EoIP преко LTE VPN везе: изградња мале RouterOS радионице

EoIP преноси Ethernet оквире унутар GRE-а, а GRE ништа не шифрује. Изградите радионицу на радној WireGuard вези, држите мост изолованим, планирајте 42 бајта.

EoIP узима цео Ethernet оквир, умотава га у GRE и шаље на подешену удаљену адресу, зато се резултат понаша као кабл, а не као рута. Из рутера излази IP протокол 47 са изворним оквиром као корисним теретом, па broadcast, ARP и протоколи изван IP-а пролазе сви. GRE не додаје сопствену поверљивост и оквир остаје читљив свему што види спољни пакет. Та једна чињеница одређује редослед ове радионице: прво изградите шифровану путању, а затим унутар ње пренесите Ethernet.

Шта EoIP умотава, а шта не

Енкапсулација је цео механизам. Оквир стиже на порт у мосту, добија GRE заглавље и спољно IP заглавље и доставља се партнерском рутеру, који оба скида и убацује оквир у сопствени мост. Пријемни мост учи изворни MAC исто као са локалног порта. Ништа у том процесу не проверава аутентичност оквира нити га скрива.

Поверљивост зато мора доћи са пута којим GRE пакет путује. У овом пројекту подлога је WireGuard или IPsec тунел између два рутера, а EoIP се преноси унутар њега. MikroTik такође нуди опцију аутоматског IPsec-а на самом EoIP интерфејсу, што је друго решење и није оно што ова радионица подешава.

За рутиране IP услуге рутирани VPN је мањи дизајн и онај који треба преферирати. Посегните за другим слојем само када уређају заиста треба да види Ethernet оквире са друге локације.

Предуслови: шифрована подлога и два неискоришћена порта

Оба рутера требају успостављену шифровану везу и адресу на њој до које партнер може доћи. Спољну везу покреће LTE страна, па чвориште никада не позива мобилну мрежу, а LTE рутер одржава NAT стање које оператер захтева. Потврдите да је тунел активан пре него што било шта додате изнад, јер EoIP интерфејс који не може доћи до своје удаљене адресе изгледа исто као погрешно подешен.

Сваком рутеру треба и један порт који већ није члан моста, VLAN trunk, управљачки интерфејс или производна веза. Радионица која позајмљује жив порт није радионица, а начин отказа је broadcast олуја на радној мрежи. Преместите администрацију на други интерфејс или на конзолу пре него што почнете.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Те вредности су пример, а не захтев. Морају стајати на тунелским интерфејсима и бити рутиране кроз заштићену путању. Ватрозидна политика на оба рутера мора дозволити GRE између две тунелске адресе, а GRE је IP протокол 47, а не TCP или UDP порт са бројем 47. Овај дизајн никада не излаже сирови GRE ниједном WAN-у.

Направите пар тунела са одговарајућим ID-овима

Два краја су један логички интерфејс дефинисан двапут, па се свако идентификационо поље мора слагати. На чворишту:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

На LTE рутеру адресе се замењују, а MAC се разликује:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID тунела мора се слагати на оба краја и не сме се сударити са другим паром који је већ подешен на било ком рутеру. MAC адресе су локално администриране вредности које морају бити јединствене унутар домена другог слоја коме се придружујете, зато не користите поново вредност из примера произвођача. Имена интерфејса су локална за сваки рутер и морају бити доследна само за ваше сопствене скрипте.

Актуелни EoIP приручник документује поља крајње тачке и ID-а тунела и јасно каже да је EoIP Ethernet преко GRE-а. Ништа у тој наредби не шифрује ништа, зато провера подлоге долази прва.

Премостите само тестне портове

Мост је оно што тунел претвара у сегмент, а његов састав је цела безбедносна граница. На чворишту:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

На LTE рутеру:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Ове наредбе праве нове мостове и додају тачно два порта сваком. EoIP интерфејс је члан другог слоја; шифровани тунел остаје рутирани транспорт и никада се не сме додати као порт моста. Не додајте производни порт и не покрећите DHCP сервер на радионичком мосту.

Дајте два тестна хоста адресе у неискоришћеној подмрежи без конкурентског DHCP сервера, као што су 192.168.77.11/24 и 192.168.77.12/24. Њима не треба подразумевани гејтвеј да би достигли један другог унутар те подмреже, а адреса рутерског интерфејса није потребна да би оквири прешли.

Испланирајте трошак заглавља пре него што проширите LAN

EoIP преко IPv4 додаје Ethernet, GRE и спољна IP заглавља око пренетог терета. За неозначени случај MikroTik документује 42 бајта, па подлога са 1400 бајтова употребљивог IP MTU-а оставља 1358 бајтова за унутрашњи оквир. Та бројка је буџет, а не универзална MSS вредност, и не присиљава хост у мосту да шаље мање оквире.

Проверите стварне границе на путу, па тестирајте највећим оквиром који уређај заиста шаље. Оквир од 1500 бајтова који се мора фрагментирати унутар заштићене путање понаша се другачије од оног који стане, а разлика се показује као застој апликације, а не као отказ везе.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP решава петље, не произвољне паралелне путеве, зато држите пилот топологију једноставном. Проширење моста проширује и понашање емитовања, мултикаста и DHCP-а преко мобилне везе, а тај саобраћај троши капацитет без обзира на то креће ли се користан оквир.

Планирајте производно прикључење тек када радионица достигне величину оквира и понашање апликације које вам заиста требају. Пре тог преласка договорите адресирање, чланство у VLAN-у, овлашћење за DHCP, спречавање петљи и како неко долази до рутера када је сама веза пала. Проширење Ethernet-а спаја домене отказа заједно са уређајима, зато заслужује прозор за промене, а не још један порт на радном мосту.

Повезани чланци