VPN v MikroTik RouterOS – L2TP a WireGuard

Úvod do VPN v MikroTik RouterOS**

VPN (Virtual Private Network) umožňuje bezpečné připojení k firemní síti nebo vzdáleným zařízením přes internet. MikroTik RouterOS podporuje více typů VPN, přičemž nejčastěji se používají L2TP a WireGuard.

Výhody VPN:

• Šifrovaná komunikace mezi vzdálenými zařízeními
• Bezpečný přístup k interním sítím
• Ochrana proti odposlechu na veřejných sítích
• Možnost vzdálené správy sítí

L2TP v MikroTik RouterOS**

L2TP (Layer 2 Tunneling Protocol) je tunelovací protokol, který umožňuje přenos dat mezi vzdálenými sítěmi. L2TP je podporován Windows, macOS, Android i iOS, takže je vhodný pro univerzální VPN připojení.

2.1 Konfigurace L2TP serveru pro Windows, macOS, Android a iOS

Nejprve je nutné povolit L2TP server:

/interface l2tp-server server
set enabled=yes default-profile=default

Tímto povolíme L2TP server, který umožní VPN připojení uživatelů.

2.1.1 Nastavení adresního rozsahu pro VPN klienty

Nejprve vytvoříme adresní pool pro VPN klienty:

/ip pool
add name=vpn-pool range=192.168.99.2-192.168.99.100

Poté nastavíme PPP profil, který definuje parametry připojení:

/ppp profile
set default local-address=192.168.99.1 remote-address=vpn-pool dns-server=8.8.8.8,8.8.4.4

• Případně lze nastavit DNS-SERVER na vnitřní IP adresu např ActiveDirectory serveru, aby fungovaly překlady adres do vnitřní sítě.

2.1.2 Vytvoření uživatelských účtů

Každý VPN klient potřebuje vlastní přihlašovací údaje:

/ppp secret
add name=user1 password=123 profile=default service=l2tp
add name=user2 password=234 profile=default service=l2tp

2.1.3 Nastavení firewallu pro L2TP VPN

Aby bylo možné VPN spojení navázat, musíme povolit provoz L2TP v firewallu:

/ip firewall filter
add chain=input protocol=ipsec-esp action=accept comment="Povolit L2TP VPN (ipsec-esp)"
add chain=input protocol=udp port=500,1701,4500 action=accept comment="Povolit L2TP VPN"

2.1.4 Konfigurace na Windows, macOS, Android a iOS

Na klientských zařízeních je nutné nastavit VPN připojení:

• Windows:

  • Otevřít Nastavení > Síť a internet > VPN
  • Přidat nové VPN připojení, vybrat typ L2TP/IPsec
  • Zadat veřejnou IP routeru, uživatelské jméno a heslo
  • Povolit Použít IPsec (automaticky)

• macOS:

  • Předvolby systému > Síť > Přidat nové připojení
  • Typ: VPN, Protokol: L2TP přes IPsec
  • Zadat veřejnou IP routeru, přihlašovací údaje
  • Povolit Ověřování stroje: Sdílený klíč (zadá se automaticky)

• Android:

  • Nastavení > Síť a internet > VPN > Přidat VPN
  • Typ: L2TP/IPsec PSK
  • Zadat veřejnou IP routeru a přihlašovací údaje

• iOS:

  • Nastavení > Obecné > VPN > Přidat konfiguraci VPN
  • Typ: L2TP
  • Zadat server, uživatelské jméno a heslo
  • Povolit Použít IPsec (automaticky)

Po správné konfiguraci se zařízení mohou připojit k VPN a přistupovat k síti za routerem.

WireGuard v MikroTik RouterOS**

WireGuard je moderní VPN, která je jednodušší, rychlejší a efektivnější než IPsec. Používá silnou kryptografii a je snadno konfigurovatelná.

3.1 Konfigurace WireGuard serveru

Nejprve vytvoříme WireGuard rozhraní a přiřadíme mu port:

/interface wireguard
add listen-port=13231 name=wireguard1

• lze použít libovolný port UDP

Poté si zobrazíme automaticky vygenerované privátní a veřejné klíče:

/interface wireguard print

WireGuard používá asymetrickou kryptografii, kde každé zařízení má vlastní soukromý a veřejný klíč.

3.2 Konfigurace WireGuard peerů

Definujeme vzdálené klienty a povolené IP adresy:

/interface wireguard peers
add allowed-address=10.1.101.0/24,10.255.255.1/32 endpoint-address=192.168.80.1 \
    interface=wireguard1 public-key="v/oIzPy..."

• V sekci ALLOWED-ADDRESS se vždy musí nacházet IP interface klienta /32 ( /32 se dává kvůli charakteru klientského připojení = 1 zažízení), Také se můžou přidávat vzdálené podsítě např 192.168.66.0/24 nebo i “wildcard” na routování veškerého provozu 0.0.0.0/0

Srovnání L2TP a WireGuard**

Doporučení: L2TP je vhodné pro uživatele, kteří potřebují kompatibilitu se staršími systémy. WireGuard nabízí vyšší rychlost a jednodušší konfiguraci.

Závěr**

• L2TP/IPsec je tradiční VPN vhodná pro firemní nasazení a kompatibilitu se staršími systémy.
• WireGuard nabízí moderní, rychlou a bezpečnou VPN s minimální konfigurací.
• Pro techniky je důležité umět nastavit a diagnostikovat obě technologie, protože každá má své specifické využití v praxi.

Doporučuji pro začátek vytvořit testovací VPN na MikroTik Routeru a postupně si vyzkoušet konfiguraci obou protokolů. VPN nepotřebuje nutně veřejnou IPV4 adresu, můžeš testovat i ve vnitřní síti.

Příklad konfiguračního souboru pro Wireguard klient na desktop zařízeních ( Windows, MacOS)

[Interface]
PrivateKey = UN+qwLDns/1zbojMab//A8qsMsY9VzKV8oXUiZccIls=
Address = 192.168.49.10/24
DNS = 192.168.66.10, 192.168.66.11, cathedral.local
MTU = 1420

[Peer]
PublicKey = Ih0N7n7Gk8uPW6z5fsChhqWuGE/DwQjKkyF4jryJgyM=
AllowedIPs = 192.168.49.0/24, 192.168.66.0/24, 192.168.67.0/24, 10.133.0.0/16, 0.0.0.0/0
Endpoint = backupvpn.cathedral.cz:13231

• INTEFACE PrivateKey - generuje automaticky i veřený klíč který se předává protistraně
• PEER PublicKey - VEŘEJNÝ klíč protistrany

Veškerá dokumentace k tématu je k nalezení zde:

https://help.mikrotik.com/docs/spaces/ROS/pages/2031631/L2TP

https://help.mikrotik.com/docs/spaces/ROS/pages/69664792/WireGuard