RTzRa's hive - software:mikrotik

Mikrotik: блокируем рекламу с помощью StopAD

anonymous@undisclosed.example.com (Anonymous) — Sat, 25 Dec 2021 15:41:06 +0000

Mikrotik: блокируем рекламу с помощью StopAD

Курс «Настройка оборудования MikroTik»

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.
Узнать подробности

Живет эта полезная штука здесь: https://stopad.kplus.pro/

Основная идея проста: загружать список неприемлемых ресурсов Интернета (реклама, телеметрия и прочее говно) на Mikrotik в список статических адресов DNS. Эдакий упрощенный вариант (без красивых графиков) клевой штуки PiHole: https://pi-hole.net/

Списки для блокировки:

https://firebog.net/

Убер-список на 1.4 млн:

https://raw.githubusercontent.com/CamelCase11/UnifiedHosts/master/hosts.all

Внимание

Добавление большого числа блокируемых хостов может серьезно притормозить Mikrotik!

Скрипт для маршрутизатора - для генерации следует заполнить поля на сайте https://stopad.kplus.pro/ и получаете «все в одном».

## StopAD - Script for blocking advertisements, based on your defined hosts files
## For changing any parameters, please, use this link: https://stopad.kplus.pro/
##
## @github    <https://github.com/tarampampam/mikrotik-hosts-parser>
## @version   2.0.2
##
## Setup this Policy for script: [X] Read [X] Write [X] Policy [X] Test

:local hostScriptUrl "https://stopad.kplus.pro/script/source?format=routeros&version=2.0.2&sources_urls=https%3A%2F%2Fcdn.rawgit.com%2Ftarampampam%2Fstatic%2Fmaster%2Fhosts%2Fblock_shit.txt,http%3A%2F%2Fwww.crazyws.fr%2FWindowsSpyBlocker%2Fhosts%2Fwin7%2Fspy.txt,http%3A%2F%2Fpgl.yoyo.org%2Fadservers%2Fserverlist.php%3Fhostformat%3Dhosts%26showintro%3D0%26mimetype%3Dplaintext&excluded_hosts=localhost";
:local scriptName "stop_ad.script";
:local backupFileName "before_stopad";
:local logPrefix "[StopAD]";

do {
  /tool fetch check-certificate=no mode=https url=$hostScriptUrl dst-path=("./".$scriptName);
  :if ([:len [/file find name=$scriptName]] > 0) do={
    /system backup save name=$backupFileName;
    :delay 1s;
    :if ([:len [/file find name=($backupFileName.".backup")]] > 0) do={
      /ip dns static remove [/ip dns static find comment=ADBlock];
      /import file-name=$scriptName;
      /file remove $scriptName;
      :log info "$logPrefix AD block script imported, backup file (\"$backupFileName.backup\") created";
    } else={
      :log warning "$logPrefix Backup file not created, importing AD block script stopped";
    }
  } else={
    :log warning "$logPrefix AD block script not downloaded, script stopped";
  }
} on-error={
  :log warning "$logPrefix AD block script download FAILED";
};

Как мне всё это дело прикрутить к моему MikroTik-у?

Более чем просто — необходимо добавить (System → Scripts → Add New) указанный выше скрипт, а так же добавить задание в планировщик (System → Scheduler → Add New) для его периодического запуска. Если если вы задали имя скрипта AutoADBlock, то в планировщике в поле On Event укажите: /system script run AutoADBlock. Права доступа: [X] Read [X] Write [X] Policy [X] Test.

Выдача кэшируется?

В данный момент каждый запрашиваемый (внешний) ресурс кэшируется на 7200 секунд. Всё остальное — обрабатывается в реалтайме.

Какие ещё есть ограничения?

Ограничения хоть и носят больше формальный характер, но всё таки они есть:

Максимальное количество внешних источников — 8 (URL должен быть не более 256 символов);
Максимальное количество исключений — 32;
Максимальный размер файла на источнике — 2048 Кб. (а так же поле content_type должно соответствовать text/plain);

Применимо только к маршрутизаторам MikroTik (RouterOS)?

На данный момент — да. Но если потребуется дополнительный функционал — пишите здесь.

У меня в таблице DNS есть нужные мне ресурсы. Как быть с ними?

Так как перед импортированием скрипта потребуется уничтожить все имеющиеся маршруты. Вы можете задать служебные (ваши) маршруты предварительно и они будут включены в итоговый скрипт. Таким образом ваши маршруты будут сохранены.

Откуда источники хостов?

Мы используем открытые и обновляемые источники, указанные выше. Более того, вы можете указать свои источники (записи в которых имеют формат «%ip_address% %host_name%») доступные «извне» по протоколам: http, https, ftp.

Запускаю указанный выше скрипт и ничего не происходит. Что делать?

Попробуйте выполнить в консоли /system script print from=%имя_скрипта% и проанализировать вывод. Работоспособность скрипта была протестирована на RouterOS v6.30.2.

Я указал свой источник, но он не обрабатывается. Почему?

Указанный вами адрес должен отвечать кодом 2xx (или 3xx — но не больше двух редиректов). Если при соблюдении этих условий он всё равно не обрабатывается, пожалуйста, напиши об этом вот тут: https://github.com/tarampampam/mikrotik-hosts-parser/issues/new

Mikrotik: добавление пользователя

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:27:36 +0000

Mikrotik: добавление пользователя

Курс «Настройка оборудования MikroTik»

Крайне рекомендуется удалить пользователя по умолчанию admin и создать вместо него пользователя с полными правами

System → Users → +

mikrotik, users

Mikrotik: RouterOS-Backup-Tools для упаковки/распаковки и ...

anonymous@undisclosed.example.com (Anonymous) — Fri, 06 Nov 2020 18:17:14 +0000

Mikrotik: RouterOS-Backup-Tools для упаковки/распаковки и шифрования/дешифрования

Курс «Настройка оборудования MikroTik»

https://github.com/BigNerd95/RouterOS-Backup-Tools

Утилита для для упаковки/распаковки и шифрования/дешифрования бэкапов RouterOS

mikrotik, backup, routeros, encrypt, decrypt, pack, unpack, бэкапы, шифровка, расшифровка, упаковка, распаковка

Mikrotik: резервное копирование настроек (Backup)

anonymous@undisclosed.example.com (Anonymous) — Wed, 20 Oct 2021 22:31:07 +0000

Mikrotik: резервное копирование настроек (Backup)

Курс «Настройка оборудования MikroTik»

Бэкап - наше все, дабы можно было восстановить настройки легким движением руки в случае экстренного случая (смерть железки, сброс настроек и т.д.)

Mikrotik имеет два вариант бэкапа - в бинарном виде и в виде текстового файла. Каждый способ имеет свои преимущества и недостатки.

Бинарный тип: совершенно непонятно что внутри, но зато сохраняются пользователи роутера.

Текстовый тип: легко читаем, но не выгружаются пользователи, можно бэкапить в любую CVS

Ну а если нет серебряной пули - можно комбинировать оба способа.

Для безопасности бэкап можно шифровать - например, для сохранности логинов/паролей.

Oxidized

Самый предпочтительный способ бэкапа - использовать специализированное ПО, например Oxidized: https://github.com/ytti/oxidized

Из плюсов: можно смотреть diff для понимания что именно и когда изменялось. Из минусов: это отдельное ПО, которое нужно где-то устанавливать и настраивать.

Бинарный бэкап

Files, нажать Backup, ввести имя, нажать Backup

> /system backup save name=backup.backup

Бинарное восстановление

Files, нажать Restore, выбрать из списка, нажать Restore

> /system backup load name=backup.backup

Текстовый бэкап

> export file=text-backup.cfg

Текстовое восстановление

> import file-name=text-backup.cfg

Автоматическое создание бэкапов

Взято с https://github.com/dntsk/mikrotik-backup и допилено (по-моему глупо подключаться по ssh а файлы бэкапа копировать wget'ом - гораздо правильнее использовать scp)

Скрипт делает бинарный и текстовый бэкапы.

Для использования нужно:

Зарегистрировать на mikrotik пользователя
Загрузить публичный ключ и назначить его пользователю

#!/bin/bash
routers=( 192.168.1.1 192.168.2.1 192.168.3.1 )
backupdir="/home/backup/mikrotik"
privatekey="/root/.ssh/id_dsa"
login="user"
# passwd="pa$Sw0rd"
fulldir="${backupdir}/`date +%Y`/`date +%m`/`date +%d`"
 
for r in ${routers[@]}; do
    cmd_backup="/system backup save name=${r}.backup"
    ssh ${login}@$r -i $privatekey "${cmd_backup}" > /dev/null
    cmd_backup="/export file=${r}"
    ssh ${login}@$r -i $privatekey "${cmd_backup}" > /dev/null
    sleep 5
    mkdir -p $fulldir
    scp -i $privatekey ${login}@${r}:/${r}.backup ${fulldir}
    scp -i $privatekey ${login}@${r}:/${r}.rsc ${fulldir}
    ssh ${login}@$r -i $privatekey "/file remove \"${r}.backup\""
    ssh ${login}@$r -i $privatekey "/file remove \"${r}.rsc\""
done

mikrotik, backup, export, import, бэкап

Mikrotik: блокируем сканирующие хосты

anonymous@undisclosed.example.com (Anonymous) — Mon, 02 May 2022 13:08:13 +0000

Mikrotik: блокируем сканирующие хосты

Курс «Настройка оборудования MikroTik»

/ip firewall address-list
add list="LAN" address="192.168.0.0/24" comment="LAN"
/ip firewall filter
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="Port scanners to list" protocol=tcp psd=21,3s,3,1 src-address-list=!LAN
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list=port_scanners address-list-timeout=2w chain=input comment="NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
/ip firewall raw
add chain=prerouting action=drop log=no log-prefix="" src-address-list=port_scanners

Необходимо обратить внимание на Address-List который создается первой строкой - в нем должны быть адреса внутренних подсетей

В данном примере блокировка осуществляется на 2 недели (address-list-timeout=2w)

Mikrotik: замена MAC-адреса

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:28:20 +0000

Mikrotik: замена MAC-адреса

Курс «Настройка оборудования MikroTik»

Либо QuickSet → MAC Address либо

> /interface ethernet set ether1-gateway mac-address=00:00:00:00:00:00

mikrotik, mac, change mac, смена mac

Mikrotik: скрипт CheckDNS

anonymous@undisclosed.example.com (Anonymous) — Tue, 15 Oct 2024 19:29:57 +0000

Mikrotik: скрипт CheckDNS

Простой скрипт для проверки доступности DNS-серверов и переключения на вторичные в случае недоступности основных.

