EoIP juu ya kiungo cha VPN cha LTE: kujenga maabara ndogo ya RouterOS

EoIP huchukua fremu kamili ya Ethernet, huifunga ndani ya GRE na kuituma kwa anwani ya mbali iliyowekwa, ndiyo sababu matokeo hufanya kazi kama kebo na si kama njia. Kinachotoka kwenye rauta ni itifaki ya IP 47 ikiwa na fremu ya awali kama mzigo, kwa hiyo matangazo, ARP na itifaki zisizo za IP zote hupita. GRE haiongezi usiri wake, na fremu inabaki kuwa inayosomeka kwa kitu chochote kinachoona pakiti ya nje. Ukweli huo mmoja huamua mpangilio wa maabara hii: kwanza jenga njia iliyosimbwa, kisha beba Ethernet ndani yake.

Kile EoIP hufunga, na kile isichofunga

Ufungaji ndio utaratibu wote. Fremu hufika kwenye bandari iliyowekwa kwenye daraja, hupata kichwa cha GRE na kichwa cha IP cha nje, na hupewa rauta mwenza, ambayo huondoa vyote viwili na kuingiza fremu kwenye daraja lake. Daraja linalopokea hujifunza MAC ya chanzo kama ilivyojifunza kutoka bandari ya ndani. Hakuna kitu katika mchakato huo kinachothibitisha fremu au kuificha.

Kwa hiyo usiri lazima utokee kwenye njia ambayo pakiti ya GRE husafiri. Katika muundo huu tabaka la chini ni handaki la WireGuard au IPsec kati ya rauta mbili, na EoIP hubebwa ndani yake. MikroTik pia hutoa chaguo la IPsec la kiotomatiki kwenye kiolesura cha EoIP chenyewe, ambayo ni mpangilio mwingine na si kile maabara hii inasanidi.

Kwa huduma za IP zilizopitishwa kwenye njia, VPN iliyopitishwa ndio muundo mdogo na ule unaopaswa kupendelewa. Elekea tabaka la pili tu wakati kifaa kinahitaji kweli kuona fremu za Ethernet kutoka tovuti nyingine.

Masharti ya awali: tabaka la chini lililosimbwa na bandari mbili zisizotumika

Rauta zote mbili zinahitaji kiungo kililosimbwa kilichoanzishwa na anwani juu yake ambayo mwenza anaweza kuifikia. Upande wa LTE huanzisha muunganisho wa nje, kwa hiyo kitovu hakiiti kamwe mtandao wa simu, na rauta ya LTE hudumisha hali ya NAT ambayo mwendeshaji anahitaji. Thibitisha kuwa handaki linafanya kazi kabla ya kuongeza kitu chochote juu yake, kwa sababu kiolesura cha EoIP kisichoweza kufikia anwani yake ya mbali kinaonekana sawa na kilichosanidiwa vibaya.

Kila rauta pia inahitaji bandari moja ambayo si mwanachama wa daraja, trunk ya VLAN, kiolesura cha usimamizi au kiungo cha uzalishaji. Maabara inayokopa bandari inayofanya kazi si maabara, na hali ya kushindwa ni dhoruba ya matangazo kwenye mtandao unaofanya kazi. Hamisha usimamizi kwenda kiolesura kingine au kwenye konsoli kabla ya kuanza.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Thamani hizo ni mfano na si sharti. Lazima ziwe kwenye violesura vya handaki na kupitishwa kwa njia iliyolindwa. Sera ya firewall kwenye rauta zote mbili lazima iruhusu GRE kati ya anwani mbili za handaki, na GRE ni itifaki ya IP 47, si bandari ya TCP au UDP yenye namba 47. Muundo huu hauonyeshi kamwe GRE mbichi kwa WAN yoyote.

