MikroTik RouterOS Stateless Tunnel (EoIP/IPIP/GRE)

Mason.Lyu · 2015-01-20T13:30:13+08:00

Difficulty: ★★☆☆☆Version: RouterOS v6.24Protocol: EoIP / IPIP / GRE要將兩地的網路連結起來，除了使用VPN之外，在RouterOS裡還有三種方式可以參考，那就是EoIP、IPIP、GRE．EoIP (Ethernet over IP)詳細說明可參考MikroTik EoIP，單一端點設定如下，只要Tunnel-ID一樣，兩端就可以建立Transparent Bridge了。/interface eoipadd name=EoIP-Tunnel remote-address="遠端固定Public IP地址" tunnel-id=123/interface bridgeadd name=EoIP-Bridge/interface bridge portadd bridge=EoIP-Bridge interface=EoIP-Tunneladd bridge=EoIP-Bridge interface=LAN此外，在建立Transparent Bridge的過程中，譬如EoIP本身屬不加密傳輸，所以我們可以在建立通道之前，先建立加密通道(Site-to-Site VPN)，然後再於該加密通道上建立Transparent Bridge，譬如使用PPTPPPTP Server:/interface pptp-server serverset enabled=yes/ppp secretadd name="使用者名稱" password="使用者密碼" remote-address=10.0.0.2 local-address=10.0.0.1 profile=default-encryptionPPTP Client:/interface pptp-clientadd name="pptp-tunnel1" connect-to=“PPTP伺服器固定Public IP地址” user="使用者名稱” password="使用者密碼” profile=default-encryption add-default-route=no而EoIP中的"遠端固定Public IP地址”就是PPTP所設定的remote-address跟local-address。．IPIP (IP over IP)詳細說明可參考MikroTik IPIP，單一端點設定如下/interface ipipadd name=IPIP-Tunnel remote-address="遠端固定Public IP地址" local-address="本地固定Public IP地址"/ip addressadd address=10.0.0.1/30 interface=IPIP-Tunnel/ip routeadd dst-address=遠端區網段 gateway=10.0.0.2．GRE (Generic Routing Encapsulation)詳細說明可參考MikroTik GRE，單一端點設定如下/interface greadd name=GRE-Tunnel remote-address="遠端固定Public IP地址" local-address="本地固定Public IP地址"/ip addressadd address=10.1.0.1/30 interface=GRE-Tunnel/ip routeadd dst-address=遠端區網段 gateway=10.1.0.2IPIP與GRE有何不同？詳

Mason.Lyu

664分

樓主

Mason.Lyu

個人積分：664分

文章編號：54310859

周大川0334 wrote:
要用什麼架構是看需求,而不是看起來可以用就用了.
我們都用vxlan 或 EVI 這種技術,沒在用 Linux 包來包去的..所以要注意一些細節喔.

這個是重點，而且以gfx大朋友的例子，或許用VPN就可以完成他的需求

gfx

1623分

12樓

gfx

個人積分：1623分

文章編號：54310915

周大川0334 wrote:
EoIP 是把二端放...(恕刪)

當初設定eoip有將朋友家ether3從分享器劃開獨立。
就狐疑住家ether3(ether3已經與eoip橋接)接筆電使用後是正常的，使用公司dhcp-ip上網。

但到公司卻發現eoip影響了公司網路，內網是正常的，但連外會有問題。
為了怕影響公司朋友要我採其他方案，所以當下就改採GRE，也沒認真研究eoip問題所在。

不過發現eoip出問題時朋友是在公司，所以當時他家中ether3是沒接任何裝置的。
我不了解這會不會有影響？假如ether3接著筆電也有開機，筆電也透過eoip連接是正常的，
若當下他有同事可在公司驗證網路有無問題，那結果會不會是不同的？

只可惜這兩台site to site的Route主機都不是我掌控的，我只是義務幫忙遠端設置。
就算想找出eoip問題，我也沒第二台RouteOS主機可供我實驗，只好在那瞎猜吧。

gfx

1623分

13樓

gfx

個人積分：1623分

文章編號：54311001

Mason.Lyu wrote:
這個是重點，而且以g...(恕刪)

您的建議不錯，但一般VPN-Client與GRE皆同為layer3。
朋友從家中讀取公司區網檔案資料或是監看dvr沒有問題；
但公司的影印機俱列印功能，就是從家裡喚不動...

列印控制台會顯示佇列，然後就卡住了。所以目前就這唯一缺點，其他還好。
但試想朋友在家翻網仍以eoip為主，或許這又是不同榮景囉。

pctine

5094分

14樓

pctine

個人積分：5094分

文章編號：54311548

周大川0334 wrote:
我們都用vxlan 或 EVI 這種技術,沒在用 Linux 包來包去的..所以要注意一些細節喔....(恕刪)

之前並不了解 VXLAN 的做法, 剛才查詢了一下, 想請教周兄, VXLAN 不也是將原本的封包一層一層再包裝起來嗎?

FB: Pctine

pctine

5094分

15樓

pctine

個人積分：5094分

文章編號：54311553

gfx wrote:
只可惜這兩台site to site的Route主機都不是我掌控的，我只是義務幫忙遠端設置。
就算想找出eoip問題，我也沒第二台RouteOS主機可供我實驗，只好在那瞎猜吧。...(恕刪)

在 EoIP 下, 如果 client 端的網路端口已經獨立開來, 照理說是不會去影響到 server 端的網路.

但公司的影印機俱列印功能，就是從家裡喚不動...

一般這種需求並不多, 很少人需要遠端列印的功能, 除非你指的是 remote fax.

FB: Pctine

phoenix2004

396分

16樓

phoenix2004

個人積分：396分

文章編號：55494777

請問要建立兩邊的Eoip連線,兩端都要Public IP嗎?

一邊是透過nat的routeros,建得起來嗎?

gfx

1623分

17樓

gfx

個人積分：1623分

文章編號：55494795

phoenix2004 wrote:
請問要建立兩邊的Eoip...(恕刪)

"透過nat的routeros" ,這是什麼意思?

phoenix2004

396分

18樓

phoenix2004

個人積分：396分

文章編號：55496646

就是一邊是沒有public ip的routerOS設備,可能是透過其他NAT設備出去,或是4g分享之類的,這樣EOIP建立得起來嗎?

因為google一下看到的範例好像都是兩邊要public IP互接..

gfx

1623分

19樓

gfx

個人積分：1623分

文章編號：55497297

phoenix2004 wrote:
就是一邊是沒有public...(恕刪)

可以啊,沒規定只能用public-ip才能連接.
小弟就是因無法用public-ip對接,所以改用sstp-vpn先連接,

再把sstp server/client-ip分別填到兩地 eoip的local/remote-address裡去...

這樣等同於在sstp-vpn裡建立eoip隧道,小弟的eoip就這樣建立起來囉.

phoenix2004

396分

20樓

phoenix2004

個人積分：396分

文章編號：55950419

請問,我在最後一步,出現了以下的錯誤

[admin@MikroTik] /interface bridge port> add bridge=EoIP-Bridge interface=Eth-3_
Lan
failure: device already added as bridge port

我的Lan是Eth-3_Lan,請問是哪邊出了問題呢?

使用tools裡面的ping測試,10.0.0.1跟10.0.0.2有連結起來,但是bridge不成功...