Адреса первичных/вторичных серверов, имя домена для разыменования нужно подставить, разумеется, свои.

# Mikrotik router CheckDNS script
# E-mail: rtzra@mail.ru
# Script check resolving $testDomain for each server in masterDNS
# If not resovling - switch to backupDNS server and vice versa

:local currentDNS [/ip dns get server]
:local masterDNS {"10.1.1.10"; "10.1.2.10"}
:local backupDNS {"77.88.8.88"; "77.88.8.2"}
:local testDomain "home.local-domain.ru"
:local failCount
:local maxFails 1

:foreach dnsServer in=$masterDNS do={
 :do {
   :resolve $testDomain server $dnsServer
 } on-error={
     :set failCount ($failCount + 1)
   }
}

:if ($failCount>$maxFails) do={
 :if ($currentDNS = $masterDNS) do={
    :log warning "Internal DNS resolving NOT OK, switch to External DNS"
    /ip dns set servers=$backupDNS;
 } else={
     :log warning "Internal DNS resolving NOT OK, still using External DNS"
   }
} else={
  :if ($currentDNS = $masterDNS) do={
  } else={
      :log warning "Internal DNS resolving OK, switch to Internal DNS"
      /ip dns set servers=$masterDNS;
    }
};

mikrotik, dns, check availability, проверка доступности

Mikrotik: настраиваем DHCP для PXE

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:29:20 +0000

Mikrotik: настраиваем DHCP для PXE

Курс «Настройка оборудования MikroTik»

https://wiki.mikrotik.com/wiki/Manual:IP/DHCP_Server#DHCP_Options

Задача: в локальной сети есть сервер 192.168.88.2 с поднятым TFTPс лежащим на нем образом pxelinux.0, нужно настроить сетевую загрузку для рабочих станций по PXE.

pxelinux.0 можно взять тут: https://mirrors.edge.kernel.org/pub/linux/utils/boot/syslinux/

Решение:

IP → DHCP Server → Network
Создаем новую или изменяем текущую запись и добавляем:
- Next Server: 192.168.88.2
- Boot File Name: pxelinux.0

/ip dhcp-server
add address=192.168.88.0/24 gateway=192.168.88.1 dns-server=192.168.88.1 next-server=192.168.88.2 boot-file-name="pxelinux.0" dhcp-option=""

Вариант с созданием Options & Options Set просто так не работает, т.к. необходимо указывать IP сервера новым способом, как описано в документации Mikrotik:

IP → DHCP Server → Options
Опция 66:
- Name: option66
- Code: 66
- Value: s'192.168.88.2'
Опция 67:
- Name: option67
- Code: 67
- Value: 'pxelinux.0'
IP → DHCP Server → Option Sets
- Name: set-pxe
- Options: option66, option67

/ip dhcp-server option
add name="option66" code=66 value="s'192.168.88.2'"
add name="option67" code=67 value="'pxelinux.0'"
/ip dhcp-server option sets
add name="set-pxe" options=option66,option67

mikrotik, dhcp, pxe, , pxelinux.0, Next Server, options

Mikrotik: документация и How-TO

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:27:59 +0000

Mikrotik: документация и How-TO

Курс «Настройка оборудования MikroTik»

RouterOS: http://wiki.mikrotik.com/wiki/Manual:TOC
Практика настройки Mikrotik для чайников: http://habrahabr.ru/post/265387/

mikrotik, manual, howto, документация

Mikrotik: балансировка двух WAN используя PCC

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:25:21 +0000

Mikrotik: балансировка двух WAN используя PCC

Курс «Настройка оборудования MikroTik»

Взято отсюда: https://aacable.wordpress.com/2011/07/27/mikrotik-dual-wan-load-balancing-using-pcc-method-complete-script-by-zaib/

Подробные пояснения: http://wiki.mikrotik.com/wiki/Manual:PCC и http://wiki.mikrotik.com/wiki/How_PCC_works_%28beginner%29

Еще полезная статейка: https://habr.com/post/313342/

Начальные условия

2 канала WAN от разных провайдеров, с разными скоростями
Провайдер1 WAN1 (192.168.1.1) - 10 Мбит
Провайдер2 WAN2 (192.168.2.1) - 20 Мбит

Необходимо реализовать

Основной канал WAN2 и он должен использоваться интенсивнее (2/3 всего объема трафика)
Балансировку нагрузки между каналами
Роутер должен отвечать на запросы (пришедшие с любого провайдера) именно с того интерфейса, откуда пришел запрос

Настройка «both addresses and ports» может не всегда верно работать с банк-клиентами и некоторыми форумами, т.к. реализует наиболее случайное распределение. В этом случае лучше использовать «src-address» - тогда каждый компьютер будет получать на время работы один и тот же маршрут

	
/ip address
add address=192.168.0.1/24 network=192.168.0.0 broadcast=192.168.0.255 interface=Local
add address=192.168.1.2/24 network=192.168.1.0 broadcast=192.168.1.255 interface=WAN1
add address=192.168.2.2/24 network=192.168.2.0 broadcast=192.168.2.255 interface=WAN2
 
/ip firewall mangle
add chain=input in-interface=WAN1 action=mark-connection new-connection-mark=WAN1_conn
add chain=input in-interface=WAN2 action=mark-connection new-connection-mark=WAN2_conn
 
add chain=output connection-mark=WAN1_conn action=mark-routing new-routing-mark=to_WAN1
add chain=output connection-mark=WAN2_conn action=mark-routing new-routing-mark=to_WAN2
 
add chain=prerouting dst-address=192.168.1.0/24 action=accept in-interface=Local
add chain=prerouting dst-address=192.168.2.0/24 action=accept in-interface=Local
 
add chain=prerouting dst-address-type=!local in-interface=Local per-connection-classifier=both-addresses-and-ports:2/0 action=mark-connection new-connection-mark=WAN1_conn passthrough=yes
add chain=prerouting dst-address-type=!local in-interface=Local per-connection-classifier=both-addresses-and-ports:2/1 action=mark-connection new-connection-mark=WAN2_conn passthrough=yes
 
add chain=prerouting connection-mark=WAN1_conn in-interface=Local action=mark-routing new-routing-mark=to_WAN1
add chain=prerouting connection-mark=WAN2_conn in-interface=Local action=mark-routing new-routing-mark=to_WAN2
 
/ip route
add dst-address=0.0.0.0/0 gateway=192.168.1.1 routing-mark=to_WAN1 check-gateway=ping
add dst-address=0.0.0.0/0 gateway=192.168.2.1 routing-mark=to_WAN2 check-gateway=ping
 
add dst-address=0.0.0.0/0 gateway=192.168.1.1 distance=1 check-gateway=ping
add dst-address=0.0.0.0/0 gateway=192.168.2.1 distance=2 check-gateway=ping
 
/ip firewall nat
add chain=srcnat out-interface=WAN1 action=masquerade
add chain=srcnat out-interface=WAN2 action=masquerade

Если каналы неравны (как у меня), то нужно изменить

add chain=prerouting dst-address-type=!local in-interface=Local per-connection-classifier=both-addresses-and-ports:2/0 action=mark-connection new-connection-mark=WAN1_conn passthrough=yes
add chain=prerouting dst-address-type=!local in-interface=Local per-connection-classifier=both-addresses-and-ports:2/1 action=mark-connection new-connection-mark=WAN2_conn passthrough=yes

на

add chain=prerouting dst-address-type=!local in-interface=Local per-connection-classifier=both-addresses-and-ports:3/0 action=mark-connection new-connection-mark=WAN1_conn passthrough=yes
add chain=prerouting dst-address-type=!local in-interface=Local per-connection-classifier=both-addresses-and-ports:3/1 action=mark-connection new-connection-mark=WAN2_conn passthrough=yes
add chain=prerouting dst-address-type=!local in-interface=Local per-connection-classifier=both-addresses-and-ports:3/2 action=mark-connection new-connection-mark=WAN2_conn passthrough=yes

Определенный порт через определенного провайдера

Спасибо за подсказку maxim.naidenov:

;;; Winbox
chain=prerouting action=mark-routing new-routing-mark=to_WAN1 passthrough=no protocol=tcp dst-address-type=!local in-interface=bridge-local dst-port=8291 connection-mark=no-mark

;;; Wargaming, RU9
chain=prerouting action=mark-routing new-routing-mark=to_WAN2 passthrough=no dst-address=xxx.xxx.xxx.0/24 dst-address-type=!local in-interface=bridge-local connection-mark=no-mark

Балансировка каналов и IPSEC

При эксплуатации IPSEC и балансировке каналов выяснился интересный факт: при установке IPSEC не получается обменяться всеми ключами. IPSEC вроде бы как и поднимается, но работать не работает. Если посмотреть IP → IPsec → Installed SAs - можно увидеть что счетчик «Current Bytes» для одного из ключей равен 0, т.е. обмен ключами все-таки не прошел. Для правильной работы необходимо добавить еще два правила:

> /ip firewall mangle
> add chain=output action=mark-routing new-routing-mark=ISP1_conn passthrough=no connection-mark=ISP1_conn
> add chain=output action=mark-routing new-routing-mark=ISP2_conn passthrough=no connection-mark=ISP2_conn

При этом в таблице маршрутизации должны быть маршруты с соответствующими Routing Mark

Было (неверно):

> add chain=output action=mark-connection new-connection-mark=ISP1_conn passthrough=no out-interface=WAN1
> add chain=output action=mark-connection new-connection-mark=ISP2_conn passthrough=no out-interface=WAN2

mikrotik, PCC, балансировка

Mikrotik: используем FastTrak

anonymous@undisclosed.example.com (Anonymous) — Thu, 23 Jan 2025 18:48:21 +0000

Mikrotik: используем FastTrak

Курс «Настройка оборудования MikroTik»

Документация тут: http://wiki.mikrotik.com/wiki/Manual:Fast_Path

Подробное описание как, что и зачем: https://interface31.ru/tech_it/2021/09/pravilnoe-ispolzovanie-fast-path-i-fasttrack-v-mikrotik.html

Что это: FastTrack это технология для разгрузки CPU при пересылке пакетов роутером - пакеты пересылаются без обработки. Таким образом ускоряется пересылка пакетов и уменьшается нагрузка на CPU.

