MikroTik VPN и Firewall: настройка безопасных подключений от L2TP/IPsec до WireGuard

Введение: зачем нужен VPN на MikroTik

MikroTik — это не просто маршрутизатор, а многофункциональная платформа, которая позволяет организовать безопасный удалённый доступ к домашней или корпоративной сети. С помощью VPN вы можете подключиться к офисным ресурсам из любой точки мира, защитить интернет-трафик при использовании публичных Wi-Fi сетей или объединить несколько офисов в единую сеть.

Встроенные средства RouterOS поддерживают множество VPN-протоколов: от устаревших PPTP и GRE до современных L2TP/IPsec, OpenVPN и WireGuard. Каждый из них имеет свои особенности, преимущества и ограничения. Правильный выбор протокола и грамотная настройка firewall — залог стабильной и безопасной работы.

В этой статье мы подробно разберём, как настроить VPN-сервер на MikroTik, какие правила firewall необходимо создать, как выбрать подходящий протокол и избежать типичных ошибок. Материал будет полезен как начинающим администраторам, так и опытным пользователям, желающим систематизировать знания.

Обзор VPN-протоколов, поддерживаемых MikroTik

RouterOS предлагает несколько вариантов организации VPN-соединений. Рассмотрим основные из них.

PPTP — один из самых старых протоколов, который поддерживается Windows и Android «из коробки». Однако он имеет серьёзные уязвимости: ключ шифрования может быть извлечён из перехваченного трафика за несколько часов. Использовать PPTP не рекомендуется, если только не требуется максимально простое решение без высоких требований к безопасности.

L2TP/IPsec — более современный и безопасный вариант. L2TP сам по себе не шифрует трафик, но в связке с IPsec обеспечивает надёжную защиту. Протокол поддерживается большинством устройств и операционных систем без установки дополнительного ПО. Это оптимальный выбор для большинства сценариев.

OpenVPN — гибкое решение с широкими возможностями настройки, включая передачу маршрутов клиенту. Однако в MikroTik OpenVPN работает только по TCP, что снижает производительность по сравнению с UDP. Кроме того, не поддерживается сжатие заголовков. Поэтому использовать OpenVPN на MikroTik имеет смысл только в особых случаях.

WireGuard — современный протокол, появившийся в RouterOS 7. Он отличается простотой настройки, высокой скоростью и современной криптографией. WireGuard идеально подходит для домашних и небольших офисных сетей, особенно если у вас RouterOS 7.16 или новее.

GRE и EoIP — туннели уровня L2/L3 для объединения сетей site-to-site. Они не обеспечивают шифрование, но могут быть дополнены IPsec. EoIP — проприетарный протокол MikroTik, работающий на канальном уровне.

SSTP — протокол от Microsoft, использующий SSL 3.0 и порт 443. Он хорошо маскируется под HTTPS-трафик, но требователен к ресурсам процессора, поэтому на слабых устройствах скорость будет низкой.

Вывод: для большинства задач оптимальным выбором является L2TP/IPsec или WireGuard. Первый — для максимальной совместимости, второй — для производительности и простоты.

Подготовка MikroTik к настройке VPN

Прежде чем приступать к настройке VPN-сервера, необходимо выполнить несколько подготовительных шагов.

Обновление RouterOS. Убедитесь, что на устройстве установлена актуальная версия RouterOS. Для WireGuard требуется версия 7.16 или новее. Проверить версию можно в меню System → Packages. Если версия устарела, обновитесь через System → Packages → Check for Updates. Во время обновления не отключайте питание — используйте ИБП, если сеть нестабильна.

Резервная копия. Перед любыми изменениями создайте резервную копию конфигурации. В WinBox перейдите в Files → Backup, задайте имя и пароль для шифрования. Также полезно сделать текстовый экспорт через терминал: /export file=backup_before_vpn.

Проверка внешнего IP-адреса. Для работы VPN-сервера необходим публичный IP-адрес на WAN-интерфейсе. Если провайдер использует CGNAT (серый IP), вам потребуется либо заказать белый IP, либо настроить проброс портов на внешнем устройстве.

Настройка времени и DNS. Корректное время критически важно для работы IPsec и WireGuard. Настройте NTP-клиент (System → NTP Client) и укажите DNS-серверы (IP → DNS), например 1.1.1.1 и 9.9.9.9.

Планирование подсети. Выберите подсеть для VPN-клиентов, которая не пересекается с вашей локальной сетью. Например, если LAN использует 192.168.88.0/24, для VPN возьмите 10.10.10.0/24. Это позволит избежать конфликтов маршрутизации.

Настройка firewall для VPN-сервера

Firewall — ключевой элемент безопасности. Без правильно настроенных правил VPN-сервер будет недоступен извне или, наоборот, откроет лишние порты.

Для L2TP/IPsec необходимо разрешить входящий трафик на сам роутер (chain=input) для следующих портов и протоколов:

• UDP 1701 — для L2TP;
• UDP 500 и 4500 — для IKE и NAT-T (IPsec);
• Протокол 50 (ESP) — для шифрованного трафика IPsec.

