Mikrotik 2 Mikrotik. VPN с доступом к ресурсам обеих сетей
Случилось так, что родственники в деревне, к которым мы часто ездим в гости, подключились к Интернету. Эта новость меня очень обрадовала, так как мобильная сеть, которой мы обычно пользовались ловит более-менее только тогда, когда мобильный телефон лежит на настенных часах под самым потолком и раздает по Wi-Fi Интернет по дому.
Соответственно, появилась необходимость мониторить их маршрутизатор, а так же сделать удалённый доступ к моему домашнему NAS, чтобы можно было бабушкам и дедушкам показывать фотки и видео внучки (ну и наши тоже), а также периодически запрещать устройству ребёнка ютубить. Воплотить данную задачу в жизнь я решил используя маршрутизатор Mikrotik hAP AC Lite.
Провайдер, который предоставляет Интернет услуги в деревне, использует для подключения технологию динамический IP-адрес. Причем это адрес 10.X.X.X недоступный из внешней сети Интернет, поэтому есть необходимость организовать к нему доступ по типу облака. Мой провайдер предоставляет Интернет по той же технологии, но с реальным динамическим адресом. Поэтому я настроил следующую схему:
Первым делом, на ведущем маршрутизаторе RB2011 с сервером PPtP, необходимо включить функцию DDNS (так как выдается реальный динамический IP-адрес и при каждом новом подключении он может меняться).
Переходим IP -> Cloud и включаем данную функцию:
Если в поле “DNS Name” сразу после применения функции не появится сгенерированное имя сервера, то необходимо нажать кнопку “Force Update” и немного подождать. В последствии мы будем использовать это имя для настройки подключения PPtP-клиента на ведомом маршрутизаторе hAP AC Lite.
Так как существует очень много информации и описаний настройки PPtP сервер-клиент в Интернете, буду краток и начнём мы с ведущего RB2011:
- IP -> Firewall добавляем два правила с Action – accept, и обязательно двигаем их выше всех запрещающих, иначе все подключения vpn будут блокироваться:
2. PPP -> Secrets – +, добавляем пользователя, в моём случае это “babushka”:
3. Включаем PPtP-сервер, многие рекомендуют оставлять только надёжные методы аутентификации:
Настраиваем PPtP-клиента на маршрутизаторе hAP AC Lite:
- Interfaces -> + -> PPtP-Client:
После того, как соединение установлено, необходимо проверить каким образом на обоих маршрутизаторах осуществляется маскарадинг. Если на Out-Interface что-то есть, то необходимо добавить еще одно правило с маскарадингом на PPtP соединение, либо убрать полностью все интерфейсы (как у меня), тогда маскарадиться из локальной сети будут все исходящие соединения:
На данном этапе нам осталось выполнить одно простейшее действие – добавить наши сети в таблицы роутинга обоих маршрутизаторов. Делается это следующим образом – маршрутизатору RB2011 с внутренней сетью 192.168.77.0/24 добавляем:
При этом необходимо обратить внимание, что Gateway указан IP адрес удаленного PPtP-клиент соединения. Я ставил вначале интерфейс , но при каждом новом подключении роутинг на данную сеть слетает, а при прописанном адресе остается. А вот на втором маршрутизаторе 192.168.1.1/24 можно указать интерфейс, но я сделал так же, как и на первом:
Проверить всё можно обычной командной ping, и доступ к ресурсам NAS с обычного проводника.
Также я добавил PPtP пользователя типа “бабушки” – себя, и настроил данное подключение на смартфоне, теперь у меня есть доступ к своей домашней сети из любой точки мира, плюс оттуда же и доступ к маршрутизатору бабули.
Итак, мы получили полный доступ к сетям маршрутизаторов с возможностью администрировать обе сети; доступ к NAS, то что и было нужно. Этим могут пользоваться администраторы сетей для обслуживания удаленно своих клиентов, а также малый и средний бизнес для удаленной работы. Таким же образом можно объединить несколько сетей через VPN.
Надеюсь, эта информация будет полезной.
Инструкции по настройке MikroTik
Настройка MikroTik VPN L2TP сервер, удаленное подключение
автор: adminse 3 Сен категория: Инструкции 65 комментариев
В инструкции будет рассмотрена по настройка L2TP VPN сервера: удаленное подключение через VPN клиент типа L2TP+IpSec и настройка VPN туннеля между двумя роутерами MikroTik. VPN клиентом может выступать любое устройство со статическим(белым) или динамическим(серым) IP.
Нужна настройка MikroTik VPN L2TP?
Настройка сервисов на маршрутизаторах MikroTik: подключение интернета, DHCP, brige, VLAN, WiFi, Capsman, VPN, IpSec, PPTP, L2TP, Mangle, NAT, проброс портов, маршрутизация(routing), удаленное подключение и объединение офисов.
