MikroTik Lab
HQ + Branches — GRE over IPsec WAN

Ένα πραγματικό WAN branch μέσα από έναν ISP που δεν κάνει route τα private LANs σου: τα GRE tunnels μεταφέρουν την κίνηση, το IPsec τα κρυπτογραφεί, και το OSPF τρέχει από πάνω ώστε κάθε site να μαθαίνει τα άλλα αυτόματα. Αυτό το lab χτίζει ένα hub HQ και δύο branches σε RouterOS 7 — το δίδυμο του lab GRE-over-IPsec της Cisco, φτιαγμένο με τον τρόπο MikroTik.

MikroTik RouterOS GRE IPsec OSPF Lab

Γιατί όχι απλά IPsec; Γιατί το policy-based IPsec από μόνο του δεν μπορεί εύκολα να μεταφέρει ένα πρωτόκολλο routing — το OSPF χρησιμοποιεί multicast, που τα απλά tunnels IPsec δεν μεταφέρουν. Τύλιξε την κίνηση σε GRE πρώτα και παίρνεις ένα πραγματικό point-to-point interface που μεταφέρει τα πάντα, συμπεριλαμβανομένων των multicast hellos του OSPF· μετά το IPsec κρυπτογραφεί το GRE. Σε RouterOS η κρυπτογράφηση είναι σχεδόν δωρεάν: το interface GRE παίρνει ένα ipsec-secret και χτίζει αυτόματα τις πολιτικές IPsec για σένα. Τρέξε OSPF πάνω από τα tunnels GRE και κάθε site μαθαίνει το LAN κάθε άλλου site χωρίς λογιστική static-route.

Αυτό είναι ακριβώς το pattern του lab GRE-over-IPsec της Cisco — tunnels hub-and-spoke, κρυπτογραφημένα, με ένα δυναμικό πρωτόκολλο routing από πάνω. Το HQ είναι το hub με ένα tunnel προς κάθε branch· τα branches κάνουν tunnel μόνο προς το HQ. (Για μια έκδοση με πολλά branches χωρίς config ανά-tunnel, δες το WireGuard hub-and-spoke.)

Προαπαιτουμενα

Τα βασικά VPN και routing — IPsec και OSPF
Τρεις routers με public IPs (ή NAT με forwarded UDP 500/4500 + protocol 47/GRE)
Μη επικαλυπτόμενα LANs: HQ 10.0.0.0/24, branches 10.1/10.2.0.0/24

HQ — ενα Tunnel GRE ανα Branch

Το hub χτίζει ένα κρυπτογραφημένο interface GRE προς κάθε branch, το καθένα με ένα μικρό transit subnet. Το ipsec-secret ενεργοποιεί την κρυπτογράφηση χωρίς ούτε μία χειροκίνητη πολιτική IPsec.

RouterOS 7 (HQ) — κρυπτογραφημενο GRE προς Branch 1 και Branch 2

# Ένα GRE ανά branch· το ipsec-secret δημιουργεί αυτόματα το IPsec που το προστατεύει.
/interface gre
add name=gre-b1 remote-address=198.51.100.2 local-address=203.0.113.1 ipsec-secret="Str0ng-B1!"
add name=gre-b2 remote-address=198.51.100.3 local-address=203.0.113.1 ipsec-secret="Str0ng-B2!"

# Ένα μικροσκοπικό transit /30 σε κάθε tunnel για να τρέξει πάνω το OSPF.
/ip address
add address=172.31.1.1/30 interface=gre-b1
add address=172.31.2.1/30 interface=gre-b2

⚠ Παγιδα — Το GRE Θελει Protocol 47, Οχι Θυρα· Προσεξε το MTU

Δύο πράγματα δαγκώνουν εδώ. Το GRE δεν είναι TCP ή UDP — είναι IP protocol 47 — οπότε αν οποιαδήποτε πλευρά είναι πίσω από firewall/NAT, πρέπει να επιτρέψεις το protocol 47 και τα transports IPsec (UDP 500/4500, ESP), όχι απλά "άνοιξε μια θύρα." Δεύτερον, το GRE + IPsec προσθέτει σημαντικό header overhead· το χρησιμοποιήσιμο MTU του tunnel πέφτει πολύ κάτω από 1500, και αν δεν το κατεβάσεις, μεγάλα πακέτα κάνουν fragment ή εξαφανίζονται (το τρομερό "το ping δουλεύει, οι μεταφορές αρχείων κρεμάνε"). Όρισε το MTU του interface GRE λογικά (≈1400) και σκέψου το mss-clamp ώστε το TCP να διαπραγματευτεί ένα μέγεθος που χωράει. Αυτή η παγίδα overhead είναι πανομοιότυπη σε Cisco.