Не все устройства поддерживают FastTrack, перечень можно посмотреть в документации на сайте http://wiki.mikrotik.com/wiki/Manual:Wiki/Fasttrack. Так же необходима версия MikroTik RouterOS начиная от 6.29

Как включить

Открываем IP → Settings и ставим галочку «Allow Fast Path»

Далее добавляем правило в IP → Firewall → Filter Rules:

General
- Chain: forward
- Connection State: established, related
Action
- Action: fasttrack connection

Автоматически создается правила, которые невозможно удалить:

Таблица Filter Rules: 1 правило в самом начале списка с комментарием «special dummy rule to show fasttrack counters»
Таблица Mangle: 3 правила в самом начале списка с комментарием «special dummy rule to show fasttrack counters»

То же самое командами:

> /ip settings set allow-fast-path=yes
> /ip firewall filter add chain=forward action=fasttrack-connection connection-state=established,related

Как посмотреть кол-во обработанных пакетов

Открываем IP → Settings и смотрим счетчики - в них должно быть что-нибудь, отличное от ноля:

IPv4 Fasttrack Packets
IPv4 Fasttrack Bytes

mikrotik, fastpath, fasttrack

Mikrotik: базовая настройка firewall

anonymous@undisclosed.example.com (Anonymous) — Tue, 30 Nov 2021 21:30:05 +0000

Mikrotik: базовая настройка firewall

Курс «Настройка оборудования MikroTik»

RouterOS является разновидностью Linux, в качестве пакетного фильтра применяется netfilter со всеми вытекающими плюсами и минусами. Документация по netfilter: http://www.netfilter.org/documentation/ и http://www.opennet.ru/docs/RUS/iptables/

Существует 3 основных таблицы:

filter
nat
mangle

Общий порядок:

Роутинг трафика Layer 3 (IP):

Бриджинга трафика Layer 2 (MAC):

Packet Flow Diagram (упрощенная):

Более новые диаграммы:

Несколько принципов:

Каждое правило принадлежит одной из этих таблиц и состоит из условий, находящихся в четырех вкладках: General, Advanced, Extra и Action
Правило может содержать множество условий, главное не делать их противоречивыми
Если проходя по правилам пакет подходит под все условия, он обрабатывается соответствующим правилом (действие в закладке Action) и дальше не идет (на самом деле некоторые действия пропускают пакет дальше, просто запомните этот факт если планируете в будущем глубже разобраться с netfilter)
Пакет проходит по списку правил сверху-вниз, поэтому порядок правил крайне важен
Крайне желательно руководствоваться принципом «Запрещено все, кроме явно разрешенного»
Чем больше правил - тем сильнее нагрузка на процессор, что может приводить к падению пропускной способности

При изменении правил вполне возможно заблокировать самому себе доступ к устройству! Во избежание таких выстрелов себе в ногу следует явно прописывать самым первым правилом разрешение себе на доступ к устройству и использовать кнопку Winbox'а обозначенную как «Safe Mode»

Самый минимальный набор правил

Таблица filter

Описание строк:

0,1 - отбрасывать все неверные пакеты
2,3,4,5 - пропускать все уже установленные соединения
6,7 - пропускать все icmp-пакеты (ping и т.д.). Небезопасно, но для дома сойдет
8 - разрешить DNS-запросы из локальной сети
9-14 - Защита SSH от атаки bruteforce, подробнее тут: Mikrotik: защищаем SSH от брутфорса
15 - Доступ к роутеру по SSH
16 - Доступ к роутеру по HTTPS
17 - Доступ к роутеру по Winbox
18 - разрешить сервер времени из локальной сети
19 - разрешить выход в интернет для локальной сети
20,21 - запретить все остальное

> /ip firewall filter print 
Flags: X - disabled, I - invalid, D - dynamic 
 0    ;;; Drop all INVALID
      chain=input action=drop connection-state=invalid log=no log-prefix="" 
 1    chain=forward action=drop connection-state=invalid log=no log-prefix="" 
 2    ;;; Allow all ESTABLISHED
      chain=input action=accept connection-state=established log=no log-prefix="" 
 3    chain=forward action=accept connection-state=established log=no log-prefix="" 
 4    ;;; Allow all RELATED
      chain=input action=accept connection-state=related log=no log-prefix="" 
 5    chain=forward action=accept connection-state=related log=no log-prefix="" 
 6    ;;; Allow ICMP from all
      chain=input action=accept protocol=icmp log=no log-prefix="" 
 7    chain=forward action=accept protocol=icmp log=no log-prefix="" 
 8    ;;; Allow DNS from LAN
      chain=input action=accept protocol=udp src-address=192.168.88.0/24 in-interface=bridge-local dst-port=53 log=no log-prefix="" 
 9    ;;; SSH anti-bruteforce
      chain=input action=drop protocol=tcp src-address-list=ssh_blacklist dst-port=22 log=no log-prefix="" 
10    chain=input action=add-src-to-address-list connection-state=new protocol=tcp src-address-list=ssh_stage3 address-list=ssh_blacklist address-list-timeout=30m dst-port=22 log=no log-prefix="" 
11    chain=input action=add-src-to-address-list connection-state=new protocol=tcp src-address-list=ssh_stage2 address-list=ssh_stage3 address-list-timeout=1m dst-port=22 log=no log-prefix="" 
12    chain=input action=add-src-to-address-list connection-state=new protocol=tcp src-address-list=ssh_stage1 address-list=ssh_stage2 address-list-timeout=1m dst-port=22 log=no log-prefix="" 
13    chain=input action=add-src-to-address-list connection-state=new protocol=tcp address-list=ssh_stage1 address-list-timeout=1m dst-port=22 log=no log-prefix="" 
14    chain=input action=accept connection-state=new protocol=tcp dst-port=22 log=no log-prefix="" 
15    ;;; Allow SSH from all
      chain=input action=accept protocol=tcp dst-port=22 log=no log-prefix=""  
16    ;;; Allow HTTPS from all
      chain=input action=accept protocol=tcp dst-port=443 log=no log-prefix=""  
17    ;;; Allow WINBOX from Home
      chain=input action=accept protocol=tcp in-interface=bridge-local dst-port=8291 log=no log-prefix=""  
18    ;;; Allow NTP from LAN
      chain=input action=accept protocol=udp in-interface=bridge-local dst-port=123 log=no log-prefix="" 
19    ;;; Allow Internet from LAN
      chain=forward action=accept src-address=192.168.88.0/24 in-interface=bridge-local log=no log-prefix="" 
20    ;;; DROP ALL REQUEST
      chain=input action=drop log=no log-prefix="" 
21    chain=forward action=drop log=no log-prefix=""

Таблица NAT

Разрешает выход компьютеров локальной сети в интернет через PPPoE-интерфейс с именем MY_PROVIDER

 > /ip firewall nat  print     
Flags: X - disabled, I - invalid, D - dynamic 
 0    ;;; Masquerade for LAN to ISP
      chain=srcnat action=masquerade src-address=192.168.88.0/24 out-interface=MY_PROVIDER log=no log-prefix=""

mikrotik, firewall, rules, basic settings

Mikrotik: работа с сертификатами

anonymous@undisclosed.example.com (Anonymous) — Mon, 10 Nov 2025 10:02:28 +0000

Mikrotik: работа с сертификатами

Курс «Настройка оборудования MikroTik»

Документация от производителя: https://wiki.mikrotik.com/wiki/Manual:System/Certificates

Что требуется:

Mikrotik
Желательно но не обязательно: белый IP
Желательно но не обязательно: FQDN (полное доменное имя, в примере это vpn.mydomain.ru)

Создание сертификатов

Прежде чем начать любые работы с сертификатами стоит убедиться что на Mikrotik'е настроен клиент NTP, в противном случае при достаточном расхождении часов шифрование работать не будет.

