În cele mai multe cazuri, a conecta un router la un VPN nu este complicat, dar dacă doriți să protejați o întreagă rețea și să păstrați în același timp o viteză optimă a conexiunii, cea mai bună soluție ar fi să utilizați un tunel VPN. .
Roboții Mikrotik s-au dovedit a fi soluții de încredere și foarte flexibile, dar din păcate încă nu există și nu se știe când va apărea, sau în ce formă. Recent s-a discutat despre faptul că dezvoltatorii tunelului VPN WireGuard au propus , care vor face software-ul lor pentru organizarea tunelurilor VPN parte din nucleul Linux, sperăm că aceasta va facilita integrarea în RouterOS.
Dar, până atunci, din păcate, pentru a configura WireGuard pe routerul Mikrotik este necesar să schimbați firmware-ul.
Flash-ăm Mikrotik, instalăm și configurăm OpenWrt.
Pentru început, trebuie să vă asigurați că OpenWrt suportă modelul dvs. Puteți verifica corespondența modelului cu denumirea sa de marketing și imaginea .
Accesați site-ul openwrt.com .
Pentru acest dispozitiv, avem nevoie de 2 fișiere:
Trebuie să descărcați ambele fișiere: Instalează și Actualizare.
1. Configurarea rețelei, descărcarea și configurarea serverului PXE
Descărcați pentru Windows, ultima versiune.
Desarhivați într-un folder separat. În fișierul config.ini, adăugați parametrul rfc951=1 secțiunea [dhcp]. Acest parametru este același pentru toate modelele Mikrotik.
Trecem la setările rețelei: trebuie să atribuim o adresă IP statică uneia dintre interfețele de rețea ale computerului dvs.
Adresa IP: 192.168.1.10
Mască de rețea: 255.255.255.0
Rulați Tiny PXE Server cu privilegii de Administrator și selectați în câmpul Server DHCP server cu adresa 192.168.1.10
În unele versiuni de Windows, această interfață poate apărea doar după conectarea Ethernet. Recomand să conectați routerul și să faceți imediat patch între router și PC cu un cablu.
Apăsați butonul „…” (în dreapta jos) și specificați folderul în care ați descărcat fișierele firmware pentru Mikrotik.
Selectați fișierul, al cărui nume se termină cu „initramfs-kernel.bin” sau „elf”.
2. Încărcarea routerului de pe serverul PXE
Conectați cu un cablu PC-ul și primul port (wan, internet, poe in,…) al routerului. După aceasta, luați un bețișor și introduceți-l în orificiul marcat „Reset”.
Porniți routerul și așteptați 20 de secunde, apoi eliberați bețișorul.
În următoarea minută, următoarele mesaje ar trebui să apară în fereastra programului Tiny PXE Server:
Dacă mesajul a apărut, înseamnă că sunteți pe calea cea bună!
Restabiliți setările pe adaptorul de rețea și stabiliți obținerea adresei dinamic (prin DHCP).
Conectați-vă la porturile LAN ale routerului Mikrotik (2...5 în cazul nostru) folosind același cablu. Pur și simplu schimbați-l din portul 1 în portul 2. Deschideți adresa în browser.
Conectați-vă la interfața administrativă OpenWRT și mergeți la meniul «System -> Backup/Flash Firmware»
În subsecțiunea «Flash new firmware image», faceți clic pe butonul «Select file (Browse)».
Specificați calea către fișier, a cărui denumire se termină cu «-squashfs-sysupgrade.bin».
După aceea, apăsați butonul «Flash Image».
În fereastra următoare, apăsați butonul «Proceed». Va începe încărcarea firmware-ului în router.
!!! ÎN NICIUN CAZ NU DECONECTAȚI ALIMENTAREA RUTE-ULUI ÎN TIMPUL ÎNGRĂȘURII !!!
După ce firmware-ul este instalat și routerul este repornit, veți obține un Mikrotik cu firmware OpenWRT.
Posibile probleme și soluțiile lor
În multe dispozitive Mikrotik din 2019 se folosește cipul de memorie FLASH-NOR tip GD25Q15/Q16. Problema este că, la reprogamming, datele despre modelul dispozitivului nu sunt păstrate.
Dacă ați văzut eroarea «The uploaded image file does not contain a supported format. Make sure that you choose the generic image format for your platform.», atunci, foarte probabil, problema este în flash.
Este ușor de verificat: executați în terminalul dispozitivului comanda pentru verificarea ID-ului modelului
root@OpenWrt: cat /tmp/sysinfo/board_nameȘi dacă primiți răspuns «unknown», atunci trebuie să indicați manual modelul dispozitivului ca «rb-951-2nd»
Pentru a obține modelul dispozitivului, executați comanda
root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2ndDupă ce ați obținut modelul dispozitivului, îl instalăm manual:
echo 'rb-951-2nd' > /tmp/sysinfo/board_nameDupă aceea, puteți programa dispozitivul prin interfața web sau folosind comanda «sysupgrade»
Creează un server VPN cu WireGuard
Dacă aveți deja un server cu WireGuard configurat, puteți sări peste acest punct.
Voi folosi pentru configurarea unui server VPN personal aplicația despre care am .
Configurarea clientului WireGuard pe OpenWRT
Conectați-vă la router prin protocol SSH:
ssh root@192.168.1.1Instalați WireGuard:
opkg update
opkg install wireguardPregătiți configurația (copiați codul de mai jos într-un fișier, înlocuiți valorile specificate cu cele proprii și rulați în terminal).
Dacă folosiți MyVPN, în configurația de mai jos trebuie să schimbați doar WG_SERV — adresa IP a serverului, WG_KEY — cheia privată din fișierul de configurare WireGuard și WG_PUB — cheia publică.
WG_IF="wg0"
WG_SERV="100.0.0.0" # adresa IP a serverului
WG_PORT="51820" # portul WireGuard
WG_ADDR="10.8.0.2/32" # interval de adrese WireGuard
WG_KEY="xxxxx" # cheia privată
WG_PUB="xxxxx" # cheia publică
# Configurează firewall-ul
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
/etc/init.d/firewall restart
# Configurează rețeaua
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interfață"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"
uci add_list network.${WG_IF}.addresses="${WG_ADDR}"
# Adaugă peer-urile VPN
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0/1"
uci add_list network.wgserver.allowed_ips="::/0"
uci commit network
/etc/init.d/network restartSetările WireGuard sunt completate! Acum tot trafic pe toate dispozitivele conectate este protejat printr-o conexiune VPN.
Linkuri
(instrucțiuni suplimentare disponibile pentru configurarea L2TP, PPTP pe firmware-ul standard Mikrotik)
Sursa: habr.com
