I de fleste tilfælde er det ikke svært at forbinde en router til en VPN, men hvis du ønsker at beskytte et helt netværk og samtidig bevare en optimal forbindelseshastighed, vil den bedste løsning være at bruge en VPN-tunnel. .
Routrer Mikrotik har vist sig at være pålidelige og meget fleksible løsninger, men desværre og det er uvist, hvornår det vil komme og i hvilken form. For nylig blev det rapporteret, at udviklerne af VPN-tunnelen WireGuard har tilbudt , som vil gøre deres software til oprettelse af VPN-tunneler til en del af Linux-kernen, vi håber, at dette vil fremme implementeringen i RouterOS.
Men indtil da, desværre, for at konfigurere WireGuard på Mikrotik-routeren, skal firmware ændres.
Vi blinker Mikrotik, installerer og konfigurerer OpenWrt.
Først skal du sikre dig, at OpenWrt understøtter din model. Du kan se overensstemmelsen mellem modellen, dens markedsføringsnavn og billede .
Gå til openwrt.com .
For denne enhed har vi brug for 2 filer:
Du skal downloade begge filer: Installer og Upgrade.
1. Netværksopsætning, download og opsætning af PXE-server.
Download til den nyeste version af Windows.
Udpak i en separat mappe. I filen config.ini tilføjer du parameteren rfc951=1 sektionen [dhcp]. Denne parameter er den samme for alle Mikrotik-modeller.
Vi går til netværksindstillingerne: vi skal angive en statisk IP-adresse på en af computerens netværksgrænseflader.
IP-adresse: 192.168.1.10
Subnetmaske: 255.255.255.0
Kør Tiny PXE Server som administrator og vælg i feltet DHCP Server server med adressen 192.168.1.10
I nogle versioner af Windows kan dette interface kun vises efter tilslutning af Ethernet. Jeg anbefaler at tilslutte routeren og straks forbinde routeren og PC'en med et patchkabel.
Vi trykker på knappen „…“ (nede til højre) og angiver mappen, hvor du har downloaded filerne til firmware til Mikrotik.
Vælg filen, hvis navn slutter med „initramfs-kernel.bin eller elf“
2. Opstart af routeren fra PXE-serveren.
Forbind PC'en til den første port (wan, internet, poe in, …) på routeren med et kabel. Herefter tager vi en tandstik og stikker den ind i hullet mærket „Reset“.
Tænd for routeren og vent 20 sekunder, og slip så tandstikken.
I løbet af det næste minut bør følgende meddelelser vises i Tiny PXE Server-programmet:
Hvis meddelelsen vises, er du på rette spor!
Gendan indstillingerne på netværksadapteren og indstil den til at modtage en adresse dynamisk (via DHCP).
Forbind til LAN-portene på Mikrotik-routeren (2…5 i vores tilfælde) med det samme patchkabel. Skift det simpelthen fra port 1 til port 2. Åbn adressen i din browser.
Log ind i OpenWRT's administrationsgrænseflade, og gå til menuen 'System -> Backup/Flash Firmware'
I underskuddet 'Flash new firmware image' skal du klikke på knappen 'Vælg fil (Browse)'.
Angiv stien til filen, hvis navn slutter på '-squashfs-sysupgrade.bin'.
Klik derefter på knappen 'Flash Image'.
I det følgende vindue skal du klikke på knappen 'Proceed'. Flashingen af firmwaren til routeren begynder.
!!! MÅ IKKE SLUKKE FOR STRØMMEN TIL ROUTEREN UNDER FLASHINGEN !!!
Efter flashingen og genstarten af routeren vil du have en Mikrotik med OpenWRT-firmware.
Mulige problemer og deres løsninger
Mange Mikrotik-enheder fra 2019 bruger flash-NOR hukommelseschippen GD25Q15/Q16. Problemet er, at modeldata ikke bevares under flashingen.
Hvis du ser fejlen 'The uploaded image file does not contain a supported format. Make sure that you choose the generic image format for your platform.', er problemet sandsynligvis i flashen.
Det er nemt at tjekke: kør kommandoen til model-ID kontrol i enhedens terminal
root@OpenWrt: cat /tmp/sysinfo/board_nameOg hvis du får svaret 'unknown', skal du manuelt angive enhedens model som 'rb-951-2nd'.
For at få enhedsmodellen skal du køre kommandoen
root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2ndNår du har fået enhedsmodellen, indstilles den manuelt:
echo 'rb-951-2nd' > /tmp/sysinfo/board_nameDerefter kan du flashere enheden via webgrænsefladen eller ved hjælp af kommandoen 'sysupgrade'.
Opret en VPN-server med WireGuard
Hvis du allerede har en server med en konfigureret WireGuard, kan du springe dette punkt over.
Jeg vil bruge appen som jeg allerede .
Konfiguration af WireGuard-klient på OpenWRT
Forbind til routeren via SSH-protokollen:
ssh root@192.168.1.1Installer WireGuard:
opkg update
opkg install wireguardForbered konfigurationen (kopier koden nedenfor ind i en fil, erstat de angivne værdier med dine, og kør i terminalen).
Hvis du bruger MyVPN, skal du kun ændre i konfigurationen nedenfor. WG_SERV — Server IP, WG_KEY — privat nøgle fra wireguard konfigurationsfilen og WG_PUB — offentlig nøgle.
WG_IF="wg0"
WG_SERV="100.0.0.0" # serverens IP-adresse
WG_PORT="51820" # wireguard port
WG_ADDR="10.8.0.2/32" # wireguard adresseområde
WG_KEY="xxxxx" # privat nøgle
WG_PUB="xxxxx" # offentlig nøgle
# Konfigurer firewall
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
/etc/init.d/firewall restart
# Konfigurer netværk
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interface"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"
uci add_list network.${WG_IF}.addresses="${WG_ADDR}"
# Tilføj VPN peers
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0/1"
uci add_list network.wgserver.allowed_ips="::/0"
uci commit network
/etc/init.d/network restartKonfigurationen af WireGuard er afsluttet! Nu er al trafik på alle tilsluttede enheder beskyttet med VPN-forbindelse.
Links
(yderligere vejledning til konfiguration af L2TP, PPTP på standard Mikrotik firmware er tilgængelig)
Kilde: habr.com