Настройка описана здесь: Mikrotik: настройка времени

Создание корневого сертификата (CA - Certification Authority)

Корневой сертификат нужен для подписывания других выдаваемых сертификатов, необходим если вы сами выпускаете сертификаты

Открываем System / Certificates
Создаем новый, заполняем поля:
- Вкладка General
  - Name: Любое понятное имя, например CA.mydomain.ru
  - Country: RU
  - State: 24 (можно писать что угодно, я предпочитаю Край/Регион/Область или их цифровые коды)
  - Locality: YourCity (город)
  - Organization: MyCompany (наименование компании)
  - Unit: IT (подразделение)
  - Common Name: Необходимо указать белый IP или полное доменное имя (например 100.100.100.100)
  - Subject Alt.Name: Желательно указать DNS-имя и/или белый IP (например 100.100.100.100). Можно указывать сразу несколько опций.
  - Key Size: 2048 (или 4096 если вы параноик)
  - Days Valid: 3650 (10 лет или дефолтные 365 на 1 год)
- Вкладка Key Usage
  - Key Usage: должны быть включены только «crl sign» и «key cert. sign»
Проверяем все ли заполнено верно
Нажимаем Apply - сертификат создан
Нажимаем Sign чтобы подписать сертификат
- Certificate: Выбираем свой сертификат (если он выбран)
- CA: ничего не указываем (т.к. у нас его еще нет)
- CA CRL Host: (Желательно, но не обязательно) Указываем белый IP или FQDN имя роутера для списка отозванных сертификатов, например 100.100.100.100
- Нажимаем Start
- Ждем окончания процесса подписания, закрываем все окна
В результате этих действий должен появиться сертификат с нашим именем и он должен иметь флаги KLAT

Создание сертификата сервера

Для создания сертификата сервера должне быть создан CA-сертификат как это описано выше

Открываем System / Certificates
Создаем новый, заполняем поля:
- Вкладка General
  - Name: Любое понятное имя, например vpn.mydomain.ru
  - Country: RU
  - State: 24 (можно писать что угодно, я предпочитаю Край/Регион/Область или их цифровые коды)
  - Locality: YourCity (город)
  - Organization: MyCompany (наименование компании)
  - Unit: IT (подразделение)
  - Common Name: Необходимо указать белый IP или полное доменное имя
  - Subject Alt.Name: Желательно указать DNS-имя и/или белый IP. Можно указывать сразу несколько опций
  - Key Size: 2048 (или 4096 если вы параноик)
  - Days Valid: 3650 (10 лет или дефолтные 365 на 1 год)
- Вкладка Key Usage
  - Key Usage: должны быть включены только «digital signature», «key enciphement», «tls server»
Проверяем все ли заполнено верно
Нажимаем Apply - сертификат создан
Нажимаем Sign чтобы подписать сертификат
- Certificate: Выбираем свой сертификат (если он выбран)
- CA: выбираем сертификат CA
- CA CRL Host: пропускаем
- Нажимаем Start
- Ждем окончания процесса подписания
Проверяем галку «Trust», закрываем все окна
В результате этих действий должен появиться сертификат с нашим именем и он должен иметь флаги KIT

То же самое командами

В консоле:

/certificate
add name=CA common-name=100.100.100.100 country=RU state=24 locality=Krasnoyarsk organization=Company days-valid=3650 key-usage=key-cert-sign,crl-sign
add name=server common-name=server country=RU state=24 locality=Krasnoyarsk organization=Company days-valid=3650 key-usage=digital-signature,key-encipherment,tls-server
sign CA ca-crl-host=100.100.100.100 name=CA
sign server ca=CA name=server

Создание сертификата клиента

Для создания сертификата сервера должне быть создан CA-сертификат как это описано выше

Открываем System / Certificates
Создаем новый, заполняем поля:
- Вкладка General
  - Name: Любое понятное имя, например Client1
  - Country: RU
  - State: 24 (можно писать что угодно, я предпочитаю Край/Регион/Область или их цифровые коды)
  - Locality: YourCity (город)
  - Organization: MyCompany (наименование компании)
  - Unit: IT (подразделение)
  - Common Name: Необходимо указать имя клиента (как вариант - белый IP или полное доменное имя)
  - Subject Alt.Name: Оставляем пустым
  - Key Size: 2048 (или 4096 если вы параноик)
  - Days Valid: 3650 (10 лет или дефолтные 365 на 1 год) - в зависимости от вашего доверия к клиенту
- Вкладка Key Usage
  - Key Usage: должны быть включены только «tls client»
Проверяем все ли заполнено верно
Нажимаем Apply - сертификат создан
Нажимаем Sign чтобы подписать сертификат
- Certificate: Выбираем свой сертификат (если он выбран)
- CA: выбираем сертификат CA
- CA CRL Host: пропускаем
- Нажимаем Start
- Ждем окончания процесса подписания
В результате этих действий должен появиться сертификат с нашим именем и он должен иметь флаги KI

Экспорт сертификатов

Экспорт с помощью GIU:

Открываем нужный сертификат
Нажимаем Export
Выбираем формат PEM (по умолчанию) или PKCS12 (если сертификат создавался на этом же роутере то он выгрузится вместе с корневым сертификатом CA)
В меню Files появляется экспортированный сертификат с расширением .crt

Экспорт c помощью командной строки:

/certificate
export-certificate CA
export-certificate Client1

Если требуется выгрузить приватный ключ (файл .key), это можно сделать командой:

/certificate
export-certificate Client1 export-passphrase=secret-pa$$word

Где secret-pa$$word - пароль.

Если нужно удалить пароль, можно перенести сертификат на компьютер и выполнить:

openssl rsa -in Client1.key -out Client2.key

В новом файле Client2.key пароль будет удален

Импорт сертификатов

Загружаем сертификаты в Files
Открываем System / Certificates
Нажимаем Import
Выбираем сертификат, при необходимости указываем Passphrase (пароль)

mikrotik, certificate, cert, crt, key, сертификат, выпуск

Mikrotik и Hairpin Nat

anonymous@undisclosed.example.com (Anonymous) — Sun, 12 Jan 2025 17:32:32 +0000

Mikrotik и Hairpin Nat

Курс «Настройка оборудования MikroTik»

Hairpin nat - это когда требуется попасть из локальной сети на локальный же ресурс, но на маршрутизаторе трафик обрубается.

В данном примере пробрасываем порты 80 и 443

192.168.88.0/24 - наша подсеть

XXX.XXX.XXX.XXX - внешний IP-адрес

192.168.88.5 - сервер, куда делать проброс

Для прошивок старше 7.0:

/ip firewall nat
add action=masquerade chain=srcnat comment=HairpinNat dst-address=192.168.88.0/24 src-address=192.168.88.0/24
add action=masquerade chain=srcnat out-interface-list=WAN
add action=dst-nat chain=dstnat comment="Hairpin NAT for HTTP" dst-address=!192.168.88.1 dst-address-type=local dst-port=80 protocol=tcp to-addresses=192.168.88.5 to-ports=80
add action=dst-nat chain=dstnat comment="Hairpin NAT for HTTPS" dst-address=!192.168.88.1 dst-address-type=local dst-port=443 protocol=tcp to-addresses=192.168.88.5 to-ports=443

Для прошивок до 7.0:

/ip firewall nat
add chain=dstnat action=dst-nat to-addresses=192.168.88.5 protocol=tcp dst-address=XXX.XXX.XXX.XXX in-interface-list=WAN dst-port=80 comment="Allow for HTTP" 
add chain=dstnat action=dst-nat to-addresses=192.168.88.5 protocol=tcp dst-address=XXX.XXX.XXX.XXX in-interface-list=WAN dst-port=443 comment="Allow for HTTPS"
add chain=srcnat action=masquerade to-addresses=192.168.88.5 protocol=tcp src-address=192.168.88.0/24 dst-address=XXX.XXX.XXX.XXX dst-port=80 comment="Hairpin NAT for HTTP" 
add chain=srcnat action=masquerade to-addresses=192.168.88.5 protocol=tcp src-address=192.168.88.0/24 dst-address=XXX.XXX.XXX.XXX dst-port=443 comment="Hairpin NAT for HTTPS"

mikrotik, hairpin, nat

Mikrotik: настройка шейпинга

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:31:55 +0000

Mikrotik: настройка шейпинга

Курс «Настройка оборудования MikroTik»

mikrotik, queue, htb, шейпинг, трафик

Mikrotik: настраиваем IPTV

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:30:01 +0000

Mikrotik: настраиваем IPTV

Курс «Настройка оборудования MikroTik»

Если провайдер раздает IPTV, нужно сделать небольшие настройки.

Скачать с http://www.mikrotik.com/download под необходимую платформу (для меня это mipsbe) пакет «Extra packages», развернуть архив куда-нибудь
Загрузить пакет multicast-x.xx-mipsbe.npk на роутер, перезагрузить
Настроить:
- Routing → IGMP Proxy → + → в списке Interfaces выбрать порт, куда входит интернет от провайдера и поставить галочку на Upstream. В поле Alternative Subnets надо указать данные подсети либо, если кому лень — просто 0.0.0.0/0. → OK
- Затем еще раз жмем плюсик и выбираем порт, в который будет подключена приставка или же бридж, если есть желание просмотра IPTV на мобильных устройствах → ставим галочку на Querier. Можно добавить еще
```
/interface wireless Set 0 multicast-helper=full
```

mikrotik, iptv, телевидение

Mikrotik: включаем IPv6

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:26:42 +0000

Mikrotik: включаем IPv6

Курс «Настройка оборудования MikroTik»

Требования

Ваш провайдер должен предоставлять IPv6
Необходимо удостовериться что MAC-адрес интерфейса, подключенного к провайдеру совпадает с DUID

Посмотреть MAC-адреса:

> /interface ethernet print

Посмотреть DUID можно в DHCPv6 Client, он начинается с «00030001» и далее идет MAC-адрес. Т.е. если MAC-адрес порта «AA:22:33:44:55:66» то DUID должен быть «00030001AA2233445566»

Включаем

Открываем System → Packages. Если пакет ipv6 есть в списке - включаем его и перезагружаем роутер. Если нет - качаем с сайта, перетаскиваем в список пакетов, включаем, перезагружаем роутер.

Настраиваем

Настраиваем DHCPv6 клиент

Открываем IPv6 → DHCP Client и создаем новую запись:

Interface - интерфейс, через который подключен провайдер. Если работаете через PPTP, PPPoE и прочие VPN - необходимо выбрать именно этот интерфейс
Pool Name - любое понятное вам имя, например ipv6-pool
Pool Prefix - 64
Use Peer DNS - включаем если собираемся использовать DNS провайдера
Add Default Route - включаем

Настраиваем IPv6 адрес

Открываем IPv6 → Addresses и создаем новую запись:

Address - ::/64
From Pool - имя пула ipv6 адресов из предыдущего пункта, в нашем случае ipv6-pool
Interface - интерфейс, который смотрит в домашнюю локальную сеть, у меня это мост bridge-local
EUI64 - включаем
Advertise - включаем

После этого адрес ::/64 на интерфейсе bridge-local должен поменяться на полученный адрес из пула. Если этого не произошло, то следует перезапустить dhcpv6 client.

Теперь компьютеры из внутренней сети буду получать адреса IPv6 и маршруты.

