Настройка OpenVPN-сервера на Mikrotik (Клиент windows, mikrotik, linux)

19.01.2022

Настройка OpenVPN-сервера на Mikrotik (Клиент windows, mikrotik, linux)

OpenVPN сервер на mikrotik используется когда нужна высокая проходимость протокола (умение маскироваться под HTTPS-трафик, может работать на любом порту) К сожалению, для использования OpenVPN необходимо устанавливать дополнительное программное обеспечение, например, официальный OpenVPN Connect  (Windows 64-bit MSI installer на клиенте), а также работать с сертификатами и конфигурационными файлами ovpn.

Подготовка роутера

OpenVPN, как и любой другой использующий SSL-шифрование продукт, чувствителен к расхождению времени между клиентом и сервером. Поэтому в первую очередь правильно настроим время на Mikrotik. Прежде всего откроем System — Clock и установим правильное значение часового пояса, его автоматическое определение лучше отключить.

1-min.png

В консоли это можно сделать командой:


1
2

/system clock
set time-zone-autodetect=no time-zone-name=Europe/Moscow


1
2

/system ntp client
set enabled=yes primary-ntp=185.209.85.222 secondary-ntp=37.139.41.250


Создание ключей и сертификатов

Некоторые руководства в сети предполагают создание ключей и сертификатов при помощи сторонних утилит, например, Easy-RSA, мы же будем использовать собственные средства Mikrotik. Перейдем в System — Certificate и создадим новый корневой сертификат нашего центра сертификации (CA).

4-min.png

Обязательные поля отмечены нами красным, это Name и Common Name — ca, размер ключа — Key Size — 2048, и срок действия — Days Valid — 3650 или 10 лет, для локального центра сертификации это вполне оправдано. Выделенные зеленым поля содержат информацию о владельце сертификата и к заполнению не обязательны, но их заполнение является правилом хорошего тона и при наличии большого количества сертификатов позволяет быстро понять, что это за сертификат и кому он принадлежит.

Затем перейдем на закладку Key Usage и укажем только crl sign и key cert. sign и нажмем кнопку Apply, теперь подпишем сертификат нажав Sign. В появившемся окне заполним поле CA CRL Host адресом локальной петли — 127.0.0.1, после чего нажимаем Start и дожидаемся окончания подписи сертификата.

5-min.png

Эти же действия в консоли:


/certificate
add name=ca country="RU" state="31" locality="BEL" organization="Interface LLC" unit="IT" common-name="ca" key-size=2048 days-valid=3650 key-usage=crl-sign,key-cert-sign sign ca ca-crl-host=127.0.0.1


Следующим создадим сертификат и закрытый ключ сервера. Закладка General нового сертификата заполняется аналогично, только в полях Name и Common Name указываем ovpn-server (можете выбрать на собственное усмотрение). На вкладке Key Usage укажите digital-signaturekey-encipherment и tls-server. Затем подпишем сертификат ключом нашего CA, для этого в поле CA выберите только что созданный нами сертификат ca.

6-min.png

Для выпуска сертификата в консоли выполните:


1
2

/certificate
add name=ovpn-server country="RU" state="31" locality="BEL" organization="Interface LLC" unit="IT" common-name="ovpn-server" key-size=2048 days-valid=3650 key-usage=digital-signature,key-encipherment,tls-server sign ovpn-server ca="ca"


Теперь создадим клиентские сертификаты, в полях Name и Common Name на закладке General указываем имя сертификата, его следует давать осмысленно, чтобы всегда можно было определить какому клиенту принадлежит сертификат. Также следует подумать над сроком действия сертификата, если клиентом будет роутер в удаленном офисе, то можно также выпустить сертификат на 10 лет, а вот если клиентом будет ноутбук сотрудника на испытательном сроке, то лучше выдать его на срок испытательного срока. Выпустить новый сертификат не представляет проблемы, в то время как не отозванный вовремя сертификат может привести к несанкционированному доступу и утечке данных.

