• 3

MikroTik RouterOS Stateless Tunnel (EoIP/IPIP/GRE)

Difficulty: ★★☆☆☆
Version: RouterOS v6.24
Protocol: EoIP / IPIP / GRE

要將兩地的網路連結起來,除了使用VPN之外,在RouterOS裡還有三種方式可以參考,那就是EoIP、IPIP、GRE

.EoIP (Ethernet over IP)
詳細說明可參考MikroTik EoIP,單一端點設定如下,只要Tunnel-ID一樣,兩端就可以建立Transparent Bridge了。
/interface eoip
add name=EoIP-Tunnel remote-address="遠端固定Public IP地址" tunnel-id=123

/interface bridge
add name=EoIP-Bridge

/interface bridge port
add bridge=EoIP-Bridge interface=EoIP-Tunnel
add bridge=EoIP-Bridge interface=LAN

此外,在建立Transparent Bridge的過程中,譬如EoIP本身屬不加密傳輸,所以我們可以在建立通道之前,先建立加密通道(Site-to-Site VPN),然後再於該加密通道上建立Transparent Bridge,譬如使用PPTP
PPTP Server:
/interface pptp-server server
set enabled=yes

/ppp secret
add name="使用者名稱" password="使用者密碼" remote-address=10.0.0.2 local-address=10.0.0.1 profile=default-encryption

PPTP Client:
/interface pptp-client
add name="pptp-tunnel1" connect-to=“PPTP伺服器固定Public IP地址” user="使用者名稱” password="使用者密碼” profile=default-encryption add-default-route=no

而EoIP中的"遠端固定Public IP地址”就是PPTP所設定的remote-address跟local-address。

.IPIP (IP over IP)
詳細說明可參考MikroTik IPIP,單一端點設定如下
/interface ipip
add name=IPIP-Tunnel remote-address="遠端固定Public IP地址" local-address="本地固定Public IP地址"

/ip address
add address=10.0.0.1/30 interface=IPIP-Tunnel

/ip route
add dst-address=遠端區網段 gateway=10.0.0.2

.GRE (Generic Routing Encapsulation)
詳細說明可參考MikroTik GRE,單一端點設定如下
/interface gre
add name=GRE-Tunnel remote-address="遠端固定Public IP地址" local-address="本地固定Public IP地址"

/ip address
add address=10.1.0.1/30 interface=GRE-Tunnel

/ip route
add dst-address=遠端區網段 gateway=10.1.0.2

IPIP與GRE有何不同?
詳細的說明,可以參考GRE vs IPIP Tunneling,但總括來說IPIP只能封裝IP,而GRE可以封裝Layer 3所有的Protocol

延伸閱讀

[開箱] MikroTik CCR1016-12G
MikroTik RouterOS VPN (PPTP/L2TP/OpenVPN/SSTP/SSH Tunnel)
MikroTik RouterOS QoS (Queue/HTB/PCQ)
MikroTik RouterOS IGMP Proxy w/ CHT MOD
MikroTik RouterOS Hairpin NAT - Pros & Cons
MikroTik RouterOS Hotspot
MikroTik RouterOS User Manager - RADIUS
MikroTik RouterOS Load Balancing - Pros & Cons
2015-01-20 13:30 發佈
文章關鍵字 EoIP/IPIP/GRE
請教Mason.Lyu大:

最近幫朋友設定site to site ,遇到一些問題...尤其是eoip.

兩地rb450g都設定eoip撥到對方,也都設定bridge-lan.
住家bridge-lan 是eoip + ether3 ;公司bridge-lan 是eoip + ether2.

目的筆電接上ether3後,能透過eoip與公司連接辦公.

設定好筆電連接ether3是正常的,取得公司的dhcp-ip上網;
但隔天回到公司後就聽到同事抱怨很多網站不是打不開,就是要等很久才看得到內容.

他問我發生了什麼事,我說未設定eoip前公司網路是正常的,
不如先將公司設定的eoip先關閉看看...結果一如猜測網路問題就解決了!

於是我轉而求助youtube教學,但過程似乎也沒錯

而我朋友也沒閒著,
從baidu搜尋找到一篇文章說使用eoip時,nat偽裝不能使用masquerade.

這為真嗎?
gfx wrote:
而我朋友也沒閒著,
從baidu搜尋找到一篇文章說使用eoip時,nat偽裝不能使用masquerade.

