Лига Сисадминов

В предыдущей части я уже рассказал о том, как пандемийные реалии привели меня на тернистый путь настройки безопасной удаленной работы для коллег по офису. Трудности подстерегли меня там, где их никто не ожидал – скорость подключения при использовании VPN упала до неприличия.

Заподозрив, что причина замедления может крыться в ограничениях у оператора связи, я решил испробовать другой вариант – SSTP. Поскольку в данном случае не требуется установка дополнительного программного обеспечения, то, сделав бэкап, я перешел прямо к настройке.

Сначала создал пул клиентских адресов:

Затем – профиль сервера SSTP:

Создал профиль пользователя:

Далее начинается веселье с настройкой сертификатов.

Настраиваем сервер сертификации:

Тут я указал название центра сертификации (из головы), два символа кода страны, следующие поля заполнил произвольно, важно указать внешний IP адрес сервера в Common Name, размер ключа в битах и срок действия (например, 10 лет)

Дальше настроил выдачу приватных и публичных ключей:

И самоподписал сертификат:

Подобным образом создал сертификат сервера SSTP. Указал выбранный ранее сертификационный центр, и подписал сертификат сервера ключом центра сертификации.

Далее можно включать сервер SSTP:

В настройках SSTP сервера рекомендуется оставлять только mschap2 протокол аутентификации, так же рекомендуется указать версию TLS 1.2. но я решил пока оставить по умолчанию.

Галочку PFS я трогать не стал, так как не понимаю ее глубокий смысл.

Настроив сервер, проверил фаерволл открытие порта 443.

Чтобы настроить клиент экспортировал сертификат, зайдя в пункт меню System:

Файл сертификата, взятый из раздела Files, установил на клиентский компьютер в Trusted Root Certification Authorities и создал VPN подключение:

Окончив настройку, решил замерить скорость, 6-12 Мбит/с, с одной стороны это победа, протокол не режется оператором так явно как L2TP, но за счет того что SSTP работает на TCP и внутри него трафик чаще всего так же TCP происходит жуткое снижение производительности сети.

С такой скоростью оперативного решения рабочих задач ожидать не приходится. Хотя удаленный рабочий стол работает не плохо, а вот файловая шара выдает грустные 300кб\сек.

Для себя я сделал весьма неутешительные выводы – обеспечение безопасности соединения в условиях, которые могут предоставить операторы связи оборачивается неизбежной потерей скорости соединения.

В итоге SSTP на протоколе TCP + 4G дают скорости едва приемлемые для работы.

Подключаем роутер к питанию, в первый порт подключаем кабель от провайдера, в любой другой - кабель к компьютеру. Либо по Wi-Fi подключаемся к сети "MikroTik-******" (вместо звездочек могут быть любые буквоцифры). Сеть открытая, пароль не требуется

Запускаем Winbox, и если всё сделали правильно, в окне Neighbors увидим наш роутер:

У меня роутер не один, поэтому на вторую строчку внимания не обращаем. Тыкаем мышкой в первый столбик с MAC-адресом. По умолчанию, Login - admin, Password - пустой. Жмём Connect, и видим следующее окошко:

Мы, в данном случае рассматриваем самую простую и самую базовую настройку, поэтому жмём Ok.

Теперь открываем папку, куда мы распаковали файлы прошивки, и обычным перетаскиванием закидываем в окно винбокса файлы, имя которых начинается с system, wireless, и dhcp.

Можно в окне винбокса нажать меню Files, и проверить, что все файлы удачно загрузились:

Если что-то не так, докидываем недостающие файлы.

Затем в Winbox переходим в раздел System - RouterBoard, там жмём кнопку Settings, и ставим галочку Auto Upgrade, для автоматического обновления не только основной прошивки, но и загрузчика. Нажимаем OK

Теперь идём в раздел System и жмём кнопку Reboot. Ждём, пока роутер перезагрузится, и снова подключаемся к нему. Если вы закрыли окно System - RouterBoard, открываем его снова. Если не закрывали, оно откроется само. Вот что мы должны там увидеть:

Для обновления загрузчика, ещё раз идём в раздел System и жмём кнопку Reboot.

Теперь, настроим Wi-Fi

Заходим в меню Wireless, вкладка Security profiles, дважды щёлкаем по строчке default, и открываем окошко текущего профиля безопасности Wi-Fi.

Выбираем Mode - dynamic keys, Authentication Types - WPA PSK, и в строке WPA Pre-Shared Key вводим желаемый пароль Wi-Fi. Жмём OK.

На этом минимальный конфиг роутера готов. Его уже можно использовать в 90% пользовательских задач. Да, можно настроить ещё кучу параметром - изменить выдаваемые по DHCP адреса, так как по умолчанию раздаются адреса из сети по умолчанию, 192.168.88.0. Возможно, у вас другой тип подключения к интернету, и тогда настройки совсем другие. И многое-многое другое

Если будет интересно, могу рассказать о любых других этапах настройки. Микротик - очень гибкие железки, и на них можно настроить практически что угодно

P.S. Возможно придётся позвонить провайдеру, и сообщить, что у вас новый роутер, чтобы он зарегистрировал mac-адрес вашего роутера, и дал вам доступ в интернет. Если вы знаете mac-адрес предыдущего устройства, которое выходило в интернет, можно склонировать его. Но об этом в другой раз

P.P.S. Чуть не забыл самое главное. Меняем пользователя под умолчанию, во славу безопасности.