На вкладке Key Usage указываем только tls-client и также подписываем сертификат ключом нашего CA. Можно сразу выпустить все необходимые клиентские сертификаты, можно создавать из по мере необходимости.

7-min.png

Получение клиентского сертификата в консоли:


1
2

/certificate
add name=mikrotik country="RU" state="31" locality="BEL" organization="Interface LLC" unit="IT" common-name="mikrotik" key-size=2048 days-valid=365 key-usage=tls-client sign mikrotik ca="ca"

Обратите внимание, в данном случае мы выпустили сертификат со сроком действия в 1 год: days-valid=365.

Если все сделано правильно, то у вас будут следующие сертификаты, обратите внимание, что корневой сертификат должен иметь флаги KLAT, остальные KI:

8-min.png

Для использования на клиента нам необходимо экспортировать закрытый ключ и сертификат клиента, а также корневой сертификат центра сертификации. Удобнее всего использовать для этого формат PKCS12, который содержит все необходимые компоненты в одном файле (сертификат, ключ и сертификат CA). Для этого щелкните на нужном сертификате правой кнопкой и выберите Export, в открывшемся окне укажите формат Type — PKCS12 и парольную фразу для экспорта (минимум 8 символов) в поле Export Passphrase. Без указания пароля закрытые ключи выгружены не будут, и вы не сможете использовать такой сертификат для клиента.

9-min.png

Либо используйте команды:


1
2

/certificate
export-certificate mikrotik type=pkcs12 export-passphrase=12345678


В данном случае мы использовали парольную фразу 12345678. Экспортированные сертификаты можно скачать в разделе Files.

10-min.png
Как видим, возможности RouterOS легко позволяют управлять сертификатами без привлечения дополнительных инструментов.

Настройка OpenVPN сервера

Начнем с создания пула адресов для выдачи OpenVPN клиентам, так как назначать адреса вручную во втором десятилетии 21 века — дурной тон. Для этого перейдем в IP — Pool и создадим новый пул: Name — ovpn_pool0 — произвольное имя пула, Addresses — 10.8.8.100-10.8.8.199 — диапазон адресов для выдачи клиентов, также можете выбрать по собственному усмотрению.

11-min.png

Эти же действия в консоли:

1
2

/ip pool
add name=ovpn_pool0 ranges=10.8.8.100-10.8.8.199



Теперь перейдем в PPP — Profiles и создадим новый профиль. Укажем его имя Name — ovpn, локальный и удаленный адреса: Local Address — 10.8.8.1Remote Address — ovpn_pool0. На всякий случай напомним, что локальный адрес должен принадлежать той-же /24 сети, что и диапазон пула адресов.

Настройка OpenVPN-сервера на роутерах Mikrotik

Быстро создать профиль в терминале:


1
2

/ppp profile
add local-address=10.8.8.1 name=ovpn remote-address=ovpn_pool0



Затем перейдем в PPP — Secrets и убедимся, что включена аутентификация по пользователю. Для этого нажмем PPP Authentication&Accounting, где должен стоять флаг Accounting:

Настройка OpenVPN-сервера на роутерах Mikrotik

Хотя гораздо быстрее выполнить команду:


1
2

/ppp aaa
set accounting=yes



Здесь же создадим учетные записи для клиентов. Особенностью реализации OpenVPN в RouterOS 6 является обязательное использование аутентификации по имени и паролю. При создании учетной записи указываем ее имя — Name, рекомендуем дать ей то же самое имя, которое вы использовали при создании сертификата, чтобы избежать путаницы. Password — пароль, так как основная аутентификация производится по сертификату особых требований к нему нет. Service — какие службы могут использовать данную учетную запись — ограничиваем только OpenVPN выбрав ovpn, затем указываем созданный нами профиль Profile — ovpn.

Настройка OpenVPN-сервера на роутерах Mikrotik

В терминале для создания учетной записи выполните:


1
2

/ppp secret
add name=mikrotik password=123 profile=ovpn service=ovpn



В данном случае мы создали запись для пользователя mikrotik с паролем 123.