Настройка MikroTik VPN сервера L2TP
VPN сервер популярное средство для удаленного подключения одного ПК(или 100 ПК) к центральному узлу. Реализация такого сервиса есть масса, но на MikroTik работает быстро и без инцидентов по недоступности. В примере приведен случай L2TP как более защищенного средства для передачи трафика.
Для удаленного доступа сотрудников
Доступ к рабочему пространству с любого места, где есть интернет. Почта, сетевые папки, принтер, 1с – все это становится доступным.
Объединение офисов
Компьютеры, та и вся техника смогут обмениваться информацией вне зависимости от географического расположения.
Для VPN клиентов лучше создать отдельную подсеть, это добавит больше возможностей в ограничении доступа между VPN клиентами и локальной сетью, а также в самой маршрутизации.
Добавление новой подсети
Настройка находится IP→Pool
/ip pool add name=LAN-Ip-Pool ranges=192.168.10.100-192.168.10.150
Настройка VPN сервера L2TP(на сервере)
Настройка находится PPP→Profile
Предварительно нужно задать сетевые параметры для VPN клиентов
/ppp profile add change-tcp-mss=yes dns-server=192.168.10.1 local-address=\ 192.168.10.1 name=l2tp remote-address=pool-1 use-encryption=yes
Активация VPN сервера L2TP
Настройка находится PPP→Interface→L2TP Server
/interface l2tp-server server set authentication=mschap2 default-profile=l2tp enabled=yes \ ipsec-secret=mikrotik-config.ukr use-ipsec=required
Use-ipsec=required принудит vpn клиента к обязательному использованию IpSec;
Use-ipsec=yes(по умолчанию) проставляет выбор vpn клиенту в использовании IpSec, т.е. может не использоваться.
Создание учётной записи для VPN клиента
Этой учётной записью будет пользоваться VPN клиент для удаленного подключения к VPN серверу.
Настройка находится PPP→Interface→Secrets
/ppp secret add name=user1 password=user1 profile=l2tp
Разрешение FireWall для подключения VPN клиентов
Настройка находится IP→Firewall
/ip firewall filter add action=accept chain=input comment="Port Access" dst-port=500,1701,4500 \ in-interface=WAN-ether1 protocol=udp
Настройка интернета для VPN клиентов L2TP в MikroTik
Этот вопрос будет вынесен за рамки данной статьи, т.к. относится с дополнительным сервисам для VPN клиентов. Таких сервисов может быть множество и все они имеют индивидуальных характер(для тех кто ищет: нужно настроить и разрешить DNS запросы и Masquerade).
Нужна настройка VPN L2TP MikroTik?
Настройка сервисов на маршрутизаторах MikroTik: подключение интернета, DHCP, brige, VLAN, WiFi, Capsman, VPN, IpSec, PPTP, L2TP, Mangle, NAT, проброс портов, маршрутизация(routing), удаленное подключение и объединение офисов.
Настройка VPN подключения L2TP между MikroTik, объединение офисов
В этой настройке будут участвовать два роутера MikroTik, один в качества сервера, другой в качестве клиента. На этапе создание такого подключения стоит обратить внимание на модель MikroTik, т.к. от неё зависит количество VPN подключений, а также возможность обрабатывать такие потоки данных. Для консультации по этому вопросу обращайтесь в Настройка-Микротик.укр через контактную форму.
Для объединения двух офисов и работы маршрутизации данную настройку лучше разбить на два блока:
- Настройка клиент-серверной части;
- Добавление статических маршрутов для прохождения трафика.
Серверная часть была описана ваше, но требует корректировки в виде статических адресов для VPN клиента
Настройка находится PPP→Interface→Secrets
/ppp secret add local-address=192.168.10.1 name=user2 password=user2 profile=l2tp \ remote-address=192.168.10.2
а клиентская часть состоит из настройки L2TP клиента.
Настройки L2TP клиента(на клиенте)
Настройка находится PPP→Interface→+L2TP Client
/interface l2tp-client add connect-to=90.200.100.99 disabled=no ipsec-secret=mikrotik-config.ukr use-ipsec=yes name=\ l2tp-out1 password=user2 user=user2
Настройка маршрутизации со стороны VPN сервера
Это правило укажет роутеру MikroTik куда направлять трафик.
Настройка находится IP→Routes
/ip route add distance=1 dst-address=192.168.88.0/24 gateway=192.168.10.2
Настройка маршрутизации со стороны VPN клиента
Настройка находится IP→Routes
/ip route add distance=1 dst-address=192.168.0.0/24 gateway=192.168.10.1
Настройка Windows VPN подключения L2TP
ОС семейства Windows имеют штатный VPN клиент, который отлично подходит под эту роль. Для его настройки нужно перейти
Панель управления\Сеть и Интернет\Центр управления сетями и общим доступом
создание Windows VPN клиента
выбор нового подключения
использовать текущее подключение к интернету
указать адрес VPN сервера
настройка VPN клиента Windows
подключение Windows VPN
статус подключения Windows VPN
Есть вопросы или предложения по настройке VPN типа L2TP в MikroTik? Активно предлагай свой вариант настройки! Оставить комментарий →
adminse
65 комментариев к статье “Настройка MikroTik VPN L2TP сервер, удаленное подключение”
У меня вопрос, как в микротике сделать так чтоб vpn клиент для которого выделена подсеть под vpn имел доступ к сети если убрать на его стороне в настройках IPv4 Использовать основной шлюз удаленной сети.
