Kullanım Kılavuzu

Keenetic Router'lar, bu tünelleri korumak için IPSec VPN güvenlik standartlarının kullanılmasına olanak tanıyan IPSec tüneli ile birlikte ve saf halde IPIP (IP üzerinden IP), GRE (Genel Yönlendirme Kapsülleme), EoIP (IP üzerinden Ethernet) tünelleri oluşturma yeteneğine sahiptir.

Keenetic Router'larda IPIP, GRE, EoIP tünel desteği; donanım ağ geçitleri, Linux Router'lar, UNIX/Linux işletim sistemli bilgisayarlar ve sunucuların yanı sıra bu tünelleri destekleyen diğer ağ ve telekomünikasyon ekipmanlarıyla bir VPN bağlantısı kurmanıza olanak tanır.

Tünellerle çalışmak için KeeneticOS sisteminin ilgili ek bileşenlerini yüklemek gerekir:

Bunu 'Genel Sistem Ayarları' sayfasında, 'Güncellemeler ve bileşen seçenekleri' bölümünde 'Bileşen seçenekleri' üzerine tıklayarak yapabilirsiniz.

Kısa açıklama

IPIP ve GRE tünelleri, her iki tarafın da IP adreslerinin mevcut olduğu ağ katmanı tünelleridir (OSI modelinin L3'ü). Sistemde GreX ve IPIPX arayüzleri olarak sunulurlar ve yönlendirme (varsayılan rota dahil) diğer herhangi bir arayüzde olduğu gibi bunlar aracılığıyla yapılandırılabilir. Ayrıca, bu arayüzler özel, korumalı veya genel bir erişim güvenlik seviyesi ile yapılandırılabilir (erişim seviyeleri hakkında bilgi 'Komut satırı arayüzü ile güvenlik duvarı kurallarını yapılandırma' makalesinde bulunabilir).

IPIP (IP üzerinden IP), kurulumu en kolay tünellerden biridir (yalnızca tekli yayın IPv4 trafiğini kapsüller). Bir UNIX/Linux sisteminde ve farklı Router'larda (ör. Cisco) yapılandırabilirsiniz.

GRE (Genel Yönlendirme Kapsülleme) tüneli, popüler VPN türlerinden biridir. GRE tünelleri; donanım güvenlik ağ geçitleri, Mikrotik Router'lar, Linux Router'lar ve diğer benzer ekipmanlarla (ör. Cisco, Juniper, vb.) uyumludur.

EoIP tüneli (IP üzerinden Ethernet), ağ katmanı (L3) üzerinde bir Veri bağlantı katmanı tünelidir (OSI modelinin L2'si). Veriler bu tünel üzerinden Ethernet çerçeve düzeyinde iletilir. EoIP, ağlar arasında doğrudan bir Ethernet bağlantısını taklit eden şeffaf bir ağ ortamı sağlar. Tüm MAC adresleri görünürdür ve bu tür bir tünel kullanılarak İnternet üzerinden iki L2 LAN bağlanabilir. EoIP, taşıyıcısı olarak GRE kullanır. EoIP tüneli IPIP, PPTP ve IP paketlerini iletebilen diğer herhangi bir bağlantı üzerinden çalışabilir. ARP, DHCP, PPPoE, IPv6 vb. dahil olmak üzere IP dışındaki herhangi bir trafik bunun üzerinden gönderilebilir. Güvenlik seviyesi özel/korumalı olarak değiştirildiğinde ARP aracılığıyla alt ağ taraması varsayılan olarak tünelde çalışacaktır. Sistemde EoIPX arayüzü olarak sunulur.

EoIP, MikroTik tarafından geliştirilmiştir, bu nedenle onlarla ve EoIP ile çalışmayı bilen Linux Router'larla uyumludur.

Kullanılabilirliğini kontrol etmek için IPIP, GRE ve EoIP tünel arayüzlerinde Ping Denetimi işlevini kullanabilirsiniz.

