Ställer in WireGuard på Mikrotik-router under OpenWrt

I de flesta fall är det inte svårt att ansluta en router till ett VPN, men om du vill skydda ett helt nätverk och samtidigt bevara optimal anslutningshastighet, så är det bästa beslutet att använda en VPN-tunnel. WireGuard.

Routrar Mikrotik har visat sig vara pålitliga och mycket flexibla lösningar, men tyvärr finns det fortfarande inget stöd för WireGuard på RouterOS och det är oklart när det kommer att finnas tillgängligt och i vilken form. Nyligen blev det känt meddelade utvecklarna av VPN-tunneln WireGuard att de har erbjudit ett antal patchar, som kommer att göra deras programvara för att organisera VPN-tunnlar till en del av Linux-kärnan, vi hoppas att detta kommer att främja implementeringen i RouterOS.

Men för tillfället, tyvärr, för att konfigurera WireGuard på Mikrotik-routern måste du byta firmware.

Vi plockar upp Mikrotik, installerar och konfigurerar OpenWrt

Först måste du säkerställa att OpenWrt stöder din modell. Du kan kontrollera vilken modell som motsvarar dess marknadsnamn och bild på mikrotik.com.

Besök openwrt.com i avsnittet för mjukvaruladdningar.

För denna enhet behöver vi 2 filer:

downloads.openwrt.org/releases/18.06.2/targets/ar71xx/mikrotik/openwrt-18.06.2-ar71xx-mikrotik-rb-nor-flash-16M-initramfs-kernel.bin|elf

downloads.openwrt.org/releases/18.06.2/targets/ar71xx/mikrotik/openwrt-18.06.2-ar71xx-mikrotik-rb-nor-flash-16M-squashfs-sysupgrade.bin

Du behöver ladda ner båda filerna: Installera och Uppgradera.

1. Konfigurera nätverket, ladda ner och konfigurera PXE-servern

Ladda ner Tiny PXE Server för den senaste versionen av Windows.

Packa upp i en separat mapp. I filen config.ini lägger du till parametern rfc951=1 sektionen [dhcp]. Den här parametern är densamma för alla Mikrotik-modeller.

Vi går vidare till nätverksinställningarna: du måste ange en statisk ip-adress på en av nätverksgränssnitten i din dator.

IP-adress: 192.168.1.10
Nätmask: 255.255.255.0

Kör Tiny PXE Server från Administratörens namn och välj i fältet DHCP Server server med adressen 192.168.1.10

I vissa versioner av Windows kan det här gränssnittet bara dyka upp efter att Ethernet har anslutits. Jag rekommenderar att du ansluter routern och omedelbart kopplar den till datorn med en patchkabel.

Tryck på knappen "..." (längst ner till höger) och ange mappen där du laddade ner firmwarefilerna för Mikrotik.

Välj filen vars namn slutar på "initramfs-kernel.bin" eller "elf".

2. Ladda routern via PXE-servern

Anslut datorn och den första porten (wan,internet,poe in,…) på routern med en kabel. Ta sedan en tandpetare, sätt in den i hålet märkt "Reset".

Slå på routern och vänta i 20 sekunder, skjut sedan ut tandpetaren.
Inom en minut bör följande meddelanden visas i Tiny PXE Server-programmet.

Om meddelandet har dykt upp, är du på rätt väg!

Återställ inställningarna på nätverksadaptern och ställ in att hämta adressen dynamiskt (via DHCP).

Anslut till LAN-portarna på Mikrotik-routern (2...5 i vårt fall) med samma nätverkskabel. Flytta bara kabeln från den första porten till den andra porten. Öppna adressen 192.168.1.1 i webbläsaren.

Logga in på administratörsgränssnittet för OpenWRT och gå till menyn "System -> Backup/Flash Firmware".

I underavsnittet "Flash new firmware image" klicka på knappen "Välj fil (Browse)".

Ange sökvägen till filen vars namn slutar med "-squashfs-sysupgrade.bin".

Klicka sedan på knappen "Flash Image".

I nästa fönster klicka på knappen "Proceed". Utrustningen kommer att börja ladda firmware.