Если не убрать галку то он сеть видит и инет получает от микрота, но мне нужно чтоб только сеть видел.
Григорий :
Добрый день, получилось решить эту проблему?
adminse :
Если вы отключите параметр использования удаленного шлюза по умолчанию, вам нужно добавить статический маршрут к сети за VPN. Проще всего такие маршруты прописывать в
Максим :
Для этого нужно прописать маршрут на клиенте:
route add -p 192.168.1.0 mask 255.255.255.0 192.168.10.1 metric 1
Где “192.168.1.0” это подсеть офиса, куда подключаетесь по VPN, а “192.168.10.1” эта подсеть из ip-адресации, которую выделили для клиентов VPN.
Эдуард :
В настройках PPP->Profile Уберите DNS Server. Если я не ошибаюсь.
Vitalii :
К чему тут DNS?
на стороне клиента прописать статический маршрут
route add -p сеть и тд
Михаил :
Статья помогла немножко разобраться в настройках VPN сервера l2tp
Александр :
Сколько стоит настроить VPN сервер на роутере MikroTik? Нужна ваша консультация
Неплохая реализация для удаленного доступа. Стало интересно, а потянет ли мой MikroTik RB951Ui-2nD шифрование IpSec, он ведь его аппаратно не поддерживает? Какую скорость может выдать и сколько поддерживает VPN клиентов?
L2tp + Ipsec одна из немногих универсальных связок для удаленной работы на MacOS(ios). По сути для VPN сервера варианта два или OpenVPN или L2TP + Ipsec
Евгений :
Только разобравшись с маршрутизацией получилось из Микротика сделать нормальный VPN сервер. Причем не всегда настройки тому виной, в недавнем случае вообще внутри одного провайдера не было доступа по внешним IP, только по внутренним. Вот и ищи проблему…
baskos :
Добрый день. При vpn подключении из виндовз не пингует компютеры и не заходит на веб интерфейс видео регистратора хотя управляемые свичи(d-link) пингуются и на их веб интерфейс заходит. Как сделать доступ ко всей сетке?
adminse :
Если у вас открывает web интерфейсы устройств, значит firewall и маршрутизация на MikroTik настроена корректно.
Из часто встречающихся причин:
1. Попробуйте деактивировать брандмаур на ПК
2. Проверьте указан ли в видеорегистраторе шлюз по умолчнию.
Все остальные решения требуют диагностики
baskos :
Брандмауэр деактивирован, шлюз указан, адрес для впн выдается тем же сервером из того же пула пулом что и для ПК
Николай :
VPN туннель между офисом и домом по такой схеме можно организовать? Немного пугает MikroTik своей емкой настройкой. Дайте телефон тех. поддержки
Добрый день!
Скажите, пожалуйста, возможно ли настроить L2TP+IpSec, чтобы IPsec Secret был разный у VPNклиентов?
adminse :
Это общий параметр, устанавливается на весь L2tp сервер. Та и достаточно регулировать доступы учётной записью. Индивидуальные решения есть в чистом ipsec(ikev1,ikev2).
Константин :
Здравствуйте, есть VPN от ZenMate , дома стоит Mikrotik hap ac2, пытаюсь настроить этот VPN на этом роутере и пока ничего не выходит.
ZenMate предлагает 2 варианта подключения для роутеров: (OpenVPN с auth SHA256) и (IKEv2, L2TP/IPsec). OpenVPN не могу подключить, т.к. в микротике не реализована аутентификация SHA256 (максимум SHA1) и они не планируют реализовывать ни в 6.49beta27 (Testing) ни в 7.1beta5 (Development) прошивках – проверял. Сейчас у меня стоит 6.48.1 (Stable) Настройки для IPsec, предоставленные ZenMate представлены в таком наборе:
Server: url
Username: user
Password: pass
Pre-shared: ZenMate
Device ID: цифры Сколько я уже мучаюсь и все не могу настроить работу по этому протоколу.
Сперва настраиваю IP – IPsec , в нем постоянно получаю ошибку, что phase2 не получена или не пройдена что-то типа того. Пробовал кучу разных комбинаций настроек, пока все мимо.
Ну и пробую при таком неполученном phase2 режиме добавить PPP – L2TP Client, и он не заводится Может быть кто-то сможет помочь что где прописать, чтобы все завелось? Спасибо!
Обнаружил следующие проблемы:
1.При активации Ipsec связь не устанавливается.