После создания пользователей перейдем в PPP — Interface и нажмем на кнопку OVPN Server, в открывшемся окне включим службу установив флаг EnabledDefault Profile — ovpn, в поле Certificate укажем созданный нами сертификат сервера. Для дополнительной безопасности включим Require Client Certificate, в этом случае сервер будет проверять сертификат клиента на принадлежность к цепочке сертификатов локального CA. Затем укажем параметры шифрования: Auth — безальтернативно sha1Cipher — здесь есть возможность выбора, для роутеров с аппаратной поддержкой AES следует выбирать шифры только из этого семейства, однако чем сильнее шифр — тем больше он нагружает оборудование.

Настройка OpenVPN-сервера на роутерах Mikrotik

В терминале эти же действия выполняются командами:


1
2

/interface ovpn-server server
set auth=sha1 certificate=ovpn-server cipher=aes256 default-profile=ovpn enabled=yes require-client-certificate=yes



Также не забудьте разрешить входящие подключения к вашему OpenVPN серверу. Откроем IP — Firewall и добавим правило: Chain — input, Protocol — tcp, Dst. Port — 1194. Действие можно не указывать, так как по умолчанию применяется accept.

Настройка OpenVPN-сервера на роутерах Mikrotik

В терминале выполните:


1
2

/ip firewall filter
add action=accept chain=input  dst-port=1194 protocol=tcp



Данное правило должно располагаться выше запрещающего в цепочке INPUT.

Настройка OpenVPN-сервера на роутерах Mikrotik

а этом настройка OpenVPN сервера на базе роутера Mikrotik закончена.

OpenVPN настройка MikroTik  авторизации через RADIUS

Для авторизации OpenVPN сервер на Mikrotik на RADIUS (Windows Active Directory) есть одна особенность, 

нужно включить authentication method -> Unencrypted authentication (PAP,SPAP)


openvpn-radius.jpg


Настройка OpenVPN клиента на роутере Mikrotik

Прежде всего закачаем на устройство файл сертификатов в формате PKCS12, который мы экспортировали на сервере. Для этого перейдем в System — Certificate и воспользуемся кнопкой Import, в открывшемся окне укажем файл сертификата и парольную фразу, которую мы установили при экспорте.

Настройка OpenVPN-сервера на роутерах Mikrotik

В консоли выполните:


1
2

/certificate
import file-name=mikrotik.p12 passphrase=12345678



В результате у вас появятся два сертификата: сертификат клиента с закрытым ключом, о чем говорит флаг KT, и корневой сертификат удостоверяющего центра с флагом LAT (K — означает наличие ключа). Запомним наименование сертификатов, либо переименуем их.

Настройка OpenVPN-сервера на роутерах Mikrotik

Затем перейдем в PPP — Interface и создадим новый интерфейс типа OVPN Сlient. В поле Connect To указываем адрес или FQDN-имя вашего OpenVPN сервера, Port — 1194, Mode — ip. Ниже указываем учетные данные, созданные для этого пользователя на сервере в полях User и Password, еще ниже указываем параметры шифрования: Auth — sha1Cipher — аналогично тому, что вы указали на сервере. В поле Certificate выберите сертификат клиента, флаг Verify Server Certificate следует снять.

Настройка OpenVPN-сервера на роутерах Mikrotik

В терминале следует выполнить:


1
2

/interface ovpn-client
add certificate=mikrotik.p12_0 cipher=aes256 connect-to=192.168.3.115 name=ovpn-out1 password=123 user=mikrotik



Если все было сделано правильно, то соединение будет установлено сразу как вы создадите интерфейс.

Чтобы клиенты сети за клиентом имели доступ в сеть за сервером и наоборот необходимо настроить маршрутизацию. Перейдем в IP — Routes и добавим новый маршрут. В поле Dst. Address укажем сеть за сервером, в нашем случае это 192.168.186.0/24, в поле Gateway укажем интерфейс нашего OpenVPN подключения — ovpn-out1.