Базовая настройка Firewallv6

Открываем IPv6 → Firewall

Базовые правила:

> /ipv6 firewall filter
> add chain=input action=drop connection-state=invalid 
> add chain=input action=accept connection-state=established,related in-interface=YOUR-PROVIDER
> add chain=forward action=accept connection-state=established,related in-interface=YOUR-PROVIDER out-interface=bridge-local 
> add chain=input action=accept protocol=icmpv6 limit=50,5 
> add chain=forward action=accept protocol=icmpv6 limit=50,5 
> add chain=input action=accept protocol=udp in-interface=YOUR-PROVIDER dst-port=546 
> add chain=forward action=accept in-interface=bridge-local out-interface=YOUR-PROVIDER
> add chain=input action=drop 
> add chain=forward action=drop

Где YOUR-PROVIDER - имя интерфейса провайдера

Объяснение строк:

2 строка: блокировать все «неправильные» соединения

3-4 строки: пропускать уже установленные соединения

5-6 строки: пропускать ICMP-пакеты, но ограничить лимит

7 строка: разрешить соединения от вашего провайдера по протоколу UDP на порт 546 - без этого правила вы не получите адрес IPv6 по DHCPv6 от провайдера

8 строка: пропускать все из вашей локальной сети в Интернет

9-10 строки: заблокировать все остальное

mikrotik, ipv6, firewall

Mikrotik: ограничиваем доступ по mactelnet

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:32:59 +0000

Mikrotik: ограничиваем доступ по mactelnet

Курс «Настройка оборудования MikroTik»

По умолчанию Mikrotik позволяет обнаруживать устройства Mikrotik, находящиеся с вами в одной физической сети. Это здорово и удобно (отображается тип устройства, версия прошивки, MAC-адрес, имя интерфейса, Software Id, время uptime), но этой информацией могут пользоваться ваши соседи.

Для вновь создаваемых интерфейсов обнаружение включено по умолчанию!

Отключаем: IP → Neighbor → Discovery Interfaces. Можно оставить обнаружение для bridge-local (локальная сеть).
Консольный вариант

/ip neighbor discovery
:foreach i in=[find] do={
set $i discovery=no
}

Теперь ограничим доступ по mac-адресу (winbox и mactelnet):

Tools → MAC Server → Telnet Interfaces и Winbox Interfaces

Отключаем ([x]) all и добавляем br1-lan.

mikrotik, mactelnet

Mikrotik: настройка времени

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:31:34 +0000

Mikrotik: настройка времени

Курс «Настройка оборудования MikroTik»

Время - наше все, поэтому настраиваем:

Адреса серверов можно взять тут: http://www.ntp-servers.net/servers.html

[admin@mikrotik] > /system clock set time-zone-name=Asia/Krasnoyarsk
[admin@mikrotik] > /system ntp client set enabled=yes primary-ntp=91.226.136.136 secondary-ntp=109.195.19.73

mikrotik, ntp, clock, время

Mikrotik: ускоряем OpenVPN

anonymous@undisclosed.example.com (Anonymous) — Sat, 10 May 2025 17:51:17 +0000

Mikrotik: ускоряем OpenVPN

Ниже идет речь о ускорении OpenVPN в RouterOS 6.x (точнее в 6.49.х).

Необходимо понимать что в RouterOS 6.x изумительно кривая реализация OpenVPN - мало того что работает только по TCP, так еще и делает это крайне хреново. В версиях 7.х реализация OpenVPN куда как лучше, но не всегда есть возможность и необходимость обновиться до нее. Поэтому первый совет - НЕ НАДО использовать OpenVPN на Mikrotik'ах.

Замеры при помощи iperf3 показали дно: 1,5-3,5 Мбит на канале 500 Гбит, что, как мне кажется, совершенно отвратительно. Интернет подсказал довольно простой способ как немного ускорить работу.

Учитывайте что во время смены настройки соединение будет переподключено!

Сервер OpenVPN:

Открываем Queues → Queue Types
Создаем новый со следующими настройками:
- Type Name: openvpn-default
- Kind: pfifo
- Queue Size: 250
Открываем Queues → Interface Queues и меняем стандартный only-hardware-queue на наш только что созданный openvpn-default

Эту же настройку делаем на клиентском устройстве. Тестируем, скорость выросла до 20-25 Мбит.

mikrotik, openvpn, low speed, низкая скорость

Microtik: Клиент Site-to-site OpenVPN с Ubuntu

anonymous@undisclosed.example.com (Anonymous) — Sun, 26 Feb 2023 12:11:51 +0000

Microtik: Клиент Site-to-site OpenVPN с Ubuntu

Задача: Сервер OpenVPN на Ubuntu, Microtik в качестве клиента, подключение Site-to-site

Что понадобится:

Сервер на Ubuntu с белым адресом (или проброшенным портом)
Mikrotik
15 минут времени

Сервер OpenVPN на Ubuntu

Примечание: Ubuntu 20.04 LTS

Установка

Ставим пакеты:

sudo apt install openvpn easy-rsa -y

Настройка конфигурации OpenVPN

Можно создать отдельного пользователя для генерации ключей, можно использовать существующего, можно все делать под root - выбирайте как больше нравится. Я создаю отдельного пользователя openvpn.

Создание пользователя:

useradd -m -s /bin/false openvpn

Далее все делаем от этого пользователя.

Создаем папки, даем на них права:

mkdir ~/easy-rsa
ln -s /usr/share/easy-rsa/* ~/easy-rsa/

chown openvpn ~/easy-rsa
chmod 700 ~/easy-rsa

Настраиваем конфигурацию, которая будет использоваться при генерации ключей:

cd ~/easy-rsa

cp /usr/share/easy-rsa/vars.example vars

Далее в файле vars изменяем/добавляем описанные ниже строки.

Настройки для ключей, чтобы не запрашивало каждый раз:

set_var EASYRSA_REQ_COUNTRY "RU"
set_var EASYRSA_REQ_PROVINCE "Moscow Region"
set_var EASYRSA_REQ_CITY "Moscow"
set_var EASYRSA_REQ_ORG "YOU_ORGANIZATION"
set_var EASYRSA_REQ_EMAIL "you@email.com"
set_var EASYRSA_REQ_OU "OU_UNIT"

Длина ключа:

set_var EASYRSA_KEY_SIZE 2048

Вид ключа. Можно старый добрый RSA, можно новый и более короткий Elliptic curve. Для работы с Микротиками я оставляю RSA 2048

# The default crypto mode is rsa; ec can enable elliptic curve support.
# Note that not all software supports ECC, so use care when enabling it.
# Choices for crypto alg are: (each in lower-case)
#  * rsa
#  * ec

set_var EASYRSA_ALGO rsa

# Define the named curve, used in ec mode only:

#set_var EASYRSA_CURVE secp384r1

Срок действия корневого CA сертификата:

set_var EASYRSA_CA_EXPIRE 7300

Срок действия выдаваемых для пользователей сертификатов:

set_var EASYRSA_CERT_EXPIRE 3650
set_var EASYRSA_KEY_EXPIRE 3650

Если не планируете заморачиваться со списками отзыва ключей (например, делаем ключи только для редко сменяемого оборудования):

set_var EASYRSA_CRL_DAYS 3650

Создание CA и прочих сертификатов:

Инициализируем:

./easyrsa init-pki

Создаем CA. В процессе создания будет запрошен пароль - запишите его в надежном месте, он понадобится при любой операции по выдаче/удаление сертификатов!

./easyrsa build-ca

Создаем DH:

./easyrsa gen-dh

Создаем TA (TLS, но использовать с Микротиком не будем, а вот пользователей сможем дополнительно проверять):

openvpn --genkey --secret ~/easy-rsa/pki/ta.key

Создаем сертификат сервера (ключ nopass чтобы не требовался пароль):

./easyrsa build-server-full VPN-Server nopass

Создаем CRL (список отозванных сертификатов):

./easyrsa gen-crl

Копируем все сертификаты и ключи в папку настроек OpenVPN:

sudo cp -rp ~/easy-rsa/pki/{ca.crt,dh.pem,ta.key,crl.pem} /etc/openvpn/server/
sudo cp -rp ~/easy-rsa/pki/issued/VPN-Server.crt /etc/openvpn/server/
sudo cp -rp ~/easy-rsa/pki/private/VPN-Server.key /etc/openvpn/server/

Создание пользователей

Создание выполняется следующей командой (my-user - имя пользователя, ключ nopass чтобы не требовался пароль):

./easyrsa build-client-full my-user nopass

Настройка конфигурационного файла OpenVPN

Немного условий:

Для VPN у нас будет использоваться подсеть 172.16.1.0 255.255.255.0
Сеть за сервером Ubuntu: 10.0.0.0 255.255.255.0
Сеть за Mikrotik: 192.168.1.0 255.255.255.0

Создаем файл /etc/openvpn/mikrotik.conf со следующим содержимым:

ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/VPN-Server.crt
key /etc/openvpn/server/VPN-Server.key
dh /etc/openvpn/server/dh.pem
crl-verify /etc/openvpn/server/crl.pem

proto tcp
dev tun
topology subnet
server 172.16.1.0 255.255.255.0
client-config-dir /etc/openvpn/ccd
keepalive 10 60
persist-key
persist-tun
auth SHA1
# for OpenVPN < v.2.6.0
#cipher AES-256-CBC
# for OpenVPN >= v.2.6.0
cipher AES-256-CBC
data-ciphers 'AES-256-CBC'
data-ciphers-fallback 'AES-256-CBC' 

user nobody
group nogroup

push "route 10.0.0.0 255.255.255.0"
route 192.168.1.0 255.255.255.0

log-append /var/log/openvpn/openvpn-mikrotik.log
status /var/log/openvpn/openvpn-mikrotik-status.log
ifconfig-pool-persist /var/log/openvpn/ipp-mikrotik.txt
verb 3
mute 20
mssfix 0

Создаем папку /etc/openvpn/ccd - там будут храниться индивидуальные конфиги для клиентов.