2.Если внутренняя сеть сервера(192.168.0.0) и сеть в котором подключен клиент Win 10 PC совпадают(192.168.0.0) VPN связь устанавливаеться но подключится к устройствам в сети сервера не получаеться.
Mikrotik RB2011UiAS(mipsbe) Прошивка 6.48.1
Проблема N2 решилась:в локальном и удаленном сетях присутствовали несколько устройств с одинаковым IP адресом.
Александр :
Не могу разобраться с настройкой VPN на Mikrotik hap ac2 и на iPhone. Не могу их подружить по VPN.
Александр :
и можно ли все это настроить без постоянного IP? К VPN из Quick Set работает на андроид и винде без проблем, а вот айфон подключить не смог. Что делать?
adminse :
Если самостоятельно настроить не получается обращайтесь в тех. поддержку MikroTIk→
Надежда :
при настройке клиента win откуда брать адрес куда подключаться?
в настройках сервера у вас это ни где не указано, так откуда взялось vnp.t.com.ua?
adminse :
Адрес сервера(IP) это не настройка со стороны роутера, его выдает вам интернет провайдер
Александр :
Подксжите, как реализовать эти 2 схемы одновременно? когда и микрот микрот нужен и win/android – mikrot, как работает default profile? как я понял только в него упираюсь чтобы одновременно было активно 2 профиля
Андрей :
Добрый день. Подскажите не удается настроить подключение L2TP на Windows 10, при подключении к серверу выдается ошибка 784, после внесения ключей в реестр стала выдаваться 809, при этом на роутере в логах : l2tp connection rejected no ipsec encryption while it was required. Победить ошибку 809 не удается, связь не устанавливается. Может кто-то стакивался ?
Андрей :
Забыл указать, что роутеры между собой по l2TP между собой соединяются нормально. Телефоны на по l2tp тоже подключаются, проблема только с Windows10/
adminse :
Если у вас выводится ошибка в Windows 10 при подключении VPN клиента L2TP, рекомендуется установить необязательные обновления KB5010793.
Также в некоторых случаях помогает удаление обновлений Windows от января 2022. Но бывают случаи, когда обновления удалить не получается и установка KB5010793 является решениением.
adminse :
или KB5010795 для Windows 11
С версией прошивки 7.1 ни в какую не подключается по приведенным выше настройкам. Ошибка фазы 1 и всё((.
adminse :
- 1. Несогласованность Ipsec. Проверяется обычным отключением, а исправляется через согласование настроек Ipsec на устройствах, они должны быть идентичными;
- 2. Проблема со стороны Windows клиента: лечится или через реестр или через обновление Windows. Как правило есть какое-то описание ошибки, по которому можно найти информацию.
Андрій :
Доброго дня. Підкажіть, чому в налаштуваннях L2TP клієнта обирається профіль default-encrypted а не default, адже тут вже використовується шифрування IPSec. Виходить подвійне шифрування, чи не так?
adminse :
Профиль default-encrypted это профиль по умолчанию для VPN клиента, разницы со стороны клиента между профилями default-encrypted и default не будет ни какой. В любом случае, параметры подключения вы можете контролировать с свойствах подключенного vpn клиента как со стороны сервера, так и стороны клиента(VPN-подключение→Status→Encoding)
Владимир :
Возможно ли создать VPN-сервер, если нет “белого” IP?
adminse :
создать можно, но внешние подключения зависят от провайдера. Чаще всего, по динамике ни какой входящий трафик не поступает на роутер. Поэтому тут нужно проверить, если провайдер пропускает по динамике – можно этим пользоваться, если нет – заказать статический IP
добрый день
можно ли создать белый список айпи-адресов/подсетей, с которых можно цепляться к впн-серверу, и чтобы любые остальные отсекались?
adminse :
добавить access list:
/ip firewall address-list
add address=93.170.11.2 list=VPN-Access фильтрация входящего подключения по access-list
/ip firewall filter
add action=accept chain=input dst-port=500,1701,4500 in-interface-list=WAN \
protocol=udp src-address-list=VPN-Access
спасибо
а можно ли сделать так, чтобы компьютер, который прицепился к впн-серверу, видел только одну машину или сегмент сети, но не всю сеть, которая лежит за маршрутизатором?
