Blog
Tunnels GRE għall-IPv4: meta għandek bżonn wieħed u kif tissettjah
Tunnel iħallik tuża indirizzi IPv4 fuq server li ma setax iġorrhom mod ieħor. Il-blokk ikun announced minn netwerk li jista' jagħmel announce tiegħu, u t-tunnel iġorr it-traffiku tiegħu sas-server tiegħek u lura. Hija t-tweġiba meta l-fornitur tiegħek ma joffrix bring your own IP (BYOIP), meta m'għandekx numru AS, jew meta għandek bżonn inqas mill-256 indirizz li l-internet jirrutja waħedhom.
X'jagħmel fil-fatt it-tunnel
Il-pakketti għall-blokk tiegħek jaslu għand in-netwerk li jagħmel announce tiegħu. Hemm kull pakkett jiġi mgeżwer f'wieħed ġdid, indirizzat lis-server tiegħek, u mibgħut fuq l-internet ordinarju. Is-server tiegħek jiżgeżwru u jara l-pakkett oriġinali, bħallikieku l-indirizzi kienu kkonfigurati fuq interface lokali.
Original packet: [IP header | data]
GRE packet: [outer IP | GRE header | IP header | data]It-tweġibiet jieħdu l-istess triq bil-maqlub: is-server tiegħek jgeżwirhom, jibgħathom lit-tarf l-ieħor tat-tunnel, u dak in-netwerk iwassalhom. Dik it-triq lura hija l-pass li l-biċċa l-kbira tas-setups jiżbaljaw, u l-konfigurazzjoni hawn taħt turi għaliex.
Meta tunnel huwa aħjar mill-BYOIP
Il-BYOIP iħalli lil fornitur tal-cloud jew tal-hosting jagħmel announce tal-blokk tiegħek min-netwerk tiegħu (liema fornituri jagħmlu dan). Fejn ikun disponibbli u għandek mill-inqas /24, hija l-għażla l-aktar nadifa: l-ebda hop żejjed, l-ebda punt żejjed ta' falliment, u l-bandwidth sħiħa tal-fornitur. Tunnel huwa l-għażla l-aħjar f'erba' każi.
- Il-fornitur tiegħek ma joffrix BYOIP. Scaleway, pereżempju, jgħidha ċar fid-dokumentazzjoni tiegħu, u diversi oħrajn jeħduh biss fuq talba, għal xi wħud mill-prodotti tagħhom, bħal Infomaniak, TransIP u UpCloud. Oħrajn, fosthom Contabo, Exoscale, Hostinger u Akamai Cloud, ma jippubblikaw l-ebda proċedura.
- Għandek bżonn inqas minn 256 indirizz. /24 huwa l-iżgħar blokk li n-netwerks jaċċettaw fit-tabelli tar-routing tagħhom, u l-BYOIP tal-ebda fornitur ma jinżel taħtu. Tunnel jista' jwassal /29, jew indirizz wieħed.
- M'għandekx ASN, u l-fornitur irid wieħed. Xi fornituri jaċċettaw l-ispazju tiegħek biss fuq sessjoni BGP bin-numru AS tiegħek. Tunnel ma jeħtieġ l-ebda wieħed minnhom.
- Trid l-istess indirizzi f'diversi postijiet, jew il-libertà li tiċċaqlaq. L-announcement jibqa' fejn hu; it-tunnel imur kull fejn imur is-server tiegħek.
Il-prezz huwa dawra. It-traffiku jivvjaġġa sat-tarf l-ieħor tat-tunnel qabel ma jasal għandek, għalhekk agħżel endpoint qrib is-server tiegħek, u ftakar li l-kapaċità tat-tunnel, mhux il-port tas-server tiegħek, tistabbilixxi l-limitu.
GRE jew WireGuard
It-tnejn iġorru l-istess traffiku; ivarjaw f'dak li għandha bżonn it-triq bejn iż-żewġ truf.
| GRE | WireGuard | |
|---|---|---|
| Kriptaġġ | Xejn | Iva |
| Overhead fuq IPv4 | 24 byte | 60 byte |
| Wara NAT jew CGNAT | Ma jaħdimx b'mod affidabbli | Jaħdem |
| Appoġġ | Il-biċċa l-kbira tar-routers u l-kernel tal-Linux | Il-kernel tal-Linux, FreeBSD, OpenBSD, MikroTik RouterOS 7, OpenWrt u EdgeOS; iċċekkja d-dokumentazzjoni tal-vendor tiegħek qabel ma tistrieħ fuqu f'router ta' carrier |
| L-aħjar meta | It-triq hija fdata u t-throughput jgħodd l-aktar | It-traffiku jaqsam netwerks li ma tikkontrollax, jew l-endpoint m'għandux indirizz pubbliku |
Il-lista tal-pjattaformi ta' WireGuard stess u d-dokumentazzjoni tar-RouterOS ta' MikroTik jgħidu fejn jaħdem (iċċekkjati fit-22 ta' Ottubru 2026).