IPIP, GRE ve EoIP tünelleri doğrudan IPv4 protokolü üzerinden çalışır. IPIP, 4 numaralı IP protokolünü kullanırken; GRE ve EoIP ise 47 numaralı IP protokolünü kullanır.

Örnekler

Aşağıdaki örneklerde, yalnızca yerel ağ içinde kullanılabilen özel IP adresleri gösterilmektedir. İnternet üzerinden tünel oluşturmak için tünellerin her iki ucunda da genel IP adresleri bulunmalıdır.

GRE için arayüz adı Gre0, IPIP için arayüz adı IPIP0 olacaktır.

İki Keenetic Router arasında GRE/IPIP tüneli kurma

İki Keenetic Router arasında EoIP tüneli kurma

EoIP için arayüz adı EoIP0 olacaktır.

EoIP tüneli durumunda, ayarlar iki şey dışında tamamen aynı olacaktır:

Tünel kurulumunun bir ucu:

(config)> interface EoIP0
(config-if)> tunnel destination router1.example.com
(config-if)> tunnel eoip id 1500
(config-if)> ip address 192.168.100.1 255.255.255.0
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

'Ayna' ayarı tünelin diğer ucundadır:

(config)> interface EoIP0
(config-if)> tunnel destination 8.6.5.4
(config-if)> tunnel eoip id 1500
(config-if)> ip address 192.168.100.2 255.255.255.0
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

Daha sonra tünelin doğru çalışıp çalışmadığını kontrol etmek için herhangi bir taraftan tünelin uzak tarafının adresine ping atmayı deneyebilirsiniz.

EoIPx arayüzü, yerel ağları birleştirmek için Bridge'e dahil edilebilir. Bunu yapmak için, EoIP arayüzünü her iki tarafta da bir IP adresi olmadan yapılandırın ve ardından Bridge Home'a ekleyin:

(config)> interface Home
(config-if)> include EoIP0
(config-if)> exit
(config)> system configuration save

IPSec ile IPIP, GRE ve EoIP Tünellerini Kullanma

IPSec VPN özel sistem bileşeni kuruluysa, bu tünelleri hem otomatik hem de tamamen manuel modda IPSec güvenlik standartlarını kullanarak korumak mümkündür. Manuel modu açıklamayacağız çünkü deneyimli kullanıcılar doğru modda bir IPSec tüneli kurabilir ve ardından tüneli IPSec üzerinden kurabilir. Otomatik yapılandırma durumunda, birkaç manuel mod sorunu aynı anda çözülür:

IPSec VPN bileşeni, tünellere aşağıdaki ayarları ekler:

IPSec bir istemciyi bir sunucudan ayırdığı için, istemciyi (başlatıcı, bağlantıyı kurmaya çalışacak taraf) yapılandırmak için interface tunnel destination komutunu ve sunucu modunu (bağlantı girişimlerine yanıt verecek taraf) etkinleştirmek için interface tunnel source komutunu kullanmanız gerekir.

IPsec ile EoIP tünel yapılandırması örneği (örneğimizde WAN adresi 8.6.5.4 olan taraf sunucudur):

Sunucu:

(config)> interface EoIP0
(config-if)> tunnel source ISP
(config-if)> tunnel eoip id 1500
(config-if)> ipsec preshared-key mytestingkey
(config-if)> ip address 192.168.100.1 255.255.255.0
(config-if)> ipsec ikev2
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

İstemci:

(config)> interface EoIP0
(config-if)> tunnel destination 8.6.5.4
(config-if)> tunnel eoip id 1500
(config-if)> ipsec preshared-key mytestingkey
(config-if)> ip address 192.168.100.2 255.255.255.0
(config-if)> ipsec ikev2
(config-if)> security-level private
(config-if)> up
(config-if)> exit
(config)> system configuration save

interface tunnel source komutunda hem kaynak arayüzünü hem de sunucunun bağlantıyı bekleyeceği IP adresini belirtebilirsiniz. Ancak, adres değiştirilirken ve diğer olaylarda tüm yeniden yapılandırmanın otomatik olarak gerçekleşeceği için arayüze öncelik verilir.