Mikrotik od zera – Tunel VPN L2TP / IPSec #07
Tunel VPN L2tp z IPSec
W tej części kursu zgłębimy odrobinę trudniejsze ustawienia Mikrotika, a mianowicie przygotujemy konfigurację umożliwiającą podłączenie się do routera za pomocą VPN’a. Jest sporo rodzajów połączeń VPN, my zaczynamy od połączenia l2tp z wykorzystaniem klucza IPSec, ponieważ l2tp pochłania mniej zasobów sprzętowych. Odradzam całkowicie używanie PPP, protokół bardzo niebezpieczny.
Konfigurowanie adresacji
Zaczynamy od przygotowania nowej adresacji IP dla połączeń vpn. Z bocznego menu wybieramy IP->Pool i znakiem plusa dodajemy nowy wpis. Uzupełniamy:
- Name: nazwę uzupełniamy dowolnie
- Addresses: podajemy nowy zakres adresów, najlepiej spoza puli dhcp
Konfiguracja L2tp
W pierwszej kolejności przygotujemy profil połączenia vpn. Z bocznego meny wybieramy PPP, następnie zakładka Profiles i znakiem plusa dodajemy nowy wpis. Uzupełniamy:
- Name: podajemy dowolnie
- Local Address: adres ip z podsieci utworzonej chwilę wcześniej
- Remote Address: wskazujemy pule utworzoną wcześniej
- DNS Server: adres routera, bądź publiczny DNS, np. 8.8.8.8
- Change TCP MSS: yes
- Use Encryption: yes
W następnym kroku skonfigurujemy konta dla użytkowników łączących się po vpnie. Przechodzimy na zakładkę Secrets i znakiem plusa dodajemy nowy wpis.
- Name: nazwa użytkownika
- Password: dowolne hasło
- Service: wybieramy l2tp
- Profile: wskazujemy wcześniej utworzony profil
Ostatnim krokiem w menu PPP jest aktywacja samej usługi L2TP, przechodzimy na zakładkę Interface(zostając w menu PPP), i klikamy w button o nazwie L2TP Server.
- Enable: zaznaczamy checkbox’a
- Authentication: zostawiamy tylko mschap2
- Use IPSec: yes
- IPSec Secret: dowolny ciąg znaków, klucz ipsec
Pozostałe parametry pozostawiamy bez zmian.
Konfiguracja Firewall’a
Ostatnim krokiem jaki musimy zrobić na Mikrotiku jest odblokowanie standardowych portów do komunikacji IPSec i L2TP. Z bocznego menu wybieramy IP->Firewall i zostając w zakładce Filter Rules dodajemy nowy wpis.
- Chain: Action
- Protocol: udp
- Dst. Port: 500,1701,4500
- Zakładka Action: accept
Konfiguracja klienta w systemie Windows 10
W lewym dolnym rogu klikamy w znaczek Windows’a i następnie Ustawienia.
Niestety nie ze wszystkim wersjami Windowsa 10 L2TP działa bezproblemowo. Warto zapoznać się z https://support.microsoft.com/en-us/help/926179/how-to-configure-an-l2tp-ipsec-server-behind-a-nat-t-device-in-windows w przypadku nie działającego połączenia.
Polecany sprzęt
Z własnego doświadczenia mogę wam polecić poniższy sprzęt, z podziałem na ewentualne przeznaczenie routera.
Do domu i małej firmy(SOHO): hAP AX Lite , hAP AC3, RB4011, RB260GS, RB2011
hAP AC3 LTE, hAP AX2, hAP AX3, L009UiGS-2HaxD-IN, RB5009UG+S+IN, Audience
LTE: SXT LTE kit, SXT LTE6 kit, LHG 5, LHG LTE kit, Audience LTE, Chateau LTE6 ax, LTAP LTE6
Access Pointy: mAP lite, mAP, cAP AX, cAP XL AC
POE: hEX PoE
LAB: hEX lite
Średnia/Duża firma: CCR1036-12G-4S, CCR2004-16G-2S+
About Author
Nie wiem dlaczego ale w jej konfiguracji jeśli w profilu serwera VPN l2tp dodany jest adres DNS nie mam dostępu do internetu przez tunel VPN ale dostęp do sieci LAN działa ok. W momencie kiedy usunąłem adres serwera VPN działa mi wszystko LAN i internet
A jak do tego serwera dopiąć drugiego mikrotica za którym stoja urządzenia które powinny byc w jednej sieci ?
Musisz stworzyć nowy tunel, dla drugiego routera.
Czy obciążenie sieci przy 20 jednoczesnych połączeniach remote acces do mikrotika będzie takie samo jak przy site-to-site do drugiego mikrotika za którym pracuje 20 osób ?
Zależy jak sterujesz ruchem. Jeżeli te 20 urządzeń za tunelem jak bramę będzie używało routera po drugiej stronie to wpływ będzie miało duży.