Jekk l-endpoint tiegħek jinsab wara NAT, l-għażla ssir għalik: WireGuard. L-istess japplika għal Azure, li jimblokka l-GRE fin-netwerks virtwali tiegħu.
MTU u MSS: il-falliment klassiku
L-inkapsulament iżid headers, għalhekk l-akbar pakkett li jidħol fit-tunnel huwa iżgħar mill-1,500 byte ta' link Ethernet sempliċi: 1,476 byte għal GRE fuq IPv4, u WireGuard normalment jaħdem b'1,420. Jekk tiżbaljah tara s-sintomu klassiku: talbiet żgħar jaħdmu, filwaqt li downloads kbar u TLS handshakes jibqgħu mdendla, għax il-pakketti li ma jidħlux jitwaddbu u l-messaġġi li suppost jirrappurtaw dan spiss jiġu ffiltrati fit-triq.
Żewġ settings jipprevjenuh. Issettja l-MTU tal-interface tat-tunnel għall-valur it-tajjeb, u illimita l-maximum segment size (MSS) tat-TCP fuq it-traffiku li tirrutja mit-tunnel, biex iż-żewġ truf jaqblu li jibagħtu pakketti li jidħlu. Nibagħtu ż-żewġ valuri ma' kull tunnel, u nibdluhom fuq talba.
Setup minimu fuq Linux
L-eżempju hawn taħt iġib blokk lil server Linux wieħed fuq GRE. L-indirizzi huma meded tad-dokumentazzjoni: 203.0.113.1 huwa l-indirizz pubbliku tas-server tiegħek, 198.51.100.1 it-tarf l-ieħor tat-tunnel, u 192.0.2.0/24 il-blokk.
# 1. The tunnel, from your server to the far end
ip tunnel add gre1 mode gre local 203.0.113.1 remote 198.51.100.1 ttl 255
ip link set gre1 mtu 1476 up
ip addr add 10.0.0.2/30 dev gre1
# 2. An address from the block on the server itself
ip addr add 192.0.2.10/32 dev lo
# 3. Replies from the block go back through the tunnel
ip rule add from 192.0.2.0/24 lookup 100
ip route add default via 10.0.0.1 dev gre1 table 100Il-pass 3 huwa dak li n-nies jinsew. Mingħajru, it-tweġibiet minn 192.0.2.10 joħorġu mill-uplink tal-fornitur tiegħek stess, b'indirizz tas-sors li dak il-fornitur qatt ma tak, u l-filtri kontra l-ispoofing tiegħu jwaddbuhom. Jekk id-distribuzzjoni tiegħek tattiva reverse-path filtering strett, issettjah għal loose għat-tunnel ukoll (sysctl -w net.ipv4.conf.gre1.rp_filter=2).
Jekk is-server jirrutja l-blokk 'il quddiem lil magni virtwali jew containers, illimita l-MSS fuq it-traffiku li jgħaddi:
iptables -t mangle -A FORWARD -o gre1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtuBGP fuq it-tunnel
Jekk għandek in-numru AS tiegħek u trid tikkontrolla l-announcement int stess, tista' tħaddem sessjoni BGP fuq it-tunnel minflok rotta statika, b'BIRD, FRR jew id-daemon tar-router tiegħek. Il-biċċa l-kbira tal-klijenti m'għandhomx bżonn dan u jieħdu s-setup statiku. Jekk tagħmel announce mill-ASN tiegħek, ir-ROA irid isemmi dak l-ASN (RPKI u ROAs).
Fejn tidħol RTM Networks
Nagħmlu announce tal-blokk u nwassluh lis-server tiegħek fuq GRE jew WireGuard, kull fejn ikun is-server. Dan jaħdem fejn il-BYOIP ma jaħdimx, inkluż għal inqas minn 256 indirizz u għal fornituri li ma jaċċettawx l-ispazju tiegħek xejn. Għidilna fejn hu s-server u x'iħaddem, u nirrakkomandaw GRE jew WireGuard u nibagħtu l-konfigurazzjoni bil-valuri tal-MTU u tal-MSS it-tajbin (tunnels GRE u WireGuard).
Kuntatt
Għandek bżonn parir dwar is-sitwazzjoni tiegħek?
Dan l-artiklu huwa ġenerali; in-netwerk tiegħek mhux. Għidilna b'xiex qed taħdem u nħarsu lejh kif suppost. Normalment inwieġbu f'1-3 sigħat tax-xogħol.