Михаил :
Здравствуйте! Спасибо за статью, все доступно описано У меня вопрос – есть сервер l2tp поднятый на windows server 2012, есть микротик который коннектится к серверу клиентом, есть клиенты за микротиком которым нужен доступ к серверу на котором vpn Что я делаю: подключил микрот к серву как клиент(для клиентов за микротом нет доступа до сервера, из микрота серв пингуется), потом прописал в IP – Routes следующее: add distance=1 dst-address=192.168.86.0/24 gateway=192.168.86.1 Где: 192.168.86.0/24 подсеть адресов которые раздет сервер подключившимся клиентам(микрот получается 192.168.86.2), 192.168.86.1 адрес сервера внутри vpn сети Но доступа так и нет, пробовал в Pref.Sourse добавить локальный ip микрота который раздет адреса своим клиентам(за микротом), пробовать в шлюз в маршрутизации прописывать ip полученный микротиком от сервера, пробовал на сервере создать статический маршрут зеркальный записи о маршрутизации что выше – ничего не помогает, клиенты за микротиком не имеют доступ к серверу Подскажите пожалуйста, как решить, или куда копать, я уже несколько дней с бубном пляшу))
Михаил :
При этом если подключаю vpn напрямую из винды(не микротика) то сервер разумеется доступен, такие дела
adminse :
У вас два варианта:
– Активировать NAT на Микротике, чтобы клиенты за сервером видели IP Микротика(со всеми вытекающими)
– Настроить маршрутизацию на сервере и на Микротике. Сеть за сервером отправляет пакеты на Микротик(как шлюз), а сеть за Микротиком отправляет пакеты на win сервер
Матвей :
Есть провайдер с серым IP, услуги белый IP не предоставляет. Чтобы попасть на удаленную сеть, есть микрот на котором настроен сторонний клиент Vpn L2TP с Ipsec. VPN провайдер предоставляет в личном кабинете переадресацию портов и можно используя постоянный IP от VPN провайдера соединяться с некоторыми внутренними ресурсами сети за микротом. Но не могу донастроить на этом микроте OpenVPN сервер.
Есть опыт настройки с белым IP, всё работает. Настройки брал отсюда: mikrotik.html
А на этом микроте, как клиент L2TP видно, что пакеты в Firewall идут при попытке соединится, но в windows клиенте OpenVPN застревает на строке Attempting to establish TCP connection with [AF_INET]xxx.xxx.xx.xx.:xxxx [nonblock] и чуть позже вываливается в ошибку что нет связи. Где еще смотреть по настройкам?
Здравствуйте!
Сделал сеть между микротиками через
ipsec vpn
Сервер 192.168.1.0/24
Клиент 192.168.88.0/24
VPN 174.16.190.*
На подсеть клиента 88.0/24 захожу , с клиента на подсеть 1.0/24 тоже
Вроде всё работает.
Но на сети 88 стоят датчики , которые могут работать как через интернет, так и через домашнюю сеть.
Так вот при заходе на них, пишет что они не в домашней сети!
Хотя на этой же сети стоят ip камеры, к ним без проблем по ip захожу.
Что не так сдел?
adminse :
Если доступ с 192.168.1.0/24 к 192.168.88.0/24 работает, то vpn l2tp настроен с двух роутеров MikroTik и работает корректно. Возможно для датчиков с 192.168.88.0/24 удаленная сеть 192.168.1.0/24 воспринимается как “не домашняя”, но это не проблема VPN
Добрый день, подскажите, где посмотреть адрес в интернете, когда подключаемся или можно использовать ID?
Евгений :
Ребята нифига не понял про “Добавление статических маршрутов для прохождения трафика.”
Головной сервереl2tp с белым 192.168.1.0/24
ip pool для VPN: 192.168.0.0/24
На стороне второго микрота gsm маршрутизатор 192.168.3.0.24
а от него микрот в котором я настроил vpn клиента как в этой инструкции
кажется не хватает одного статического маршрута.
В общем нужна помощь(
Пакеты не летят, мне нужно магазине где есть gsm маршрутизатор за ним поставить микрота и чтобы после микрота ноутбук автоматом был в сети первого головного микрота(где белый ip).
Уведомление: Mikrotik l2tp
Александр :
Добрый день!
Столкнулся с проблемой подключения L2TP, есть две линии инета от одного провайдера, два белых ip “95.80.180.10 и 95.80.180.200” между ними соединение VPN не проходит, с других сетей все соединяется и по мобильной сети. Провайдер не чего не блокирует, как сказали в ТП
С чем может быть связана проблема?
Чи можна вже налаштований l2tp сервер вмикати та вимикати за розкладом через планувальник чи в якийсь інший спосіб?
adminse :
Это можно делать с любыми настройки, к примеру /interface l2tp-server server set enabled=no добавить для выключения l2tp сервера в расписание System→Scheduler
Mikrotik обновили прошивку до 7.10, теперь ранее настроенные ovpn падают с ошибкой: process_server_push_error: problem accepting server-pushed peer-id: parse/range issue
Сергей :
Сделал VPN по L2TP для подключения удаленных клиентов. Все шикарно работет, вот отлично ходит.
Но хотелось-бы запретить всем подключившимся выход в интернет через это самое VPN-соединение. Какое правило нужно указать для удаленных клиентов, чтобы при подключении оставался только клиентский интернет?
adminse :
Вам нужно со стороны клиента отключить использование удаленного шлюза как шлюза по умолчанию и прописать статический маршрут в подсеть за MikroTik. Удобнее для этого использовать draytek vpn client
Алексей :
А как сделать что бы клиенты ВПН видели ресурсы в корпоративной сети?
adminse :
После настройки корпоративная сеть должна быть доступна. Если с этим есть сложности, нужно обратить внимание на персональную(клиента VPN) маршрутизацию и настройки firewall(узла корп. сети)
Вітаю!