Czy przy tej konfiguracji będzie dostęp do urządzeń za MikroTik, przy założeniu, że urządzenia mają pulę adresową z tego samego zakresu IP np 172.16.0.60 – 172.16.0.80? Czy w IP–>IPsec w zakładce Identities powinienem widzieć połączonych użytkowników?
Dzięki, działa. Mam problem z dostępem do serwera plików. Zamapowany dysk sieciowy dostępny w sieci lokalnej z adresu \\nas\ nie działa poprzez połączenie VPN. Jeżeli robię nowe mapowanie z adresem ip to mam dostęp. Da się tak skonfigurować, aby działało zamapowanie dysku po nazwie?
W połączeniu vpn nie mam bramy, czy to jest poprawne działanie?
Dzięki
Cześć wszystkim, czy tworzył ktoś VPNa (serwer) bez publicznego IP(za NATem) i przy użyciu MikroTik Cloud? Czy jest szanasa żeby to zadziałało?
MODEM LTE-MIKTROIK-LAN ?
dzięki
Dzień dobry,
Bardzo dziękuję za ten poradnik. Dzięki niemu ustawiłem bez problemu połączenie pół roku temu. Od nowego roku 2021 VPN przestał działać. Co ciekawe – nie ma żadnego ruchu na firewallu, kompletnie nic w logach jak próbuje się połączyć. Kompletnie nic nie zmieniałem 🙂 Wykluczyłem też zmianę IP przez dostawcę internetowego – na pewno łączę się na poprawny adres. Czy wie Pan co może być przyczyną?
Proszę włączyć w System->Logging topic debug i l2tp, pomoże to w diagnozie problemu.
Miałem problem z połączeniem się z IP w sieci Mikrotika. Problem rozwiązuje ustawienie Proxy ARP na interface i bridge.
Mam konfigurację Dual WAN z PCC https://wiki.mikrotik.com/wiki/Manual:PCC
Po wykonaniu powyższych instrukcji, niestety zwraca mi błąd przy próbie łączenia.
phase1 negotiation failed due to send error. xx.xx.19.155[500]xx.xx.202.146[500] dfff577995e9d6a4:5d9f34f97cc8976f
Na innym mikrotiku ze standardową konfiguracją działa (single WAN) działa, na dual WAN nie ;( O co tu może chodzić? Gdzie szukać przyczyny?
Sprawdziłbym czy porty nie są zablokowane. Czy na pewno jest publiczny adres IP.
Dzień dobry 🙂
Jeśli Klient VPN ma „normalny” Internet to wszystko OK, ale z komórkowego np. komputer połączony przez telefon nie mogę się dostać na MT i do sieci, czy mam zrobić jakieś zmiany konfiguracji jeszcze ?
Bardziej operator LTE blokuje porty
a czy zna Pan konfigurację MT taką, która jest niezależna od operatora ? próbowałem na orange i tmobile – nie działa
Pozostaje opcja SSTP VPN, działa na porcie 443, który nie powinien być blokowany u operatorów. Przykładowa konfiguracja: https://grzegorzkowalik.com/mikrotik-sstp-vpn/
Mikrotik WAN (eth1), LAN(eth2)
Jest on wpięty pomiędzy modemem (WAN) a istniejącą siecią LAN (jest tu router z DHCP i DNS).
Po połączniu mogę pingować lokalne adresy ale nazwy z lokalnego DNSa nie są rozwiązywane.
W profilu PPP mam wskazany lokalny DNS. W IP->DNS również.
Bezpośrednio na mietku nazwy są prawidłowo rozwiązywane.
Podpowiecie jak to naprawić?
Zobacz Proxy-ARP na Bridge
Witam. Skonfigurowałem według tej instrukcji. VPN działa poprawnie czyli mam dostęp do LAN, ale podłączone komputery nie mają internetu. Jak w kliencie VPN Windows wyłączę „Użyj domyśnlej bramy w sieci zdalnej” to jest internet, ale nie ma dostępu do LAN. Co zrobić aby był dostęp do LAN i do internetu?
Jeśli ktoś ma problem z podłączeniem się do VPN, upewnijcie się ze wpis firewall jest na odpowiedniej pozycji (domyślnie jest dodawany na końcu). W moim przypadku przeniesienie go na 5 pozycje rozwiązało problem z połączeniem.
mam ten sam problem, czy ktoś zna rozwiązanie?
Zobacz Proxy-ARP na Bridge
Witam. Dziękuje za pracę jaką Pan poświecił. Doceniam altruizm.
Pozwolę sobie na postawienie problemu. Przekopałam różne konfiguracje dostępne w Internecie i nadal jest słabo.
Adresacja LAN 10.0.0.0/24
GW 10.0.0.1
Pula dla VPN 172.16.0.0/24
Przy takiej konfiguracji po połączeniu przez VPN widzę i pinguje tylko router 10.0.0.1. Nie widzę urządzeń z sieci 10.0.0.0. Nie mogę z kompem za NAT połączyć się po RDP.
Z routera jednak widzę adres jaki dostaje będąc w tunelu, np 172.16.0.10, z rutera mogę go pingować.