Ενα Branch — Tunnel Σπιτι προς το HQ

Κάθε branch είναι ο καθρέφτης: ένα κρυπτογραφημένο GRE πίσω προς το HQ, η άλλη άκρη του transit /30. Αντέγραψέ το ανά site, αλλάζοντας μόνο τις διευθύνσεις και το secret.

RouterOS 7 (Branch 1) — GRE + IPsec προς HQ

/interface gre add name=gre-hq remote-address=203.0.113.1 local-address=198.51.100.2 ipsec-secret="Str0ng-B1!"
/ip address add address=172.31.1.2/30 interface=gre-hq
# Ίδιο secret με το gre-b1 του HQ, καθρεφτισμένα endpoints. Το Branch 2 καθρεφτίζει το gre-b2.

OSPF Πανω απο τα Tunnels

Τώρα το κέρδος. Τρέξε OSPF στα interfaces GRE και το LAN κάθε site μαθαίνεται παντού — πρόσθεσε ένα τρίτο branch αργότερα και το subnet του απλά εμφανίζεται, χωρίς static routes να επεξεργαστείς.

RouterOS 7 (HQ) — OSPF στα tunnels GRE + το LAN

/routing ospf instance add name=v7 router-id=10.0.0.1
/routing ospf area add name=backbone area-id=0.0.0.0 instance=v7
/routing ospf interface-template
add interfaces=gre-b1,gre-b2 area=backbone cost=10 network-type=ptp
add interfaces=bridge-lan area=backbone cost=10 passive   # διαφήμισε το LAN, μην κάνεις peer πάνω του
# Τα branches τρέχουν τον καθρέφτη: OSPF στο gre-hq + το δικό τους LAN (passive).

💡 passive στο LAN, ptp στα Tunnels

Δύο μικρές ρυθμίσεις που έχουν σημασία. Σήμανε το interface-template του LAN passive ώστε το OSPF να διαφημίζει το subnet του LAN αλλά να μην προσπαθεί ποτέ να σχηματίσει adjacency με έναν host εκεί κάτω (και να μην μπορεί να ξεγελαστεί σε ένα από κάτι στο LAN). Όρισε τα tunnels GRE σε τύπο δικτύου point-to-point (ptp) — είναι κυριολεκτικά point-to-point links, και το ptp παραλείπει την εκλογή DR/BDR για πιο γρήγορα, πιο απλά adjacencies. Αυτές είναι οι ίδιες επιλογές που κάνει το lab της Cisco· καλή υγιεινή σε κάθε WAN βασισμένο σε tunnel.

Επαληθευση απο Ακρη σε Ακρη Ασφαλες να Τρεξεις

Περπάτησέ το σε layers: GRE up, IPsec πραγματικά να το κρυπτογραφεί, OSPF adjacent, LANs μαθευμένα, και ένα ping με πηγή από LAN στην άλλη άκρη.

RouterOS 7 (HQ) — το περπατημα υγειας

/interface gre print                    # tunnels τρέχουν (σημαία R)
/ip ipsec active-peers print            # αυτόματα χτισμένα SAs established
/routing ospf neighbor print            # και τα δύο branches Full
/ip route print where ospf              # μαθευμένα 10.1.0.0/24 και 10.2.0.0/24
/ping 10.1.0.1 src-address=10.0.0.1     # LAN HQ -> LAN Branch 1

Βασικα Συμπερασματα

Το GRE μεταφέρει ό,τι το IPsec μόνο του δεν μπορεί — ένα πραγματικό interface για το multicast του OSPF· το IPsec μετά κρυπτογραφεί το GRE.
Σε RouterOS, η κρυπτογράφηση είναι ένα πεδίο — το ipsec-secret στο GRE χτίζει αυτόματα τις πολιτικές IPsec.
Το GRE είναι IP protocol 47 — επίτρεψέ το συν τα transports IPsec μέσα από κάθε firewall/NAT, όχι απλά μία θύρα.
Κατέβασε το MTU του tunnel / κάνε clamp το MSS — το overhead GRE+IPsec αλλιώς εξαφανίζει μεγάλα πακέτα ("το ping εντάξει, οι μεταφορές κρεμάνε").
OSPF πάνω από τα tunnels σημαίνει μηδέν λογιστική static — τα LANs νέων branches εμφανίζονται αυτόματα.
passive το LAN, ptp τα tunnels — διαφήμισε χωρίς να κάνεις peer στο LAN· παράλειψε εκλογή DR σε point-to-point links.

Branches ραμμενα στο HQ με ευθραυστα static tunnels;

Χτίζω κρυπτογραφημένα WANs branch σε MikroTik και Cisco — GRE/IPsec ή WireGuard, όποιο ταιριάζει — όπου ένα νέο site μπαίνει καθαρά και το OSPF χειρίζεται το routing χωρίς χειροκίνητο βήμα σε κάθε branch.

Κλεισε μια Discovery Call →