MikroTik интернет через VPN: настройка L2TP, OpenVPN и других туннелей

Зачем нужен VPN на MikroTik и какие задачи он решает

VPN на роутере MikroTik — это не просто модная опция, а рабочий инструмент, который решает широкий круг задач. В первую очередь это объединение двух и более офисов в единую защищённую сеть, когда сотрудники филиалов получают доступ к ресурсам головного офиса так, будто находятся в одном здании. Второй популярный сценарий — предоставление удалённым сотрудникам безопасного доступа к корпоративной инфраструктуре из любой точки мира. Третий — организация выхода в интернет через VPN-туннель, когда весь трафик с домашнего или офисного роутера шифруется и направляется через внешний VPN-сервер, что обеспечивает приватность и обход ограничений.

MikroTik RouterOS предлагает несколько технологий для построения VPN: L2TP, OpenVPN, PPTP, SSTP, GRE и EoIP. Каждая из них имеет свои особенности, преимущества и ограничения. Выбор конкретного протокола зависит от того, какие устройства будут подключаться, какие требования к безопасности и производительности, а также от того, есть ли у вас публичный IP-адрес. В этой статье мы подробно разберём, как настроить интернет через VPN на MikroTik, какие подводные камни встречаются и как их обойти.

Основные типы VPN-туннелей в MikroTik: сравнение и выбор

Прежде чем переходить к настройке, важно понимать, чем отличаются протоколы VPN, доступные в MikroTik. Это поможет избежать ошибок и выбрать оптимальное решение.

L2TP/IPsec — это комбинация протокола туннелирования L2TP и шифрования IPsec. L2TP сам по себе не шифрует трафик, но в паре с IPsec обеспечивает надёжную защиту. Этот вариант считается одним из лучших для MikroTik: он прост в настройке, поддерживается практически всеми операционными системами и устройствами из коробки, включая Windows, Android и iOS. L2TP/IPsec подходит как для объединения офисов, так и для подключения удалённых сотрудников.

OpenVPN — это гибкий и популярный протокол с открытым исходным кодом. Он использует SSL/TLS для шифрования и поддерживает множество опций, например, «пушить» маршруты клиентам при подключении. Однако в MikroTik OpenVPN работает только по TCP, что снижает скорость по сравнению с UDP. Кроме того, он требует установки сертификатов, что усложняет настройку. Тем не менее, OpenVPN остаётся востребованным из-за своей гибкости и совместимости со сторонними серверами.

PPTP — устаревший протокол, который легко взламывается. Его использование не рекомендуется, особенно если важна безопасность. Однако PPTP до сих пор встречается в старых конфигурациях, и MikroTik поддерживает его для обратной совместимости.

SSTP — протокол от Microsoft, использующий SSL 3.0. Он хорошо интегрирован с Windows и может работать через порт 443, что помогает обходить файрволы. Но в MikroTik SSTP требователен к ресурсам процессора, и на слабых устройствах скорость будет низкой.

GRE и EoIP — это туннели уровня L2/L3, которые не шифруют трафик. Они обеспечивают максимальную скорость, но подходят только для объединения сетей, когда шифрование не требуется или обеспечивается другими средствами. EoIP — проприетарный протокол MikroTik, работающий на канальном уровне, а GRE — стандартный протокол инкапсуляции.

Какой протокол выбрать? Для большинства сценариев, включая организацию интернета через VPN, оптимальным является L2TP/IPsec. Он сочетает простоту настройки, надёжное шифрование и широкую совместимость. Если вам нужна максимальная гибкость и вы готовы мириться с более низкой скоростью, выбирайте OpenVPN. Для быстрых соединений между офисами без шифрования можно использовать EoIP или GRE.

