LTE VPN లింక్‌పై EoIP: చిన్న RouterOS ప్రయోగశాలను నిర్మించడం

EoIP పూర్తి Ethernet ఫ్రేమ్‌ను తీసుకుని, దాన్ని GRE లో చుట్టి, కాన్ఫిగర్ చేసిన దూరపు చిరునామాకు పంపుతుంది, అందువల్ల ఫలితం మార్గం లాగా కాకుండా కేబుల్ లాగా ప్రవర్తిస్తుంది. రౌటర్ నుండి బయటకు వెళ్లేది IP ప్రోటోకాల్ 47, అసలు ఫ్రేమ్ పేలోడ్‌గా, కాబట్టి ప్రసారాలు, ARP మరియు IP కాని ప్రోటోకాల్‌లు అన్నీ దాటుతాయి. GRE తన సొంత గోప్యతను జోడించదు, బయటి ప్యాకెట్‌ను చూసే దేనికైనా ఫ్రేమ్ చదవగలిగేలా ఉంటుంది. ఆ ఒక్క వాస్తవం ఈ ప్రయోగశాల క్రమాన్ని నిర్ణయిస్తుంది: మొదట ఎన్‌క్రిప్ట్ చేసిన మార్గాన్ని నిర్మించి, తర్వాత దాని లోపల Ethernet ను తీసుకెళ్లండి.

EoIP ఏమి చుట్టుతుంది, ఏమి చుట్టదు

ఎన్‌క్యాప్సులేషన్ మొత్తం యంత్రాంగం. ఫ్రేమ్ ఒక బ్రిడ్జ్ చేసిన పోర్టుకు వస్తుంది, GRE శీర్షిక మరియు బయటి IP శీర్షిక పొంది జోడి రౌటర్‌కు అందించబడుతుంది, అది రెండింటినీ తీసి ఫ్రేమ్‌ను తన సొంత బ్రిడ్జ్‌లోకి చొప్పిస్తుంది. స్వీకరించే బ్రిడ్జ్ మూల MAC ను స్థానిక పోర్టు నుండి నేర్చుకున్నట్టే నేర్చుకుంటుంది. ఆ ప్రక్రియలో ఏదీ ఫ్రేమ్‌ను ధృవీకరించదు లేదా దాచదు.

అందువల్ల గోప్యత GRE ప్యాకెట్ ప్రయాణించే మార్గం నుండే రావాలి. ఈ రూపకల్పనలో కింది పొర రెండు రౌటర్ల మధ్య WireGuard లేదా IPsec సొరంగం, EoIP దాని లోపల రవాణా చేయబడుతుంది. MikroTik EoIP ఇంటర్‌ఫేస్‌పైనే స్వయంచాలక IPsec ఎంపికను కూడా ఇస్తుంది, అది వేరే ఏర్పాటు, ఈ ప్రయోగశాల దాన్ని కాన్ఫిగర్ చేయదు.

మార్గీకృత IP సేవలకు, మార్గీకృత VPN చిన్న రూపకల్పన మరియు దానికే ప్రాధాన్యం ఇవ్వాలి. పరికరం నిజంగా మరో సైట్ Ethernet ఫ్రేమ్‌లను చూడాల్సినప్పుడే రెండో పొరకు వెళ్లండి.

ముందస్తు షరతులు: ఎన్‌క్రిప్ట్ చేసిన కింది పొర మరియు ఉపయోగించని రెండు పోర్టులు

రెండు రౌటర్లకూ స్థాపించిన ఎన్‌క్రిప్ట్ చేసిన లింక్ మరియు దానిపై జోడి చేరుకోగల చిరునామా అవసరం. బయటి కనెక్షన్‌ను LTE వైపు ప్రారంభిస్తుంది, కాబట్టి హబ్ ఎప్పుడూ మొబైల్ నెట్‌వర్క్‌కు డయల్ చేయదు, LTE రౌటర్ ఆపరేటర్ కోరే NAT స్థితిని నిర్వహిస్తుంది. దానిపై ఏదైనా జోడించే ముందు సొరంగం పనిచేస్తోందని నిర్ధారించుకోండి, ఎందుకంటే తన దూరపు చిరునామాను చేరుకోలేని EoIP ఇంటర్‌ఫేస్ తప్పుగా కాన్ఫిగర్ చేసినట్టే కనిపిస్తుంది.

