Как настроить VPN-сервер на MikroTik: L2TP/IPsec, OpenVPN и PPTP

Введение: зачем нужен VPN-сервер на MikroTik

VPN-сервер на базе роутера MikroTik — это практичное решение для организации удалённого доступа к домашней или офисной сети, объединения филиалов и защиты трафика при использовании публичных Wi-Fi сетей. В отличие от программных VPN-клиентов, которые устанавливаются на каждое устройство, сервер на роутере позволяет подключаться к сети централизованно, используя встроенные средства операционной системы на ноутбуках, смартфонах и планшетах.

MikroTik RouterOS поддерживает несколько протоколов VPN: PPTP, L2TP/IPsec, OpenVPN, SSTP, GRE и EoIP. Каждый из них имеет свои особенности, преимущества и ограничения. В этой статье мы подробно разберём, как настроить VPN-сервер на MikroTik, какие протоколы выбрать в зависимости от задач, и как обеспечить безопасность и производительность соединения.

Важно понимать, что настройка VPN-сервера — это не только создание интерфейса и учётных записей, но и правильная конфигурация firewall, маршрутизации и, в некоторых случаях, сертификатов. Мы рассмотрим все эти аспекты, чтобы вы могли создать надёжное и безопасное VPN-соединение.

Выбор протокола VPN: сравнение PPTP, L2TP/IPsec, OpenVPN и SSTP

Прежде чем приступить к настройке, важно выбрать подходящий протокол VPN. Вот краткий обзор основных вариантов, доступных в MikroTik:

• PPTP — один из самых старых протоколов, поддерживается всеми операционными системами из коробки. Однако он имеет серьёзные уязвимости в шифровании, и его использование не рекомендуется для защиты конфиденциальных данных. Скорость PPTP на MikroTik может достигать 100 Мбит/с даже на недорогих моделях, но безопасность оставляет желать лучшего.
• L2TP/IPsec — современный стандарт, который сочетает туннелирование L2TP с шифрованием IPsec. Он поддерживается практически всеми устройствами и системами, включая Windows, macOS, Android и iOS. L2TP/IPsec обеспечивает надёжное шифрование и подходит как для удалённого доступа, так и для соединений site-to-site. Настройка чуть сложнее, чем PPTP, но безопасность значительно выше.
• OpenVPN — гибкий и настраиваемый протокол, который использует SSL/TLS для шифрования. Он поддерживает аутентификацию по сертификатам и логину/паролю, а также позволяет передавать клиентам маршруты. Однако в RouterOS v6 OpenVPN работает только по TCP, что снижает производительность, и не поддерживает UDP и сжатие. На оборудовании MikroTik нет аппаратного ускорения для OpenVPN, поэтому скорость зависит от мощности процессора.
• SSTP — протокол от Microsoft, использующий SSL 3.0. Он интегрирован в Windows и может работать через порт 443, что помогает обходить файрволы. Однако SSTP требователен к ресурсам процессора и на слабых устройствах показывает низкую скорость.

Рекомендация: для большинства сценариев оптимальным выбором является L2TP/IPsec. Он сочетает простоту настройки, надёжное шифрование и широкую совместимость. Если вам нужно максимальное быстродействие без шифрования для объединения офисов, можно использовать EoIP или GRE, но они не подходят для удалённого доступа через интернет.

Предварительная настройка роутера: пул адресов и профиль PPP

Перед созданием VPN-сервера необходимо подготовить роутер: определить пул IP-адресов для удалённых клиентов и настроить профиль PPP.

Создание пула адресов

Перейдите в раздел IP -> Pool и нажмите кнопку «+». Задайте имя пула (например, vpn_pool) и диапазон адресов, которые будут выдаваться VPN-клиентам. Диапазон не должен пересекаться с адресами локальной сети. Например, если локальная сеть использует подсеть 192.168.1.0/24, можно выделить пул 192.168.10.1-192.168.10.100.

