Configurazione dei tunnel IPIP, GRE ed EoIP
Informazioni generali
IPIP (IP in IP) è uno dei tunnel più facili da configurare. Questo protocollo incapsula solo il traffico IPv4 unicast.
GRE (Generic Routing Encapsulation) consente l'incapsulamento di virtualmente qualsiasi tipo di protocollo di rete e supporta il traffico broadcast. I tunnel GRE sono compatibili con gateway di sicurezza hardware, router Mikrotik, router Linux e altre apparecchiature che supportano GRE (ad esempio, Cisco e Juniper).
I tunnel IPIP e GRE sono tunnel di livello di rete (L3) nel modello OSI, creati quando gli indirizzi IP sono disponibili a entrambe le estremità. Il routing (comprese le route predefinite) può essere configurato attraverso di essi allo stesso modo di qualsiasi altra interfaccia.
Un tunnel EoIP (Ethernet over IP) è un tunnel di livello collegamento dati (L2) nel modello OSI, operativo al di sopra del livello di rete (L3). I dati vengono trasmessi attraverso un tunnel EoIP a livello di frame Ethernet. EoIP consente di creare un ambiente di rete trasparente che emula una connessione Ethernet diretta tra le reti. Tutti gli indirizzi MAC rimangono visibili e questo tipo di tunnel può collegare due reti locali a livello di collegamento dati (L2) tramite Internet. EoIP utilizza GRE come protocollo di trasporto. Un tunnel EoIP può funzionare su IPIP, WireGuard e qualsiasi altra connessione in grado di trasmettere pacchetti IP. Oltre al traffico IP, può trasportare altri tipi di traffico, inclusi ARP, DHCP, PPPoE, IPv6 e altri. Per impostazione predefinita, nel tunnel è abilitata la scansione delle sottoreti basata su ARP.
Importante
I tunnel IPIP, GRE ed EoIP sono tunnel punto-punto. Entrambe le estremità del tunnel devono disporre di indirizzi IP pubblici oppure trovarsi sulla stessa rete (non deve esserci alcuna traduzione degli indirizzi NAT tra di esse).
Nella configurazione di base non sono previste misure di sicurezza per questi tunnel (nessun meccanismo di crittografia o di autenticazione).
I tunnel IPIP, GRE ed EoIP operano senza mantenere lo stato della connessione (sono chiamati stateless o connectionless), il che significa che è impossibile determinare se un tunnel sia operativo. L'unica opzione è configurare entrambe le estremità e quindi verificare la trasmissione dei dati.
Preparazione alla configurazione
Per configurare le connessioni utilizzando i protocolli IPIP, GRE ed EoIP, devono essere installati i componenti Tunneling VPN IP-IP, Tunneling VPN GRE e Tunneling VPN EoIP.
Come esempio di configurazione delle connessioni IPIP, GRE ed EoIP, utilizzeremo interfacce di connessione Internet con indirizzi IP pubblici su entrambi i lati del tunnel.
Importante
Quando si configurano tunnel IPIP e GRE per collegare due diverse sottoreti, gli indirizzi di tali sottoreti non devono sovrapporsi. Ad esempio, un'estremità del tunnel dovrebbe avere la sottorete 192.168.0.0/24 e l'altra 192.168.1.0/24.
Per garantire che una sottorete venga instradata correttamente attraverso un tunnel sul router, tale sottorete non deve essere in uso su nessun'altra interfaccia.
Esempio di configurazione dei tunnel IPIP e GRE di base
I tunnel IPIP e GRE sono configurati in modo identico. La differenza risiede nel fatto che IPIP utilizza IPv4, mentre GRE può utilizzare anche altri protocolli. Inoltre, GRE, analogamente a TCP, può verificare l'integrità dei pacchetti tramite un checksum.
Consideriamo un esempio di creazione di un tunnel IPIP per l'accesso unidirezionale tra i segmenti principali di due router. Sul router locale, il segmento principale possiede la sottorete 192.168.0.0/24; sul router remoto, 192.168.1.0/24.
Sul router locale, recarsi nella sezione del menu Internet, aprire la pagina Altre connessioni e, nella sezione Tunnel con incapsulamento IP, fare clic su Crea connessione.
Configurare il tunnel inserendo un indirizzo disponibile per l'intervallo Indirizzi IP privati nel campo Indirizzo IP. Nel nostro esempio, utilizzeremo l'indirizzo
192.168.255.1. Nel campo Destinazione remota, inserire l'indirizzo dell'interfaccia esterna (indirizzo IP pubblico) del router remoto.
Sul router remoto, aggiungere e configurare un tunnel specificando un indirizzo disponibile nel campo Indirizzo IP appartenente alla stessa sottorete IP privata utilizzata sul router locale, ad esempio
192.168.255.2. Nel campo Destinazione remota, inserire l'indirizzo dell'interfaccia esterna del router locale.
Sul router locale, nella sezione del menu Regole di rete, aprire la pagina Routing e aggiungere una route facendo clic sul pulsante Crea.
Nella route, specificare la sottorete del segmento principale del router remoto (
192.168.1.0, maschera di sottorete255.255.255.0). Nel campo Interfaccia, selezionare il nome del tunnel che si sta configurando. Selezionare l'opzione Aggiungi automaticamente.