В WinBox перейдите в IP → Firewall → Filter Rules и создайте три правила. Для удобства используйте комментарии (например, «L2TP», «IPsec IKE», «IPsec ESP»). Правила должны располагаться выше любых запрещающих правил, иначе трафик будет заблокирован.

Для WireGuard достаточно открыть один UDP-порт (по умолчанию 51820). Создайте правило:

• Chain: input
• Protocol: udp
• Dst. Port: 51820
• In. Interface: WAN (или all)

Также рекомендуется включить базовую защиту: разрешить established,related, запретить invalid и всё остальное с WAN. Это предотвратит несанкционированные подключения.

Не забывайте про NAT: для полноценного доступа VPN-клиентов в интернет (full tunnel) добавьте правило masquerade для подсети VPN.

Настройка L2TP/IPsec-сервера на MikroTik

L2TP/IPsec — один из самых популярных вариантов благодаря совместимости со всеми основными ОС. Рассмотрим пошаговую настройку.

1. Создание пула IP-адресов. Перейдите в IP → Pool и добавьте пул, например 10.10.5.1-10.10.5.100. Эти адреса будут выдаваться VPN-клиентам.

2. Создание пользователя. В PPP → Secrets нажмите «+» и укажите имя пользователя, пароль и локальный/удалённый адреса. Локальный адрес — это IP роутера в VPN-сети (например, 172.16.200.1), удалённый — адрес клиента (172.16.200.2). Выберите подсеть, не пересекающуюся с основной сетью.

3. Включение L2TP-сервера. В PPP → Interface нажмите L2TP Server. Установите MTU 1200 — это уменьшает фрагментацию и повышает стабильность. В разделе Authentication оставьте только MS-CHAPv2 (остальные методы небезопасны). Включите Use IPsec = yes и задайте общий ключ (PSK) — сложную уникальную фразу.

4. Настройка firewall. Как описано выше, добавьте правила для портов 1701, 500, 4500 и протокола ESP.

5. Проверка подключения. На клиенте (Windows, Android и т.д.) создайте VPN-подключение типа L2TP/IPsec с общим ключом, укажите IP-адрес сервера, логин и пароль. После подключения в MikroTik в PPP → Active Connections вы увидите активную сессию.

Важно: если скорость ограничена 1 Мбит/с, проверьте лицензию (System → License). Бесплатная лицензия ограничивает скорость. Обновление до P1 (платное, $45) снимает ограничение до 1 Гбит/с. На время тестирования можно активировать пробный период.

Настройка WireGuard на RouterOS 7

WireGuard — современный протокол, который появился в RouterOS 7. Он отличается простотой и высокой производительностью. Рассмотрим настройку на примере RouterOS 7.16.

1. Создание интерфейса. Перейдите в Interfaces → WireGuard и нажмите «+». Задайте имя (например, wg-home), порт прослушивания (51820) и MTU (по умолчанию 1420, для PPPoE — 1412). После сохранения будет сгенерирована пара ключей — публичный ключ понадобится для настройки клиентов.

2. Назначение IP-адреса. В IP → Addresses добавьте адрес 10.10.10.1/24 на интерфейс wg-home.

3. Настройка DNS. В IP → DNS включите Allow Remote Requests и укажите DNS-серверы (1.1.1.1, 9.9.9.9). Это позволит клиентам использовать роутер как DNS-резолвер.

4. NAT для full tunnel. Если вы хотите, чтобы весь трафик клиентов шёл через ваш роутер, добавьте правило NAT: chain=srcnat, src-address=10.10.10.0/24, out-interface-list=WAN, action=masquerade.

5. Firewall. Откройте порт 51820/UDP на WAN-интерфейсе.

6. Добавление клиентов. На сервере в WireGuard → Peers нажмите «+», укажите публичный ключ клиента, AllowedIPs (например, 10.10.10.2/32) и, при необходимости, Persistent Keepalive (для клиентов за NAT). На клиенте укажите публичный ключ сервера, свой приватный ключ, адрес 10.10.10.2/32 и AllowedIPs: для split tunnel — только подсети домашней сети, для full tunnel — 0.0.0.0/0.

7. DDNS. Если у вас динамический внешний IP, включите IP → Cloud → DDNS. Вы получите постоянное имя вида abcd1234.sn.mynetname.net, которое будет автоматически обновляться.

Сравнение производительности и выбор оптимального протокола

Производительность VPN-туннелей на MikroTik зависит от аппаратной платформы и выбранного протокола. В тестах на RB951G-2hnD (двухъядерный 600 МГц) было выявлено, что самые быстрые соединения — без шифрования (EoIP, GRE), но они небезопасны. Среди шифрованных протоколов L2TP/IPsec показывает хорошую скорость и низкую нагрузку на процессор, особенно при использовании аппаратного ускорения IPsec на моделях с поддержкой AES-NI.