Підкажіть куда копати?
Два Мікротика. VPN L2Tp+IpSec. Маршрути налаштовані на обох, proxy-arp на bridge включено. З’єднання встановлюється.
ПК за VPN-клієнтом пінгує ПК за VPN-сервером
ПК за VPN-сервером НЕ пінгує ПК за VPN-клієнтом
adminse :
пересмотрите firewall на пингуемом узле(антивирус и брандмауэр)
Дякую за швидку відповідь!
Так, ПК не вдалий варіант перевіряти пінг. Перевірив пінг до інших пристроїв – проходять.
Залишилось питання відкрити веб сторінку приладу, що знаходиться за мережею VPN-сервера з ПК що за мережею VPN-клієнта.
Чи потрібні якісь додаткові налаштування на fiewall VPN-клієнта чи VPN-сервера для проходження трафіку (крім тих, що дозволяють з’єднання та тих що є за замовчуванням)? Буду вдячний за підказку.
Питання знімаю. Можливо буде цікаво іншим – проблема у розмірі пакету. Шифрування додає розміру пакету, і як наслідок, збільшений розмір пакету не проходив мережами провайдерів. Допомогло зменшення розміру до 1380
Руслан :
Доброго дня. Підкажіть що не так. Зробили налаштування VPN тунеля все працює, коли заходить один користувач.. Як тільки підключається другий користувач VPN, у першого користувача vpn зависає.
adminse :
Такое обычно происходит, когда оба VPN клиента подключаются с одного внешнего IP. Если это так, то попробуйте отключить IPSEC или использовать другой типа VPN соединения
Сергей :
Такая проблема. Стоял RouterBOARD 750G r3 система 6.48.6, через l2tp ipsec с общим ключем подключался зоопарк Windows 7, 10 , 11 и даже мак к терминалу по RDP. Поставил C52iG-5HaxD2HaxD система 7.11.2 Работают нормально только 7-е, а 10 и 11 периодически каждую минуту перезаходят на сервер терминалов. Причину пишет отключение пользователем. Сам vpn не отключается. Настраивал оба аналогично. Сервер Windows Server 2012 R2, поведение не зависит от нагрузки – могут и 10-15 работать нормально, а может и один глючить. На микротике ещё openvpn с тремя клиентами – там никаких проблем. Сбрасывал прошивку до 7.5 – не помогло. То есть проблема, если есть – то минимум год.
Налаштування VPN через MikroTik
VPN — (Virtual Private Network) віртуальна приватна мережа. Дана технологія гарантує максимальну безпеку при підключенні до віддалених мереж і використання їх ресурсів наче ви підключені безпосередньо до мережі, а не через мережу Інтернет.
Зміст:
- Управління домашньою мережею через інтернет;
- Що таке реальна IP адреса;
- Варіант №1 підключення до мережі;
- Варіант №2 налаштування доступу в один клік;
- VPN підключення до мережі за допомогою вбудованого клієнта Microsoft Windows.
Сьогодні використання VPN вже не є привілеєм великого бізнесу. Навіть простий домашній користувач може скористатися даною технологією для відвідування різних сайтів, доступ до яких закритий за регіональною ознакою, при цьому не залишивши й сліду про своє перебування на цьому ресурсі.
У даній статті буде розглянуто приклад побудови VPN-тунелю для підключення до домашньої мережі на базі маршрутизатора виробництва MikroTik. Також розглянемо один з найбільш популярних типів VPN підключення, а саме L2TP. (Популярний він тому, що клієнт L2TP вже встановлений в операційній системі Microsoft Windows).
Управління домашньою мережею через інтернет
Керувати своєю домашньою мережею, перебуваючи при цьому на роботі або у відпустці, можна без проблем, коли ваш домашній маршрутизатор має реальну IP адресу*.
Що таке реальна IP адреса
При підключенні до мережі Інтернет, комп’ютер або маршрутизатор отримує IP адресу через який він взаємодіє з мережею. Ця адреса може бути призначена з локальної мережі провайдера, що дозволяє приховати ваше обладнання від відкритого доступу. Або може бути призначена реальна IP адреса, що дозволяє вашому устаткуванню безпосередньо взаємодіяти з мережею Інтернет, що в свою чергу робить ваше обладнання доступним із зовнішньої мережі.
Ну, а якщо можливості отримати реальну IP адресу немає, а доступ до домашньої мережі необхідний?
Цю проблему можна вирішити кількома способами, звичайно ж якщо домашній маршрутизатор — MikroTik. У даній статті буде розглянуто два варіанти підключень, перший розрахований на користувачів, які вже мають невеликий навик роботи з RouterOS. Якщо у Вас немає часу на вивчення цього питання і вам потрібно швидко і без зайвих клопотів побудувати VPN тунель, то сміливо гортайте вниз до варіанту №2.