Создаем файл /etc/openvpn/ccd/my-user со следующим содержимым:

ifconfig-push 172.16.1.2 255.255.255.0
iroute 192.168.1.0 255.255.255.0

Смысл этих настроек следующий:

В файле mikrotik.conf указали отправлять на сторону клиента маршрут до сети за сервером OpenVPN на Ubuntu (push «route 10.0.0.0 255.255.255.0»)
Там же прописали маршрут до сети клиента (route 192.168.1.0 255.255.255.0)
В файле my-user явно указали какой IP назначить данному клиенту (ifconfig-push 172.16.1.2 255.255.255.0)
Там же явно указали какая сеть у данного клиента (iroute 192.168.1.0 255.255.255.0)

Mikrotik - настройка клиента

Импортируем сертификаты

Копируем с сервера Ubuntu следующие файлы (на Windows это можно сделать при помощи WinSCP):

~/easy-rsa/pki/ca.crt
~/easy-rsa/pki/issued/my-user.crt
~/easy-rsa/pki/private/my-user.key

Заливаем сертификаты на Mikrotik: Files → Upload

Импортируем сертификаты через System → Certificates → Import в указанном порядке:

ca.crt
my-user.crt
my-user.key

В итоге должно быть 2 записи:

ca.crt со статусом «Т»
my-user.crt со статусом «КТ»

Настраиваем подключение

Настраиваем профиль OVPN: PPP → Profiles → Добавить

Вкладка General
- Name: ovpn-profile
Change TCP MSS: yes
Вкладка Protocols
- Use IPv6: no
Use MPLS: no
Use compression: no
Use Encryption: yes

Добавляем интерфейс OVPN Client:

Закладка General
- Name: OVPN-VPN-Server
Закладка Dial Out
- Connect to: указываем адрес нашего сервера Ubuntu OpenVPN
Port: 1194
Mode: ip
User: my-user (пользователь, которому мы сделали сертификат)
Profile: ovpn-profile
Certificate: выбираем наш импортированный сертификат пользователя my-user
Verify Server Certificate: включить
Auth: Sha1
Cipher: aes 256
Use Peer DNS: отключить
Add Default Route: отключить, но если надумаете весь трафик гнать через данный VPN то следует включить

Настраиваем разрешения для нового интерфейса

Чтобы трафик ходил через наш интерфейс добавляем 3 правила: IP → Firewall → Filter Rules

Внимание: данные правила разрешают любой трафик через VPN!

Правило Input

Закладка General

Chain: input
In. Interface: OVPN-VPN-Server

Закладка Action:

Action: accept

Правило Ouput

Закладка General

Chain: output
Out. Interface: OVPN-VPN-Server

Закладка Action:

Action: accept

Правило Forward

Закладка General

Chain: forward
Out. Interface: OVPN-VPN-Server

Закладка Action:

Action: accept

Проверяем работу VPN.

Что дальше

Далее можно ограничить разрешения на трафик через VPN и принять прочие меры безопасности.

Mikrotik: сервер OpenVPN и Ubuntu в качестве клиента

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:34:51 +0000

Mikrotik: сервер OpenVPN и Ubuntu в качестве клиента

Курс «Настройка оборудования MikroTik»

Задача:

Mikrotik в качестве сервера OpenVPN, Ubuntu в качестве клиента
Генерация сертификатов на Mikrotik

Настраиваем Mikrotik

Создаем сертификаты

Создаем сертификаты: CA, сервера OpenVPN, клиента OpenVPN как описано тут: Mikrotik: работа с сертификатами

Экспортируем сертификаты: ca.crt, client1.crt, client1.key (с паролем)

Создаем профиль

Открываем PPP / Profiles, создаем новый (не все из указанных опций нужны, смотрите сами):

Закладка General
- Name: openvpn-profile
- Local Address: 10.10.10.1
- Change TCP MSS: Yes
Закладка Protocols
- Use Compression: Yes
- Use Encryption: Yes
Закладка Limits
- Only One: No

Создаем пользователя

Открываем PPP / Secrets, создаем нового пользователя:

Name: ovpn-client1
Password: $ecretP@$$word
Service: ovpn
Profile: openvpn-profile
Remote-Address: 10.10.10.2 (или можно сделать через пул адресов)

Включаем OpenVPN

Открываем PPP / OVPN Server, включаем:

Enabled: включаем
Port: 1194
Mode: ip
Default-profile: openvpn-profile
Certificate: Выбираем сертификат сервера (не CA!)
Require Client Certificate: включаем для проверки сертификата клиента
Auth: sha1, остальное отключаем
Cipher: aes 256, остальное отключаем

Создаем интерфейс для клиента

Это необязательно, но так удобнее работать для разрешения трафика.

Открываем PPP / Interface и создаем OVPN Server Binding

Name: OVPN-Client1
User: ovpn-client1

Разрешаем трафик

Открываем порт OpenVPN чтобы клиенты могли подключаться.

Не забываем поднять правила вверх списка чтобы они не попадали под запреты!

Открываем IP / Firewall, создаем новое правило:

Chain: input
Protocol: 6 (tcp)
Dst. Port: 1194
Action: Accept

При необходимости можете ограничить интерфейс и адреса с которых будет идти подключение.

Разрешаем трафик через VPN, открываем IP / Firewall, создаем 3 новых правила (зачем именно так - отдельный вопрос):

Правило input
- Chain: input
- In. Interface: OVPN-Client1
- Action: accept
Правило forward
- Chain: forward
- In. Interface: OVPN-Client1
- Action: accept
Правило output
- Chain: output
- Out. Interface: OVPN-Client1
- Action: accept

Настраиваем Ubuntu

Устанавливаем OpenVPN на Ubuntu

Подробно описано тут: Установка OpenVPN в Ubuntu

Настраиваем OpenVPN как клиент на Ubuntu

Копируем сертификаты ca.crt, client1.crt, client1.key (с паролем) на сервер в папку /etc/openvpn

Снимаем пароль с client1.key (иначе при запуске OpenVPN будет его требовать, а нам нужно чтобы все работало автоматически):

openssl rsa -in client1.key -out client1.key

Создаем конфигурационный файл /etc/openvpn/client.conf

XXX.XXX.XXX.XXX - адрес Mikrotik

client
dev tun
proto tcp
remote XXX.XXX.XXX.XXX 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
remote-cert-eku 'TLS Web Server Authentication'
cipher AES-256-CBC
auth SHA1
auth-nocache
auth-user-pass client1.txt
user nobody
group nogroup
route 10.10.10.0 255.255.255.0 10.10.10.1
verb 3
mute 20

Создаем файл /etc/openvpn/client1.txt с логином и паролем:

ovpn-client1
Password: $ecretP@$$word

Убираем права на файлы для всех пользователей кроме root:

chown root:root ca.crt client1.crt client1.key client1.txt client.conf
chmod 600 ca.crt client1.crt client1.key client1.txt client.conf

Запускаем клиента, смотрим логи, проверяем работу:

systemctl start openvpn@client

Включаем автоматический запуск OpenVPN при старте сервера:

systemctl enable openvpn@client

Mikrotik: проброс портов внутрь локальной сети

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:33:48 +0000

Mikrotik: проброс портов внутрь локальной сети

Курс «Настройка оборудования MikroTik»

http://wiki.mikrotik.com/wiki/Manual:IP/Firewall/NAT

Задача: пробросить порт 3389 (RDP) на терминальный сервер 192.168.0.235

[admin@mikrotik] > /ip firewall nat add chain=dstnat dst-port=3389 action=dst-nat protocol=tcp to-address=192.168.0.235 to-port=3389 comment="RDP port mapping"

mikrotik, port mapping, проброс портов

Mikrotik: настройка PPPoE-клиента

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:30:56 +0000

Mikrotik: настройка PPPoE-клиента

Курс «Настройка оборудования MikroTik»

PPP → Add → PPPoE Client.

Закладка General:

Name
Interfaces (по умолчанию ether1-gateway)

Закладка Dial-Out:

User
Password
Default Route Distance
Allow: выбираем нужные методы, в идеале должен быть включенным только mschap2. Но большинство провайдеров - мудаки, до сих пор работают по chap или даже pap. Так что перехватить пароль и подделать MAC-адрес несложно.

Для вновь созданного соединения необходимо разрешить прохождение пакетов из локальной сети:

IP → Firewall

> /ip firewall nat chain=srcnat action=masquerade src-address=192.168.88.0/24 out-interface=PPPoE

Имя интерфейса PPPoE заменить на свое

mikrotik, PPPoE client

Mikrotik: случайный пароль для гостевой WiFi сети

anonymous@undisclosed.example.com (Anonymous) — Fri, 04 Nov 2022 17:39:56 +0000

Mikrotik: случайный пароль для гостевой WiFi сети

Курс «Настройка оборудования MikroTik»

Задача: генерировать случайный пароль для гостевой WiFi сети и отправлять ее на определенный адрес почты

Решение: в Mikrotik нет нормального произвольного генератора паролей, поэтому либо пользуемся сторонним сервисом https://www.random.org/passwords/ либо командой /certificate scep-server otp

Примечания:

Необходимо настроить переменные (имя профиля сети, длину пароля, настройки для отправки пароля по почте.
Скрипт по умолчанию меняет пароль для WiFi / wpa2-pre-shared-key / отправляет письмо на указанный адрес без копии. Если нужно что-то изменить, внесите изменения в скрипт.

