LTE VPN لنک پر EoIP: چھوٹی RouterOS لیبارٹری بنانا

EoIP ایک مکمل Ethernet فریم لیتا ہے، اسے GRE میں لپیٹتا ہے اور کسی ترتیب شدہ دور دراز پتے پر بھیجتا ہے، اسی لیے نتیجہ راستے کی طرح نہیں بلکہ کیبل کی طرح برتاؤ کرتا ہے۔ روٹر سے جو باہر جاتا ہے وہ IP پروٹوکول 47 ہے جس میں اصل فریم پے لوڈ ہے، اس لیے نشریات، ARP اور غیر IP پروٹوکول سب گزر جاتے ہیں۔ GRE اپنی کوئی رازداری شامل نہیں کرتا، اور فریم ہر اس چیز کے لیے پڑھنے کے قابل رہتا ہے جو بیرونی پیکٹ دیکھتی ہے۔ یہی ایک حقیقت اس لیبارٹری کی ترتیب طے کرتی ہے: پہلے خفیہ کردہ راستہ بنائیں، پھر اس کے اندر Ethernet لے جائیں۔

EoIP کیا لپیٹتا ہے اور کیا نہیں

انکیپسولیشن ہی پورا طریقہ ہے۔ ایک فریم پل والے پورٹ پر آتا ہے، GRE ہیڈر اور بیرونی IP ہیڈر پاتا ہے، اور ساتھی روٹر کو پہنچایا جاتا ہے، جو دونوں ہٹا کر فریم اپنے پل میں داخل کرتا ہے۔ وصول کرنے والا پل ماخذ MAC کو بالکل ویسے ہی سیکھتا ہے جیسے مقامی پورٹ سے سیکھتا ہے۔ اس عمل میں کچھ بھی فریم کی تصدیق نہیں کرتا اور نہ اسے چھپاتا ہے۔

اس لیے رازداری اسی راستے سے آنی چاہیے جس پر GRE پیکٹ سفر کرتا ہے۔ اس ڈیزائن میں نچلی تہہ دو روٹروں کے درمیان WireGuard یا IPsec سرنگ ہے، اور EoIP اس کے اندر لے جایا جاتا ہے۔ MikroTik خود EoIP انٹرفیس پر خودکار IPsec کا اختیار بھی دیتا ہے، جو الگ ترتیب ہے اور یہ لیبارٹری وہ ترتیب نہیں دیتی۔

راستہ بند IP خدمات کے لیے، راستہ بند VPN چھوٹا ڈیزائن ہے اور اسی کو ترجیح دینی چاہیے۔ دوسری تہہ کی طرف صرف اس وقت جائیں جب کسی آلے کو واقعی دوسری سائٹ کے Ethernet فریم دیکھنے ہوں۔

پیشگی شرائط: خفیہ کردہ نچلی تہہ اور دو غیر استعمال شدہ پورٹ

دونوں روٹروں کو قائم شدہ خفیہ رابطہ اور اس پر ایسا پتہ درکار ہے جس تک ساتھی پہنچ سکے۔ بیرونی رابطہ LTE طرف شروع کرتا ہے، اس لیے حب کبھی موبائل نیٹ ورک کو ڈائل نہیں کرتا، اور LTE روٹر وہ NAT حالت برقرار رکھتا ہے جو آپریٹر مانگتا ہے۔ اوپر کچھ بھی شامل کرنے سے پہلے تصدیق کریں کہ سرنگ چل رہی ہے، کیونکہ جو EoIP انٹرفیس اپنے دور دراز پتے تک نہیں پہنچتا وہ غلط ترتیب شدہ جیسا ہی دکھتا ہے۔

ہر روٹر کو ایک ایسا پورٹ بھی درکار ہے جو پہلے سے پل کا رکن، VLAN ٹرنک، انتظامی انٹرفیس یا پیداواری رابطہ نہ ہو۔ چلتا پورٹ ادھار لینے والی لیبارٹری لیبارٹری نہیں ہوتی، اور ناکامی کا انداز چلتے نیٹ ورک پر نشریاتی طوفان ہے۔ شروع کرنے سے پہلے انتظام کسی دوسرے انٹرفیس یا کنسول پر منتقل کریں۔

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

یہ اقدار مثال ہیں، لازمی نہیں۔ انہیں سرنگ کے انٹرفیسوں پر ہونا چاہیے اور محفوظ راستے سے راستہ بند ہونا چاہیے۔ دونوں روٹروں کی فائر وال پالیسی کو دو سرنگ پتوں کے درمیان GRE کی اجازت دینی چاہیے، اور GRE IP پروٹوکول 47 ہے، 47 نمبر کا TCP یا UDP پورٹ نہیں۔ یہ ڈیزائن کبھی خام GRE کسی بھی WAN پر ظاہر نہیں کرتا۔

مطابق ID کے ساتھ سرنگ جوڑی بنائیں

دونوں سرے ایک ہی منطقی انٹرفیس ہیں جو دو بار متعین کیا گیا ہے، اس لیے ہر شناختی میدان کا میل کھانا ضروری ہے۔ حب پر:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

LTE روٹر پر پتے الٹ جاتے ہیں اور MAC مختلف ہوتا ہے:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

سرنگ ID دونوں سروں پر میل کھانی چاہیے اور کسی بھی روٹر پر پہلے سے ترتیب دی گئی کسی دوسری جوڑی سے ٹکرانی نہیں چاہیے۔ MAC پتے مقامی طور پر منتظم شدہ اقدار ہیں اور انہیں اس دوسری تہہ کے ڈومین میں منفرد ہونا چاہیے جس میں آپ شامل ہو رہے ہیں، اس لیے کسی وینڈر کی مثال کی قدر دوبارہ استعمال نہ کریں۔ انٹرفیس کے نام ہر روٹر کے لیے مقامی ہیں اور صرف آپ کی اپنی اسکرپٹس کے لیے ہم آہنگ ہونے چاہئیں۔

موجودہ EoIP دستی اینڈ پوائنٹ اور سرنگ ID کے میدانوں کو دستاویز کرتا ہے اور صاف کہتا ہے کہ EoIP GRE کے اوپر Ethernet ہے۔ اس کمانڈ میں کچھ بھی کسی چیز کو خفیہ نہیں کرتا، اس لیے نچلی تہہ کی جانچ پہلے آتی ہے۔

صرف جانچ پورٹوں کو پل کریں

پل ہی سرنگ کو قطعہ بناتا ہے، اور اس کی ساخت ہی پوری حفاظتی حد ہے۔ حب پر:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

LTE روٹر پر:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

یہ کمانڈز نئے پل بناتی ہیں اور ہر ایک میں بالکل دو پورٹ شامل کرتی ہیں۔ EoIP انٹرفیس دوسری تہہ کا رکن ہے؛ خفیہ سرنگ راستہ بند ترسیل ہی رہتی ہے اور اسے کبھی پل پورٹ کے طور پر شامل نہیں کرنا چاہیے۔ پیداواری پورٹ شامل نہ کریں، اور لیبارٹری کے پل پر DHCP سرور شروع نہ کریں۔

دونوں جانچ میزبانوں کو غیر استعمال شدہ سب نیٹ میں بغیر مقابل DHCP سرور کے پتے دیں، جیسے 192.168.77.11/24 اور 192.168.77.12/24۔ اس سب نیٹ کے اندر ایک دوسرے تک پہنچنے کے لیے انہیں ڈیفالٹ گیٹ وے درکار نہیں، اور فریموں کے گزرنے کے لیے روٹر انٹرفیس کا پتہ ضروری نہیں۔

LAN بڑھانے سے پہلے اضافی خرچ کا حساب لگائیں

IPv4 پر EoIP لے جانے والے پے لوڈ کے گرد Ethernet، GRE اور بیرونی IP ہیڈر شامل کرتا ہے۔ بغیر ٹیگ والی صورت میں MikroTik 42 بائٹ درج کرتا ہے، اس لیے 1400 بائٹ قابل استعمال IP MTU والی نچلی تہہ اندرونی فریم کے لیے 1358 بائٹ چھوڑتی ہے۔ یہ عدد بجٹ ہے، عالمگیر MSS قدر نہیں، اور یہ پل والے میزبان کو چھوٹے فریم بھیجنے پر مجبور نہیں کرتا۔

راستے کی حقیقی حدیں جانچیں، پھر اس سب سے بڑے فریم سے جانچ کریں جو آلہ واقعی بھیجتا ہے۔ 1500 بائٹ کا فریم جسے محفوظ راستے کے اندر تقسیم کرنا پڑتا ہے، سم جانے والے فریم سے مختلف برتاؤ کرتا ہے، اور فرق رابطہ ناکامی کے طور پر نہیں بلکہ ایپلیکیشن رکنے کے طور پر ظاہر ہوتا ہے۔

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP لوپ سنبھالتا ہے، من مانی متوازی راستے نہیں، اس لیے پائلٹ ٹوپولوجی سادہ رکھیں۔ پل بڑھانے سے موبائل رابطے پر نشریات، multicast اور DHCP کا برتاؤ بھی بڑھتا ہے، اور وہ ٹریفک کوئی کارآمد فریم چلے یا نہ چلے، گنجائش کھاتا ہے۔

پیداواری رابطے کی منصوبہ بندی صرف اس وقت کریں جب لیبارٹری اس فریم حجم اور ایپلیکیشن برتاؤ تک پہنچ جائے جو آپ کو واقعی درکار ہے۔ اس تبدیلی سے پہلے پتوں کی ترتیب، VLAN رکنیت، DHCP اختیار، لوپ روک تھام اور اس پر اتفاق کریں کہ رابطہ خود بند ہونے پر کوئی روٹروں تک کیسے پہنچے گا۔ Ethernet توسیع آلات کے ساتھ ساتھ ناکامی کے ڈومین بھی جوڑتی ہے، اس لیے یہ چلتے پل پر ایک اور پورٹ کے بجائے تبدیلی کی کھڑکی کی حقدار ہے۔