In de meeste gevallen is het niet moeilijk om een router met een VPN te verbinden, maar als je een heel netwerk wilt beveiligen en tegelijkertijd een optimale verbinding wilt behouden, dan is een VPN-tunnel de beste oplossing. .
Routers Mikrotik hebben zich bewezen als betrouwbare en zeer flexibele oplossingen, maar helaas is er nog steeds niet en het is onbekend wanneer deze zal komen en in welke vorm. Onlangs hebben de ontwikkelaars van de VPN-tunnel WireGuard aangeboden , waarmee hun software voor het opzetten van VPN-tunnels onderdeel van de Linux-kernel zal worden, hopen dat dit de implementatie in RouterOS zal bevorderen.
Maar tot die tijd, helaas, is het voor het instellen van WireGuard op de Mikrotik-router nodig om de firmware te vervangen.
We flashen Mikrotik, installeren en configureren OpenWrt
Allereerst moet je ervoor zorgen dat OpenWrt jouw model ondersteunt. Je kunt de overeenstemming tussen het model en de marketingnaam en afbeelding .
Ga naar de website openwrt.com .
Voor dit apparaat hebben we 2 bestanden nodig:
Je moet beide bestanden downloaden: Installeren en Upgrade.
1. Netwerkconfiguratie, opstarten en configureren van de PXE-server
Download voor de laatste versie van Windows.
Pak het uit in een aparte map. In het bestand config.ini voeg je de parameter rfc951=1 de sectie [dhcp]. Deze parameter is voor alle modellen Mikrotik hetzelfde.
Ga naar de netwerkinstellingen: je moet een statisch IP-adres toewijzen aan een van de netwerkaansluitingen van je computer.
IP-adres: 192.168.1.10
Subnetmasker: 255.255.255.0
Start Tiny PXE Server met Administrator-rechten en kies in het veld DHCP Server de server met het adres 192.168.1.10
In sommige versies van Windows kan deze interface pas verschijnen nadat de Ethernet-kabel is aangesloten. Ik raad aan de router aan te sluiten en de router en de PC meteen met een patchkabel te verbinden.
Klik op de knop '...' (rechtsonder) en geef de map op waar je de firmwarebestanden voor Mikrotik hebt gedownload.
Kies het bestand dat eindigt op 'initramfs-kernel.bin' of 'elf'
2. De router opstarten vanaf de PXE-server
Verbind de PC met de eerste poort (wan,internet,poe in,…) van de router. Neem daarna een tandenstoker en steek deze in het gat met de tekst 'Reset'.
Zet de router aan en wacht 20 seconden, laat daarna de tandenstoker los.
In het programma Tiny PXE Server zouden in het venster de volgende berichten moeten verschijnen binnen een minuut:
Als het bericht verschijnt, dan ben je op de goede weg!
Herstel de instellingen op de netwerkadapter en stel het verkrijgen van een adres in op dynamisch (via DHCP).
Verbind met de LAN-poorten van de Mikrotik-router (2…5 in ons geval) met behulp van dezelfde patchkabel. Schakel deze gewoon van poort 1 naar poort 2. Open het adres in uw browser.
Log in op de administratie-interface van OpenWRT en ga naar het menu 'System -> Backup/Flash Firmware'
In de subsectie 'Flash new firmware image' klik op de knop 'Bestand kiezen (Browse)'.
Geef het pad op naar het bestand dat eindigt op '-squashfs-sysupgrade.bin'.
Klik daarna op de knop 'Flash Image'.
In het volgende venster klik op de knop 'Doorgaan'. De firmware wordt nu naar de router geladen.
!!! KOPPEL DE STROOM VAN DE ROUTER NOOIT LOS TIJDENS HET FLASHEN !!!
Na het flashen en opnieuw opstarten van de router ontvang je een Mikrotik met OpenWRT-firmware.
Mogelijke problemen en hun oplossingen
In veel Mikrotik-devices van 2019 wordt het FLASH-NOR geheugenchiptype GD25Q15/Q16 gebruikt. Het probleem is dat tijdens het flashen de gegevens over het model van het apparaat niet behouden blijven.
Als je de foutmelding 'Het geüploade afbeeldingsbestand bevat geen ondersteund formaat. Zorg ervoor dat je het generieke afbeeldingsformaat voor jouw platform kiest.' ziet, ligt het probleem waarschijnlijk bij de flash.
Dit is gemakkelijk te controleren: voer in de terminal van het apparaat de ID-model controleopdracht uit
root@OpenWrt: cat /tmp/sysinfo/board_nameEn als je 'unknown' terugkrijgt, moet je het model van het apparaat handmatig opgeven als 'rb-951-2nd'.
Voer de opdracht uit voor het verkrijgen van het model van het apparaat:
root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2ndNadat je het model van het apparaat hebt gekregen, stel je deze handmatig in:
echo 'rb-951-2nd' > /tmp/sysinfo/board_nameDaarna kun je het apparaat flitsen via de webinterface of met de opdracht 'sysupgrade'.
Maak een VPN-server met WireGuard.
Als je al een server hebt met een geconfigureerde WireGuard, kun je deze stap overslaan.
Ik ga de applicatie gebruiken voor het instellen van een persoonlijke VPN-server: waarover ik al .
Configuratie van de WireGuard-client op OpenWRT.
Verbind met de router via het SSH-protocol:
ssh root@192.168.1.1Installeer WireGuard:
opkg update
opkg install wireguardBereid de configuratie voor (kopieer de onderstaande code naar een bestand, vervang de aangegeven waarden door jouw waarden en voer het in de terminal uit).
Als je MyVPN gebruikt, hoef je in de onderstaande configuratie alleen maar te wijzigen WG_SERV — het IP-adres van de server, WG_KEY — de privélleutel uit het WireGuard-configuratiebestand en WG_PUB — de publieke sleutel.
WG_IF="wg0"
WG_SERV="100.0.0.0" # ip-adres van de server
WG_PORT="51820" # wireguard-poort
WG_ADDR="10.8.0.2\/32" # bereik van wireguard-adressen
WG_KEY="xxxxx" # privélleutel
WG_PUB="xxxxx" # publieke sleutel
# Configureer firewalls
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
\/etc\/init.d\/firewall restart
# Configureer netwerk
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interface"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"
uci add_list network.${WG_IF}.addresses="${WG_ADDR}"
# Voeg VPN-peers toe
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0\/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0\/1"
uci add_list network.wgserver.allowed_ips="::\/0"
uci commit network
\/etc\/init.d\/network restartDe configuratie van WireGuard is nu voltooid! Al het verkeer op alle aangesloten apparaten is nu beschermd door de VPN-verbinding.
Links
(extra beschikbaar de instructie voor het instellen van L2TP, PPTP op de standaard firmware van Mikrotik)
Bron: habr.com
