Инструкция по настройке VPN сервера IKEv2 с авторизацией по сертификату. Настройка IKEv2 будет состоять из этапов:

  1. Создание SSL в MikroTik
  2. Настройка IKEv2
  3. Настройка Firewall IKEv2
  4. Экспорт сертификата
  5. Импорт SSL в Windows 11
  6. Настройка IKEv2 в Windows 11
  7. IKEv2 и Active Directory
  8. Проверка работы IKEv2
  9. Задать вопрос по настройке IKEv2

IKEv2 vs L2TP, SSTP, PPTP

Преимущество такого метода в том, что использование учётной записи замещается использованием SSL сертификата. А это в разы безопасней и невозможно скомпрометировать через перебор пароля. Настройки становятся более ёмкими(сложными) и для того, чтобы подключить пользователя первым делом нужно передать сертификат. В эксплуатации IKEv2 компенсирует все сложность предварительной настройки, т.к. VPN туннель работает быстро и по современным мерках является актуальным для использования.

IKEv2 с авторизацией по SSL похож на настройку SSL VPN на оборудовании Fortigate, где сервером могут быть переданы динамические маршруты для клиента. В итоге клиент будет иметь доступы к локальной сети MikroTik, а его интернет будет работать через роутер клиента. Эта опция крайне удобна для системных администраторов и сетевых инженеров, т.к. позволяет сконфигурировать маршрутизацию подключаемого VPN клиента предварительно на роутере MikroTik.

Итого сертификат CA может быть выпущен:

  1. На IP адрес роутера MikroTik. Однако при смене IP придётся обновлять всю цепочку сертификатов;
  2. Cloud DDNS. Сертификаты будут привязаны к серийному номеру роутера MikroTik;
  3. Публичный DNS. Самый гибкий вариант для перенастройки.

Создание SSL для IKEv2 в MikroTik

CA – центр сертификации или удостоверяющий центр (англ. Certification authority, CA) — сторона (отдел, организация), чья честность неоспорима, а открытый ключ широко известен. Задача центра сертификации — подтверждать подлинность ключей шифрования с помощью сертификатов электронной подписи.

Всего будет создано 3 сертификата:

  • CA – им будут подписываться клиентские и серверный сертификаты ;
  • Сертификат для VPN сервера IKEv2;
  • Индивидуальный сертификат для клиента.

В качестве “Subject Alt. Name” будет использоваться Cloud DDNS типа серийный_номер_роутера.sn.mynetname.net , который позволит оставаться в активном режиме IKEv2 VPN серверу при смене провайдера.

Немного про DNS и IP адреса. Выпущенный сертификат нужно привязать к IP адресу роутера MikroTik или какому-то DNS. Каждый параметр имеет ряд достоинств и недостатков, оценку которых рекомендуется сделать до запуска VPN сервера.

Включить Cloud DDNS

Настройка находится IP→Cloud

Настройка IKEv2 MikroTik, включить Cloud DDNS

Создание SSL для CA

Настройка находится System→Certificates

Настройка IKEv2 MikroTik, создание SSL для CA

Определение Key Usage для CA

Настройка IKEv2 MikroTik, определение Key Usage для CA

Подпись CA

Настройка IKEv2 MikroTik, подпись CA

Создание сертификата для сервера VPN

Настройка IKEv2 MikroTik, создание сертификата для сервера VPN

Важно корректно заполнять параметры Common Name и Subject Alt. Name, т.к. их неверные значения повлекут за собой перевыпуск сертификата, его экспорт\импорт, копирование и прочие манипуляции.

Определение Key Usage для сервера VPN

Настройка IKEv2 MikroTik, определение Key Usage для сервера VPN

Подпись сервера VPN

Настройка IKEv2 MikroTik, подпись сервера VPN

Создание SSL для пользователя

Настройка IKEv2 MikroTik, создание SSL для пользователя

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

Подпись SSL для пользователя

Настройка IKEv2 MikroTik, подпись SSL для пользователя

После создания сертификатов их должно получиться всего три, для: CA, VPN сервера и пользователя(support).

Список сертификатов IKEv2

Настройка IKEv2 MikroTik, список сертификатов IKEv2

Настройка IKEv2 MikroTik с авторизацией по SSL

После того, как все сертификаты созданы, можно заняться настройкой IKEv2 на роутере MikroTik. Данная настройка будет иметь ряд смежных параметров с аналогичными настройками других видов VPN, использующие IKEv2 или IKEv1.

