Na maioria dos casos, conectar o roteador a uma VPN não é difícil, mas se você deseja proteger toda uma rede e, ao mesmo tempo, manter uma velocidade de conexão ideal, a melhor solução é usar um túnel VPN. .
Roteadores Mikrotik se consolidaram como soluções confiáveis e muito flexíveis, mas infelizmente ainda não existe e não se sabe quando aparecerá e em qual formato. Recentemente, que os desenvolvedores do túnel VPN WireGuard propuseram , que farão do seu software para organização de túneis VPN parte do núcleo do Linux, esperamos que isso ajude na implementação no RouterOS.
Mas, por enquanto, infelizmente, para configurar o WireGuard no roteador Mikrotik é necessário trocar o firmware.
Instalando o Mikrotik, instalando e configurando o OpenWrt
Primeiro, você precisa ter certeza de que o OpenWrt suporta seu modelo. Você pode verificar a correspondência do modelo com seu nome comercial e imagem .
Acesse o site openwrt.com .
Para este dispositivo, precisamos de 2 arquivos:
Você deve baixar ambos os arquivos: Instalar e Atualizar.
1. Configuração da rede, download e configuração do servidor PXE
Baixe para a versão mais recente do Windows.
Extraia em uma pasta separada. No arquivo config.ini, adicione o parâmetro rfc951=1 na seção [dhcp]. Este parâmetro é o mesmo para todos os modelos Mikrotik.
Vamos para as configurações de rede: você precisa definir um endereço IP estático em uma das interfaces de rede do seu computador.
Endereço IP: 192.168.1.10
Máscara de rede: 255.255.255.0
Execute Tiny PXE Server como Administrador e selecione no campo Servidor DHCP servidor com o endereço 192.168.1.10
Em algumas versões do Windows, essa interface pode aparecer apenas após a conexão do Ethernet. Recomendo conectar o roteador e imediatamente ligar o roteador e o PC com um cabo patch.
Clique no botão "…" (à direita em baixo) e indique a pasta onde você baixou os arquivos de firmware para o Mikrotik.
Selecione o arquivo cujo nome termina em "initramfs-kernel.bin ou elf"
2. Inicializando o roteador com o servidor PXE
Conecte o cabo entre o PC e a primeira porta (wan,internet,poe in,…) do roteador. Após isso, pegue um palito de dente, insira na abertura marcada como "Reset".
Ligue o roteador e aguarde 20 segundos, em seguida solte o palito de dentes.
Dentro do próximo minuto, as seguintes mensagens devem aparecer na janela do programa Tiny PXE Server:
Se a mensagem apareceu, você está no caminho certo!
Restaure as configurações do adaptador de rede e configure para obter o endereço dinamicamente (via DHCP).
Conecte-se às portas LAN do roteador Mikrotik (2…5 no nosso caso) usando o mesmo cabo. Basta mover o cabo da porta 1 para a porta 2. Abra o endereço no navegador.
Faça login no interface administrativa do OpenWRT e vá até a seção de menu ‘System -> Backup/Flash Firmware’
Na subseção ‘Flash new firmware image’, clique no botão ‘Selecionar arquivo (Browse)’.
Indique o caminho para o arquivo que termina com ‘-squashfs-sysupgrade.bin’.
Depois disso, clique no botão ‘Flash Image’.
Na próxima janela, clique no botão ‘Proceed’. O download do firmware para o roteador começará.
!!! EM HIPÓTESE ALGUMA DESLIGUE O ROTEADOR DURANTE O PROCESSO DE FLASHING !!!
Após o flashing e reinicialização do roteador, você terá um Mikrotik com o firmware OpenWRT.
Possíveis problemas e suas soluções
Em muitos dispositivos Mikrotik lançamento 2019 é utilizado o chip de memória FLASH-NOR do tipo GD25Q15/Q16. O problema é que durante o reflashing, os dados sobre o modelo do dispositivo não são salvos.
Se você viu o erro ‘The uploaded image file does not contain a supported format. Make sure that you choose the generic image format for your platform.’, provavelmente o problema está no flash.
Verificar isso é fácil: execute no terminal do dispositivo o comando de verificação do ID do modelo
root@OpenWrt: cat /tmp/sysinfo/board_nameSe você receber a resposta ‘unknown’, é necessário especificar manualmente o modelo do dispositivo como ‘rb-951-2nd’
Para obter o modelo do dispositivo, execute o comando
root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2ndAo obter o modelo do dispositivo, instale manualmente:
echo 'rb-951-2nd' > /tmp/sysinfo/board_nameDepois disso, você pode atualizar o dispositivo através da interface web ou usando o comando ‘sysupgrade’
Crie um servidor VPN com WireGuard
Se você já tem um servidor com WireGuard configurado, pode pular esta etapa.
Eu vou usar o aplicativo para configurar um servidor VPN pessoal do qual já .
Configuração do Cliente WireGuard no OpenWRT
Conecte-se ao roteador via protocolo SSH:
ssh root@192.168.1.1Instale o WireGuard:
opkg update
opkg install wireguardPrepare a configuração (copie o código abaixo para um arquivo, substitua os valores indicados pelos seus e execute no terminal).
Se você estiver usando MyVPN, na configuração abaixo você precisa alterar apenas WG_SERV — IP do servidor, WG_KEY — chave privada do arquivo de configuração do wireguard e WG_PUB — chave pública.
WG_IF="wg0"
WG_SERV="100.0.0.0" # endereço IP do servidor
WG_PORT="51820" # porta do wireguard
WG_ADDR="10.8.0.2/32" # intervalo de endereços wireguard
WG_KEY="xxxxx" # chave privada
WG_PUB="xxxxx" # chave pública
# Configurar firewall
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
/etc/init.d/firewall restart
# Configurar rede
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interface"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"
uci add_list network.${WG_IF}.addresses="${WG_ADDR}"
# Adicionar peers VPN
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0/1"
uci add_list network.wgserver.allowed_ips="::/0"
uci commit network
/etc/init.d/network restartA configuração do WireGuard está completa! Agora todo o tráfego em todos os dispositivos conectados está protegido pela conexão VPN.
Links
(instruções adicionais para configuração de L2TP, PPTP no firmware padrão do Mikrotik estão disponíveis)
Fonte: habr.com