Czy nie powinno być jeszcze dodatkowego wpisu w NAT dla sieci 172.17.0.0 aby można było widzieć sieć 10.0.0.0?
Będę zobowiązany za wszelką pomoc.
Pozdrawiam
Mam 450Gx4. Model ten ma licencję level 5 (L2TP do 500). Chciałbym założyć ok. 150 kont userów. Równocześnie korzystałoby z VPN jakieś 50-60. Przetestowałem na kilku i działa wszystko jak złoto. Czy przy kilkudziesięciu aktywnych VPN mogą wyskoczyć jakieś ograniczenia?
Tak, sam sprzęt ma ograniczenia(https://mikrotik.com/product/rb450gx4#fndtn-testresults) 31 Mbps dla IPSeca, także przy takiej ilości userów sprzęt może nie wyrobić.
Mam jeszcze pytanie o listę adresów z „pool_vpn”. Przydzieliłem tam 60 adresów i z tego co widzę mikrotik przydziela je kolejno „od góry” i adresy zbliżają się do dolnej granicy przydzielanych adresów. Codziennie loguje się kilka(naście) osób. Wygląda jakby mikrotik dawał im jakiś długi czas dzierżawy. Czy jest opcja by adresy z pool_vpn rotowały przy kolejnych połączeniach? Potencjalnych userów jest 150 a równoczesnych połączeń w najgorszym razie, jak pokazuje praktyka, będzie 20-30.
Zdaje mi się, że nie ma opcji czasu dzierżawy dla puli VPNowej.
Panie Grzegorzu,
skonfigurowałem wszystko wg instrukcji i bez problemu mogę dostać się z zewnątrz przez vpn do hostów w lanie, ale nie mogę wejść na interfejs konfiguracyjny mokrotika (przez www).
Zrobiłem coś źle? Potrzebuję tego dostępu.
Pozdrawiam,
Bartłomiej
Mogę prosić o screena z ustawień firewalla? Pewnie któraś z input drop to wycina.
Proszę, jest tutaj: https://i.imgur.com/YoBMrdS.png
Reguła 15, wychodzi, że w LAN nie masz zdefiniowanej podsieci dla VPN, i dlatego to wycina.
Dziękuję za naprowadzenie, poczytam i spróbuję dodać tą podsieć.
Czy możliwe jest zestawienie takiego tunelu dla dwóch Mikrotików, z których tylko jeden ma publiczny adres IP, drugi zaś modem USB i połączenie z operatorem GSM?
Tak, jest możliwe. Przy konfiguracji możesz wskazać, który router ma zrobić INITIAL CONTACT(ten bez stałego IP)
Witam,
zrobiłem wszystko jak w przykładzie wyżej. Jednak nie udało mi się połączyć po VPN przez windows.
Mam stałe zewnętrzne IP od orange, przekierowałem porty (500, 1701,4500 na mikrotik). Gdzie mogę robić błąd? Czy coś robię źle? (MIKROTIK hap mini)
Poniżej mój firewall
https://ibb.co/4wqZkJ6
https://ibb.co/kSKKy2C
hej, sprawdziłbym tak:
1. Czy przy próbie połączenia pokazują się pakiety na regułach firewall
2. Co pokazuje sie w logach(ewentualnie włącz opcje debug)
3. Poprawki w rejestrze Windowsa 10.
Cześć
Zastanawiam się nad dodaniem do Twojej konfiguracji jakiego MFA bez różnicy czy z Microsoftu czy z Googla.
Czy masz jakieś doświadczenie z taka konfiguracją ?
Mój Router RB3011UiAS 7.12.1
Pozdrawiam
Grzegorz
Niestety nie.
Witam,
Mam problem taki, że część pracowników mojej firmy ma taką samą adresację IP w domu jak w firmie i stąd po połączeniu z VPN-em nie mogą połączyć się z serwerem/udziałem sieciowym gdyż wpisanie adresu IP udziału sieciowego sprawia, że Windows szuka go w sieci lokalnej a nie firmowej. Podobno problem ten można rozwiązać odpowiednio konfigurując pole ROUTES w oknie użytkownika PPP Secret. Można prosić o podpowiedź jak to dokładnie zrobić?
Lepszym rozwiązaniem będzie zmian adresacji dla połączeń VPN, raczej nie próbowałbym większych kombinacji z routingiem.
Dzięki Ci za ten wpis. Dziwna sprawa, do routera z wersja 6.49.13 (hAP ac) łączyłem się bez problemu aż trafiłem na 7.14.1 (RB4011iGS) i 2 dni poszły…. Na szczęście jest grzegorzkowalik.com 🙂
Dzień dobry,
Konfiguracja przebiegła prawidłowo ale pojawił się problem gdy kolejni użytkownicy zaczęli się podłączać. W momencie gdy podłączony jest jeden działa stabilnie, gdy podłączy się kolejny poprzedni traci dostęp. Co może być przyczyną. Uprzejmie dziękuję za odpowiedź.