EoIP över en LTE-VPN-länk: bygga ett litet RouterOS-laboratorium

EoIP tar en komplett Ethernet-ram, paketerar den i GRE och skickar den till en konfigurerad fjärradress, och därför beter sig resultatet som en kabel och inte som en route. Det som lämnar routern är IP-protokoll 47 med den ursprungliga ramen som nyttolast, så broadcast, ARP och protokoll som inte är IP passerar alla. GRE tillför ingen egen konfidentialitet, och ramen förblir läsbar för allt som ser det yttre paketet. Den enda omständigheten avgör ordningen i det här laboratoriet: bygg den krypterade vägen först och bär därefter Ethernet inuti den.

Vad EoIP packar in, och vad det inte gör

Inkapslingen är hela mekanismen. En ram anländer till en bryggad port, får en GRE-header och en yttre IP-header, och levereras till partnerroutern, som tar bort båda och injicerar ramen i sin egen brygga. Den mottagande bryggan lär sig källans MAC precis som den skulle göra från en lokal port. Ingenting i den processen autentiserar ramen eller döljer den.

Konfidentialiteten måste därför komma från den väg som GRE-paketet färdas över. I den här designen är underlaget en WireGuard- eller IPsec-tunnel mellan de två routrarna, och EoIP bärs inuti den. MikroTik erbjuder också ett automatiskt IPsec-alternativ på själva EoIP-gränssnittet, vilket är ett annat arrangemang och inte det som det här laboratoriet konfigurerar.

För routade IP-tjänster är en routad VPN den mindre designen och den som bör föredras. Ta till lager två bara när en enhet verkligen behöver se Ethernet-ramar från den andra platsen.

Förutsättningar: ett krypterat underlag och två oanvända portar

Båda routrarna behöver en etablerad krypterad förbindelse och en adress på den som partnern kan nå. LTE-sidan inleder den yttre anslutningen, så hubben ringer aldrig mobilnätet, och LTE-routern upprätthåller det NAT-tillstånd som operatören kräver. Bekräfta att tunneln är uppe innan du lägger något ovanpå den, för ett EoIP-gränssnitt som inte når sin fjärradress ser identiskt ut med ett felkonfigurerat.

Varje router behöver också en port som inte redan är bryggmedlem, VLAN-trunk, hanteringsgränssnitt eller produktionslänk. Ett laboratorium som lånar en levande port är inte ett laboratorium, och felläget är en broadcaststorm på ett fungerande nät. Flytta administrationen till ett annat gränssnitt eller till konsolen innan du börjar.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Dessa värden är ett exempel och inte ett krav. De måste ligga på tunnelgränssnitten och routas genom den skyddade vägen. Brandväggsprincipen på båda routrarna måste tillåta GRE mellan de två tunneladresserna, och GRE är IP-protokoll 47, inte en TCP- eller UDP-port med nummer 47. Den här designen exponerar aldrig rå GRE för någon av WAN-näten.

Skapa tunnelparet med matchande ID:n

De två ändarna är ett logiskt gränssnitt som definieras två gånger, så varje identifierande fält måste stämma. På hubben:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

På LTE-routern vänds adresserna och MAC-adressen skiljer sig:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tunnel-ID:t måste stämma i båda ändarna och får inte kollidera med ett annat par som redan är konfigurerat på någon av routrarna. MAC-adresserna är lokalt administrerade värden som måste vara unika inom det lager-två-domän som du ansluter till, så återanvänd inte ett värde från ett leverantörsexempel. Gränssnittsnamn är lokala för varje router och behöver bara vara konsekventa för dina egna skript.

Den aktuella EoIP-handboken dokumenterar fälten för slutpunkt och tunnel-ID och säger rakt ut att EoIP är Ethernet över GRE. Ingenting i det kommandot krypterar något, och därför kommer underlagskontrollen först.

Brygga bara testportarna

En brygga är det som gör tunneln till ett segment, och dess sammansättning är hela säkerhetsgränsen. På hubben:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

På LTE-routern:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Dessa kommandon skapar nya bryggor och lägger till exakt två portar i varje. EoIP-gränssnittet är lager-två-medlemmen; den krypterade tunneln förblir en routad transport och får aldrig läggas till som bryggport. Lägg inte till en produktionsport och starta inte en DHCP-server på laboratoriebryggan.

Ge de två testvärdarna adresser i ett oanvänt subnät utan konkurrerande DHCP-server, till exempel 192.168.77.11/24 och 192.168.77.12/24. De behöver ingen standardgateway för att nå varandra i det subnätet, och en router-gränssnittsadress behövs inte för att ramarna ska passera.

Budgetera överheaden innan du utökar ett LAN

EoIP över IPv4 lägger till Ethernet-, GRE- och yttre IP-huvuden runt nyttolasten som bärs. För det omärkta fallet dokumenterar MikroTik 42 byte, så ett underlag med 1400 byte användbar IP-MTU lämnar 1358 byte till den inre ramen. Den siffran är en budget och inte ett universellt MSS-värde, och den tvingar inte en bryggad värd att skicka mindre ramar.

Kontrollera de verkliga gränserna på vägen och testa sedan med den största ram som apparaten faktiskt skickar. En ram på 1500 byte som måste fragmenteras inne i den skyddade vägen beter sig annorlunda än en som får plats, och skillnaden visar sig som en applikationsstopp och inte som ett länkfel.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP hanterar slingor, inte godtyckliga parallella vägar, så håll pilottopologin enkel. Att utöka en brygga utökar också broadcast-, multicast- och DHCP-beteende över mobillänken, och den trafiken förbrukar kapacitet oavsett om en användbar ram rör sig.

Planera en produktionsanslutning först när laboratoriet når den ramstorlek och det applikationsbeteende som du faktiskt behöver. Före den övergången måste du komma överens om adressering, VLAN-medlemskap, DHCP-auktoritet, slingförebyggande och hur någon når routrarna när själva länken ligger nere. En Ethernet-utökning förbinder feldomaner likaväl som enheter, så den förtjänar ett ändringsfönster i stället för ännu en port på en fungerande brygga.