1 Zusammenfassung

Standards:
Package: ppp

OVPN Merkmale die aktuelle nicht unterstützt werden:

• UDP Modus
• LZO Datenkompression
• TLS Authentifizierung
• Authentifizierung ohne Nutzername/Passwort

2 OVPN Client

Sub-menu: /interface ovpn-client

2.1 Eigenschaften

2.2 Beispiel

Das Beispiel zeigt, wie man einen OVPN Client mit Nutzernamen „test“ und dem Password „123“, sowie dem Server 10.1.101.1 aufsetzt.

[admin@bumba] /interface ovpn-client> add connect-to=10.1.101.1 user=test password=123 disabled=no 
[admin@bumba] /interface ovpn-client> print 
Flags: X - disabled, R - running 
 0    name="ovpn-out1" mac-address=FE:7B:9C:F9:59:D0 max-mtu=1500 connect-to=10.1.101.1 
      port=1194 mode=ip user="test" password="123" profile=default certificate=none auth=sha1 
      cipher=blowfish128 add-default-route=no 

3 OVPN Server

Sub-menu: /interface ovpn-server

In diesem Untermenü werden die Interfaces für jeden verbundenen OVPN Client angezeigt.

Für jeden zum Server aufgebauten Tunnel wird ein Interface angelegt. In der OVPN Server Konfiguration gibt es zwei verschiedene Arten von Interface-Typen.

• Statische Interfaces werden administrativ hinzugefügt, wenn es erforderlich ist auf einen speziellen Interface-Namen zu verweisen (z.B. in Firewallregeln oder anderweitig) welcher für den entsprechenden Nutzer angelegt wurde.
• Dynamische Interfaces werden immer dann automatisch zur Liste hinzugefügt, wenn sich ein Nutzer verbunden hat und sein Nutzernamen nicht in der Liste mit statischen Einträgen vorhanden ist oder bereits ein Interface mit diesem Namen aktiv ist, da es keine zwei aktiven Tunnel mit ein und demselben Namen geben kann.

Dynamische Interface erscheinen, wenn sich ein Nutzer verbindet und verschwindet auch wieder, wenn der Nutzer die Verbindung schließt. Es ist also unmöglich, auf diesen Tunnel in der Routerkonfiguration zu verweisen (z.B. in der Firewall) da für gleichbleibende Regeln in Bezug auf einen Nutzer zwingend ein statischer Eintrag vorliegen muss. Abgesehen davon ist es sicher, eine dynamische Konfiguration zu nutzen.

3.1 Server-Konfiguration

Sub-menu: /interface ovpn-server server

Eigenschaften:

[admin@bumba] /interface ovpn-server server set enabled=yes 
[admin@bumba] /interface ovpn-server server set certificate=server 
[admin@bumba] /interface ovpn-server server print 
                     enabled: yes
                        port: 1194
                        mode: ip
                     netmask: 24
                 mac-address: FE:A5:57:72:9D:EC
                     max-mtu: 1500
           keepalive-timeout: 60
             default-profile: default
                 certificate: server
  require-client-certificate: no
                        auth: sha1,md5
                      cipher: blowfish128,aes128

4 Überwachung

Um den Verbindungsstatus des Tunnels auf Server und Client zu überwachen, nutzt man das Monitor Kommando.

[admin@dzeltenais_burkaans] /interface ovpn-server monitor 0
     status: "connected"
     uptime: 17m47s
  idle-time: 17m47s
       user: "test"
  caller-id: "10.1.101.18:43886"
        mtu: 1500

Read-only Eigenschaften

5 Anwendungs-Beispiel

5.1 Übersicht über die Einrichtung

Angenommen, dass die öffentliche IP Adresse des Offices 2.2.2.2 ist und man zwei Remote OVPN Clients Zugang zu 10.5.8.20 und dem 192.168.55.0/24 Netzwerk hinter dem Office Gateway gewähren will.

5.2 Zertifikate erstellen

Alle Zertifikate können auf dem RouterOS Server erstellt werden, wenn man den Zertifikats-Manager nutzt. Beispiel>>.

Für das einfachste Setup braucht man nur ein OVPN Server Zertifikat.

5.3 Server konfigurieren

Der erste Schritt ist, Nutzer und einen IP Pool anzulegen, von welchem aus Client Adressen vergeben werden.

/ip pool add name=ovpn-pool range=192.168.77.2-192.168.77.254

/ppp profile add name=ovpn local-address=192.168.77.1 remote-address=ovpn-pool
/ppp secret
  add name=client1 password=123 profile=ovpn
  add name=client2 password=234 profile=ovpn

Vorausgesetzt dass das Server Zertifikat ist erstellt und dieses wurde als „server“ bezeichnet

/interface ovpn-server server set enabled=yes certificate=server

5.4 Client konfigurieren

RouterOS Client

Da RouterOS kein route-push unterstützt, muss manuell eingetragen werden, welches Netzwerk über den Tunnel erreicht werden soll.

/interface ovpn-client
  add name=ovpn-client1 connect-to=2.2.2.2 user=client1 password=123 disabled=no
/ip route 
  add dst-address=10.5.8.20 gateway=ovpn-client1
  add dst-address=192.168.55.0/24 gateway=ovpn-client1
/ip firewall nat add chain=srcnat action=masquerade out-interface=ovpn-client1

Linux Client konfigurieren

dev tun
proto tcp-client

remote 2.2.2.2 1194

tls-client

user nobody
group nogroup

#comp-lzo # Do not use compression.

# More reliable detection when a system loses its connection.
ping 15
ping-restart 45
ping-timer-rem
persist-tun
persist-key

mute-replay-warnings

verb 3

cipher BF-CBC
auth SHA1
pull

auth-user-pass auth.cfg 

Die Datei auth.cfg beinhaltet die Kombination aus Nutzernamen/Passwort. In der ersten Zeile muss der Nutzernamen und in der zweiten das Passwort stehen.

client2
234

[ Top | Back to Content ]