shtresës së poshtme vjen i pari.

Urëzoni vetëm portat e provës

Ura është ajo që e kthen tunelin në segment, dhe përbërja e saj është e gjithë kufiri i sigurisë. Në hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Në ruterin LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Këto komanda krijojnë ura të reja dhe shtojnë saktësisht dy porta në secilën. Ndërfaqja EoIP është anëtari i shtresës së dytë; tuneli i kriptuar mbetet transport i rrugëzuar dhe nuk duhet shtuar kurrë si port ure. Mos shtoni një port prodhimi dhe mos nisni një server DHCP në urën e laboratorit.

Jepuni dy hosteve të provës adresa në një nënrrjet të papërdorur pa server DHCP konkurrues, si 192.168.77.11/24 dhe 192.168.77.12/24. Atyre nuk u duhet një portë e parazgjedhur për të arritur njëri-tjetrin brenda atij nënrrjeti, dhe një adresë ndërfaqeje ruteri nuk kërkohet që kornizat të kalojnë.

Buxhetoni shpenzimet shtesë përpara se të zgjeroni një LAN

EoIP mbi IPv4 shton koka Ethernet, GRE dhe IP të jashtme rreth ngarkesës së transportuar. Për rastin pa etiketë MikroTik dokumenton 42 bajt, prandaj një shtresë e poshtme me 1400 bajt MTU IP të përdorshme lë 1358 bajt për kornizën e brendshme. Ai numër është buxhet dhe jo një vlerë universale MSS, dhe nuk e detyron një host të urëzuar të dërgojë korniza më të vogla.

Verifikoni kufijtë realë në rrugë dhe më pas provoni me kornizën më të madhe që pajisja dërgon vërtet. Një kornizë 1500 bajt që duhet fragmentuar brenda rrugës së mbrojtur sillet ndryshe nga një që përshtatet, dhe ndryshimi shfaqet si bllokim i aplikacionit dhe jo si dështim i lidhjes.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP merret me sythe, jo me rrugë paralele arbitrare, prandaj mbani topologjinë pilot të thjeshtë. Zgjerimi i një ure zgjeron gjithashtu sjelljen e transmetimit, multicast dhe DHCP përgjatë lidhjes celulare, dhe ai trafik konsumon kapacitet pavarësisht nëse lëviz ndonjë kornizë e dobishme.

Planifikoni një lidhje prodhimi vetëm kur laboratori arrin madhësinë e kornizës dhe sjelljen e aplikacionit që ju nevojiten vërtet. Përpara atij kalimi, bini dakord për adresimin, anëtarësimin në VLAN, autoritetin DHCP, parandalimin e sytheve dhe mënyrën se si dikush arrin te ruterat kur vetë lidhja është jashtë funksionit. Një zgjerim Ethernet bashkon domenet e dështimit njësoj si pajisjet, prandaj meriton një dritare ndryshimi dhe jo një port më shumë në një urë funksionale.