- Mensajes
- 14,173
Introducción
Como ya veníamos hablando en otro post similar, hoy nos toca volver a retomar el tema de los túneles EoIP, pero esta vez para establecer una conexión site-to-site. La idea es usar el mismo tipo de túneles EoIP, pero esta vez para enlazar dos sedes en capa 3. La idea es que cada sede tenga un segmento de IP distinto, y que ambos routers estén ejerciendo de routers en sus respectivos condominios, y que nosotros simplemente puenteemos esas dos redes, para que puedan verse entre sí.
El propósito
En este caso el propósito es ligeramente distinto. Si antes pretendíamos llevarnos nuestra conexión de casa a un sitio remoto, ahora lo que tratamos es de tirar un cable ficticio entre dos sedes. Es decir, usar internet como si fuera un puente ethernet entre dos puntos A y B. Ambos routers manejarán sus propias interfaces y sus propios segmentos de red independientes, pero tendrán información de qué ruta tomar si quieren llegar a la red que monta su homólogo y a los equipos conectados a ella.
Equipos
Al igual que en el anterior post, vamos a usar los mismos equipos. Una routerboard hEX-S (RB760iGS) y un hAP mini. Aunque, obviamente, si vuestros equipos son más grandes, mejor soportarán el tráfico del túnel (el propósito del mío es puramente didáctico). Si vais a montar esto a nivel casero, una RB750 ya soporta encriptación por hardware y puede ser un buen equipo a considerar para establecer un túnel perpetuo entre dos sedes.
Manos a la obra
Como el resto ya está explicado en el otro post, pasamos directos a la configuración. En este caso, la configuración de ambos routers será idéntica, y lo único que cambiará entre la configuración de un equipo y otro serán dos cosas: el segmento de red que maneja cada equipo, y la direcciones remotas de los túneles. Otra cosa que cambiará es que, en este caso, las interfaces EoIP no formarán parte de ningún bridge, sino que serán independientes, y ambos routers tendrán que aceptar el tráfico GRE del otro extremo. Sin más, pasamos a la configuración:
Para el ejemplo vamos a usar estos datos:
Como la configuración de ambos routers es idéntica, salvo los datos del otro extremo, me centro en uno de ellos, y para el segundo simplemente tenéis que cambiar el órden de los las IP's.
Configuración en un extremo, ejemplo, Router A)
En este momento, procedemos a hacer ping desde una red a otra, y deberíamos poder resolverlas. Si necesitáis un tráfico más restrictivo, jugad con las reglas del firewall para aceptar o rechazar el tráfico de algún cliente en particular, dentro del túnel.
Al igual que en el otro post, podemos securizar el túnel añadiendo un secreto de IPSec, idéntico en ambos extremos del túnel, en la definición de la interfaz del propio túnel. A partir del momento en el que añadamos el secreto, el tráfico del túnel se transmitirá encriptado
Espero os sirva de ayuda, por si en algún momento queréis unir dos sitios remotos, usando routers mikrotik y su protocolo EoIP.
Saludos!
Como ya veníamos hablando en otro post similar, hoy nos toca volver a retomar el tema de los túneles EoIP, pero esta vez para establecer una conexión site-to-site. La idea es usar el mismo tipo de túneles EoIP, pero esta vez para enlazar dos sedes en capa 3. La idea es que cada sede tenga un segmento de IP distinto, y que ambos routers estén ejerciendo de routers en sus respectivos condominios, y que nosotros simplemente puenteemos esas dos redes, para que puedan verse entre sí.
El propósito
En este caso el propósito es ligeramente distinto. Si antes pretendíamos llevarnos nuestra conexión de casa a un sitio remoto, ahora lo que tratamos es de tirar un cable ficticio entre dos sedes. Es decir, usar internet como si fuera un puente ethernet entre dos puntos A y B. Ambos routers manejarán sus propias interfaces y sus propios segmentos de red independientes, pero tendrán información de qué ruta tomar si quieren llegar a la red que monta su homólogo y a los equipos conectados a ella.
Equipos
Al igual que en el anterior post, vamos a usar los mismos equipos. Una routerboard hEX-S (RB760iGS) y un hAP mini. Aunque, obviamente, si vuestros equipos son más grandes, mejor soportarán el tráfico del túnel (el propósito del mío es puramente didáctico). Si vais a montar esto a nivel casero, una RB750 ya soporta encriptación por hardware y puede ser un buen equipo a considerar para establecer un túnel perpetuo entre dos sedes.
