EoIP trên một liên kết VPN LTE: dựng phòng thí nghiệm RouterOS nhỏ

EoIP lấy một khung Ethernet trọn vẹn, bọc nó trong GRE và gửi đến một địa chỉ từ xa đã cấu hình, vì thế kết quả hoạt động như một sợi cáp chứ không như một tuyến đường. Thứ rời khỏi router là giao thức IP 47 với khung gốc làm tải trọng, nên các gói quảng bá, ARP và các giao thức không phải IP đều đi qua. GRE không thêm tính bảo mật của riêng nó, và khung vẫn đọc được với bất cứ thứ gì nhìn thấy gói bên ngoài. Chính sự thật duy nhất đó quyết định thứ tự của phòng thí nghiệm này: dựng đường đi đã mã hóa trước, rồi mới chở Ethernet bên trong nó.

EoIP bọc gì và không bọc gì

Đóng gói là toàn bộ cơ chế. Một khung đến một cổng đã cầu nối, nhận tiêu đề GRE và tiêu đề IP bên ngoài, rồi được giao cho router đối tác, nơi bóc cả hai và đưa khung vào cầu của chính nó. Cầu nhận học MAC nguồn đúng như khi học từ một cổng cục bộ. Không có gì trong quá trình đó xác thực khung hay che giấu nó.

Vì vậy tính bảo mật phải đến từ đường đi mà gói GRE đi qua. Trong thiết kế này, lớp dưới là một đường hầm WireGuard hoặc IPsec giữa hai router, và EoIP được chở bên trong. MikroTik cũng cung cấp tùy chọn IPsec tự động ngay trên giao diện EoIP, đó là một cách bố trí khác và không phải thứ phòng thí nghiệm này cấu hình.

Với các dịch vụ IP được định tuyến, một VPN định tuyến là thiết kế nhỏ hơn và là thứ nên ưu tiên. Chỉ chuyển sang lớp hai khi một thiết bị thực sự cần nhìn thấy khung Ethernet từ site kia.

Điều kiện tiên quyết: một lớp dưới đã mã hóa và hai cổng chưa dùng

Cả hai router cần một liên kết đã mã hóa được thiết lập và một địa chỉ trên đó mà đối tác có thể tới được. Phía LTE khởi tạo kết nối bên ngoài, nên trung tâm không bao giờ quay số vào mạng di động, và router LTE duy trì trạng thái NAT mà nhà mạng yêu cầu. Hãy xác nhận đường hầm đang hoạt động trước khi thêm bất cứ thứ gì lên trên, vì một giao diện EoIP không tới được địa chỉ xa của nó trông giống hệt một giao diện cấu hình sai.

Mỗi router cũng cần một cổng chưa là thành viên cầu, chưa là trunk VLAN, chưa là giao diện quản trị và chưa là liên kết sản xuất. Một phòng thí nghiệm đi vay cổng đang chạy không phải là phòng thí nghiệm, và chế độ hỏng là một cơn bão quảng bá trên mạng đang hoạt động. Hãy chuyển quản trị sang giao diện khác hoặc sang console trước khi bắt đầu.

Hub tunnel address:    10.44.7.1/32
LTE tunnel address:    10.44.7.2/32
Lab ports:             ether7 on both routers, unused
Test hosts:            192.168.77.11/24 and 192.168.77.12/24

Những giá trị đó là ví dụ chứ không phải yêu cầu. Chúng phải nằm trên các giao diện đường hầm và được định tuyến qua đường đi được bảo vệ. Chính sách tường lửa trên cả hai router phải cho phép GRE giữa hai địa chỉ đường hầm, và GRE là giao thức IP 47, không phải cổng TCP hay UDP mang số 47. Thiết kế này không bao giờ để lộ GRE thô ra bất kỳ WAN nào.