Подготовка MikroTik к настройке VPN: базовые шаги

Перед тем как приступить к настройке VPN, необходимо убедиться, что роутер готов к работе. Вот основные шаги:

1. Обновите RouterOS до актуальной версии. Это обеспечит стабильность и доступ к новым функциям. Проверить обновления можно в разделе System → Packages.
2. Настройте базовую конфигурацию: задайте имя роутера, настройте интерфейсы WAN и LAN, убедитесь, что интернет работает.
3. Настройте DNS и NAT, если они ещё не настроены. Для VPN-сервера важно, чтобы NAT не блокировал входящие VPN-соединения.
4. Создайте пул IP-адресов для VPN-клиентов. Это диапазон адресов, которые будут выдаваться подключающимся устройствам. Например, 10.10.5.1-10.10.5.100.
5. Создайте пользователей в разделе PPP → Secrets. Каждому пользователю задаётся имя, пароль и тип сервиса (например, l2tp или openvpn).
6. Настройте файрвол: разрешите входящие соединения на порты, которые использует VPN. Для L2TP/IPsec это UDP 1701, 500, 4500 и протокол IPsec ESP.

Эти подготовительные шаги являются общими для всех типов VPN. Далее мы рассмотрим настройку конкретных протоколов.

Настройка L2TP/IPsec сервера на MikroTik

L2TP/IPsec — самый рекомендуемый вариант для MikroTik. Рассмотрим настройку сервера по шагам.

Шаг 1: Создание пула IP-адресов. Перейдите в IP → Pool и нажмите «+». Укажите имя пула (например, vpn_pool) и диапазон адресов, например, 10.10.5.1-10.10.5.100. Эти адреса будут выдаваться VPN-клиентам.

Шаг 2: Создание пользователя. Перейдите в PPP → Secrets и добавьте нового пользователя. Укажите имя (например, user1), пароль, а в поле Service выберите l2tp. Также можно указать локальный и удалённый адреса, если нужно закрепить за пользователем определённый IP.

Шаг 3: Включение L2TP-сервера. Перейдите в PPP → L2TP Server. Установите флажок Enabled, укажите интерфейс, на котором будет работать сервер (обычно это WAN), и выберите пул адресов. Включите опцию IPsec, если хотите шифровать трафик. Для IPsec потребуется задать предварительный общий ключ (Pre-shared Secret).

Шаг 4: Настройка IPsec. Если вы включили IPsec, перейдите в IP → IPsec → Peers и добавьте новое правило. Укажите адрес 0.0.0.0/0 (для любых клиентов), порт 500, протокол udp, а в поле Secret — тот же ключ, что и на сервере. Также настройте Proposal (например, aes-256-cbc, sha256).

Шаг 5: Настройка файрвола. В IP → Firewall → Filter Rules добавьте правила, разрешающие входящие соединения на UDP порты 1701, 500, 4500 и протокол IPsec ESP (ipsec-esp). Укажите In.Interface — ваш WAN-интерфейс.

Шаг 6: Создание интерфейса L2TP Server Binding (опционально). Это позволяет создать постоянный интерфейс для L2TP-туннеля, что удобно для статической маршрутизации. Перейдите в Interfaces → L2TP Server Binding и добавьте запись, указав пользователя и интерфейс.

Шаг 7: Настройка маршрутизации. Если вы объединяете две сети, добавьте статический маршрут на сервере: IP → Routes, укажите сеть удалённой стороны и gateway — IP-адрес VPN-интерфейса клиента.

После этих шагов L2TP/IPsec сервер готов к работе. Клиенты смогут подключаться, используя стандартные средства ОС.

Настройка OpenVPN на MikroTik для объединения офисов

OpenVPN на MikroTik требует более сложной настройки, особенно если вы объединяете два офиса. Рассмотрим процесс на примере site-to-site VPN.

Шаг 1: Создание сертификатов. OpenVPN использует SSL/TLS, поэтому необходимо создать центр сертификации (CA) и сертификаты для сервера и клиента. Все операции выполняются на сервере (R1).

• Включите использование CRL (Certificate Revocation List) в System → Certificates → Settings.
• Создайте корневой сертификат CA с параметрами key-usage: key-cert-sign, crl-sign.
• Создайте сертификат сервера с key-usage: tls-server и укажите Subject Alt. Name (IP-адрес сервера или домен).
• Создайте сертификат клиента с key-usage: tls-client и укажите Subject Alt. Name (IP-адрес клиента).
• Подпишите сертификаты: сначала CA, затем сервер и клиент.
• Экспортируйте сертификат CA в формате PEM (файл .crt) и сертификат клиента с ключом (файлы .crt и .key).

