EoIP sa isang link ng VPN LTE: pagbuo ng maliit na lab ng RouterOS

Kinukuha ng EoIP ang isang buong frame ng Ethernet, binabalot ito sa GRE at ipinapadala sa isang naka-configure na malayong address, kaya kumikilos ang resulta na parang kable at hindi parang ruta. Ang lumalabas sa router ay IP protocol 47 na may orihinal na frame bilang payload, kaya lahat ng broadcast, ARP at di-IP na protocol ay dumadaan. Walang idinadagdag ang GRE na sariling pagiging-lihim, at nananatiling nababasa ang frame para sa anumang nakakakita ng panlabas na packet. Ang nag-iisang katotohanang iyon ang nagtatakda ng pagkakasunod-sunod ng lab na ito: buuin muna ang naka-encrypt na daan, pagkatapos ay ihatid ang Ethernet sa loob nito.

Ano ang binabalot ng EoIP, at ano ang hindi

Ang encapsulation ang buong mekanismo. Dumarating ang isang frame sa isang port na kabit sa tulay, nakakakuha ng GRE header at panlabas na IP header, at inihahatid sa kaparehong router, na nagtatanggal ng dalawa at naglalagay ng frame sa sarili nitong tulay. Natututuhan ng tumatanggap na tulay ang MAC ng pinagmulan kung paano ito matututuhan mula sa lokal na port. Walang anuman sa prosesong iyon na nagpapatunay sa frame o nagtatago nito.

Kaya ang pagiging-lihim ay dapat magmula sa daang dinaraanan ng GRE packet. Sa disenyong ito ang ilalim na layer ay isang tunnel na WireGuard o IPsec sa pagitan ng dalawang router, at ang EoIP ay dinadala sa loob nito. Nag-aalok din ang MikroTik ng awtomatikong IPsec na opsyon sa mismong interface ng EoIP, na ibang kaayusan at hindi ang kinukumpigura ng lab na ito.

Para sa mga rutadong serbisyo ng IP, isang rutadong VPN ang mas maliit na disenyo at ang dapat unahin. Pumunta lamang sa ikalawang layer kapag ang isang aparato ay talagang kailangang makakita ng mga frame ng Ethernet mula sa kabilang site.

Mga paunang kailangan: isang naka-encrypt na ilalim na layer at dalawang port na hindi ginagamit

Kailangan ng dalawang router ang isang naitatag na naka-encrypt na link at isang address dito na maabot ng kapareha. Ang panig ng LTE ang nagsisimula ng panlabas na koneksyon, kaya hindi kailanman tumatawag ang hub sa mobile network, at pinapanatili ng LTE router ang estado ng NAT na hinihingi ng operator. Tiyakin na gumagana ang tunnel bago magdagdag ng anuman sa ibabaw nito, dahil ang interface ng EoIP na hindi umabot sa malayong address nito ay mukhang katulad ng mali ang pagkaka-configure.

Kailangan din ng bawat router ng isang port na hindi pa miyembro ng tulay, VLAN trunk, interface ng pamamahala o link ng produksyon. Ang lab na nanghihiram ng gumaganang port ay hindi lab, at ang modo ng pagpalya ay isang bagyo ng broadcast sa gumaganang network. Ilipat ang pamamahala sa ibang interface o sa console bago magsimula.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Ang mga halagang iyon ay halimbawa at hindi kahilingan. Dapat silang nasa mga interface ng tunnel at rutahin sa protektadong daan. Dapat payagan ng patakaran ng firewall sa dalawang router ang GRE sa pagitan ng dalawang address ng tunnel, at ang GRE ay IP protocol 47, hindi port ng TCP o UDP na may numerong 47. Hindi kailanman inilalantad ng disenyong ito ang hilaw na GRE sa alinman sa dalawang WAN.