Sul router remoto, nella sezione del menu Regole di rete, aprire la pagina Firewall e fare clic su Aggiungi regola.
Nella regola, selezionare l'Interfaccia per il tunnel configurabile e specificare l'IP di destinazione per la sottorete del segmento principale su questo router (
192.168.1.0, maschera di sottorete255.255.255.0). Per semplicità, selezionareIPV4(in precedenzaIP) come Protocollo, il quale include i protocolli necessari per la maggior parte delle attività: TCP, UDP e ICMP (Ping).
Abilitare le connessioni IPIP o GRE create impostando lo switch in posizione On su entrambi i lati e attendere un momento affinché venga stabilita la connessione. Di solito richiede meno di un minuto.
Per verificare che il tunnel funzioni, inviare pacchetti ICMP (Ping) a un client sulla rete del router remoto.
Suggerimento
Se è necessario un accesso bidirezionale tra questi segmenti, configurare le impostazioni di routing e del firewall in modo identico su entrambi i lati.
Esempio di configurazione di un tunnel EoIP di base
L'uso principale di EoIP è quello di combinare più sottoreti in un'unica rete a livello di collegamento dati (L2).
Consideriamo un esempio di connessione dei segmenti principali di una rete utilizzando due router.
In questo esempio, l'indirizzo IP 192.168.0.1 è assegnato al segmento principale sul router locale. Il segmento principale del router remoto verrà combinato con il segmento del router locale.
Importante
Poiché le reti verranno combinate a livello di collegamento dati (L2), il server DHCP su uno dei router nel segmento combinato deve essere disabilitato. In caso contrario, la presenza di due server DHCP attivi causerà conflitti di indirizzi IP e prestazioni di rete instabili.
Suggerimento
Si consiglia di disabilitare il server DHCP e/o modificare l'indirizzo IP in un segmento quando ci si connette a un altro segmento sullo stesso router o da remoto tramite KeenDNS.
La disabilitazione del server DHCP nel segmento a cui è connesso il dispositivo comporterà la perdita dell'accesso all'interfaccia web del router su tale segmento.
Per ripristinare l'accesso quando il server DHCP è disabilitato, nelle impostazioni di rete del dispositivo è necessario impostare manualmente un indirizzo IP libero della stessa sottorete.
Su uno dei router, impostare un Indirizzo IP libero della sottorete dell'altro router a cui ci si sta connettendo e disabilitare il Server DHCP. In questo esempio, l'indirizzo IP
192.168.0.2è impostato e il server DHCP è disabilitato sul router remoto. È possibile modificare l'indirizzo IP e disabilitare il server DHCP nella sezione del menu Le mie reti e Wi-Fi sulla pagina Segmenti nelle impostazioni di un segmento specifico.
Sul router locale, recarsi nella sezione del menu Internet, aprire la pagina Altre connessioni e, in Tunnel con incapsulamento IP, fare clic su Crea connessione.
Selezionare il protocollo EoIP. Nel campo ID EoIP, sarà necessario inserire lo stesso valore su entrambi i lati del tunnel. Selezionare l'opzione Includi nel segmento e scegliere Segmento principale in basso. Nel campo Destinazione remota, inserire l'indirizzo dell'interfaccia esterna (indirizzo IP pubblico) del router remoto.
Sul router remoto, configurare un tunnel simile, ma nel campo Destinazione remota, inserire l'indirizzo dell'interfaccia esterna del router locale.
Abilitare le connessioni EoIP create impostando lo switch in posizione On su entrambi i router.
Se la connessione è stata stabilita con successo, i dispositivi connessi al segmento principale del router remoto appariranno nella sezione del menu Le mie reti e Wi-Fi sulla pagina Liste client.
Aggiunta della crittografia IPsec
Sulla pagina Altre connessioni, sotto Tunnel con incapsulamento IP, fare clic sul tunnel IPIP, GRE o EoIP richiesto e, nelle impostazioni del tunnel, selezionare l'opzione Abilita IPsec. Questa opzione deve essere abilitata su entrambe le estremità del tunnel.
Nota
Quando IPsec è abilitato, le dimensioni MTU del tunnel dovrebbero diminuire. Se sono state impostate manualmente, sarà necessario regolarle.
Il valore nel campo Chiave precondivisa deve corrispondere su entrambi i lati.
L'opzione Forza UDP potrebbe essere necessaria se una delle parti si trova dietro un NAT con il port forwarding configurato su quel lato. Se è necessario utilizzare questa opzione, deve essere abilitata su entrambi i lati del tunnel.
Abilitare IKEv2. Il valore nel campo ID dell'interfaccia deve essere lo stesso su entrambi i lati.
Per garantire che il tunnel funzioni correttamente, abilitare l'opzione Attendi una connessione da un peer remoto su un lato. Quando IPsec è abilitato, solo un lato dovrebbe avviare la connessione.
Avviso
I tunnel basati su EoIP/IPSec e GRE/IPSec sono incompatibili con le connessioni PPTP poiché utilizzano lo stesso protocollo GRE. In questo caso, vi è solo un'opzione disponibile: IPIP/IPSec.