Manos a la obra
Como el resto ya está explicado en el otro post, pasamos directos a la configuración. En este caso, la configuración de ambos routers será idéntica, y lo único que cambiará entre la configuración de un equipo y otro serán dos cosas: el segmento de red que maneja cada equipo, y la direcciones remotas de los túneles. Otra cosa que cambiará es que, en este caso, las interfaces EoIP no formarán parte de ningún bridge, sino que serán independientes, y ambos routers tendrán que aceptar el tráfico GRE del otro extremo. Sin más, pasamos a la configuración:
Para el ejemplo vamos a usar estos datos:
- Router A) Router en la sede A:
- dominio: ddns serialA.mynetname.net.
- dirección del túnel: 172.168.1.1/30
- dirección de su LAN local: 192.168.88.1/24
- Router B) Router en la sede B:
- dominio: ddns serialB.mynetname.net
- dirección del túnel: 172.168.1.2/30
- dirección de su LAN local: 192.168.77.1/24
Como la configuración de ambos routers es idéntica, salvo los datos del otro extremo, me centro en uno de ellos, y para el segundo simplemente tenéis que cambiar el órden de los las IP's.
Configuración en un extremo, ejemplo, Router A)
- Creamos una lista en el firewall, para resolver dinámicamente la IP del otro extremo. De esta manera, en el siguiente paso, sólo aceptaremos tráfico GRE de ese origen.
/ip firewall address-list add address=serialB.sn.mynetname.net list=other-end-public-ip
- Damos de alta una regla de firewall para permitir el tráfico GRE en el chain de input. La colocamos delante de la regla por defecto que permite el ping a nuestro equipo, justo después del drop invalid:
/ip firewall filter add action=accept chain=input comment="Accept GRE tunnel traffic" protocol=gre src-address-list=other-end-public-ip place-before [ find where comment="defconf: accept ICMP" ]
- Creamos en túnel, apuntando al dominio cloud del otro router, que previamente hemos activado en IP -> Cloud. Para evitar fragmentación, seteamos el MTU a 1500 y seleccionamos un número de túnel, idéntico al que vayamos a usar en el otro lado, en mi caso, el 0:
/interface eoip add name=tunnel-to-other-end remote-address=serialB.sn.mynetname.net tunnel-id=0 mtu=1500
- Asignamos una IP a la interfaz recién creada del túnel:
/ip address add address=172.168.1.1/30 interface=tunnel-to-other-end
- Creamos una ruta estática para encontrar la LAN del otro extremo, a través de túnel. Como gateway, la IP del túnel en el otro extremo:
/ip route add dst-address=192.168.77.0/24 gateway=172.168.1.2
Código:
/ip firewall address-list add address=serialA.sn.mynetname.net list=other-end-public-ip
/ip firewall filter add action=accept chain=input comment="Accept GRE tunnel traffic" protocol=gre src-address-list=other-end-public-ip place-before [ find where comment="defconf: accept ICMP" ]
/interface eoip add name=tunnel-to-other-end remote-address=serialA.sn.mynetname.net tunnel-id=0 mtu=1500
/ip address add address=172.168.1.2/30 interface=tunnel-to-other-end
/ip route add dst-address=192.168.88.0/24 gateway=172.168.1.1En este momento, procedemos a hacer ping desde una red a otra, y deberíamos poder resolverlas. Si necesitáis un tráfico más restrictivo, jugad con las reglas del firewall para aceptar o rechazar el tráfico de algún cliente en particular, dentro del túnel.
Al igual que en el otro post, podemos securizar el túnel añadiendo un secreto de IPSec, idéntico en ambos extremos del túnel, en la definición de la interfaz del propio túnel. A partir del momento en el que añadamos el secreto, el tráfico del túnel se transmitirá encriptado
Código:
/interface eoip set numbers=0 ipsec-secret="MySuperSecret" allow-fast-path=noEspero os sirva de ayuda, por si en algún momento queréis unir dos sitios remotos, usando routers mikrotik y su protocolo EoIP.
Saludos!
Última edición:
