Практическое руководство по настройке VPN на роутере MikroTik

MikroTik давно стал рабочей лошадкой для тех, кто строит сети средней руки. Оборудование латвийского бренда ценят за гибкость RouterOS, надёжность платформы и разумный ценник. На таких устройствах держатся офисы, филиалы и небольшие провайдеры.

Удалённый доступ к рабочим ресурсам давно перестал быть опцией. Сотрудники подключаются из дома, гостиниц, коворкингов, а публичные точки Wi-Fi остаются рассадником перехватчиков. Защищённый туннель на MikroTik решает обе задачи без ежемесячной подписки и аренды внешних серверов.

Перед погружением в конфигурацию важно понимать сценарий. Нужно объединить пару филиалов или раздать доступ двум десяткам фрилансеров? Достаточно site-to-site или требуется полноценный клиентский канал? Ответы задают выбор протокола, схему адресации и размер ключей.

Материал рассчитан на администраторов с базовым пониманием TCP/IP и масок подсети. Если вы впервые открываете WinBox или терминал RouterOS, начните с вводного курса, иначе абзацы ниже покажутся китайской грамотой.

Подготовка маршрутизатора к работе

Прежде чем поднимать туннель, приведите устройство в порядок. Сбросьте конфигурацию до заводской, если маршрутизатор переходит «по наследству» или раньше использовался в других целях. После сброса смените пароль администратора и задайте уникальный идентификатор — RouterOS чувствительна к совпадениям внутри одной подсети.

Назначьте интерфейсам осмысленные имена. Превращение ether1 в «WAN» и ether2 в «LAN» занимает минуту, а в будущем избавляет от путаницы. Обновите прошивку до актуальной стабильной ветки — старые версии содержат ошибки, которые любят эксплуатировать злоумышленники.

Проверьте точное время на устройстве. Без синхронизации IPSec отказывается строить туннели из-за рассинхронизации Phase 1. Проще всего раздать NTP с публичных серверов или с контроллера домена, если он есть.

Выбор протокола туннелирования

Платформа поддерживает несколько туннельных технологий, и выбор влияет на всё дальнейшее. PPTP считается устаревшим и в корпоративных средах почти не встречается. Его место заняли L2TP/IPSec, SSTP, OpenVPN и более молодой WireGuard, доступный начиная с RouterOS 7.

Для связи между филиалами хорошо работает WireGuard: меньше накладных расходов, проще конфигурация, поддержка в ядре. Для сотрудников с разными устройствами универсальнее L2TP/IPSec — клиент встроен в Windows, macOS, iOS и Android из коробки. SSTP пригодится там, где стандартные порты режут провайдеры.

Криптографическую стойкость задаёт набор шифров. Избегайте 3DES и SHA1, остановитесь на AES-256 и SHA-256 или выше. Если протокол требует сертификатов, используйте собственный центр, а не самоподписанный сертификат на скорую руку.

Пошаговая настройка L2TP/IPSec

Создайте пул адресов для клиентов. Проще всего выделить отдельную подсеть, которая не пересекается ни с локальной сетью офиса, ни с домашними диапазонами сотрудников, иначе маршрутизация быстро превратится в квест.

Поднимите L2TP-сервер на одном из внутренних интерфейсов, укажите пул, DNS-серверы и включите chap-mschapv2 в профиле. Отдельно активируйте IPSec для этого соединения и задайте общий ключ — стойкую фразу длиной от 16 символов, без словаря и без года основания компании.

Проверьте логи сразу после первой попытки подключения. Сообщения вида «peer sent phase 1 proposal mismatch» подсказывают, что алгоритмы клиента и сервера разошлись. Подкрутите набор proposal так, чтобы обе стороны имели общий шифр.

Правила межсетевого экрана и маршруты

Базовое правило: разрешать только то, что необходимо, остальное блокировать. Создайте отдельную цепочку для VPN-трафика, в которой accept на подключения из туннеля к локальной сети стоит перед общим drop в конце списка.

Откройте порты IPSec — UDP 500, 4500 и протокол ESP — только на WAN-интерфейсе. Для офисного шлюза часто этого достаточно, а лишние дырки наружу приглашают сканеры и ботов.

Пропишите маршруты к удалённым сетям через туннель, а не через провайдера. Забытый маршрут выглядит так: канал поднялся, пинг на шлюз идёт, а до сервера 1С пакеты возвращаются через основной аплинк и отбрасываются на входе.

Подключение клиентов

На устройствах Apple, Windows и Android достаточно штатных средств. В настройках сети создайте новое подключение L2TP, укажите адрес шлюза, имя пользователя, пароль и общий ключ IPSec. После сохранения и первой попытки соединения следите за журналом — он быстрее любых утилит подскажет причину отказа.

Под Linux ситуация чуть сложнее. NetworkManager не всегда корректно подхватывает фазу 1, поэтому опытные администраторы предпочитают strongSwan или статический ipsec.conf с управлением через systemctl.

Проверяйте клиента только из внешней сети. Подключение из той же подсети, что и сервер, маскирует ошибки маршрутизации и создаёт иллюзию работоспособности. Тест из чужого Wi-Fi или через мобильный интернет даёт реальную картину.

Диагностика и тонкая настройка

RouterOS хранит журнал в разделе /log, и именно туда стоит заглядывать в первую очередь. Сообщения о phase 1 mismatch, encrypted but no SA, rejected proposal — типовые подсказки, по которым легко нащупать причину.

Команда /ip firewall connection print покажет активные туннели с адресом клиента и временем удержания. Если соединение рвётся через равные промежутки, почти наверняка срабатывает таймаут NAT на стороне провайдера — помогает уменьшение интервала DPD.

Администратору приходится держать открытыми множество окон и утилит. Принципы быстрого переключения между интерфейсами применимы и здесь — полезно изучить, например, управление очередями без мыши, чтобы сократить трение в ежедневной рутине. Тот же подход переносится на скрипты RouterOS и планировщик задач.

Усиление безопасности после запуска

Отключите неиспользуемые сервисы: FTP, Telnet, HTTP на WAN-интерфейсе. Достаточно оставить SSH и, при необходимости, WinBox только для доверенных подсетей через отдельный address-list.

Включите двухфакторную аутентификацию для администраторов и заведите отдельные учётные записи для коллег, исключив повседневную работу под admin. Регулярно обновляйте прошивку — критические правки выходят регулярно, откладывать их не стоит.

Настройте резервное копирование конфигурации на внешнее хранилище и проверьте процедуру восстановления на стенде. Возвращение «на живую» в три часа ночи — плохой момент для знакомства с форматом .backup.

Когда инфраструктура выходит за рамки пары маршрутизаторов и десятка клиентов, ручная поддержка быстро съедает ресурсы команды. Передача VPN и сопутствующих сервисов на аутсорсинг снимает со штатных администраторов рутину и снижает вероятность ошибок из-за усталости или нехватки времени. В Казахстане такие задачи под ключ закрывает TC Telecom — компания берёт на себя настройку оборудования, мониторинг и оперативное реагирование на инциденты, чтобы бизнес сосредоточился на основной работе.