A legtöbb esetben a router VPN-hez való csatlakoztatása nem nehéz, de ha az egész hálózat védelmét szeretné biztosítani, miközben megőrzi a kapcsolat optimális sebességét, a legjobb megoldás egy VPN-alagút használata. .
Routerek Mikrotik megbízható és nagyon rugalmas megoldásként bizonyultak, de sajnos , még nem elérhető, és nem tudni, mikor és milyen formában jelenik meg. Nemrég a WireGuard VPN-alagút fejlesztői azt javasolták, , melyek lehetővé teszik, hogy VPN-alagút kezelő szoftverük a Linux kernel részévé váljon, reméljük, hogy ez segíteni fog a RouterOS-be való integrálásában.
De sajnos addig is a WireGuard beállításához a Mikrotik routeren új firmware-t kell flashelni.
Flash-eljük a Mikrotikot, telepítjük és konfiguráljuk az OpenWrt-t.
Először győződjön meg róla, hogy az OpenWrt támogatja az Ön modelljét. A modell neve és a képe egybevethető .
Lépjen az openwrt.com webhelyre .
Ehhez az eszközhöz két fájlra van szükség:
Mindkét fájlt le kell tölteni: Telepítés és Frissítés.
1. Hálózat konfigurálása, PXE server telepítése és beállítása
Töltse le a legújabb Windows-hoz.
Csomagolja ki egy külön mappába. A config.ini fájlba be kell írni a paramétert rfc951=1 a szakaszt [dhcp]. Ez a paraméter minden Mikrotik modell esetében azonos.
Térjünk át a hálózati beállításokra: statikus IP-címet kell hozzárendelni a számítógép egyik hálózati interfészéhez.
IP cím: 192.168.1.10
Hálózati maszk: 255.255.255.0
Indítsa el Tiny PXE Server adminisztrátori jogokkal, és válassza a DHCP Server címmel rendelkező szervert. 192.168.1.10
Néhány Windows verzióban ez az interfész csak az Ethernet csatlakoztatása után jelenik meg. Ajánlom, hogy csatlakoztassa a routert, és azonnal kösse össze a routert és a számítógépet egy patch kábellel.
Megnyomjuk a „…” gombot (jobbra lent), és megadjuk a mappát, ahova a Mikrotik firmware fájlokat letöltötte.
Válassza ki a fájlt, amelynek neve „initramfs-kernel.bin” vagy „elf” végződéssel rendelkezik.
2. Router indítása a PXE szerverről
Csatlakoztassa a számítógépet a router első portjához (wan, internet, poe in,...) kábellel. Ezután vegyen egy fogpiszkálót, és dugja be a „Reset” feliratú nyílásba.
Kapcsolja be a routert, és várjon 20 másodpercet, majd vegye el a fogpiszkálót.
A következő percben a Tiny PXE Server programablakában az alábbi üzeneteknek kell megjelenniük:
Ha az üzenet megjelent, akkor jó irányba halad!
Állítsa vissza a beállításokat a hálózati adapteren, és állítsa be a dinamikus IP-címkérést (DHCP szerint).
Csatlakozzon a Mikrotik router LAN portjaihoz (2...5 az esetünkben) ugyanazzal a patch kábellel. Csak húzza ki az 1. portból a 2. portba. Nyissa meg a címet a böngészőben.
Lépjen be az OpenWRT adminisztrátori felületére, és navigáljon a 'System -> Backup/Flash Firmware' menüpontra.
A 'Flash new firmware image' részben kattintson a 'Fájl kiválasztása (Browse)' gombra.
Adja meg a fájl elérési útját, amelynek a neve '-squashfs-sysupgrade.bin'-ra végződik.
Ezután kattintson a 'Flash Image' gombra.
A következő ablakban kattintson a 'Proceed' gombra. Elkezdődik a firmware letöltése a routerbe.
!!! SOHA NE TÁVOLÍTSA EL A RÁDIÓ TÁPEGYSÉGÉT A FRISSÍTÉS FOLYAMATÁBAN !!!
A firmware frissítése és a router újraindítása után Mikrotik-t kap a frissített OpenWRT firmware-rel.
Lehetséges problémák és megoldásaik
Sok Mikrotik eszközben, amelyeket 2019-ben adtak ki, GD25Q15/Q16 típusú FLASH-NOR memóriachip található. A probléma az, hogy a frissítés során nem tartják meg az eszköz modelljére vonatkozó adatokat.
Ha azt a hibát látja, hogy 'Az feltöltött kép fájl nem tartalmaz támogatott formátumot. Győződjön meg róla, hogy a platformjához megfelelő általános képformátumot választotta.', valószínűleg a flash problémával áll szemben.
Ezt könnyen ellenőrizheti: futtassa a terminálban az eszköz modellszámának ellenőrzésére vonatkozó parancsot.
root@OpenWrt: cat /tmp/sysinfo/board_nameÉs ha 'unknown' választ kap, akkor kézzel kell megadnia az eszköz modelljét 'rb-951-2nd' formában.
Az eszköz modelljének lekéréséhez futtassa a parancsot.
root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2ndMiután megkapta az eszköz modelljét, azt kézzel be kell állítani:
echo 'rb-951-2nd' > /tmp/sysinfo/board_nameEzután frissítheti az eszközt a webes felületen keresztül vagy a 'sysupgrade' parancs segítségével.
Hozzon létre VPN szervert WireGuard segítségével.
Ha már van szervere beállított WireGuard-dal, akkor átugorhatja ezt a lépést.
Ehhez a személyes VPN szerver beállításához a következő alkalmazást fogom használni: amellyel már korábban .
WireGuard kliens beállítása OpenWRT-n.
Csatlakozzon a routerhez SSH protokollal:
ssh root@192.168.1.1Telepítse a WireGuard-ot:
opkg update
opkg install wireguardKészítse el a konfigurációt (másolja a lenti kódot egy fájlba, cserélje le a megadott értékeket a sajátjaira, majd futtassa a terminálban).
Ha MyVPN-t használ, akkor az alábbi konfigurációban csak az alábbiakat kell megváltoztatnia. WG_SERV — A szerver IP-je, WG_KEY — a wireguard konfigurációs fájljából származó privát kulcs és WG_PUB — a nyilvános kulcs.
WG_IF="wg0"
WG_SERV="100.0.0.0" # a szerver ip címe
WG_PORT="51820" # a wireguard portja
WG_ADDR="10.8.0.2/32" # wireguard címek tartománya
WG_KEY="xxxxx" # privát kulcs
WG_PUB="xxxxx" # nyilvános kulcs
# Tűzfal konfigurálása
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
/etc/init.d/firewall restart
# Hálózat konfigurálása
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interface"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"
uci add_list network.${WG_IF}.addresses="${WG_ADDR}"
# VPN partnerek hozzáadása
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0/1"
uci add_list network.wgserver.allowed_ips="::/0"
uci commit network
/etc/init.d/network restartEzzel a WireGuard beállítása befejeződött! Mostantól az összes csatlakoztatott eszköz forgalma védett VPN kapcsolaton keresztül zajlik.
Hivatkozások
(további útmutató elérhető az L2TP, PPTP beállításához a Mikrotik alapértelmezett firmware-en)
Forrás: habr.com
