Většinou není obtížné připojit router k VPN, ale pokud chcete chránit celou síť a zároveň zachovat optimální rychlost připojení, nejlepší volbou je využít VPN tunel. .
Routery Mikrotik se osvědčily jako spolehlivá a velmi flexibilní řešení, ale bohužel zatím není a není známo, kdy se objeví a v jaké podobě. Nedávno vývojáři VPN tunelu WireGuard navrhli , aby se jejich software pro organizaci VPN tunelů stal součástí jádra Linuxu, doufáme, že to napomůže implementaci v RouterOS.
Ale zatím, bohužel, pro nastavení WireGuard na routeru Mikrotik je nutné změnit firmware.
Přeflashujeme Mikrotik, nainstalujeme a nastavíme OpenWrt
Nejprve je nutné se ujistit, že OpenWrt podporuje váš model. Shodu modelu s jeho marketingovým názvem a obrázkem .
Přejděte na stránky openwrt.com .
Pro toto zařízení potřebujeme 2 soubory:
Musíte stáhnout oba soubory: Nainstalovat a Upgrade.
1. Nastavení sítě, nahrání a nastavení PXE serveru
Stáhněte pro Windows v poslední verzi.
Rozbalte do samostatné složky. Do souboru config.ini přidejte parametr rfc951=1 sekci [dhcp]. Tento parametr je stejný pro všechny modely Mikrotik.
Přejdeme k nastavení sítě: je nutné nastavit statickou IP adresu na jednom z síťových rozhraní vašeho počítače.
IP adresa: 192.168.1.10
Maska sítě: 255.255.255.0
Spusťte Tiny PXE Server s administrátorskými právy a vyberte v poli DHCP Server server s adresou 192.168.1.10
V některých verzích Windows se tento rozhraní může objevit až po připojení Ethernetu. Doporučuji připojit router a ihned propojit router a PC pomocí patch kabelu.
Stiskněte tlačítko „…“ (vpravo dole) a určete složku, do které jste stáhli soubory firmwaru pro Mikrotik.
Vyberte soubor, jehož název končí na „initramfs-kernel.bin“ nebo „elf“
2. Nahrání routeru z PXE serveru
Propojíme kabel PC a první port (WAN, internet, POE in,…) routeru. Poté vezmeme zápalku, vložíme ji do otvoru s nápisem „Reset“.
Zapneme napájení routeru a čekáme 20 sekund, poté zápalku uvolníme.
Během následující minuty by se v okně programu Tiny PXE Server měly objevit následující zprávy:
Pokud se zpráva objevila, jste na správné cestě!
Obnovte nastavení na síťovém adaptéru a nastavte získávání adresy dynamicky (pomocí DHCP).
Připojte se k LAN portům routeru Mikrotik (2…5 v našem případě) pomocí stejného patch kabelu. Stačí ho přepnout z 1. portu do 2. portu. Otevřete adresu v prohlížeči.
Přihlaste se do administrativního rozhraní OpenWRT a přejděte do sekce menu „System -> Backup/Flash Firmware“
V podsekci „Flash new firmware image“ klikněte na tlačítko „Vybrat soubor (Browse)“.
Uveďte cestu k souboru, jehož název končí na „-squashfs-sysupgrade.bin“.
Poté klikněte na tlačítko „Flash Image“.
V dalším okně klikněte na tlačítko „Pokračovat“. Začne nahrávání firmwaru do routeru.
!!! V ŽÁDNÉM PŘÍPADĚ NEVYPÍNAJTE NAPÁJENÍ ROUTERU BěHEM NÁHRÁVÁNÍ FIRMWARE !!!
Po nahrání a restartu routeru získáte Mikrotik s firmwarovým systémem OpenWRT.
Možné problémy a jejich řešení
Na mnoha zařízeních Mikrotik z roku 2019 se používá paměťový čip FLASH-NOR typu GD25Q15/Q16. Problém je v tom, že při přeflashování se neuchovávají data o modelu zařízení.
Pokud jste viděli chybu „Nahraný obrazový soubor neobsahuje podporovaný formát. Ujistěte se, že vybíráte generický obrazový formát pro vaši platformu.“, problém pravděpodobně spočívá v flash.
Je to snadné zkontrolovat: v terminálu zařízení proveďte příkaz pro kontrolu ID modelu
root@OpenWrt: cat /tmp/sysinfo/board_nameA pokud dostanete odpověď „unknown“, musíte ručně uvést model zařízení ve formátu „rb-951-2nd“
Pro získání modelu zařízení proveďte příkaz
root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2ndZískaný model zařízení nastavíme ručně:
echo 'rb-951-2nd' > /tmp/sysinfo/board_namePoté můžete zařízení flashovat přes webové rozhraní nebo pomocí příkazu „sysupgrade“
Vytvořte VPN server s WireGuard
Pokud už máte server se zprovozněným WireGuard, můžete tento krok přeskočit.
Budu používat pro nastavení osobního VPN serveru aplikaci o které jsem již .
Nastavení WireGuard Client na OpenWRT
Připojte se k routeru protokolem SSH:
ssh root@192.168.1.1Nainstalujte WireGuard:
opkg update
opkg install wireguardPřipravte konfiguraci (zkopírujte kód níže do souboru, nahraďte uvedené hodnoty svými a spusťte v terminálu).
Pokud používáte MyVPN, je třeba v níže uvedené konfiguraci změnit pouze WG_SERV — IP serveru, WG_KEY — privátní klíč z konfiguračního souboru wireguard a WG_PUB — veřejný klíč.
WG_IF="wg0"
WG_SERV="100.0.0.0" # IP adresa serveru
WG_PORT="51820" # port wireguard
WG_ADDR="10.8.0.2/32" # rozsah adres wireguard
WG_KEY="xxxxx" # privátní klíč
WG_PUB="xxxxx" # veřejný klíč
# Konfigurace firewallu
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
/etc/init.d/firewall restart
# Konfigurace sítě
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interface"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"
uci add_list network.${WG_IF}.addresses="${WG_ADDR}"
# Přidání VPN peerů
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0/1"
uci add_list network.wgserver.allowed_ips="::/0"
uci commit network
/etc/init.d/network restartTím je konfigurace WireGuard u konce! Nyní je veškerý provoz na všech připojených zařízeních chráněn VPN spojením.
Odkazy
(dodatkově je k dispozici návod na nastavení L2TP, PPTP na standardním firmwaru Mikrotik)
Zdroj: habr.com