Шаг 2: Настройка OpenVPN-сервера. На R1 перейдите в PPP → OpenVPN Server. Установите флажок Enabled, выберите интерфейс (WAN), укажите пул адресов для VPN (например, 172.16.1.0/24), выберите сертификат сервера и CA. Включите опцию Require Client Certificate.

Шаг 3: Настройка OpenVPN-клиента. На R2 перейдите в PPP → OpenVPN Client. Укажите адрес сервера (IP или домен), порт 1194, протокол tcp, выберите сертификат клиента и CA. Включите опцию Use Certificate.

Шаг 4: Настройка маршрутизации. На обоих роутерах добавьте статические маршруты для сетей друг друга. Например, на R1: dst-address=10.22.22.0/24 gateway=172.16.1.2. На R2: dst-address=10.11.11.0/24 gateway=172.16.1.1.

Шаг 5: Проверка соединения. После настройки проверьте статус OpenVPN-интерфейса. Если всё сделано правильно, интерфейс будет в состоянии running, и вы сможете пропинговать устройства в удалённой сети.

Важно: OpenVPN в MikroTik работает только по TCP, что снижает скорость. Также убедитесь, что на файрволе разрешён порт 1194 (или другой, который вы используете).

Настройка VPN-клиента на MikroTik для доступа в интернет

Если ваша цель — направить весь интернет-трафик с MikroTik через VPN, вам нужно настроить VPN-клиент на роутере. Это может быть L2TP, OpenVPN или другой протокол. Рассмотрим на примере L2TP/IPsec.

Шаг 1: Создание L2TP-клиента. Перейдите в PPP → L2TP Client и добавьте новое подключение. Укажите:

• Connect To: IP-адрес или домен VPN-сервера.
• User и Password: учётные данные, выданные сервером.
• Profile: выберите профиль, например, default-encryption (если используется IPsec).
• Добавьте маршрут по умолчанию: в поле Add Default Route выберите yes, чтобы весь трафик шёл через VPN.

Шаг 2: Настройка IPsec. Если сервер требует IPsec, настройте IPsec peer и proposal, как описано выше. Укажите тот же Pre-shared Secret.

Шаг 3: Проверка подключения. После подключения в списке интерфейсов появится L2TP-интерфейс. Проверьте, что он получил IP-адрес и что маршрут по умолчанию указывает на него.

Шаг 4: Настройка NAT. Если вы хотите, чтобы устройства в локальной сети также ходили в интернет через VPN, настройте NAT на интерфейсе VPN. В IP → Firewall → NAT добавьте правило: chain=srcnat, out-interface=VPN-интерфейс, action=masquerade.

Шаг 5: Разрешение трафика в файрволе. Убедитесь, что в файрволе разрешён форвардинг трафика между LAN и VPN-интерфейсом.

Таким образом, весь трафик с роутера и локальных устройств будет уходить через VPN-туннель, обеспечивая приватность и доступ к ресурсам, которые могут быть недоступны напрямую.

Маршрутизация и файрвол: ключевые моменты для VPN

Правильная маршрутизация и настройка файрвола — залог стабильной работы VPN. Вот основные моменты, на которые стоит обратить внимание.

Маршрутизация.

• Для site-to-site VPN необходимо добавить статические маршруты на обоих роутерах, указывающие на удалённые сети через VPN-интерфейс.
• Для client-to-site VPN (удалённый сотрудник) маршрут по умолчанию может быть добавлен автоматически, но если нужно, чтобы только определённые сети шли через VPN, настройте маршруты вручную.
• Используйте таблицу маршрутизации (Routing Tables) в RouterOS 7 для более гибкого управления, если это необходимо.

Файрвол.

• На VPN-сервере разрешите входящие соединения на порты, используемые VPN-протоколом. Для L2TP/IPsec это UDP 1701, 500, 4500 и IPsec ESP.
• Для OpenVPN разрешите TCP-порт, который вы настроили (по умолчанию 1194).
• Настройте правила форвардинга, чтобы разрешить трафик между VPN-интерфейсом и LAN.
• Если вы используете NAT, убедитесь, что он не ломает VPN-трафик. Обычно NAT настраивается только для WAN-интерфейса, а для VPN-интерфейса используется masquerade, если нужно.

