RouterOS является одной из самых распространённых сетевых ОС в корпоративном сегменте. Она предустановлена на оборудовании компании MikroTik, а также может быть установлена на виртуальную машину, что в свою очередь расширяет область применения этой ОС.
IPsec позволяет настроить стабильное и защищенное соединение между разными сетями. Dynamic DNS (DDNS) решает проблему динамических IP-адресов, что особенно важно при работе с несколькими провайдерами или резервировании каналов, не усложняя настроек IPsec. Использование DDNS необходимо, если одна из сторон имеет динамический или часто меняющийся публичный IP-адрес, что упрощает поддержку туннеля при смене провайдера или адреса.
В инструкции все внешние IP-адреса публичные и статичные. Проведены основные настройки RouterOS. Используется виртуальная машина (ВМ) с RouterOS 7 и физический роутер MikroTik. Далее рассмотрим настройки, которые необходимо внести (для настроек используется программа Winbox).
Настройка DDNS
В данном примере только один роутер будет работать по DDNS, ВМ с RouterOS будет использовать стандартный IPv4.
- переходим в IP => Cloud
- в DDNS Enabled выбираем yes
- ставим галочку в Update Time
Затем в строке Public Address: появится внешний IP. В графе DNS Name: генерируется имя роутера:
Рисунок 1 – Настройка DDNS.
На этом настройка DDNS закончена.
Настройка IPsec
Для этого переходим в IP => IPsec, затем в Profiles и нажимаем «+»:
Рисунок 2 – Настройка Profile Mikrotik.
В качестве алгоритмов шифрования выбраны: sha1, aes-256-cbc, ecp384. Эта настройка указывается на обоих роутерах.
Переходим в Proposals и нажимаем «+»:
Рисунок 2 – Настройка Profile Mikrotik.
Рисунок 3 – Настройка Proposal Mikrotik.
В качестве алгоритмов шифрования выбраны: sha1, aes-256-cbc, ecp384. Эта настройка указывается на обоих роутерах.
Переходим в Peer и нажимаем «+»:
Рисунок 4 – Настройка Peer Mikrotik.
- в поле Address: указываем внешний IP-адрес или DDNS другого роутера, с которым нужно установить соединение
- в разделе Profile: выбираем ранее созданный профиль в IP => IPsec => Profiles
- в поле Exchange Mode: aggressive
Эта настройка указывается на обоих роутерах, с внешним адресом противоположного.
Переходим в Policy и нажимаем «+»:
Рисунок 5 – Настройка Policy Mikrotik.
- в графе Peer: выбираем ранее созданный peer
- ставим галочку Tunnel
- в графе Src.address: локальная сеть роутера, от которого строится туннель
- в графе Dst.address: локальная сеть удаленного роутера, к которому строится туннель
На втором роутере тоже вносятся настройки, только IP адреса в Src.address: и Dst.address: меняются местами друг с другом, т.е. Src. Address становится сетью второго роутера, а Dst. Address — сетью первого.
Переходим в Identity и нажимаем «+»:
Рисунок 6 – Настройка Identity Mikrotik.
- в графе Peer: выбираем ранее созданный peer
- Auth.method: выбираем pre shared key (сокр. PSK)
- в графе Secret: вводим наш ключ (PSK), он же пароль, рекомендуется использовать латинские буквы верхнего и нижнего регистров, а также цифры и спец. символы. Минимальная надежная длина 16 символов.
Эти же настройки повторить на противоположном роутере, PSK должен совпадать, т.к. он выполняет роль пароля в соединении.
Настройка Firewall и NAT
Основные настройки IPsec сделаны, теперь перейдем к настройкам Firewall и NAT.
Настройка Firewall в RouterOS
Ускорим процесс, используя команды, введенные в терминале. Перейдем в раздел c Firewall, для этого выполним команду:
/ip firewall filter
Затем добавим правила с помощью команд:
add action=accept chain=input dst-port=500,4500 in-interface=ether2 protocol=udp
и:
add action=accept chain=input in-interface=ether2 protocol=ipsec-esp in-interface=ether2
ether2 в нашем случае – это интерфейс, смотрящий «наружу», через него наш роутер работает с сетью Интернет, а также через него будет работать IPsec.
Остальную часть команд оставляем без изменений.
После ввода необходимо проверить, что в Firewall эти правила находятся выше всех запрещающих.
Настройка NAT в RouterOS
Переходим в раздел NAT и создаем правило:
- Chain: srcnat
- IPsec Policy: выбираем out и ipsec
- Action: Accept
Данное правило необходимо поместить выше всех правил маскарада (masquerading) IP адресов, лучше всего на 0 строку в списке.
Для проверки работоспособности достаточно выполнить команду ping из терминала к любому локальному IP-адресу удаленной сети, к которой построен туннель.
Заключение
Выполнив все шаги, вы развернете полноценное VPN-соединение, которое обеспечивает не только безопасную передачу данных, но и устойчивость к изменениям в инфраструктуре провайдеров, что является современным и надежным решением для объединения сетей.
Нужна помощь? Удаленную поддержку пользователей и обслуживание серверов мы осуществляем в рамках услуги ИТ-аутсорсинг. Также возможны разовые проектные работы.