Первым делом нужно определить IP адреса, которые будут выдаваться VPN клиентам. Для этого нужно взять отдельную подсеть и отделить её от рабочего диапазона IP адресов. Такой подход ускорит диагностику(в случае проблем), позволит нормально настроить маршрутизацию, а также предоставит широкие возможности по внедрению ограничений(Firewall, NAT, QoS).

Создание IP Pool для VPN клиентов

Настройка находится IP→Pool

Настройка IKEv2 MikroTik, создание IP Pool для VPN клиентов

Настройка Ipsec Profile для IKEv2

Эта настройка относится к phase-1 IPsec и может быть дополнена другими алгоритмами и группами шифрования, набор которых зависят от подключаемых клиентов.

Настройка находится IP→IPsec→Profile

Настройка IKEv2 MikroTik, Ipsec Profile

Настройка Ipsec Proposal для IKEv2

Эта настройка относится к phase-2 IPsec и может быть дополнена другими алгоритмами и группами шифрования, набор которых зависят от подключаемых клиентов.

Настройка находится IP→IPsec→Proposals

Настройка IKEv2 MikroTik, Ipsec Proposal

Настройка Ipsec Mode Config для IKEv2

Настройка находится IP→IPsec→Mode Configs

Настройка IKEv2 MikroTik, Ipsec Mode Config

  • Split Include содержит список разрешенных подсетей и узлов, которые будут переданы VPN клиенту в виде динамического маршрута. В данном случае клиенту будет передан маршрут в подсеть 192.168.88.0/24
  • Static DNS если требуется передать VPN клиенту DNS сервер такой как Active Directory.

Настройка Ipsec Group для IKEv2

Настройка находится IP→IPsec→Groups

Настройка IKEv2 MikroTik, Ipsec Group

Настройка Ipsec Peer для IKEv2

Address=0.0.0.0/0 означает, что VPN сервер будет принимать любые подключения, независимо от IP адреса IKEv2 клиента.

Настройка находится IP→IPsec→Peers

Настройка IKEv2 MikroTik, Ipsec Peer

Настройка Ipsec Policy для IKEv2

Настройка находится IP→IPsec→Policies

Настройка IKEv2 MikroTik, Ipsec Policy general

Настройка IKEv2 MikroTik, Ipsec Policy action

Настройка Ipsec Identity для IKEv2

  • Certificate – сертификат VPN сервера;
  • Remote Certificate – пользовательский сертификат. Именно по этому параметру будет проверяться имеет ли право VPN пользователь подключиться к серверу;
  • Remote ID Type – какой тип ID будет ожидать от VPN клиента. Этот параметр позволяет указать в Remote ID полное наименование VPN клиента;
  • Match By – выбор объекта для сравнения, Remote Certificate или Remote ID.

Настройка находится IP→IPsec→Identities

Настройка IKEv2 MikroTik, Ipsec Identity

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

/ip ipsec policy group
add name=IKEv2-Server
/ip ipsec profile
add name=IKEv2-Server
/ip ipsec peer
add exchange-mode=ike2 name=IKEv2-Server passive=yes profile=IKEv2-Server
/ip ipsec proposal
add name=IKEv2-Server
/ip pool
add name=Ip-IKEv2-Pool ranges=174.16.0.100-174.16.0.254
/ip ipsec mode-config
add address-pool=Ip-IKEv2-Pool name=IKEv2-Server split-include=\
192.168.88.0/24 system-dns=no
/ip cloud
set ddns-enabled=yes ddns-update-interval=1h
/ip ipsec identity
add auth-method=digital-signature certificate=aXXXXXXXXXX9.sn.mynetname.net \
generate-policy=port-strict match-by=certificate mode-config=IKEv2-Server \
peer=IKEv2-Server policy-template-group=IKEv2-Server remote-certificate=\
[email protected] remote-id=\
user-fqdn:[email protected]
/ip ipsec policy
add dst-address=0.0.0.0/0 group=IKEv2-Server proposal=IKEv2-Server \
src-address=0.0.0.0/0 template=yes

Настройка Firewall для IKEv2 MikroTik

Ниже будет рассмотрен базовый Firewall на роутере MikroTik, в который будет добавлено разрешающее правило для IKEv2 подключений.

Крайне внимательно стоит относиться к Firewall, т.к. отсутствие правил запрета создаёт серьёзные проблемы в безопасности и нивелирует использование таких технологий как SSL. Роутер MikroTik в этом случае взломать становится на порядок легче.