В терминале это выглядит так:

/ip pool add name=vpn_pool ranges=192.168.10.1-192.168.10.100

Настройка профиля PPP

Профиль PPP определяет параметры подключения: локальный адрес сервера, пул удалённых адресов, требования к шифрованию и другие опции. Перейдите в PPP -> Profiles и создайте новый профиль или отредактируйте существующий default-encryption.

В поле Local Address укажите IP-адрес, который будет назначен самому роутеру в VPN-сети (например, 192.168.10.1). В поле Remote Address выберите созданный пул. На вкладке Protocols рекомендуется установить Use Encryption в значение required, чтобы клиенты обязательно использовали шифрование.

Пример команды для создания профиля:

/ppp profile add name=vpn local-address=192.168.10.1 remote-address=vpn_pool use-encryption=required

Также обратите внимание на параметр Change TCP MSS — его рекомендуется включить, чтобы избежать проблем с фрагментацией пакетов при использовании VPN.

Создание учётных записей пользователей

Для каждого VPN-клиента необходимо создать учётную запись в разделе PPP -> Secrets. Нажмите «+» и заполните поля:

• Name — логин пользователя.
• Password — пароль. Рекомендуется использовать сложные пароли, особенно для PPTP.
• Service — тип сервиса: pptp, l2tp, ovpn или any (если учётная запись должна работать для всех протоколов).
• Profile — выберите профиль, созданный на предыдущем шаге. Если профиль не совпадает с профилем сервера, подключение не будет установлено.
• Remote Address — можно указать конкретный IP-адрес для клиента, если требуется статическая привязка. В противном случае адрес будет назначен из пула.

Пример команды:

/ppp secret add name=user1 password=StrongPass123 service=l2tp profile=vpn

Для повышения безопасности рекомендуется создавать отдельные учётные записи для каждого пользователя и использовать уникальные пароли. Также можно ограничить количество одновременных подключений для одной учётной записи, установив параметр Only One в профиле.

Настройка L2TP/IPsec-сервера: пошаговая инструкция

L2TP/IPsec — рекомендуемый протокол для большинства случаев. Рассмотрим настройку сервера на MikroTik.

Шаг 1: Включение L2TP-сервера

Перейдите в PPP -> Interface, нажмите кнопку L2TP Server. В открывшемся окне установите флаг Enabled, выберите Default Profile (созданный ранее), в разделе Authentication оставьте только mschap2. Затем включите Use IPsec и введите IPsec Secret — предварительный ключ, который будет использоваться для шифрования.

Команда для терминала:

/interface l2tp-server server set authentication=mschap2 enabled=yes default-profile=vpn ipsec-secret=MySecretKey use-ipsec=yes

Шаг 2: Усиление настроек IPsec

По умолчанию параметры IPsec могут быть недостаточно надёжными. Рекомендуется изменить их в разделах IP -> IPsec -> Proposal и IP -> IPsec -> Profiles.

В Proposal установите:

• Auth. Algorithms: sha1, sha256
• Encr. Algorithms: aes-128-cbc, aes-192-cbc, aes-256-cbc
• PFS Group: ecp384

В Profiles для профиля default:

• Encryption Algorithm: aes256
• DH Group: modp2048, ecp256, ecp384

Примеры команд:

/ip ipsec proposal set [ find default=yes ] auth-algorithms=sha256,sha1 pfs-group=ecp384
/ip ipsec profile set [ find default=yes ] dh-group=ecp256,ecp384,modp2048 enc-algorithm=aes-256

Шаг 3: Настройка firewall

Для доступа к L2TP-серверу необходимо разрешить входящие подключения на портах 1701 (UDP), 500 (UDP), 4500 (UDP) и протокол ESP (IPsec). Создайте правила в IP -> Firewall -> Filter Rules:

• Правило 1: Chain=input, Protocol=udp, Dst. Port=500,1701,4500, In. Interface=ether1 (ваш внешний интерфейс)
• Правило 2: Chain=input, Protocol=ipsec-esp, In. Interface=ether1

Команды:

/ip firewall filter add action=accept chain=input dst-port=500,1701,4500 in-interface=ether1 protocol=udp
/ip firewall filter add action=accept chain=input in-interface=ether1 protocol=ipsec-esp

После этих шагов L2TP/IPsec-сервер готов к работе. Клиенты могут подключаться, используя встроенные средства ОС.