# MikroTik Random Password for WiFi (CAPsMAN)

# Define name of your WiFi (CAPsMAN) profile
:local wifiprofile security-guest

# Define Password Length
:local passlength 8

# Define the parameters for mail notification
:local destmail my@email.ru
#:local ccdestmail copy@email.ru
:local content "New Wi-Fi password"
:local emailauthuser me@email.ru
:local emailfrom me@email.ru
:local emailserver smtp.mail.ru
:local emailauthpass my_password

# Gets a new password
##:local new ([/tool fetch url="https://www.random.org/passwords/\?num=1&len=$passlength&format=plain&rnd=new" output=user as-value]->"data")
# Trim line break simbol "\n"
##:local newPassword [ :pick $new 0 [ :find $new "\n" ] ];
:local new ([/certificate scep-server otp generate minutes-valid=0 as-value]->"password");
:local newPassword [:pick $new 0 $passlength ]

# Set password to wifi profile
/caps-man security set [find name="security-guest"] passphrase=$newPassword

#Sendind e-mail
/tool e-mail send server=$emailserver to="$destmail" subject=$content body="New Password for WiFi Guest is: $newPassword" user=$emailauthuser password=$emailauthpass from="$emailfrom"

# Write a log line
:log warning message="Wifi password for profile $wifiprofile has ben set to: $newPassword"
:put $newPassword

mikrotik, random, wifi, capsman, случайный пароль, генератор паролей

Mikrotik: блокируем частные сети согласно RFC 6890

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:26:21 +0000

Mikrotik: блокируем частные сети согласно RFC 6890

Курс «Настройка оборудования MikroTik»

RFC 6890: https://tools.ietf.org/html/rfc6890

Предупреждение

Не стоит блокировать все подряд, необходимо понимать что ты делаешь!

IPv4

Список подсетей:

/ip firewall address-list
add address=127.0.0.0/8 comment="RFC 6890 Loopback" list=PrivateNetIPv4
add address=192.168.0.0/16 comment="RFC 6890 Private-Use" list=PrivateNetIPv4
add address=172.16.0.0/12 comment="RFC 6890 Private-Use" list=PrivateNetIPv4
add address=10.0.0.0/8 comment="RFC 6890 Private-Use" list=PrivateNetIPv4
add address=0.0.0.0/8 comment="RFC 6890 This host on this network" list=PrivateNetIPv4
add address=100.64.0.0/10 comment="RFC 6890 Shared Address Space" list=PrivateNetIPv4
add address=169.254.0.0/16 comment="RFC 6890 Link Local" list=PrivateNetIPv4
add address=192.0.0.0/24 comment="RFC 6890 IETF Protocol Assignments" list=PrivateNetIPv4
add address=192.0.0.0/29 comment="RFC 6890 DS-Lite" list=PrivateNetIPv4
add address=198.18.0.0/15 comment="RFC 6890 Benchmarking" list=PrivateNetIPv4
add address=198.51.100.0/24 comment="RFC 6890 Documentation (TEST-NET-2)" list=PrivateNetIPv4
add address=203.0.113.0/24 comment="RFC 6890 Documentation (TEST-NET-3)" list=PrivateNetIPv4
add address=224.0.0.0/4 comment="RFC 6890 Multicast" list=PrivateNetIPv4
add address=240.0.0.0/4 comment="RFC 6890 Reserved" list=PrivateNetIPv4

Блокировка (выбрать нужное):

/ip firewall filter
add chain=input action=drop src-address-list=PrivateNetIPv4 in-interface=ISP1 log=no log-prefix="PrivateNetIPv4" comment="PrivateNetIPv4"
add chain=forward action=drop src-address-list=PrivateNetIPv4 in-interface=ISP1 log=no log-prefix="PrivateNetIPv4" comment="PrivateNetIPv4"
add chain=output action=drop src-address-list=PrivateNetIPv4 out-interface=ISP1 log=no log-prefix="PrivateNetIPv4" comment="PrivateNetIPv4"

IPv6

Список:

/ipv6 firewall address-list
add address=::1/128 comment="RFC 6890 Loopback Address" list=PrivateNetIPv6
add address=::/128 comment="RFC 6890 Unspecified Address" list=PrivateNetIPv6
add address=64:ff9b::/96 comment="RFC 6890 IPv4-IPv6 Translat." list=PrivateNetIPv6
add address=::ffff:0.0.0.0/96 comment="RFC 6890 IPv4-mapped Address" list=PrivateNetIPv6
add address=100::/64 comment="RFC 6890 Discard-Only Address Block" list=PrivateNetIPv6
add address=2001::/23 comment="RFC 6890 IETF Protocol Assignments" list=PrivateNetIPv6
add address=2001::/32 comment="RFC 6890 TEREDO" list=PrivateNetIPv6
add address=2001:2::/48 comment="RFC 6890 Benchmarking" list=PrivateNetIPv6
add address=2001:db8::/32 comment="RFC 6890 Documentation" list=PrivateNetIPv6
add address=2001:10::/28 comment="RFC 6890 ORCHID" list=PrivateNetIPv6
add address=2002::/16 comment="RFC 6890 6to4" list=PrivateNetIPv6
add address=fc00::/7 comment="RFC 6890 Unique-Local" list=PrivateNetIPv6
add address=fe80::/10 comment="RFC 6890 Linked-Scoped Unicast" list=PrivateNetIPv6

Блокировка (выбрать нужное):

add chain=input action=drop src-address-list=NonPublicIPv6 in-interface=ISP1 log=no log-prefix="NonPublic IPv6" comment="PrivateNetIPv6"
add chain=output action=drop src-address-list=NonPublicIPv6 out-interface=ISP1 log=no log-prefix="NonPublic IPv6" comment="PrivateNetIPv6"
add chain=forward action=drop src-address-list=NonPublicIPv6 in-interface=ISP1 log=no log-prefix="NonPublic IPv6" comment="PrivateNetIPv6"

rfc6890, private net, mikrotik, частная сеть, серая сеть

Mikrotik: настройки безопасности

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:32:13 +0000

Mikrotik: настройки безопасности

Курс «Настройка оборудования MikroTik»

Прямо пошаговая инструкция: https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router

mikrotik, secure

Mikrotik: сервисы

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:35:10 +0000

Mikrotik: сервисы

Курс «Настройка оборудования MikroTik»

По умолчанию включено все что только не нужно, желательно оставлять самый минимум

IP → Services

Желательно оставлять Winbox, SSH и WWW-SSL. Ну и разумеется, ограничить подключение к сервисам только из локальной сети.

mikrotik, services, winbox, ssh, www-ssl

Mikrotik: защищаем SSH от брутфорса

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:28:38 +0000

Mikrotik: защищаем SSH от брутфорса

Курс «Настройка оборудования MikroTik»

Отсюда: http://wiki.leonchik.ru/doku.php?id=mikrotik:protect-ssh

Идея проста: имеется 4 таблицы. 3 промежуточных и одна в которой хранятся заблокированные адреса. Все таблицы динамические. Адрес по мере подключения добавляется в каждую таблицу по очереди. У нас 3 промежуточных таблицы, адреса в которых хранятся по одной минуте. Таким образом получается, что если в течение одной минуты с одного и того же адреса будут произведены более 3-х попыток подключения, адрес попадает в самую главную таблицу, 4-ю. Адреса там в моем случае хранятся 30 минут. Если кому не хватает - можно больше :)

Примечание: можно защищать не только ssh, но и долбежку на любой другой порт

ip firewall filter add action=drop chain=input dst-port=22 protocol=tcp src-address-list=ssh_blacklist
ip firewall filter add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=30m chain=input \
    connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage3
ip firewall filter add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input \
    connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage2
ip firewall filter add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input \
    connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage1
ip firewall filter add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input \
    connection-state=new dst-port=22 protocol=tcp
ip firewall filter add chain=input connection-state=new dst-port=22 protocol=tcp

И еще вот отсюда: http://wiki.mikrotik.com/wiki/Bruteforce_login_prevention

Данная настройка разрешает всего 10 неверных попыток подключения к FTP в минуту, после чего блокирует атакующего на 3 часа:

ip firewall filter add chain=input protocol=tcp dst-port=21 src-address-list=ftp_blacklist action=drop \ comment="drop ftp brute forcers"
ip firewall filter add chain=output action=accept protocol=tcp content="530 Login incorrect" dst-limit=1/1m,9,dst-address/1m
ip firewall filter add chain=output action=add-dst-to-address-list protocol=tcp content="530 Login incorrect" \
address-list=ftp_blacklist address-list-timeout=3h

При брутфорсе SSH атакующий попадает в бан на 10 дней:

ip firewall filter add chain=input protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop \
comment="drop ssh brute forcers" disabled=no
ip firewall filter add chain=input protocol=tcp dst-port=22 connection-state=new \
src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist \
address-list-timeout=10d comment="" disabled=no
ip firewall filter add chain=input protocol=tcp dst-port=22 connection-state=new \
src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 \
address-list-timeout=1m comment="" disabled=no
ip firewall filter add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 \
action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m comment="" disabled=no
ip firewall filter add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list \
address-list=ssh_stage1 address-list-timeout=1m comment="" disabled=no

If you want to block downstream access as well, you need to block the with the forward chain:

add chain=forward protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop \
comment="drop ssh brute downstream" disabled=no

Для просмотра блэклиста (заблокированных), даем следующие команды:

[admin@mikrotik] > /ip firewall address-list
[admin@mikrotik] /ip firewall address-list> print

mikrotik, ssh, bruteforce, secure, защита

Mikrotik: время закрытия таймаута (tcp-established-timeout)

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:27:18 +0000

Mikrotik: время закрытия таймаута (tcp-established-timeout)

Курс «Настройка оборудования MikroTik»

Желательно уменьшить т.к. стандартная настройка дает возможность проведения атак.

По умолчанию, этот параметр выставлен в 24 часа. Если это слишком много, то выставляем требуемое:

[admin@kikrotik] > /ip firewall connection tracking set tcp-established-timeout=1h

mikrotik, timeout, tcp-established-timeout

The Dude: отправка извещений в Telegram

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:36:30 +0000

The Dude: отправка извещений в Telegram

Курс «Настройка оборудования MikroTik»

Отсюда: https://xakinfo.ru/2018/01/the-dude-send-notifications-telegram/

Шаг 1 - создаем бота в Telegram (если еще нет)

Описано тут: Telegram - работа с ботами

Шаг 2 - настраиваем The Dude

Открываем Contents → Notifications и добавляем новое уведомление:

Name - название
Type: Execute on server
Command: /tool fetch url=«https://api.telegram.org/botXXXXXXXXX:XXX_XXXXXXXXXXXXXXXXXXXX/sendMessage\?chat_id=YYYYYYYYYY&text=Device: [Device.Name]; Status: [Service.Status]» keep-result=no
- XXXXXXXXXX - токен бота
- YYYYYYYYYY - ID пользователя или чата
Так же можно добавить дополнительные значения кнопкой «Insert Variable»
Для проверки работы уведомлений нажмите кнопку «Test»

mikrotik, dude, the dude, telegram, notification

Mikrotik: полезные инструменты

anonymous@undisclosed.example.com (Anonymous) — Tue, 27 Apr 2021 13:15:38 +0000

Mikrotik: полезные инструменты

Курс «Настройка оборудования MikroTik»

https://buananetpbun.github.io/ - Большое собрание скриптов и различных полезных инструментов для Микротик.