WireGuard, как правило, работает быстрее OpenVPN, поскольку использует современную криптографию (ChaCha20) и работает по UDP. Однако на слабых устройствах (например, hAP lite) производительность может быть ограничена.

OpenVPN в MikroTik работает только по TCP, что снижает скорость из-за накладных расходов на подтверждение пакетов. SSTP также требователен к CPU и на слабых железках будет медленным.

Практические рекомендации:

• Для домашнего использования и удалённого доступа к нескольким устройствам — WireGuard (если RouterOS 7) или L2TP/IPsec.
• Для объединения офисов без шифрования — EoIP (если не нужна безопасность) или GRE+IPsec.
• Если нужна максимальная совместимость с Windows и Android — L2TP/IPsec.
• Если нужен обход строгих файрволов — SSTP (порт 443) или OpenVPN.

Всегда учитывайте, что шифрование снижает пропускную способность. Для высоких скоростей выбирайте модели с аппаратным ускорением криптографии.

Типичные ошибки и способы их решения

При настройке VPN на MikroTik часто возникают одни и те же проблемы. Рассмотрим самые распространённые.

1. VPN-подключение не устанавливается. Проверьте правила firewall: порты 1701, 500, 4500 и ESP должны быть разрешены. Убедитесь, что правила расположены выше запрещающих. Также проверьте, что на роутере включён L2TP-сервер и IPsec.

2. Низкая скорость (1 Мбит/с). Это признак бесплатной лицензии. Обновите лицензию до P1 через System → License → Renew License. Учтите, что для регистрации на mikrotik.com нужна зарубежная почта (Gmail, Outlook).

3. Не работает DNS у клиентов. Включите Allow Remote Requests в IP → DNS и укажите корректные DNS-серверы. Также проверьте, что клиенты получают правильный DNS через DHCP или в настройках VPN.

4. Конфликт подсетей. Если VPN-подсеть пересекается с LAN, маршрутизация ломается. Выберите другую подсеть, например 10.20.30.0/24.

5. WireGuard не подключается из-за NAT. На клиенте включите Persistent Keepalive (например, 25 секунд), чтобы поддерживать NAT-сессию.

6. После обновления RouterOS пропал интернет. Проверьте настройки WAN (PPPoE, VLAN). Если проблема не решается, восстановите конфигурацию из резервной копии.

7. Не синхронизируется время. Настройте NTP-клиент и проверьте DNS. Без корректного времени IPsec и WireGuard могут не работать.

Дополнительные возможности: SOCKS-прокси и маршрутизация

MikroTik позволяет гибко управлять трафиком VPN-клиентов. Одна из полезных функций — SOCKS-прокси, которая даёт возможность направлять через VPN только трафик определённых приложений, например браузера, не затрагивая остальные соединения.

Для включения SOCKS-прокси перейдите в IP → SOCKS и установите Enabled = yes. Укажите порт (по умолчанию 1080) и разрешите доступ с нужных интерфейсов. После этого в настройках браузера или приложения укажите адрес роутера и порт. Это удобно, когда нужно использовать VPN только для доступа к корпоративным ресурсам, сохраняя прямое подключение к интернету для остального трафика.

Также можно настроить split tunneling: на клиенте WireGuard укажите в AllowedIPs только подсети, которые должны идти через туннель. Например, 192.168.88.0/24 для доступа к домашним устройствам. Весь остальной трафик будет идти напрямую.

Для более тонкой маршрутизации можно использовать policy routing (mangle) и таблицы маршрутизации. Это позволяет направлять разные типы трафика через разные туннели или интерфейсы.

Не забывайте про FastTrack: для ускорения обработки пакетов можно включить FastTrack для established,related соединений, но при использовании VPN-туннелей иногда требуется исключить их из FastTrack, чтобы сохранить контроль над сессиями.

Безопасность VPN-сервера: дополнительные меры

Настройка VPN-сервера — это только первый шаг. Важно обеспечить его безопасность.

Используйте сложные пароли и ключи. Для L2TP/IPsec задавайте длинный PSK (не менее 20 символов). Для WireGuard используйте надёжные ключи, генерируемые автоматически.

Ограничьте доступ по IP. В firewall можно разрешить подключения только с определённых IP-адресов или подсетей. Это снизит риск атак.

Включите логирование. Включите логи для firewall и VPN-интерфейсов, чтобы отслеживать подозрительную активность.

Регулярно обновляйте RouterOS. Обновления закрывают уязвимости и добавляют новые функции.

Используйте брандмауэр с правилами по умолчанию: запретить всё, что не разрешено явно. Это особенно важно для WAN-интерфейса.

Отключите неиспользуемые сервисы. Если вы не используете PPTP, SSTP или другие протоколы, отключите их, чтобы уменьшить поверхность атаки.

Для WireGuard используйте нестандартный порт. Это снизит количество сканирований портов ботами.

Настройте ограничение количества подключений. В PPP можно задать лимит на число одновременных сессий для каждого пользователя.

Следуя этим рекомендациям, вы сможете создать надёжный и безопасный VPN-сервер на базе MikroTik.

Вопросы и ответы