Настройка OpenVPN-сервера на роутерах Mikrotik

Либо выполните команду:


1
2

/ip route
add distance=1 dst-address=192.168.186.0/24 gateway=ovpn-out1



Теперь перейдем на сервер и посмотрим каким образом выглядит подключение данного клиента. Как видим, был создан динамический интерфейс ovpn-mikrotik, настраивать маршрутизацию с таким интерфейсом нельзя, так как маршрут «сломается» при отключении клиента.

Настройка OpenVPN-сервера на роутерах Mikrotik

Поэтому создадим для этого клиента постоянный интерфейс. Перейдем в Interfaces и создадим новый интерфейс типа OVPN Server Binding. В настройках укажем имя, рекомендуется давать интерфейсам понятные имена, Name — ovpn-mikrotik, в поле User — укажем пользователя, подключение которого будет привязано к этому интерфейсу — mikrotik.

Настройка OpenVPN-сервера на роутерах Mikrotik

Это же можно сделать командой:


1
2

/interface ovpn-server
add name=ovpn-mikrotik user=mikrotik



После чего можно добавить на сервере маршрут к сети за клиентом, настройки здесь аналогичные, Dst. Address — сеть за клиентом, Gateway — интерфейс OpenVPN подключения. В нашем случае 192.168.111.0/24 — сеть за клиентом.

Настройка OpenVPN-сервера на роутерах Mikrotik

В терминале следует выполнить:

1
2

/ip route
add distance=1 dst-address=192.168.111.0/24 gateway=ovpn-mikrotik



После чего можем проверить связь. Узлы различных сетей должны видеть друг друга.

Настройка стандартного клиента OpenVPN на ПК (WINDOWS клиент)

После установки клиента https://openvpn.net/community-downloads/ для его настройки в папке пользователя C:\Users\ИМЯ_пользователя\OpenVPN\config , для каждого подключения можно создать отдельные папки внутри папки config. Для подключеняи у нас будет 4 файла:

auth.cfg - тут логин пароль из профиля сикрется.

любоеимя.ovpn – сам конфигурационный фаил.

любоеимя.p12 – сам экспартированный сертификат в формате p12 с паролем

keypass.cfg – пароль от ключа.

Немного изменим задачу, будем считать, что у нас есть ноутбук сотрудника с установленным клиентом OpenVPN, которому необходимо обеспечить доступ в корпоративную сеть через OpenVPN сервер на роутере Mikrotik. Будем считать, что OpenVPN установлен в C:\OpenVPN, а для хранения ключей используется директория C:\OpenVPN\keys.

Прежде всего разместим файл сертификатов в формате PKCS12 в директории для хранения ключей, а также создадим файл с учетными данными C:\OpenVPN\auth.cfg и разместим в нем в разных строках логин и пароль:


1
2

win10
123



Где win10 — имя пользователя, 123 — пароль которые мы задали для этой учетной записи на сервере.

Теперь создадим файл C:\OpenVPN\keypass.cfg в котором разместим парольную фразу для сертификата:


1

12345678



За основу конфигурационного файла мы примем стандартный шаблон client.ovpn, который расположен в C:\OpenVPN\sample-config. Его следует скопировать C:\OpenVPN\config, ниже будут приведены только ключевые опции, а также те, которые мы изменяем или добавляем.

Укажем, что у это клиент, тип туннеля — tun и протокол tcp:


1
2
3

client
dev tun
proto tcp



Адрес и порт сервера:


1

remote 192.168.3.115 1194



Убедимся в наличии опций:


1
2

persist-key
persist-tun



Затем заменим весь блок с указанием путей к ключам и сертификатам:


1
2
3

ca ca.crt
cert client.crt
key client.key



единственной строкой:


1

pkcs12 C:\\OpenVPN\\keys\\win10.p12



где укажем путь к нашему файлу сертификатов в формате PKCS12.

