EoIP через канал VPN LTE: будуємо невелику лабораторію RouterOS

EoIP переносить кадри Ethernet усередині GRE, а GRE нічого не шифрує. Збудуйте лабораторію на робочому каналі WireGuard, тримайте міст ізольованим, закладіть 42 байти.

EoIP бере повний кадр Ethernet, загортає його в GRE і надсилає на налаштовану віддалену адресу, тому результат поводиться як кабель, а не як маршрут. З маршрутизатора виходить IP-протокол 47 з оригінальним кадром як корисним навантаженням, тож широкомовні розсилки, ARP і протоколи поза IP проходять усі. GRE не додає власної конфіденційності, і кадр залишається читабельним для всього, що бачить зовнішній пакет. Цей єдиний факт визначає порядок цієї лабораторії: спершу збудуйте зашифрований шлях, а потім переносьте Ethernet усередині нього.

Що EoIP загортає, а що ні

Інкапсуляція — це весь механізм. Кадр надходить на порт у мосту, отримує заголовок GRE і зовнішній заголовок IP і доставляється партнерському маршрутизатору, який знімає обидва та вводить кадр у свій міст. Приймальний міст вивчає MAC джерела точно так само, як від локального порту. Ніщо в цьому процесі не автентифікує кадр і не приховує його.

Тому конфіденційність має надходити зі шляху, яким іде пакет GRE. У цьому проєкті нижній рівень — тунель WireGuard або IPsec між двома маршрутизаторами, а EoIP переноситься всередині нього. MikroTik також пропонує опцію автоматичного IPsec на самому інтерфейсі EoIP, але це інша схема, і не її налаштовує ця лабораторія.

Для маршрутизованих IP-сервісів маршрутизований VPN — менший проєкт і той, якому слід віддавати перевагу. Звертайтеся до другого рівня лише тоді, коли пристрою справді потрібно бачити кадри Ethernet з іншого майданчика.

Передумови: зашифрований нижній рівень і два невикористані порти

Обидвом маршрутизаторам потрібен встановлений зашифрований зв'язок і адреса на ньому, до якої партнер може дістатися. Зовнішнє з'єднання ініціює сторона LTE, тому концентратор ніколи не набирає мобільну мережу, а маршрутизатор LTE підтримує той стан NAT, якого вимагає оператор. Переконайтеся, що тунель працює, перш ніж додавати щось поверх нього, бо інтерфейс EoIP, що не досягає своєї віддаленої адреси, виглядає точно так само, як налаштований із помилкою.

Кожному маршрутизатору також потрібен порт, який ще не є членом мосту, транком VLAN, інтерфейсом керування чи виробничим зв'язком. Лабораторія, яка позичає робочий порт, — не лабораторія, а режим відмови — широкомовний шторм у робочій мережі. Перед початком перенесіть керування на інший інтерфейс або на консоль.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Ці значення є прикладом, а не вимогою. Вони мають бути на інтерфейсах тунелю й маршрутизуватися захищеним шляхом. Політика брандмауера на обох маршрутизаторах має дозволяти GRE між двома адресами тунелю, а GRE — це IP-протокол 47, а не порт TCP або UDP з номером 47. Цей проєкт ніколи не виставляє сирий GRE жодній із двох мереж WAN.

Створіть пару тунелів з однаковими ID

Два кінці — це один логічний інтерфейс, визначений двічі, тому кожне ідентифікаційне поле має збігатися. На концентраторі:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

На маршрутизаторі LTE адреси міняються місцями, а MAC відрізняється:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID тунелю має збігатися на обох кінцях і не повинен конфліктувати з іншою парою, уже налаштованою на будь-якому з маршрутизаторів. Адреси MAC — це локально керовані значення, які мають бути унікальними в домені другого рівня, до якого ви приєднуєтеся, тому не повторюйте значення з прикладу виробника. Імена інтерфейсів локальні для кожного маршрутизатора і мають бути узгодженими лише для ваших власних скриптів.

Поточний посібник з EoIP документує поля кінцевої точки та ID тунелю і прямо каже, що EoIP — це Ethernet поверх GRE. Ніщо в цій команді нічого не шифрує, тому перевірка нижнього рівня йде першою.

Об'єднайте в міст лише тестові порти

Міст — це те, що перетворює тунель на сегмент, і його склад і є вся межа безпеки. На концентраторі:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

На маршрутизаторі LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Ці команди створюють нові мости й додають до кожного рівно два порти. Інтерфейс EoIP — це член другого рівня; зашифрований тунель залишається маршрутизованим транспортом, і його ніколи не можна додавати як порт мосту. Не додавайте виробничий порт і не запускайте DHCP-сервер на лабораторному мосту.

Дайте двом тестовим хостам адреси в невикористаній підмережі без конкуруючого DHCP-сервера, наприклад 192.168.77.11/24 і 192.168.77.12/24. Їм не потрібен шлюз за замовчуванням, щоб дістатися одне одного в цій підмережі, і адреса інтерфейсу маршрутизатора не потрібна для проходження кадрів.

Закладіть накладні витрати, перш ніж розширювати LAN

EoIP поверх IPv4 додає заголовки Ethernet, GRE і зовнішнього IP навколо корисного навантаження, що переноситься. Для випадку без мітки MikroTik документує 42 байти, тож нижній рівень із 1400 байтами корисного MTU IP залишає 1358 байтів для внутрішнього кадру. Це число — бюджет, а не універсальне значення MSS, і воно не змушує хост у мості надсилати менші кадри.

Перевірте реальні межі на шляху, а потім випробуйте найбільшим кадром, який пристрій справді надсилає. Кадр у 1500 байтів, який треба фрагментувати всередині захищеного шляху, поводиться інакше, ніж той, що вміщується, і різниця проявляється як зупинка застосунку, а не як відмова зв'язку.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP обробляє петлі, а не довільні паралельні шляхи, тому тримайте пілотну топологію простою. Розширення мосту розширює й поведінку широкомовних, multicast- і DHCP-пакетів через мобільний зв'язок, і цей трафік споживає ємність незалежно від того, чи рухається корисний кадр.

Плануйте виробниче підключення лише тоді, коли лабораторія досягне того розміру кадру й поведінки застосунку, які вам справді потрібні. Перед цим переходом домовтеся про адресацію, членство у VLAN, повноваження DHCP, запобігання петлям і про те, як хтось дістанеться до маршрутизаторів, коли сам зв'язок недоступний. Розширення Ethernet об'єднує домени відмови разом із пристроями, тому воно заслуговує вікна змін, а не ще одного порту на робочому мості.

Схожі статті