Варіант №1. Використовуємо маршрутизатор в якості vpn клієнта, а в якості сервера буде використовуватися сервер на роботі або маршрутизатор з реальною IP адресою:
Вкладка PPP — Interface тиснемо «+» і вибираємо L2TP Client
У відкритому вікні переходимо на вкладку General і даємо назву вашому з’єднанню. Далі переходимо у вкладку Dial Out, тут ми налаштовуємо основні параметри з’єднання з віддаленим сервером:
Connect to: вказуємо IP адресу віддаленого сервера (IP адреса повинна бути реальною)
USER: Ім’я користувача
Password: Пароль
Для додаткового захисту VPN з’єднання можна зашифрувати його IPsec. Ставимо галочку і призначаємо пароль.
ВАЖЛИВО: при використанні додаткового шифрування IPsec буде коректно працювати між двома маршрутизаторами MikroTik. При побудові VPN -тунеля з маршрутизатором інших виробників або в разі використання вбудованого клієнта Microsoft Windows, додаткове шифрування слід відключити, щоб уникнути помилок підключення.
VPN клієнт налаштований, переходимо до налаштування VPN сервера.
В якості VPN сервера буде використовуватися маршрутизатор Mikrotik.
Вкладка PPP — Interface, тиснемо кнопку L2TP Server, ставимо галочку Enable. Підвищуємо безпеку додаючи IPsec шифрування, в полі Use IPsec в меню вибираємо Yes, а нижче в полі IPsec Secret вводимо пароль. І тиснемо ОК.
Сервер увімкнений, залишилося додати користувача логін і пароль, які ми створили на стороні клієнта.
Переходимо у вкладку Secrets, тиснемо «+», створюємо користувача і вибираємо тип VPN тунелю.
Налаштування закінчені, тепер, сидячи на роботі і відкривши Winbox*, ви отримаєте доступ до домашнього маршрутизатора.
Winbox — програма, що дозволяє отримати доступ до налаштувань і управління обладнання MikroTik за допомогою веб інтерфейсу.
На жаль, даний метод підключення не завжди зручний. Особливо коли потрібно потрапити на домашню мережу з будь-якої точки земної кулі, де є доступ до мережі інтернет, а реальну IP адресу отримати так і не вдалося. У такому випадку можна скористатися технологією DDNS. Але надійні ресурси уявлення послуг будуть платними, а безкоштовні мають тенденцію не працювати в потрібний момент або зовсім пропадати. Для вирішення даної проблеми компанія MikroTik розгорнула власну хмару (cloud.mikrotik.com) з наданням послуги DDNS. А налаштувати доступ до свого маршрутизатора можна за кілька секунд.
Варіант №2. Налаштування віддаленого доступу в один клік
Тиснемо Quick Set і у вікні швидких налаштувань включаємо VPN в правому нижньому кутку.
Включаємо VPN і єдине, що нам треба ввести — це пароль (пароль повинен бути не з простих, підібравши пароль стороння людина зможе потрапити на ваш маршрутизатор)
12345679.sn.mynetname.net — ця адреса і є зовнішня адреса домашньої мережі (де замість цифр 123456789 буде серійний номер вашого маршрутизатора). Використовуючи цю адресу можна з легкістю налаштувати VPN доступ до домашньої мережі.
Закінчивши з налаштуваннями VPN сервера, переходимо до підключення у вигляді клієнта
VPN підключення до мережі за допомогою вбудованого клієнта Microsoft Windows
Пуск-панель управління — Центр управління мережами і загальним доступом
Вибираємо пункт Налаштування нового підключення — Підключення до робочого місця — Підключення до VPN.
Далі вводимо IP-адресу VPN сервера до якого буде здійснюватися підключення і дамо цьому підключення ім’я.
Вводимо ім’я користувача та пароль і підключаємося до віддаленого VPN сервера.
interface31
Одним из основных назначений VPN-соединений служит организация доступа удаленных клиентов в локальную сеть. И несмотря на то, что данная тема достаточно широко освещена многие администраторы продолжают сталкиваться со сложностями. Наибольшие затруднения, как правило, вызывает маршрутизация. Отчасти это связано с относительной сложностью данной темы, требующей достаточного уровня теоретических знаний, а отчасти с техническими возможностями реализуемого решения. В некоторых сценариях можно обойтись и без маршрутизации, использовав для доступа в сеть иные технологии, сегодня мы расскажем об одной из них.
Существует два основных сценария построения VPN: обеспечение доступа удаленных клиентских устройств и соединение между собой удаленных сетей. В последнем случае проще, администратор настраивает устройства с обоих сторон туннеля именно так, как считает нужным, а вот клиентские устройства, тут может быть самый разнообразный зоопарк. Установка стороннего ПО, добавление собственных маршрутов, все это может быть достаточно затруднительно, особенно если это личное устройство клиента. Поэтому удаленное подключение желательно выполнять стандартными средствами, с минимальным вмешательством в клиентскую систему.
