V drvivej väčšine prípadov nie je zložité pripojiť router k VPN, ale ak chcete zabezpečiť celú sieť a pritom si uchovať optimálnu rýchlosť pripojenia, najlepším riešením bude využiť VPN tunel. .
Routery Mikrotik sa ukázali ako spoľahlivé a veľmi flexibilné riešenia, no žiaľ stále nie je a nie je známe, kedy sa objaví a v akej forme. Nedávno vývojári VPN tunela WireGuard navrhli , aby sa ich softvér na organizovanie VPN tunelov stal súčasťou jadra systému Linux, dúfame, že to prispeje k jeho внедрению v RouterOS.
Ale zatiaľ, žiaľ, na nastavenie WireGuard na routeri Mikrotik je potrebné zmeniť firmware.
Preflashujeme Mikrotik, nainštalujeme a nastavíme OpenWrt
Na začiatok si musíte overiť, že OpenWrt podporuje váš model. Zodpovedajúcu modelu jeho marketingovému názvu a obrázku .
Prejdite na stránku openwrt.com .
Pre toto zariadenie potrebujeme 2 súbory:
Musíte si stiahnuť oba súbory: Nainštalovať a Upgrade.
1. Nastavenie siete, spustenie a nastavenie PXE servera
Stiahnite si pre Windows poslednej verzie.
Rozbaľte do samostatnej zložky. V súbore config.ini pridajte parameter rfc951=1 sekcia [dhcp]. Tento parameter je rovnaký pre všetky modely Mikrotik.
Prejdeme k nastaveniam siete: je potrebné nastaviť statickú IP adresu na jednom z sieťových rozhraní vášho počítača.
IP adresa: 192.168.1.10
Maska siete: 255.255.255.0
Spustite Tiny PXE Server v mene Administrátora a vyberte v poli DHCP Server server s adresou 192.168.1.10
V niektorých verziách Windows sa tento rozhranie môže zobraziť iba po pripojení Ethernetu. Odporúčam pripojiť router a hneď spojiť router a PC pomocou patchkábla.
Kliknite na tlačidlo „…“ (vpravo dole) a zadajte zložku, do ktorej ste stiahli súbory firmvéru pre Mikrotik.
Vyberte súbor, ktorého názov končí na „initramfs-kernel.bin alebo elf“
2. Spustenie routera z PXE servera
Spojte počítač a prvý port (wan,internet,poe in,…) routera káblom. Potom vezmite špáradlo a zapichnite ho do otvoru s nápisom „Reset“.
Zapnite napájanie smerovača a počkajte 20 sekúnd, potom pustite špáradlo.
V priebehu nasledovnej minúty by sa v okne programu Tiny PXE Server mali zobraziť nasledujúce správy:
Ak sa správa objavila, znamená to, že ste na správnej ceste!
Obnovte nastavenia na sieťovom adaptéry a nastavte získavanie adresy dynamicky (podľa DHCP).
Pripojte sa k LAN portom smerovača Mikrotik (2…5 v našom prípade) pomocou tej istej patchkábla. Jednoducho ho prepnite z 1. portu do 2. portu. Otvorte adresu v prehliadači.
Prihláste sa do administratívneho rozhrania OpenWRT a prejdite do časti menu „System -> Backup/Flash Firmware“
V podsekcii „Flash new firmware image“ kliknite na tlačidlo „Vyberte súbor (Browse)“.
Uveďte cestu k súboru, ktorého názov končí na „-squashfs-sysupgrade.bin“.
Potom kliknite na tlačidlo „Flash Image“.
Na nasledujúcom okne kliknite na tlačidlo „Pokračovať“. Začne sa nahrávanie firmvéru do smerovača.
!!! NIKDY NEVYPNITE NAPÁJANIE SMEROVAČA POČAS PROCESU FLASHOVANIA !!!
Po flashovaní a reštartovaní smerovača dostanete Mikrotik s firmvérom OpenWRT.
Možné problémy a ich riešenia
V mnohých zariadeniach Mikrotik vydania 2019 sa používa pamäťový čip FLASH-NOR typu GD25Q15/Q16. Problém je v tom, že pri preflashovaní sa nezachovajú údaje o modeli zariadenia.
Ak ste videli chybu „Nahratý súbor s obrázkom neobsahuje podporovaný formát. Uistite sa, že ste si vybrali generický formát obrázka pre vašu platformu.“, pravdepodobne je problém vo flashi.
Skontrolovať to je jednoduché: vykonajte v termináli zariadenia príkaz na kontrolu ID modelu
root@OpenWrt: cat /tmp/sysinfo/board_nameA ak dostanete odpoveď „unknown“, musíte ručne zadať model zariadenia vo forme „rb-951-2nd“
Na získanie modelu zariadenia vykonajte príkaz
root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2ndPo získaní modelu zariadenia ho nastavte ručne:
echo 'rb-951-2nd' > /tmp/sysinfo/board_namePotom môžete flashovať zariadenie cez webové rozhranie alebo pomocou príkazu „sysupgrade“
Vytvorte VPN server s WireGuard
Ak už máte server so nastaveným WireGuard, môžete preskočiť tento bod.
Na konfiguráciu osobného VPN servera použijem aplikáciu o ktorej som už .
Nastavenie WireGuard Client na OpenWRT
Pripojte sa k smerovaču prostredníctvom protokolu SSH:
ssh root@192.168.1.1Nainštalujte WireGuard:
opkg update
opkg install wireguardPripravte si konfiguráciu (skopírujte kód nižšie do súboru, nahraďte uvedené hodnoty svojimi a spustite v terminále).
Ak používate MyVPN, v konfigurácii nižšie je potrebné zmeniť len WG_SERV — IP servera, WG_KEY — súkromný kľúč z konfiguračného súboru wireguard a WG_PUB — verejný kľúč.
WG_IF="wg0"
WG_SERV="100.0.0.0" # ip adresa servera
WG_PORT="51820" # port wireguard
WG_ADDR="10.8.0.2/32" # rozsah adries wireguard
WG_KEY="xxxxx" # súkromný kľúč
WG_PUB="xxxxx" # verejný kľúč
# Konfigurácia firewallu
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
/etc/init.d/firewall restart
# Konfigurácia siete
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interface"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"
uci add_list network.${WG_IF}.addresses="${WG_ADDR}"
# Pridanie VPN peerov
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0/1"
uci add_list network.wgserver.allowed_ips="::/0"
uci commit network
/etc/init.d/network restartTýmto je konfigurácia WireGuard dokončená! Teraz je celý prenos na všetkých pripojených zariadeniach chránený VPN pripojením.
Odkazy
(dodatočne je k dispozícii návod na konfiguráciu L2TP, PPTP na štandardnej mikrotik firme)
Zdroj: habr.com