Настройка OpenVPN-сервера: сертификаты и параметры

OpenVPN на MikroTik требует создания сертификатов и более тщательной настройки. Рассмотрим процесс.

Создание сертификатов

Перейдите в System -> Certificates. Создайте самоподписанный корневой сертификат (CA) и сертификат сервера. Для этого нажмите «+», заполните поля (Name, Common Name, Key Size, Days Valid) и подпишите сертификат.

Для серверного сертификата в Key Usage установите галочку tls server. Для клиентских сертификатов — tls client.

Настройка профиля PPP

Создайте профиль PPP для OpenVPN, аналогично L2TP, но с учётом особенностей: в Protocols включите Use Compression и Use Encryption. В Limits установите Only One в no, если нужно разрешить несколько подключений.

Создание пользователя

В PPP -> Secrets создайте учётную запись с Service=ovpn и укажите профиль.

Включение OVPN-сервера

В PPP -> Interface нажмите OVPN Server. Установите флаг Enabled, укажите порт (по умолчанию 1194, TCP), Mode=ip, Default Profile, Certificate (серверный сертификат) и Cipher (например, aes256).

Настройка firewall

Разрешите входящие подключения на порт 1194 TCP.

Особенности

• RouterOS v6 не поддерживает UDP для OpenVPN, только TCP.
• Нет аппаратного ускорения, поэтому скорость зависит от CPU.
• Для аутентификации по сертификату клиента необходимо настроить TLS Authentication и импортировать сертификаты на клиентские устройства.

OpenVPN на MikroTik может быть полезен, если требуется гибкая настройка маршрутов или интеграция с существующей PKI, но для простых сценариев L2TP/IPsec проще и быстрее.

Настройка PPTP-сервера: простой, но небезопасный вариант

PPTP — самый простой в настройке протокол, но его использование оправдано только в крайних случаях, когда другие протоколы недоступны. Настройка включает:

1. Создание пула адресов и профиля PPP (как описано выше).
2. Создание учётной записи с Service=pptp.
3. Включение PPTP-сервера в PPP -> Interface -> PPTP Server. Установите Enabled, выберите профиль, в Authentication оставьте mschap2.
4. Разрешение в firewall порта 1723 TCP.

Команды:

/interface pptp-server server set authentication=mschap2 default-profile=vpn enabled=yes
/ip firewall filter add action=accept chain=input dst-port=1723 in-interface=ether1 protocol=tcp

Почему PPTP небезопасен?

PPTP использует слабое шифрование MPPE, которое может быть взломано. Из дампа трафика за несколько часов можно извлечь ключ шифрования и расшифровать весь трафик. Поэтому PPTP не рекомендуется для передачи конфиденциальных данных. Его можно использовать только для туннелирования уже защищённых протоколов (например, HTTPS), где дополнительное шифрование не критично.

Если вам нужна максимальная скорость и безопасность не важна, PPTP может быть быстрее L2TP/IPsec на слабых устройствах, но в современных реалиях лучше выбрать L2TP/IPsec.

Настройка firewall и маршрутизации для VPN-клиентов

После настройки VPN-сервера необходимо обеспечить доступ клиентов к локальной сети и интернету. Для этого нужно настроить маршрутизацию и правила firewall.

Маршрутизация

Если VPN-клиенты должны иметь доступ к локальной сети за роутером, необходимо добавить статические маршруты. Например, если локальная сеть — 192.168.1.0/24, а VPN-подсеть — 192.168.10.0/24, маршрут уже будет создан автоматически, так как роутер знает о своих интерфейсах. Однако для доступа к удалённым сетям (например, при объединении офисов) нужно добавить маршруты вручную.