ప్రతి రౌటర్‌కు ఇప్పటికే బ్రిడ్జ్ సభ్యుడు, VLAN ట్రంక్, నిర్వహణ ఇంటర్‌ఫేస్ లేదా ఉత్పత్తి లింక్ కాని ఒక పోర్టు కూడా అవసరం. నడుస్తున్న పోర్టును అప్పుగా తీసుకునే ప్రయోగశాల ప్రయోగశాల కాదు, వైఫల్య స్థితి నడుస్తున్న నెట్‌వర్క్‌లో ప్రసార తుఫాను. ప్రారంభించే ముందు నిర్వహణను మరో ఇంటర్‌ఫేస్‌కు లేదా కన్సోల్‌కు మార్చండి.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

ఈ విలువలు ఉదాహరణ, తప్పనిసరి కాదు. అవి సొరంగం ఇంటర్‌ఫేస్‌లపై ఉండాలి, రక్షిత మార్గం ద్వారా మార్గీకరించబడాలి. రెండు రౌటర్ల firewall విధానం రెండు సొరంగ చిరునామాల మధ్య GRE ను అనుమతించాలి, GRE అనేది IP ప్రోటోకాల్ 47, 47 సంఖ్య TCP లేదా UDP పోర్టు కాదు. ఈ రూపకల్పన ఏ WAN కూ ముడి GRE ను ఎప్పుడూ బహిర్గతం చేయదు.

సరిపోలే ID లతో సొరంగ జంటను సృష్టించండి

రెండు చివరలు రెండుసార్లు నిర్వచించబడిన ఒకే తార్కిక ఇంటర్‌ఫేస్, కాబట్టి ప్రతి గుర్తింపు క్షేత్రం సరిపోలాలి. హబ్‌లో:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE రౌటర్‌లో చిరునామాలు తిరగబడతాయి, MAC భిన్నంగా ఉంటుంది:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

సొరంగ ID రెండు చివరలా సరిపోలాలి మరియు ఏ రౌటర్‌లోనైనా ఇప్పటికే కాన్ఫిగర్ చేసిన మరో జంటతో ఢీకొనకూడదు. MAC చిరునామాలు స్థానికంగా నిర్వహించే విలువలు, మీరు చేరే రెండో పొర డొమైన్‌లో అవి ప్రత్యేకంగా ఉండాలి, కాబట్టి విక్రేత ఉదాహరణ విలువను మళ్లీ వాడవద్దు. ఇంటర్‌ఫేస్ పేర్లు ప్రతి రౌటర్‌కు స్థానికం, మీ స్వంత స్క్రిప్టులకు మాత్రం స్థిరంగా ఉంటే సరిపోతుంది.

ప్రస్తుత EoIP మాన్యువల్ ముగింపు బిందువు మరియు సొరంగ ID క్షేత్రాలను నమోదు చేసి, EoIP అనేది GRE పైన Ethernet అని స్పష్టంగా చెబుతుంది. ఆ ఆదేశంలో ఏదీ ఏదీ ఎన్‌క్రిప్ట్ చేయదు, అందువల్ల కింది పొర తనిఖీ మొదటిది.

పరీక్ష పోర్టులను మాత్రమే బ్రిడ్జ్ చేయండి

సొరంగాన్ని విభాగంగా మార్చేది బ్రిడ్జ్, దాని కూర్పే మొత్తం భద్రతా సరిహద్దు. హబ్‌లో:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE రౌటర్‌లో:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

ఈ ఆదేశాలు కొత్త బ్రిడ్జ్‌లను సృష్టించి ప్రతిదానికీ సరిగ్గా రెండు పోర్టులు జోడిస్తాయి. EoIP ఇంటర్‌ఫేస్ రెండో పొర సభ్యుడు; ఎన్‌క్రిప్ట్ చేసిన సొరంగం మార్గీకృత రవాణాగానే ఉంటుంది, దాన్ని ఎప్పుడూ బ్రిడ్జ్ పోర్టుగా జోడించకూడదు. ఉత్పత్తి పోర్టును జోడించవద్దు, ప్రయోగశాల బ్రిడ్జ్‌పై DHCP సర్వర్‌ను ప్రారంభించవద్దు.