!!! UNDER INGA OMSTÄNDIGHETER STÄNG AV STRÖMMEN TILL ROUTERN UNDER FLASHINGPROCESSEN !!!

Efter flashning och omstart av routern kommer du att få en Mikrotik med OpenWRT-firmware.

Möjliga problem och deras lösningar

Många Mikrotik-enheter från 2019 använder minneschip av typen FLASH-NOR GD25Q15/Q16. Problemet är att data om enhetsmodellen inte sparas vid omflashning.

Om du ser felmeddelandet "The uploaded image file does not contain a supported format. Make sure that you choose the generic image format for your platform." är problemet troligen med flash-minnet.

Det är enkelt att kontrollera: kör kommandot för att kontrollera enhetsmodellens ID i enhetens terminal.

root@OpenWrt: cat /tmp/sysinfo/board_name

Och om du får svaret "unknown" måste du manuellt ange enhetsmodellen som "rb-951-2nd".

För att få enhetsmodellen kör kommandot

root@OpenWrt: cat /tmp/sysinfo/model
MikroTik RouterBOARD RB951-2nd

När du har fått enhetsmodellen, ställ in den manuellt:

echo 'rb-951-2nd' > /tmp/sysinfo/board_name

Därefter kan du flasha enheten via webbgränssnittet eller med kommandot "sysupgrade".

Skapa en VPN-server med WireGuard.

Om du redan har en server med konfigurerad WireGuard kan du hoppa över detta steg.
Jag kommer att använda applikationen MyVPN.RUN som jag redan har publicerat en översyn av..

Inställning av WireGuard Client på OpenWRT.

Anslut till routern via SSH-protokoll:

ssh root@192.168.1.1

Installera WireGuard:

opkg update
opkg install wireguard

Förbered konfigurationen (kopiera koden nedan till en fil, ersätt de angivna värdena med dina och kör i terminalen).

Om du använder MyVPN behöver du endast ändra. WG_SERV — Server IP, WG_KEY — Private key from the wireguard configuration file and WG_PUB — Public key.

WG_IF="wg0"
WG_SERV="100.0.0.0" # server IP address
WG_PORT="51820" # wireguard port
WG_ADDR="10.8.0.2/32" # wireguard address range

WG_KEY="xxxxx" # private key
WG_PUB="xxxxx" # public key 

# Configure firewall
uci rename firewall.@zone[0]="lan"
uci rename firewall.@zone[1]="wan"
uci rename firewall.@forwarding[0]="lan_wan"
uci del_list firewall.wan.network="${WG_IF}"
uci add_list firewall.wan.network="${WG_IF}"
uci commit firewall
/etc/init.d/firewall restart

# Configure network
uci -q delete network.${WG_IF}
uci set network.${WG_IF}="interface"
uci set network.${WG_IF}.proto="wireguard"
uci set network.${WG_IF}.private_key="${WG_KEY}"

uci add_list network.${WG_IF}.addresses="${WG_ADDR}"

# Add VPN peers
uci -q delete network.wgserver
uci set network.wgserver="wireguard_${WG_IF}"
uci set network.wgserver.public_key="${WG_PUB}"
uci set network.wgserver.preshared_key=""
uci set network.wgserver.endpoint_host="${WG_SERV}"
uci set network.wgserver.endpoint_port="${WG_PORT}"
uci set network.wgserver.route_allowed_ips="1"
uci set network.wgserver.persistent_keepalive="25"
uci add_list network.wgserver.allowed_ips="0.0.0.0/1"
uci add_list network.wgserver.allowed_ips="128.0.0.0/1"
uci add_list network.wgserver.allowed_ips="::/0"
uci commit network
/etc/init.d/network restart

Konfiguration av WireGuard är nu klar! Nu är all trafik på alla anslutna enheter skyddad av en VPN-anslutning.

Länkar

Källa #1
Reviderad instruktion för MyVPN (ytterligare tillgänglig instruktion för att konfigurera L2TP, PPTP på standard Mikrotik firmware)
OpenWrt WireGuard-klient

Källa: habr.com