Заходим в раздел System - Users, нажимаем кнопку с большим знаком плюс. В открывшиеся окне, в поле Name вводим имя нового пользователя, в строке Group выбираем full, в полях Password и Confirm password, два раза вводим новый пароль. Жмём ОК.

Теперь проверяем, что новый пользователь заведён правильно. Закрываем окно винбокса, и открываем новое, либо просто не выходя жмём New winbox. Снова пытаемся зайти на роутер, но уже введя новые логин и пароль. В случае успеха, снова заходим в system - users, и удаляем пользователя admin

Уж сколько раз твердили миру, что повторенье мать учения... но я рискну нарваться на вагон шпал и напишу о своей настройке микротика.

Трудно найти взрослого человека, который бы не ощутил бы на своей шкуре перемен, произошедших во время пандемии. Вот и в нашей небольшой конторе привычный ритм работы был совершенно сбит ограничительными мерами. В конце концов руководство поручило мне обеспечить переход всех сотрудников на удаленку. Пришлось засучив рукава браться за организацию связи домашних компьютеров и офиса.

Моей первоочередной задачей стало обеспечение безопасности соединения – конкуренты не дремлют, да и коммерческая тайна подчас становится понятием куда более серьезным, нежели может показаться рядовому работнику. Поэтому передо мной встала реальная необходимость выбора надежного протокола VPN.

Дано: выделенка на 100мбит и MikroTik Hex S в офисе и 4G модем + Hex S в распоряжении отдельного сотрудника, в среднем. В таких условиях я принялся за рассмотрение возможных вариантов.

Прежде всего на ум пришел PPTP – разработка корпорации Microsoft, относящаяся к числу старейших протоколов. С одной стороны, что немаловажно, PPTP обеспечивает достаточно высокую скорость и поддерживается любой версией Windows, а с другой – этот протокол из-за недостаточной надежности и конфиденциальности уже не рекомендуется самим разработчиком, да и при разрыве соединения восстанавливается довольно медленно, что может добавить лишней нервозности и без того непростым рабочим моментам.

Гораздо лучше с безопасностью дела обстоят в случае L2TP/IPSec, пришедшего в 1999 году на замену майкрософтовскому PPTP и L2F от Cisco. Стандартизация, поддержка большинства операционных систем, шифрование, простота настройки общепризнаны в качестве сильных сторон протокола. Однако безопасность, обеспечиваемая двойной инкапсуляцией данных, не лучшим образом сказывается на скорости передачи. Вторым минусом стала систематическая брандмауэрная блокировка используемого протоколом по умолчанию UDP порта 500.

Нельзя было обойти вниманием и OpenVPN, недаром пользующийся огромной популярностью. Востребованность его возникла не на ровном месте – ее подкрепляют многочисленные пройденные независимые проверки, высокая стабильность и скорость, а также способность работы не только с операционкой от Microsoft, но и с «яблочными» iOS и Mac Os, с Android и даже с Linux. Однако ситуацию несколько осложняет необходимость использования специализированного клиентского ПО.

Наконец, в качестве запасного варианта я добавил к своему списку SSTP, который слывет достаточно надежным при совместимости с Windows, а также с операционными системами Router и Linux. При всей своей стабильности и безопасности SSTP этот протокол вызвал у меня существенные опасения ограничением сферы использования – далеко не каждый VPN провайдер берется его поддерживать.

Прикинув все «за» и «против», решил опробовать L2TP/IPSec. Дело стало за малым – настроить протокол на микротике. Для начала создал отдельную подсеть для подключения клиентов через L2TP. IP-адреса персонально не назначал, автоматизировав выдачу из диапазона свободных, присвоив пулу само за себя говорящее название.

Пулы для локалки и клиентов L2TP, соответственно:

Настроил профиль сервера, указав имя, начало диапазона адресов и название пула, а также поставив галочку в соответствующей ячейке:

Настроил вкладку протоколов:

Далее вкладка Limits:

Потом создал юзера:

В графе профиля указал имя сервера.

Включил сервер и выбрал следующие настройки:

Чтобы фаерволл пропускал входящие соединения, настроил соответствующее правило открыв порты 1701, 500, 4500:

И для IPSec тоже:

Создаю правило, позволяющее выйти в интернет при подключении к серверу L2TP:

Далее провел настройку подключения в Windows, чтобы соединение пошло сразу по нужному протоколу:

Для проверки подлинности вписал общий ключ, указанный при создании сервера:

Чтобы не нагружать роутер выбрал минимальные настройки шифрования в меню IP – IPSec:

Решил проверить результат, замерив скорость соединения, и тут меня ждал сюрприз! Если без VPN счетчик выдавал уверенные 30-40 Мбит/с, то через VPN скорость оказалась всего 100-200 кбит/с! Да как так то? Посмотрел нагрузку на процессоре - нулевая.

Нерадостный результат навел на мысли что МТС режет VPN соединения и это побудило меня испытать еще один вариант, настроить сервер на протоколе SSTP, но об этом в следующем посте.