Gumawa ng pares ng tunnel na may tugmang ID

Ang dalawang dulo ay isang lohikal na interface na tinukoy nang dalawang beses, kaya dapat tumugma ang bawat field na nagpapakilala. Sa hub:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Sa LTE router, bumabaliktad ang mga address at iba ang MAC:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Dapat tumugma ang ID ng tunnel sa dalawang dulo at hindi dapat bumangga sa ibang pares na naka-configure na sa alinmang router. Ang mga address ng MAC ay mga halagang pinamamahalaan sa lokal at dapat natatangi sa loob ng domain ng ikalawang layer na sinasalihan mo, kaya huwag gamiting muli ang halaga mula sa halimbawa ng vendor. Ang mga pangalan ng interface ay lokal sa bawat router at kailangan lamang na pare-pareho para sa iyong sariling mga script.

Ang kasalukuyang manual ng EoIP ay nagdodokumento ng mga field ng endpoint at ID ng tunnel, at malinaw na sinasabi na ang EoIP ay Ethernet sa ibabaw ng GRE. Walang anuman sa utos na iyon na nag-e-encrypt, kaya ang pagsusuri ng ilalim na layer ang nauuna.

I-tulay lamang ang mga port ng pagsubok

Ang tulay ang nagiging segment ng tunnel, at ang komposisyon nito ang buong hangganan ng seguridad. Sa hub:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Sa LTE router:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Gumagawa ang mga utos na ito ng mga bagong tulay at nagdadagdag ng eksaktong dalawang port sa bawat isa. Ang interface ng EoIP ang miyembro ng ikalawang layer; ang naka-encrypt na tunnel ay nananatiling rutadong transport at hindi kailanman dapat idagdag bilang port ng tulay. Huwag magdagdag ng port ng produksyon at huwag magsimula ng DHCP server sa tulay ng lab.

Bigyan ang dalawang host ng pagsubok ng mga address sa isang hindi ginagamit na subnet na walang karibal na DHCP server, tulad ng 192.168.77.11/24 at 192.168.77.12/24. Hindi nila kailangan ng default gateway upang maabot ang isa't isa sa subnet na iyon, at hindi kailangan ang address ng interface ng router upang makadaan ang mga frame.

Ibudget ang sobrang gastos bago palawakin ang LAN

Ang EoIP sa ibabaw ng IPv4 ay nagdadagdag ng mga header ng Ethernet, GRE at panlabas na IP sa paligid ng dinadalang payload. Para sa kaso na walang tag, nagdodokumento ang MikroTik ng 42 byte, kaya ang ilalim na layer na may 1400 byte na magagamit na MTU ng IP ay nag-iiwan ng 1358 byte para sa panloob na frame. Ang bilang na iyon ay budget at hindi pangkalahatang halaga ng MSS, at hindi nito pinipilit ang isang host sa tulay na magpadala ng mas maliliit na frame.

Tiyakin ang tunay na mga limitasyon sa daan, pagkatapos ay subukan gamit ang pinakamalaking frame na talagang ipinapadala ng aparato. Ang frame na 1500 byte na kailangang hatiin sa loob ng protektadong daan ay kumikilos nang iba sa frame na kasya, at ang pagkakaiba ay lumilitaw bilang paghinto ng aplikasyon at hindi bilang pagpalya ng link.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

Hinahawakan ng RSTP ang mga loop, hindi ang arbitraryong parallel na daan, kaya panatilihing simple ang pilot topology. Ang pagpapalawak ng tulay ay nagpapalawak din ng pag-uugali ng broadcast, multicast at DHCP sa buong mobile link, at ang trapikong iyon ay kumakain ng kapasidad may gumagalaw na kapaki-pakinabang na frame o wala.

Magplano ng koneksyon sa produksyon kapag naabot na ng lab ang laki ng frame at pag-uugali ng aplikasyon na talagang kailangan mo. Bago ang pagbabagong iyon, magkasundo sa addressing, pagiging miyembro ng VLAN, awtoridad ng DHCP, pag-iwas sa loop at kung paano nararating ng isang tao ang mga router kapag ang link mismo ay down. Ang pagpapalawak ng Ethernet ay nag-uugnay ng mga domain ng pagpalya kasama ng mga aparato, kaya karapat-dapat itong makatanggap ng window ng pagbabago at hindi ng isa pang port sa gumaganang tulay.