Проверка.

• Используйте команды ping и traceroute для проверки связности.
• Смотрите логи в IP → Firewall → Log, чтобы выявить заблокированные пакеты.
• Используйте инструмент Torch (Tools → Torch) для анализа трафика на интерфейсах.

Типичные проблемы при настройке VPN на MikroTik и их решение

Даже при правильной настройке могут возникать проблемы. Рассмотрим самые частые из них.

Проблема 1: VPN-клиент не может подключиться.

• Проверьте, что на сервере разрешены нужные порты в файрволе.
• Убедитесь, что учётные данные (логин/пароль) верны.
• Проверьте, что IPsec-ключи совпадают на сервере и клиенте.
• Посмотрите логи на сервере: System → Log, там будут сообщения об ошибках.

Проблема 2: Низкая скорость VPN.

• Если используется OpenVPN, помните, что TCP медленнее UDP. Рассмотрите переход на L2TP/IPsec.
• Проверьте загрузку процессора роутера. Шифрование требует ресурсов, и на слабых моделях скорость может быть ограничена.
• Убедитесь, что вы используете аппаратное ускорение шифрования, если оно поддерживается (например, на моделях с AES-NI).

Проблема 3: Нет доступа к удалённой сети.

• Проверьте маршруты на обоих роутерах.
• Убедитесь, что файрвол разрешает форвардинг между сетями.
• Проверьте, что NAT не блокирует трафик.

Проблема 4: OpenVPN не работает с UDP.

• В MikroTik OpenVPN поддерживает только TCP. Это ограничение нельзя обойти. Если вам нужен UDP, используйте другой протокол.

Проблема 5: Проблемы с сертификатами.

• Убедитесь, что сертификаты не истекли и правильно подписаны.
• Проверьте, что на клиенте установлен сертификат CA.
• Если используется CRL, убедитесь, что он доступен.

Если проблема не решается, обратитесь к документации MikroTik или на форумы сообщества.

Сравнение производительности VPN-протоколов на MikroTik

Производительность VPN на MikroTik зависит от модели роутера, используемого протокола и настроек шифрования. В общем случае можно выделить следующие закономерности.

• EoIP и GRE без шифрования дают максимальную скорость, близкую к скорости прямого соединения, но не обеспечивают безопасность.
• L2TP/IPsec обеспечивает хорошую скорость и безопасность. На современных моделях с аппаратным ускорением шифрования скорость может достигать сотен мегабит в секунду.
• OpenVPN на MikroTik работает по TCP, что снижает скорость. На слабых устройствах она может быть в разы ниже, чем у L2TP/IPsec.
• SSTP также требователен к ресурсам и показывает низкую скорость на бюджетных моделях.

При выборе протокола учитывайте не только скорость, но и совместимость с клиентскими устройствами, сложность настройки и требования безопасности. Для большинства задач оптимален L2TP/IPsec.

Если вам нужна максимальная производительность, рассмотрите использование аппаратного ускорения шифрования. Многие модели MikroTik (например, серии RB4011, CCR) поддерживают AES-NI, что значительно ускоряет IPsec.

Безопасность VPN-подключений: рекомендации и лучшие практики

VPN — это инструмент безопасности, но только при правильной настройке. Вот несколько рекомендаций.

• Используйте сильные пароли и предварительные ключи. Избегайте стандартных значений.
• Регулярно обновляйте RouterOS, чтобы закрывать известные уязвимости.
• Ограничьте доступ к VPN-серверу по IP-адресам, если это возможно, в файрволе.
• Используйте сертификаты для аутентификации, особенно для OpenVPN. Это надёжнее, чем пароли.
• Включите логирование и мониторинг подключений, чтобы вовремя заметить подозрительную активность.
• Не используйте PPTP — он устарел и легко взламывается.
• Настройте брандмауэр так, чтобы разрешать только необходимые порты и протоколы.
• Используйте разные ключи для разных клиентов, если это возможно.

Следуя этим рекомендациям, вы сможете обеспечить надёжную защиту своих VPN-соединений.

Вопросы и ответы