Ниже добавим две строки с указанием, где брать учетные данные для дополнительной аутентификации и парольную фразу:


1
2

auth-user-pass C:\\OpenVPN\\auth.cfg
askpass C:\\OpenVPN\\keypass.cfg



Проверим наличие опции:


1

remote-cert-tls server



и закомментируем:


1

#tls-auth ta.key 1



Сразу добавим маршрут к сети за сервером:


1

route 192.168.186.0 255.255.255.0 10.8.8.1



Укажем выбранный нами на сервере шифр:


1

cipher AES-256-CBC



и отключим сжатие:


1

#comp-lzo



Теперь можно пробовать подключаться. Если все сделано правильно, то клиент подключится к серверу и ему будут доступны ресурсы сети за сервером. Никаких дополнительных настроек на сервере производить не нужно.

Если за данным ПК у вас находится сеть и нужно обеспечить связь между сетями, то нужно выполнить настройки на сервере аналогичные предыдущей части: создать интерфейс для подключения клиента и добавить маршрут для сети за клиентом. На клиентском ПК не забудьте включить службу маршрутизации.

Данная инструкция также полностью подходит для ПК на Linux, вам потребуется только откорректировать пути в конфигурационном файле и раскомментировать в нем опции:


1
2

user nobody
group nogroup



Как видим, настройка OpenVPN сервера на роутерах Mikrotik достаточно проста, но требует учитывать особенности и ограничения реализации этой технологии в RouterOS.

Пример полного конфига файла любоеимя.ovpn для понимания: 

client

dev tun

proto tcp

remote  xxx.xxx.xxx.xx 1194

route-delay 3

persist-key

persist-tun

pkcs12 любоеимя.p12

auth-user-pass auth.cfg

askpass keypass.cfg

remote-cert-tls server

route 192.168.100.0 255.255.255.0 10.10.105.1

# redirect-gateway def1   # Если нужно чтобы  весь трафик  шел через OpenVPN-тунель 

cipher AES-256-CBC

auth SHA1

ping-restart 60

ping 10

#status C:\\OpenVPN\\log\\openvpn-status.log

#log C:\\OpenVPN\\log\\openvpn.log

status-version 3

verb 3

Ответ на некоторые вопросы: 

1. Как из mikrotik выгразить ca, cert, key в виде трех файлов: 

# Экспортируем

/certificate export-certificate ca

/certificate export-certificate openvpn-client export-passphrase=12345678

2. Как в key фаил вшить пароль: 

openssl rsa -in cert_export_openvpn-client.key -out nopas.key

очень актуально для мобильных клиентов.


3. Как создать конфиг единым файлом:

Вниз конфигурации openvpn.ovpn нужно добавить секции с ключами

<ca></ca> <- добавить содержимое cert_export_ca.crt

<cert></cert> <- добавить содержимое cert_export_openvpn-client.crt

<key></key> <- добавить содержимое cert_export_openvpn-client.key

4. Где брать клиенты для разных ОС: 

4.1. linux: apt install openvpn

4.2. Windows: https://openvpn.net/community-downloads/

4.3. OSx MAC:  - https://tunnelblick.net/downloads.html

4.4. iOS https://apps.apple.com/ru/app/openvpn-connect/id590379981

4.5. Android https://play.google.com/store/apps/details?id=net.openvpn.openvpn&amp;hl=ru

4.6. ARM https://openvpn.net/community-downloads/


Обновление 2023 года, после выхода клиента OpenVPN 2.6.X:

Настройках конфигурации исправляем (убираем\комментируем):

#auth SHA1
#cipher AES-256-CBC


data-ciphers AES-256-GCM:AES-128-GCM:AES-256-CBC
data-ciphers-fallback AES-256-CBC

При этом в настройках  сервер OpenVPN MIKROTIK algorithms  Auth = SHA1 я не убирал! (он остается включен)
Настройки со стороны сервера: 

/interface ovpn-server server set auth=sha1 certificate=ovpn-server cipher=aes256 enabled=yes require-client-certificate=yes

< Назад к списку новостей