Tạo cặp đường hầm với ID khớp nhau

Hai đầu là một giao diện logic được định nghĩa hai lần, nên mọi trường nhận dạng phải khớp. Trên trung tâm:

/interface eoip add name=eoip-lab local-address=10.44.7.1 remote-address=10.44.7.2 tunnel-id=37 mac-address=02:1A:2B:00:00:01

Trên router LTE, các địa chỉ đảo ngược và MAC khác đi:

/interface eoip add name=eoip-lab local-address=10.44.7.2 remote-address=10.44.7.1 tunnel-id=37 mac-address=02:1A:2B:00:00:02

ID đường hầm phải khớp ở cả hai đầu và không được đụng với một cặp khác đã cấu hình trên bất kỳ router nào. Địa chỉ MAC là giá trị được quản lý cục bộ và phải duy nhất trong miền lớp hai mà bạn tham gia, nên đừng dùng lại giá trị từ ví dụ của nhà sản xuất. Tên giao diện là cục bộ với từng router và chỉ cần nhất quán cho các script của riêng bạn.

Sổ tay EoIP hiện hành mô tả các trường điểm cuối và ID đường hầm, và nói rõ rằng EoIP là Ethernet trên GRE. Không có gì trong lệnh đó mã hóa bất cứ thứ gì, vì thế việc kiểm tra lớp dưới phải làm trước.

Chỉ cầu nối các cổng thử nghiệm

Cầu là thứ biến đường hầm thành một phân đoạn, và thành phần của nó là toàn bộ ranh giới an ninh. Trên trung tâm:

/interface bridge add name=br-eoiphub protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:01
/interface bridge port add bridge=br-eoiphub interface=ether7
/interface bridge port add bridge=br-eoiphub interface=eoip-lab

Trên router LTE:

/interface bridge add name=br-eoiplte protocol-mode=rstp auto-mac=no admin-mac=02:1A:2B:00:01:02
/interface bridge port add bridge=br-eoiplte interface=ether7
/interface bridge port add bridge=br-eoiplte interface=eoip-lab

Các lệnh này tạo cầu mới và thêm đúng hai cổng vào mỗi cầu. Giao diện EoIP là thành viên lớp hai; đường hầm mã hóa vẫn là vận chuyển định tuyến và không bao giờ được thêm làm cổng cầu. Đừng thêm cổng sản xuất và đừng khởi động máy chủ DHCP trên cầu của phòng thí nghiệm.

Cấp cho hai máy chủ thử nghiệm địa chỉ trong một subnet chưa dùng và không có máy chủ DHCP cạnh tranh, ví dụ 192.168.77.11/24 và 192.168.77.12/24. Chúng không cần cổng mặc định để tới nhau trong subnet đó, và không cần địa chỉ giao diện router để các khung đi qua.

Lập ngân sách phần phụ trội trước khi mở rộng LAN

EoIP trên IPv4 thêm các tiêu đề Ethernet, GRE và IP bên ngoài quanh tải trọng được chở. Với trường hợp không gắn thẻ, MikroTik ghi nhận 42 byte, nên một lớp dưới có 1400 byte MTU IP dùng được sẽ để lại 1358 byte cho khung bên trong. Con số đó là ngân sách chứ không phải giá trị MSS phổ quát, và nó không buộc máy chủ đã cầu nối phải phát ra khung nhỏ hơn.

Hãy kiểm chứng giới hạn thực trên đường đi, rồi thử với khung lớn nhất mà thiết bị thực sự gửi. Một khung 1500 byte phải phân mảnh bên trong đường đi được bảo vệ sẽ hành xử khác với khung vừa khít, và khác biệt thể hiện như ứng dụng bị treo chứ không phải liên kết hỏng.

/interface eoip print detail where name=eoip-lab
/interface bridge host print where bridge=br-eoiphub
/ping 192.168.77.12 count=4 interface=br-eoiphub

RSTP xử lý vòng lặp, không xử lý các đường song song tùy ý, nên hãy giữ topology thí điểm đơn giản. Mở rộng một cầu cũng mở rộng hành vi quảng bá, multicast và DHCP qua liên kết di động, và lưu lượng đó tiêu tốn dung lượng dù có khung hữu ích chạy qua hay không.

Chỉ lập kế hoạch kết nối sản xuất khi phòng thí nghiệm đạt tới kích thước khung và hành vi ứng dụng mà bạn thực sự cần. Trước lần chuyển đó, hãy thống nhất về địa chỉ, tư cách thành viên VLAN, quyền DHCP, chống vòng lặp và cách ai đó tiếp cận router khi chính liên kết bị đứt. Một phần mở rộng Ethernet nối cả miền sự cố lẫn thiết bị, nên nó xứng đáng có một cửa sổ thay đổi chứ không phải thêm một cổng nữa trên cầu đang chạy.