రెండు పరీక్ష హోస్టులకు పోటీ DHCP సర్వర్ లేని ఉపయోగించని సబ్‌నెట్‌లో చిరునామాలు ఇవ్వండి, ఉదాహరణకు 192.168.77.11/24 మరియు 192.168.77.12/24. ఆ సబ్‌నెట్ లోపల ఒకరినొకరు చేరుకోవడానికి వాటికి డిఫాల్ట్ గేట్‌వే అవసరం లేదు, ఫ్రేమ్‌లు దాటడానికి రౌటర్ ఇంటర్‌ఫేస్ చిరునామా కూడా అవసరం లేదు.

LAN ను విస్తరించే ముందు అదనపు ఖర్చును గణించండి

IPv4 పైన EoIP రవాణా చేయబడే పేలోడ్ చుట్టూ Ethernet, GRE మరియు బయటి IP శీర్షికలను జోడిస్తుంది. ట్యాగ్ లేని సందర్భానికి MikroTik 42 బైట్‌లను నమోదు చేస్తుంది, కాబట్టి 1400 బైట్ ఉపయోగించగల IP MTU ఉన్న కింది పొర లోపలి ఫ్రేమ్‌కు 1358 బైట్‌లను మిగిల్చుతుంది. ఆ సంఖ్య బడ్జెట్, సార్వత్రిక MSS విలువ కాదు, బ్రిడ్జ్ చేసిన హోస్టును చిన్న ఫ్రేమ్‌లు పంపమని అది బలవంతం చేయదు.

మార్గంలో నిజమైన పరిమితులను ధృవీకరించి, తర్వాత పరికరం నిజంగా పంపే అతిపెద్ద ఫ్రేమ్‌తో పరీక్షించండి. రక్షిత మార్గం లోపల విభజించాల్సిన 1500 బైట్ ఫ్రేమ్ సరిపోయే ఫ్రేమ్ కంటే భిన్నంగా ప్రవర్తిస్తుంది, భేదం లింక్ వైఫల్యంగా కాకుండా అప్లికేషన్ ఆగిపోవడంగా కనిపిస్తుంది.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP లూప్‌లను నిర్వహిస్తుంది, మనస్వీ సమాంతర మార్గాలను కాదు, కాబట్టి పైలట్ టోపాలజీని సరళంగా ఉంచండి. బ్రిడ్జ్ విస్తరించడం మొబైల్ లింక్ అంతటా ప్రసారం, multicast మరియు DHCP ప్రవర్తనను కూడా విస్తరిస్తుంది, ఆ ట్రాఫిక్ ఉపయోగకరమైన ఫ్రేమ్ కదిలినా కదలకపోయినా సామర్థ్యాన్ని వినియోగిస్తుంది.

ప్రయోగశాల నిజంగా అవసరమైన ఫ్రేమ్ పరిమాణం మరియు అప్లికేషన్ ప్రవర్తనను చేరుకున్న తర్వాతే ఉత్పత్తి కనెక్షన్‌ను ప్రణాళిక చేయండి. ఆ మార్పు ముందు చిరునామీకరణ, VLAN సభ్యత్వం, DHCP అధికారం, లూప్ నివారణ మరియు లింక్ స్వయంగా డౌన్ అయినప్పుడు ఎవరైనా రౌటర్లను ఎలా చేరుకుంటారనే దానిపై అంగీకరించండి. Ethernet విస్తరణ పరికరాలతో పాటు వైఫల్య డొమైన్‌లను కూడా కలుపుతుంది, కాబట్టి అది నడుస్తున్న బ్రిడ్జ్‌పై మరో పోర్టు కాకుండా మార్పు విండోకు అర్హం.