Присутствие SSL в любой системе повышает не только доверие среди пользователей, но и уровень защищенности таких соединений. SSL доверяют банки, корпорации и это является первым признаком надежности службы. Ранее были рассмотрены такие типы VPN туннелей:

VPN туннели стали первой необходимостью в современной ИТ инфраструктуре, их используют как сотрудники так и целые отделы, обеспечивая удаленный доступ к корпоративным ресурсам. Частым решением выступает OpenVPN: готовый и надежный opensource продукт для удаленного доступа. Отличительной чертой IKEv2 от OpenVPN является то, что IKEv2 больше ориентирован на коммуникацию между аппаратными маршрутизаторами(роутерами), а OpenVPN имеет больше программную ориентацию, т.е. требует наличие ПК, смартфона или сервера.

Чем отличается IKEv2 от IpSec

Стоит сразу отметить что IKEv2 это разновидность IpSec с применением SSL сертификатов. Данная конструкция наследует все положительные качества у протокола IpSec такие как аппаратная поддержка маршрутизаторами(роутерами) и высокий уровень защищенности соединения. К разработке приложили руку такие гиганты как Microsoft и Cisco.

IKE (Internet Key Exchange) как v1 использует pre shared key, а как v2 – SSL сертификат. Обе версии относятся к phase-1, как первый этап, на котором происходит согласование между клиентами, устанавливающими между собой VPN туннель. Большинство ошибок, которые могут встретиться при настройке IpSec как правило происходят именно на phase-1.Настройка MikroTik IKEv2, как работает VPN туннель

В конце статьи приведено тестовое сравнение IKEv2 и IpSec по скоростной характеристики через Bandwidth Test.

Настройка VPN туннеля IKEv2 между двумя MikroTik

Как видно из названия раздела, схема подключения будет состоять из двух маршрутизаторов(роутеров) MikroTik, объединённых между собой VPN туннелем типа IKEv2. Для туннелей подобного типа не принято использовать обозначения типа VPN сервер и VPN клиент, но для того, чтобы зафиксировать иерархию устройств будет определено:

IKEv2 VPN сервер – роутер MikroTik-1. Будет управлять валидностью сертификатов, а также заниматься аутентификацией клиентов по SSL;

IKEv2 VPN клиент – роутер MikroTik-2.


Создание SSL сертификата для VPN сервера IKEv2

Всего будет создано три разных сертификата для:

  • Центра сертификации(CA);
  • VPN cервера IKEv2;
  • VPN клиента IKEv2.

Создание SSL сертификата для CA

Настройка находится System→Certificates

Настройка MikroTik IKEv2, cоздание SSL сертификата для CA

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

Указать возможность подписи данным сертификатом других сертификатов

Настройка MikroTik IKEv2, указать возможность подписи данным сертификатом других сертификатов

Подпись CA сертификата

Настройка MikroTik IKEv2, подпись CA сертификата

Создание сертификата SSL для IKEv2 VPN сервера

Настройка MikroTik IKEv2, создание сертификата SSL для VPN сервера

Указать возможность использовать этот сертификат в качестве серверного

Настройка MikroTik IKEv2, указать возможность использовать этот сертификат в качестве серверного

Подпись сертификата для IKEv2 сервера центром сертификации(CA)

Настройка MikroTik IKEv2, подпись сертификата для VPN сервера центром сертификации(CA)

Создание сертификата SSL для IKEv2 VPN клиента

Настройка MikroTik IKEv2, создание сертификата SSL для VPN клиента

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

Указать возможность использовать этот сертификат в качестве клиентского

Настройка MikroTik IKEv2, указать возможность использовать этот сертификат в качестве клиентского

Подпись сертификата для IKEv2 клиента центром сертификации(CA)

Настройка MikroTik IKEv2, подпись сертификата для VPN клиента центром сертификации(CA)

Экспорт сертификата SSL для VPN клиента

Настройка MikroTik IKEv2, экспорт сертификата SSL для VPN клиента

Место хранение SSL сертификата в MikroTik

Настройка находится Files→File List→Download

Настройка MikroTik IKEv2, место хранение SSL сертификата в MikroTik

Настройка VPN IKEv2 туннеля для MikroTik сервера

Настройка части IpSec отличается от типичной конфигурации с открытым ключом только разделом Identities, который будет осуществлять обязательную проверку сертификата со стороны VPN клиента. Этот функционал не только обладает свойствами защиты соединения и трафика, но может служить в качестве инструмента по управлению разрешениями для доступа.

Создание IpSec Profile, phase-1

Настройка находится в IP→IPsec→Profile

Настройка MikroTik IKEv2, создание IpSec Profile, phase-1

Добавление Peer, узел-клиент

Настройка находится в IP→IPsec→Peers

Настройка MikroTik IKEv2, добавление Peer, роутер-2

Определение методов авторизации

Настройка находится в IP→IPsec→Identities

Настройка MikroTik IKEv2, определение методов авторизации

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

  • Match By = certificate – проверяет сертификат указанный в Remote Certificate с сертификатом, со стороны VPN клиента.