Разрешить входящее IKEv2 подключение

Настройка находится IP→Firewall→Filter Rules

Настройка IKEv2 MikroTik, разрешить входящее подключение

/ip firewall filter
add action=accept chain=input dst-port=500,4500 in-interface-list=WAN \
protocol=udp

Общий вид Firewall

Настройка IKEv2 MikroTik, общий вид Firewall

Экспорт сертификата для IKEv2 подключений

Всего экспортироваться сертификатов будет два – для CA(без ключа) и для пользователя(с закрытым ключом).

Экспорт сертификата для пользователя

Настройка находится System→Certificates

Настройка IKEv2 MikroTik, экспорт сертификата

Важно! Ключ указать закрытый

Указать тип сертификата PKCS12 для пользователя

Настройка IKEv2 MikroTik, указать тип сертификата PKCS12

Экспорт сертификата для CA

 

 

Указать тип сертификата PEM для CA

Скопировать сертификат IKEv2

Настройка находится File→File List

Настройка IKEv2 MikroTik, список сертификатов

Импорт сертификата в Windows 11

Импорт сертификата для IKEv2 для разных систем особо не будет отличаться, важно контролировать:

  • CA должен быть импортирован в доверительные CA;
  • Пользовательский сертификат с закрытым ключом должен быть помещен в раздел “Личный” локального ПК.

Особенностью Windows стоит отметить установку сертификата на учётную запись компьютера(а не пользователя). И если войти под другой учётной записью на этот же компьютер, то сертификат будет оставаться доступным.

Для импорта или редактирования списка сертификатов можно воспользоваться системной консолью mmc.exe, в которую нужно добавить оснастку Сертификаты→учётной записи компьютера.

Импорт сертификата CA(открытый ключ)

Настройка IKEv2 MikroTik, выбор расположения хранилища для SSL

Настройка IKEv2 MikroTik, импорт сертификата для CA

Импорт сертификата для пользователя(закрытый ключ)

Настройка IKEv2 MikroTik, выбор расположения хранилища для SSL

Ввод закрытого ключа

Настройка IKEv2 MikroTik, ввод закрытого ключа

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

Выбор хранилища для сертификата

Настройка IKEv2 MikroTik, выбор хранилища для сертификата

Настройка IKEv2 в Windows 11

На этом этапе нужно создать VPN подключение типа IKEv2 с авторизацией по SSL. На Windows клиент сертификат уже ранее был импортирован, а IKEv2 сервер активен и ожидает подключения.

Открыть параметры сети и Интернета

Настройка IKEv2 MikroTik, открыть параметры сети

Перейти в раздел настройки VPN

Настройка IKEv2 MikroTik, открыть раздел VPN

Добавить новое IKEv2 подключение

Настройка IKEv2 MikroTik, добавить новое VPN подключение

Заполнить параметрами новое IKEv2 подключение

Настройка IKEv2 MikroTik, заполнить параметры VPN подключения

Изменить параметр расположения SSL

Настройка IKEv2 MikroTik, изменить параметры VPN подключения

Настройка IKEv2 MikroTik, указать расположение SSL для VPN подключения

Подключиться к VPN IKEv2

Настройка IKEv2 MikroTik, проверить статус VPN

Настройка IKEv2 с Active Directory авторизацией

Для настройки будет взят предварительно подготовленный стенд:

  1. Настроенный Radius на Windows Server;
  2. Роутер MikroTik уже успешно авторизируется в Radius сервере;
  3. Используется VPN типа IKEv2 с авторизацией по сертификату.

Обновление параметров Radius сервера

Настройка IKEv2 с Active Directory, обновление параметров Radius сервера

Активировать службу IPsec для Radius авторизации

Настройка находится RADIUS

Настройка IKEv2 с Active Directory, активировать службу IPsec для Radius авторизации

Обновить настройки IPsec Mode Config

Настройка находится IP→IPsec→Mode Configs

Настройка IKEv2 с Active Directory, обновить настройки IPsec Mode Config

Обновить настройки IPsec Identity

Настройка находится IP→IPsec→Identities

Настройка IKEv2 с Active Directory, обновить настройки IPsec Identity

Проверка работы VPN IKEv2

После того, как VPN клиент IKEv2 совершил подключение и его статус в Windows 11 отображается как “Подключено”, можно совершить дополнительную проверку

Посмотреть маршруты на IKEv2 VPN клиенте

Настройка IKEv2 MikroTik, проверка маршрутизации на VPN клиенте

Проверить доступность узлов удаленно сети

Настройка IKEv2 MikroTik, проверка доступности узла по VPN

Проверить статус VPN клиента на IKEv2 сервере

Настройка IKEv2 MikroTik, проверка подключения VPN

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

Есть вопросы или предложения по настройке WireGuard в MikroTik? Активно предлагай свой вариант настройки! Оставить комментарий