В IP -> Routes добавьте маршрут для удалённой сети с указанием VPN-интерфейса.

Firewall

Для обеспечения безопасности рекомендуется создать правила, разрешающие трафик из VPN-подсети в локальную сеть и интернет. Обычно достаточно разрешить forwarding между интерфейсами. Например:

/ip firewall filter add action=accept chain=forward src-address=192.168.10.0/24

Также важно настроить NAT (masquerade) для VPN-клиентов, если они должны выходить в интернет через роутер. В IP -> Firewall -> NAT добавьте правило:

/ip firewall nat add action=masquerade chain=srcnat src-address=192.168.10.0/24 out-interface=ether1

Ограничение доступа

Вы можете ограничить доступ VPN-клиентов к определённым ресурсам, создав правила firewall с действием drop или reject. Например, запретить доступ к административным интерфейсам роутера.

Правильная настройка firewall и маршрутизации — ключевой аспект, который часто упускают из виду, но без него VPN-сервер может работать некорректно.

Производительность VPN на MikroTik: что ожидать

Скорость VPN-соединения на MikroTik зависит от модели роутера и используемого протокола. Важно понимать эти ограничения, чтобы не предъявлять необоснованных претензий к оборудованию.

• PPTP — на недорогих моделях (например, hEX) скорость может достигать 100 Мбит/с, так как шифрование MPPE относительно лёгкое.
• L2TP/IPsec — на моделях без аппаратной поддержки AES скорость обычно не превышает 25-30 Мбит/с. На моделях с аппаратным ускорением AES (например, с чипом ARM) скорость может достигать 35-50 Мбит/с. Для большинства сценариев удалённого доступа этого достаточно.
• OpenVPN — из-за отсутствия аппаратного ускорения и работы только по TCP скорость будет ниже, чем у L2TP/IPsec, особенно на слабых процессорах.
• SSTP — самый требовательный к CPU, на слабых устройствах скорость будет минимальной.

Если вам нужна высокая скорость VPN, выбирайте модели MikroTik с поддержкой аппаратного шифрования AES (например, серии RB4011, CCR, hEX S). Также можно использовать несколько VPN-туннелей для распределения нагрузки, но это усложняет конфигурацию.

При планировании VPN-сервера учитывайте количество одновременных подключений и тип трафика. Для офисных задач (работа с документами, почта) скорости 25-30 Мбит/с обычно достаточно, а для видеоконференций может потребоваться больше.

Безопасность VPN-сервера: лучшие практики

Настройка VPN-сервера — это только половина дела. Важно обеспечить его безопасность, чтобы защитить сеть от несанкционированного доступа.

Используйте сильные пароли и ключи

Для учётных записей используйте длинные пароли, содержащие буквы, цифры и специальные символы. Для IPsec Secret также выбирайте сложную фразу.

Ограничьте количество попыток подключения

В MikroTik можно настроить ограничение на количество неудачных попыток аутентификации, чтобы предотвратить brute-force атаки. Это делается через параметры профиля PPP или с помощью скриптов.

Регулярно обновляйте RouterOS

Обновления содержат исправления уязвимостей. Проверяйте наличие новых версий на официальном сайте MikroTik и устанавливайте их.

Используйте брандмауэр

Настройте firewall таким образом, чтобы разрешать VPN-подключения только с определённых IP-адресов, если это возможно. Также ограничьте доступ к административным интерфейсам роутера.

Сертификаты

Если вы используете OpenVPN, храните сертификаты в безопасном месте и регулярно обновляйте их. Настройте список отзыва (CRL), чтобы можно было отозвать скомпрометированные сертификаты.

Мониторинг

Ведите журнал подключений и регулярно просматривайте логи на предмет подозрительной активности. MikroTik позволяет настроить отправку логов на внешний сервер.

Следуя этим рекомендациям, вы сможете создать безопасный и надёжный VPN-сервер, который будет работать стабильно и защитит ваши данные.

Вопросы и ответы