Создание IpSec Proposal, phase-2

Настройка находится в IP→IPsec→Proposals

Настройка MikroTik IKEv2, создание IpSec Proposal, phase-2

Добавление IpSec Policy

Настройка находится в IP→IPsec→Policies

Настройка MikroTik IKEv2, добавление IpSec Policy General

Настройка MikroTik IKEv2, добавление IpSec Policy Action
/ip ipsec profile
add dh-group=modp1024 enc-algorithm=3des hash-algorithm=md5 lifetime=8h name=\
Profile-Ipsec
/ip ipsec peer
add address=b9070aee7432.sn.mynetname.net name=b9070aee7432.sn.mynetname.net exchange-mode=ike2 \
profile=Profile-Ipsec
/ip ipsec proposal
add auth-algorithms=md5 enc-algorithms=3des lifetime=8h name=Proposal-Ipsec
/ip ipsec identity
add auth-method=digital-signature certificate=92490a0ea575.sn.mynetname.net \
match-by=certificate peer=b9070aee7432.sn.mynetname.net \
remote-certificate=b9070aee7432.sn.mynetname.net
/ip ipsec policy
add dst-address=192.168.1.0/24 peer=b9070aee7432.sn.mynetname.net proposal=\
Proposal-Ipsec sa-dst-address=82.144.213.152 sa-src-address=0.0.0.0 \
src-address=192.168.0.0/24 tunnel=yes

Настройка VPN IKEv2 туннеля для MikroTik клиента

В этом разделе нужно выполнить 2 задачи:

  • импортировать сертификат с VPN сервера;
  • настроить IKEv2 VPN клиент.

Загрузка SSL сертификата для VPN IKEv2 клиента

Настройка находится Files→File List→Upload

Настройка MikroTik IKEv2, загрузка SSL сертификата для VPN клиента

Импорт SSL сертификата

Настройка MikroTik IKEv2, импорт SSL сертификата

Создание IpSec Profile, phase-1

Настройка находится в IP→IPsec→Profile

Настройка MikroTik IKEv2, создание IpSec Profile, phase-1

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

Добавление Peer, узел-сервер

Настройка находится в IP→IPsec→Peers

Настройка MikroTik IKEv2, добавление Peer, роутер-1

Определение методов авторизации для VPN клиента

Настройка находится в IP→IPsec→Identities

Настройка MikroTik IKEv2, определение методов авторизации для VPN клиента

Создание IpSec Proposal, phase-2

Настройка находится в IP→IPsec→Proposals

Настройка MikroTik IKEv2, создание IpSec Proposal, phase-2

Добавление IpSec Policy для VPN клиента

Настройка находится в IP→IPsec→Policies

Настройка MikroTik IKEv2, добавление Peer, узел-сервер

Настройка MikroTik IKEv2, Добавление IpSec Policy Action для VPN клиента

/ip ipsec profile
add dh-group=modp1024 enc-algorithm=3des hash-algorithm=md5 lifetime=8h name=\
Profile-Ipsec
/ip ipsec peer
add address=92490a0ea575.sn.mynetname.net name=92490a0ea575.sn.mynetname.net exchange-mode=ike2 \
profile=Profile-Ipsec
/ip ipsec proposal
add auth-algorithms=md5 enc-algorithms=3des lifetime=8h name=Proposal-Ipsec
/ip ipsec identity
add auth-method=digital-signature certificate=\
cert_export_b9070aee7432.sn.mynetname.net.p12_0 peer=\
92490a0ea575.sn.mynetname.net
/ip ipsec policy
add dst-address=192.168.0.0/24 peer=92490a0ea575.sn.mynetname.net proposal=\
Proposal-Ipsec sa-dst-address=195.138.71.119 sa-src-address=0.0.0.0 \
src-address=192.168.1.0/24 tunnel=yes

Тестирование скорости VPN туннелей IKEv2 и IpSec

В качестве тестового стенда были использованы два маршрутизатора(роутера) с аппаратной поддержкой IpSec – MikroTik Hap Ac2.

Время каждого теста 20 сек.

Bandwidth Test IKEv2

Настройка MikroTik IKEv2, bandwidth Test IKEv2

Bandwidth Test IpSec

Настройка MikroTik IKEv2, bandwidth Test IpSec

По результатам стоит отметить, что IKEv2 опережает на несколько пунктов IpSec. Это может показаться незначительным, но аналогичные показатели IKEv2 демонстрирует на разных каналах и устройствах. Это может быть весомой причиной при выборе протокола для шифрования VPN трафика.

IKEv2 403мс
IpSec(CHA) 521мс
IpSec(AES) 508мс
OpenVPN 1541мс

Проблемы при работе VPN IKEv2

Самые распространённые случаи описаны в статье “Настройка MikroTik IpSec, проблемы при работе “:

Понравилась статья, отблагодари автора, посмотри рекламу. СпасибоПоддержи автора статьи, сделай клик по рекламе ↓↓↓

Есть вопросы или предложения по настройке VPN типа IKEv2 в MikroTik? Активно предлагай свой вариант настройки! Оставить комментарий