LTE VPN bağlantısı üzerinde EoIP: küçük bir RouterOS laboratuvarı kurmak

EoIP tam bir Ethernet çerçevesini alır, GRE içine sarar ve yapılandırılmış uzak adrese gönderir, bu yüzden sonuç bir yol gibi değil bir kablo gibi davranır. Yönlendiriciden çıkan şey, özgün çerçeveyi yük olarak taşıyan IP protokolü 47'dir, dolayısıyla yayınlar, ARP ve IP dışı protokollerin tümü geçer. GRE kendine ait bir gizlilik eklemez ve çerçeve, dış paketi görebilen her şey için okunabilir kalır. Bu tek gerçek bu laboratuvarın sırasını belirler: önce şifreli yolu kurun, sonra Ethernet'i onun içinde taşıyın.

EoIP neyi sarar, neyi sarmaz

Kapsülleme bütün mekanizmadır. Bir çerçeve köprülenmiş bir bağlantı noktasına gelir, bir GRE başlığı ve bir dış IP başlığı alır ve eş yönlendiriciye teslim edilir; o da ikisini de soyup çerçeveyi kendi köprüsüne enjekte eder. Alıcı köprü, kaynak MAC'i tıpkı yerel bir bağlantı noktasından öğrenirmiş gibi öğrenir. Bu süreçte hiçbir şey çerçeveyi doğrulamaz ve gizlemez.

Bu nedenle gizlilik, GRE paketinin üzerinden geçtiği yoldan gelmelidir. Bu tasarımda alt katman iki yönlendirici arasındaki bir WireGuard veya IPsec tünelidir ve EoIP onun içinde taşınır. MikroTik ayrıca EoIP arayüzünün kendisinde otomatik IPsec seçeneği sunar; bu başka bir düzenlemedir ve bu laboratuvarın yapılandırdığı şey değildir.

Yönlendirilmiş IP hizmetleri için yönlendirilmiş bir VPN daha küçük tasarımdır ve tercih edilmesi gereken odur. İkinci katmana yalnızca bir aygıt gerçekten diğer sahadaki Ethernet çerçevelerini görmek zorunda kaldığında başvurun.

Ön koşullar: şifreli bir alt katman ve kullanılmayan iki bağlantı noktası

Her iki yönlendiricinin de kurulmuş şifreli bir bağlantıya ve eşin erişebileceği bir adrese ihtiyacı vardır. Dış bağlantıyı LTE tarafı başlatır, bu yüzden merkez mobil ağa asla bağlanmaz ve LTE yönlendiricisi operatörün istediği NAT durumunu korur. Üzerine bir şey eklemeden önce tünelin çalıştığını doğrulayın, çünkü uzak adresine ulaşamayan bir EoIP arayüzü yanlış yapılandırılmış olandan farksız görünür.

Her yönlendiricinin ayrıca zaten köprü üyesi, VLAN trunk, yönetim arayüzü veya üretim bağlantısı olmayan bir bağlantı noktasına ihtiyacı vardır. Canlı bir bağlantı noktasını ödünç alan laboratuvar laboratuvar değildir ve arıza biçimi çalışan bir ağda yayın fırtınasıdır. Başlamadan önce yönetimi başka bir arayüze veya konsola taşıyın.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Bu değerler bir örnektir, gereklilik değildir. Tünel arayüzlerinde bulunmalı ve korumalı yoldan yönlendirilmelidir. İki yönlendiricideki güvenlik duvarı ilkesi iki tünel adresi arasında GRE'ye izin vermelidir ve GRE, 47 numaralı TCP veya UDP bağlantı noktası değil, IP protokolü 47'dir. Bu tasarım ham GRE'yi iki WAN'nin hiçbirine asla açığa çıkarmaz.