這為真嗎?

沒有這回事。我剛又特地測試了一下,一切正常。

1. Masquerade試著指定out-interface
2. EoIP的clamp-tcp-mss=no
3. 如果有作Policy Route,要謹慎處理

a. 除了EoIP,用L2TP不加密的效果也是類似的
b. EoIP除了透過遠端IP上網外,若只是要存取遠端內網,則EoIP的設定也可以走IPIP或GRE的方式,即不使用Bridge及設定EoIP Interface Address與Route
Mason.Lyu wrote:
沒有這回事。我剛又特地測試了一下,一切正常。
1. Masquerade試著指定out-interface
這我有做. 問題在於透過eoip後住家正常,但公司這邊卻出了麻煩.
2. EoIP的clamp-tcp-mss=no
預設是on所以有設,但這影響很大嗎?
3. 如果有作Policy Route,要謹慎處理
公司rb450g有用policy route ,接兩條中華線路.
固6每個ip都是指定特定裝置,如dvr或nas.
還有浮動100/40M ,用在辦工室電腦網路.

朋友家網路則無policy route ,使用的是台灣大寬頻.

您說的應該是公司這邊,有那些需注意的?
gfx wrote:
預設是on所以有設,但這影響很大嗎?

不一定,看環境
gfx wrote:公司rb450g有用policy route ,接兩條中華線路.
固6每個ip都是指定特定裝置,如dvr或nas.
還有浮動100/40M ,用在辦工室電腦網路.
朋友家網路則無policy route ,使用的是台灣大寬頻.
您說的應該是公司這邊,有那些需注意的?

Default Gateway,如果要測試,建議可以在休假時間時,先將公司的網路環境單純化(Single Route),方便您找尋問題點
gfx wrote:
最近幫朋友設定site to site ,遇到一些問題...尤其是eoip.

兩地rb450g都設定eoip撥到對方,也都設定bridge-lan.
住家bridge-lan 是eoip + ether3 ;公司bridge-lan 是eoip + ether2.

目的筆電接上ether3後,能透過eoip與公司連接辦公.
...(恕刪)


小弟比較好奇的是:

這裡所提到的 '辦公' 是因為某些特別的限制, 無法透過一般的 VPN 方式連線, 取得或是連上公司的 service, 而必須非得用 EoIP 的方式建立連線? 不然何不用較正規的做法建立 VPN tunnel?

不然一般需要用到 Layer-2 Ethernet network over IP 都是很特殊的應用.
FB: Pctine
pctine wrote:
小弟比較好奇的是:
...(恕刪)
已經改用GRE做site to site克服了,只不過還是想知道eoip問題出在那.
gfx

我大約猜猜你的問題.回答之前你能先跟我說你所理解的EoIP 跟 GRE 知道有什麼不同嗎?


如果你看的懂 EoIP 跟 GRE 的不同,那就知道為什麼GRE 沒問題.但EoIP 會有問題了.



gfx wrote:
已經改用GRE做si...(恕刪)
周大川0334 wrote:
gfx我大約猜猜你的...(恕刪)
eoip是Layer-2 ,透過虛擬的隧道就像直接在遠端RouterOS主機上 ;
GRE則是Layer-3 ,兩地要透過static-routing與nat偽裝才能建立site to site.

除了協定,還有什麼不一樣嗎?
EoIP 是把二端放在同一個LAN 上面,也就是說當做同一個區域網路來看.
所以 DHCP 要注意,建議先看看另一端 tracert 會往那裡走.

GRE 是利用 IP 封裝成 Layer 3 通道,有需要到另一端的才會過去,沒有的話走原來路由.

然後不需要 NAT MASQ 也能連到對面的 IP.

所以我怕的是你對面的 USer 拿到你家裡端IP?那就會出去你家再上 Internet 了..

網路面的電腦可以先用 my ip address 網站查看使用的 IP網址,然後看封包是不是去了另一端才回來.

要用什麼架構是看需求,而不是看起來可以用就用了.

我們都用vxlan 或 EVI 這種技術,沒在用 Linux 包來包去的..所以要注意一些細節喔.



gfx wrote:
eoip是Layer...(恕刪)
  • 3
評分
複製連結
Mobile01提醒您
您目前瀏覽的是行動版網頁
是否切換到電腦版網頁呢?
' + '