Unda jozi ya handaki likiwa na ID zinazolingana

Ncha mbili ni kiolesura kimoja cha kimantiki kilichofafanuliwa mara mbili, kwa hiyo kila sehemu ya utambulisho lazima ilingane. Kwenye kitovu:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Kwenye rauta ya LTE anwani hubadilishana na MAC inatofautiana:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID ya handaki lazima ilingane kwenye ncha zote mbili na isigongane na jozi nyingine iliyosanidiwa tayari kwenye rauta yoyote. Anwani za MAC ni thamani zinazosimamiwa ndani na lazima ziwe za kipekee ndani ya kikoa cha tabaka la pili unaloingia, kwa hiyo usitumie tena thamani kutoka mfano wa muuzaji. Majina ya violesura ni ya ndani kwa kila rauta na yanahitaji kuwa thabiti kwa skripti zako pekee.

Mwongozo wa sasa wa EoIP unaandika sehemu za ncha ya mwisho na ID ya handaki na unasema wazi kuwa EoIP ni Ethernet juu ya GRE. Hakuna kitu katika amri hiyo kinachosimba kitu, kwa hiyo ukaguzi wa tabaka la chini huja kwanza.

Daraja bandari za majaribio tu

Daraja ndilo linalobadilisha handaki kuwa sehemu, na muundo wake ndio mpaka wote wa usalama. Kwenye kitovu:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Kwenye rauta ya LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Amri hizi huunda madaraja mapya na kuongeza bandari mbili kamili kwa kila moja. Kiolesura cha EoIP ni mwanachama wa tabaka la pili; handaki lililosimbwa linabaki usafiri uliopitishwa na halipaswi kamwe kuongezwa kama bandari ya daraja. Usiongeze bandari ya uzalishaji na usianzishe seva ya DHCP kwenye daraja la maabara.

Wape wenyeji wawili wa majaribio anwani katika subnet isiyotumika bila seva ya DHCP shindani, kama 192.168.77.11/24 na 192.168.77.12/24. Hawahitaji lango la msingi kufikia kila mmoja ndani ya subnet hiyo, na anwani ya kiolesura cha rauta haihitajiki ili fremu zipite.

Panga gharama ya ziada kabla ya kupanua LAN

EoIP juu ya IPv4 huongeza vichwa vya Ethernet, GRE na IP vya nje kuzunguka mzigo unaobebwa. Kwa hali isiyo na lebo MikroTik huandika baiti 42, kwa hiyo tabaka la chini lenye baiti 1400 za MTU ya IP inayoweza kutumika huacha baiti 1358 kwa fremu ya ndani. Namba hiyo ni bajeti na si thamani ya jumla ya MSS, na haikulazimishi mwenyeji aliyewekwa kwenye daraja kutuma fremu ndogo zaidi.

Thibitisha mipaka halisi kwenye njia, kisha jaribu kwa fremu kubwa zaidi ambayo kifaa hutuma kweli. Fremu ya baiti 1500 ambayo lazima igawanywe ndani ya njia iliyolindwa hufanya kazi tofauti na ile inayotoshea, na tofauti hiyo huonekana kama kusimama kwa programu na si kama kushindwa kwa kiungo.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP hushughulikia mizunguko, si njia sambamba za kiholela, kwa hiyo weka topolojia ya majaribio kuwa rahisi. Kupanua daraja pia kunapanua tabia ya matangazo, multicast na DHCP kwenye kiungo cha simu, na trafiki hiyo hutumia uwezo iwe fremu muhimu inasonga au la.

Panga muunganisho wa uzalishaji tu wakati maabara inafikia ukubwa wa fremu na tabia ya programu unayohitaji kweli. Kabla ya mabadiliko hayo, kubaliana kuhusu anwani, uanachama wa VLAN, mamlaka ya DHCP, kuzuia mizunguko na jinsi mtu anavyofikia rauta wakati kiungo chenyewe kimezimwa. Upanuzi wa Ethernet huunganisha vikoa vya kushindwa pamoja na vifaa, kwa hiyo unastahili dirisha la mabadiliko na si bandari nyingine kwenye daraja linalofanya kazi.