Eşleşen ID'lerle tünel çiftini oluşturun

İki uç, iki kez tanımlanan tek bir mantıksal arayüzdür, bu yüzden her tanımlayıcı alan eşleşmelidir. Merkezde:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE yönlendiricisinde adresler tersine döner ve MAC farklıdır:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

Tünel ID'si iki uçta eşleşmeli ve yönlendiricilerin herhangi birinde zaten yapılandırılmış başka bir çiftle çakışmamalıdır. MAC adresleri yerel olarak yönetilen değerlerdir ve katıldığınız ikinci katman alanında benzersiz olmalıdır, bu yüzden bir üretici örneğindeki değeri yeniden kullanmayın. Arayüz adları her yönlendirici için yereldir ve yalnızca kendi betikleriniz için tutarlı olmalıdır.

Güncel EoIP kılavuzu uç nokta ve tünel ID alanlarını belgeler ve EoIP'nin GRE üzerinde Ethernet olduğunu açıkça söyler. O komutta hiçbir şey hiçbir şeyi şifrelemez, bu yüzden alt katman denetimi önce gelir.

Yalnızca test bağlantı noktalarını köprüleyin

Köprü, tüneli bir segmente dönüştüren şeydir ve bileşimi tüm güvenlik sınırıdır. Merkezde:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE yönlendiricisinde:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Bu komutlar yeni köprüler oluşturur ve her birine tam olarak iki bağlantı noktası ekler. EoIP arayüzü ikinci katman üyesidir; şifreli tünel yönlendirilmiş taşıma olarak kalır ve asla köprü bağlantı noktası olarak eklenmemelidir. Üretim bağlantı noktası eklemeyin ve laboratuvar köprüsünde DHCP sunucusu başlatmayın.

İki test ana bilgisayarına yarışan DHCP sunucusu olmayan kullanılmayan bir alt ağda adresler verin, örneğin 192.168.77.11/24 ve 192.168.77.12/24. O alt ağ içinde birbirlerine ulaşmak için varsayılan ağ geçidine ihtiyaçları yoktur ve çerçevelerin geçmesi için yönlendirici arayüz adresi gerekmez.

Bir LAN'ı genişletmeden önce ek yükü bütçeleyin

IPv4 üzerinde EoIP, taşınan yükün çevresine Ethernet, GRE ve dış IP başlıkları ekler. Etiketsiz durumda MikroTik 42 bayt belgeler, bu yüzden 1400 bayt kullanılabilir IP MTU'ya sahip bir alt katman iç çerçeve için 1358 bayt bırakır. Bu sayı bir bütçedir, evrensel bir MSS değeri değildir ve köprülenmiş bir ana bilgisayarı daha küçük çerçeveler göndermeye zorlamaz.

Yoldaki gerçek sınırları doğrulayın, sonra aygıtın gerçekten gönderdiği en büyük çerçeveyle test edin. Korumalı yolun içinde parçalanması gereken 1500 baytlık bir çerçeve, sığan bir çerçeveden farklı davranır ve fark, bağlantı arızası olarak değil uygulama takılması olarak görünür.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP döngülerle ilgilenir, rastgele paralel yollarla değil, bu yüzden pilot topolojiyi basit tutun. Bir köprüyü genişletmek yayın, multicast ve DHCP davranışını da mobil bağlantı boyunca genişletir ve bu trafik yararlı bir çerçeve hareket etse de etmese de kapasite tüketir.

Üretim bağlantısını yalnızca laboratuvar gerçekten ihtiyaç duyduğunuz çerçeve boyutuna ve uygulama davranışına ulaştığında planlayın. Bu geçişten önce adresleme, VLAN üyeliği, DHCP yetkisi, döngü önleme ve bağlantının kendisi çöktüğünde birinin yönlendiricilere nasıl ulaşacağı konusunda anlaşın. Ethernet genişletmesi aygıtların yanı sıra arıza alanlarını da birleştirir, bu yüzden çalışan bir köprüde bir bağlantı noktası daha yerine bir değişiklik penceresini hak eder.