Описываемый нами способ применим именно для подключения клиентских устройств, применять для объединения сетей его не следует. Его отличительной особенностью является выдача VPN-клиентам адресов из диапазона локальной сети. Давайте рассмотрим следующую схему:
В нашем случае имеется локальная сеть с диапазоном адресов 192.168.111.0/24, в которой находятся сервер 192.168.111.101 и роутер 192.168.111.1, для доступа удаленных клиентов мы подняли на роутере VPN-сервер с локальным адресом 192.168.111.140 и пулом адресов для клиентов 192.168.111.141-149. Нам требуется организовать прозрачный доступ в локальную сеть для подключающихся клиентов (зеленая пунктирная линия).
При этом важно соблюдать ряд правил. Во-первых, диапазон локальной сети клиентов не должен пересекаться с диапазоном сети офиса, поэтому мы настоятельно не рекомендуем использовать в корпоративных сетях диапазоны 192.168.0.0/24, 192.168.1.0/24 и т.д. из-за их широкого применения в устройствах бытового класса. Во-вторых, выделенный для удаленных клиентов диапазон следует исключить для выдачи и назначения устройствам локальной сети. И наконец, локальный адрес VPN-сервера должен быть выделен из локального диапазона и не должен использоваться иными устройствами или интерфейсами роутера.
Сам тип VPN не имеет принципиального значения, но рекомендуется использовать те варианты подключения, стандартные клиенты для которых имеются на целевых клиентских устройствах, это может быть PPTP или L2TP/IPsec.
В нашем примере это будет L2TP-клиент, который успешно подключился к нашему роутеру и получил адрес 192.168.111.148:
На первый взгляд все хорошо, клиент получил адрес из диапазона локальной сети и вроде бы должен взаимодействовать с ней без маршрутизации, но если мы попытаемся получить доступ к указанному нами на схеме серверу, то нас постигнет неудача.
Почему так? Давайте разбираться. Взаимодействие между собой для устройств, находящихся в одной IP-сети (уровень L3 модели OSI) происходит на канальном (L2) уровне. В Ethernet сетях для отправки фрейма (кадра) отправитель должен знать MAC-адрес получателя. Для определения MAC-адреса на основе IP-адреса служит протокол ARP (Address Resolution Protocol).
Когда мы хотим соединиться с узлом 192.168.111.101 хост посылает широковещательный ARP-запрос:
У кого IP-адрес 192.168.111.101 ответьте 192.168.111.148Его получают все узлы сети, но отвечает только обладатель адреса:
192.168.111.101 мой MAC-адрес 00:26:57:00:1f:02Причем обмен практически именно так и происходит, ниже реальный пример ARP-запросов и ответов в локальной сети.
Получив MAC-адрес хост помещает его в ARP-таблицу и в дальнейшем может общаться с данным узлов, не посылая каждый раз ARP-запросы.
Но что же пошло не так в нашем случае? VPN-клиент 192.168.111.148 считая себя частью сети 192.168.111.0/24 для доступа к 192.168.111.101 пошлет соответствующий широковещательный ARP-запрос, чтобы выяснить его MAC-адрес. Но VPN-соединение — это не IP-сеть, а структура точка-точка и единственным узлом, который получит ARP-запрос будет VPN-сервер 192.168.111.140, а так как он не является искомым адресом, то «скромно» промолчит. Клиент не получит на свой запрос ответа и с целевым узлом связь установить не удастся.
Чтобы выйти из этой ситуации можно использовать Proxy ARP, эта технология представляет прокси-сервер для ARP-запросов, позволяя связать на канальном уровне разные сети. Теперь, получив от клиента ARP-запрос сервер ответит MAC-адресом, на который клиент может посылать Ethernet-фреймы.
Существуют разные варианты ARP-прокси, в простейшем случае, который реализован в Mikrotik, роутер ответит на ARP-запрос собственным MAC-адресом, а получив Ethernet-фрейм передаст его на интерфейс, на котором включен Proxy ARP. Таким образом удаленный клиент и узлы локальной сети смогут общаться между собой на канальном уровне без привлечения маршрутизатора (как им кажется).
Для того, чтобы включить Proxy ARP в роутере Mikrotik перейдите в настройки интерфейса, обслуживающего вашу локальную сеть, чаще всего это будет мостовой интерфейс bridge, в нашем случае это один из ether-портов, и в поле ARP установите значение proxy-arp.
После чего снова попробуем получить доступ к серверу и на этот раз все получится:
Как видим, все достаточно несложно и мы полностью стандартными средствами со стороны клиента получили полноценный доступ в локальную сеть за VPN-сервером без настройки маршрутизации и прочих «лишних» движений.