Прямая ссылка на готовые скрипты: https://buananetpbun.github.io/mikrotik/

mikrotik, scripts, tools

Mikrotik: изменяем TTL

anonymous@undisclosed.example.com (Anonymous) — Mon, 30 May 2022 13:03:28 +0000

Mikrotik: изменяем TTL

Иногда для преодоления проблем от операторов сотовой связи необходимо зафиксировать TTL.

Терминал:

/ip firewall mangle add action=change-ttl chain=postrouting new-ttl=set:65 passthrough=yes

Через интерфейс:

Открываем IP / Firewall / Mangle
Добавляем новое правило:
- General / Chain: Postrouting
- Action: change TTL / change / 65 / Passthrough: Enabled

mikrotik, TTL, fix ttl

Mikrotik: Настраиваем тоннель GRE между Mikrotik и Ubuntu

anonymous@undisclosed.example.com (Anonymous) — Thu, 15 Sep 2022 17:17:57 +0000

Mikrotik: Настраиваем тоннель GRE между Mikrotik и Ubuntu

Курс «Настройка оборудования MikroTik»

Почему именно GRE: легко, просто, удобно. А в сочетании с IPSEC довольно безопасно.

Исходные данные:

XXX.XXX.XXX.XXX - белый IP Mikrotik
YYY.YYY.YYY.YYY - белый IP сервера с Ubuntu
172.16.1.1 - внутренний адрес тоннеля на сервере с Ubuntu
172.16.1.2 - внутренний адрес тоннеля на Mikrotik

Настраиваем тоннель GRE

Настраиваем Mikrotik

Создаем новый тоннель: Interfaces → GRE Tunnel, заполняем настройки:

Name: GRE1
Local Address: XXX.XXX.XXX.XXX
Remote Address: YYY.YYY.YYY.YYY
DSCP: inherit
Don't fragment: no
Clamp TCP MSS: yes

Назначаем интерфейсу адрес:

IP → Addresses:

Address: 172.16.1.2/24
Interface: GRE1

Разрешаем ходить пакетам:

IP → Firewall → Filter Rules, добавляем новое правило:

Chain: input
Src Address: YYY.YYY.YYY.YYY
Protocol: 47(gre)
Action: accept

Настройки сервера с Ubuntu

В файле /etc/network/interfaces добавляем интерфейс tun1 в самый конец файла:

 iface tun1 inet static
    address 172.16.1.1
    netmask 255.255.255.0
    pre-up iptunnel add tun1 mode gre local YYY.YYY.YYY.YYY remote XXX.XXX.XXX.XXX ttl 255
    up ifconfig tun1 multicast
    pointopoint 172.16.1.2
    post-down iptunnel del tun1

Даем команду на поднятие тоннеля:

sudo ifup tun1

Проверяем - тоннель должен подняться. Для проверки можно попинговать внутренние IP 172.16.1.1 и 172.16.1.2 соответственно.

Настройка IPSEC

В тоннеле GRE по умолчанию нет никакой шифрации, т.е. данные ходят в открытом виде и все можно прекрасно посмотреть любым сниффером (tcpdump, wireshark). Для обеспечения безопасности необходимо настроить IPSEC.

Исходные данные:

Ключ шифрования: VerySecretChipherKey

IPSEC на Mikrotik

IP → IPsec → Proposals

Изменяем default:

Auth Algorithms: sha256
Encr Algorithms: aes-128 cbc, aes-192 cbc, aes-256 cbc
Lifetime: 00:30:00
PFS Group: modp1024

А в свойствах GRE-тоннеля настраиваем:

IPsec Secret: VerySecretChipherKey

Настройки IPSEC на сервере с Ubuntu

Для Ubuntu и прочих линуксов есть несколько пакетов: racoon и несколько форков *swan (StrongSwan, LibreSwan, OpenSwan). Я остановился на StrongSwan - т.к. он мне больше понравился и в сети много готовых примеров.

Установка проста:

sudo apt install strongswan

Редактируем файл конфигурации /etc/ipsec.conf

# ipsec.conf - strongSwan IPsec configuration file

config setup
    charondebug="ike 2, knl 2, cfg 2, net 2, esp 2, dmn 2,  mgr 2"

conn %default
#    keyexchange=ikev2

conn mikrotik
    # Try connect on daemon start
    auto=start

    # Authentication by PSK (see ipsec.secret)
    authby=secret

    # Disable compression
    compress=no

    # Re-dial setings
    closeaction=clear
    dpddelay=30s
    dpdtimeout=150s
    dpdaction=restart

    # ESP Authentication settings (Phase 2)
    esp=aes128-sha256-modp1024,aes192-sha256-modp1024,aes256-sha256-modp1024

    # UDP redirects
    forceencaps=no

    # IKE Authentication and keyring settings (Phase 1)
    ike=aes128-sha256-modp1024,aes192-sha256-modp1024,aes256-sha256-modp1024
    ikelifetime=86400s
    keyingtries=%forever
    lifetime=1800s

    # Internet Key Exchange (IKE) version
    # Default: Charon - ikev2, Pluto: ikev1
    keyexchange=ikev1

    # connection type
    type=transport

    # Peers
    left=XXX.XXX.XXX.XXX
    right=YYY.YYY.YYY.YYY

    # Protocol type. May not work in numeric then need set 'gre'
    leftprotoport=47
    rightprotoport=47

Добавляем ключ шифрования в файл /etc/ipsec.secrets

YYY.YYY.YYY.YYY XXX.XXX.XXX.XXX : PSK VerySecretChipherKey

Перезапускаем IPSEC:

sudo ipsec restart

Проверяем /var/log/syslog на Ubuntu и командой

ipsec status

На Mikrotik смотрим Log и IP → IPsec → Peers

Настройка MTU

Если есть проблемы при работе с тоннелем - желательно уменьшить MTU до 1435 на обоих концах туннеля.

Mikrotik: Изменить в свойствах GRE-тоннеля MTU на 1435

Ubuntu: В файле /etc/network/interfaces добавить строку в настройку интерфейса tun1

mtu 1435

Настройка firewall

Так же может понадобиться настройка firewall на Микротике и Ubuntu, но тут уж сам настраивает под себя.

Чтобы с Микротика все благополучно проходило через тоннель необходимо сделать маскарадинг:

IP → Firewall → NAT со следующими настройками:

Chain: srcnat
Out Interface: GRE1
Action: Accept

mikrotik, ubuntu, gre, tunnel

Mikrotik: обновление прошивки

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:32:32 +0000

Mikrotik: обновление прошивки

Курс «Настройка оборудования MikroTik»

Обновление - процедура опасная, оборудование может стать «кирпичом». Перед началом обновления КРАЙНЕ РЕКОМЕНДУТЕСЯ сделать Backup (резервную копию)

Обновление пакетов

System → Packages и нажать Check for Updates

Можно выбрать канал (channel), например release candidate для бета-версий. Но крайне желательно оставаться на канале current.

Если есть новая версия - можно нажать Download & Install, загрузится и прошьется новая версия, роутер перезагрузится

Обновление прошивки

System → Routerboard и нажать Upgrade. Далее требуется перезагрузить роутер, именно в момент перезагрузки firmware и обновится

mikrotik, firmware, packages, update, upgrade, прошивка

Mikrotik: настраиваем UPNP

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:30:19 +0000

Mikrotik: настраиваем UPNP

Курс «Настройка оборудования MikroTik»

Многие p2p приложения и online игры требуют UPnP (служба динамического открытия портов) для нормальной работы.

IP → UPnP

Enabled: включить
Allow to Disable External Interface: выключить

Добавляем интерфейсы кнопкой Interfaces:

External: MYPROVIDER (интерфейс провайдера)
Internal: bridge-local

/ip upnp
set enabled=yes
show-dummy-rule=yes
allow-disable-external-interface=no
/ip upnp interfaces
add interface=MYPROVIDER type=external
add interface=bridge-local type=internal

mikrotik, upnp

Mikrotik: настраиваем IPSEC тоннель

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:29:41 +0000

Mikrotik: настраиваем IPSEC тоннель

Курс «Настройка оборудования MikroTik»

Основной материал для прочтения: http://wiki.mikrotik.com/wiki/Manual:IP/IPsec

Начальные условия

Требуется поднять IPSEC-тоннель между двумя Mikrotik

Mikrotik1:

Внешний IP: X.X.X.X
Внутренная подсеть: 192.168.10.0/24

Mikrotik2:

Внешний IP: Y.Y.Y.Y
Внутренняя подсеть: 192.168.20.0/24

Этапы настройки:

Настроить firewall для прохождения пакетов
Настроить шифрование (Proposal) в IPSEC
Настроить политику (Policies) в ipsec
Настроить пир (Peer) в ipsec

Настройка Mikrotik1

Настройка Firewall

Разрешаем пакеты от Mikrotik2

IP → Firewall → Filter rules

> /ip firewall filter
> add chain=input action=accept protocol=udp dst-port=500 src-address=Y.Y.Y.Y
> add chain=input action=accept protocol=ipsec-esp src-address=Y.Y.Y.Y
> add chain=input action=accept protocol=ipsec-ah src-address=Y.Y.Y.Y

Разрешаем пакеты для внутренних сетей

Данное правило необходимо поставить первым, чтобы трафик не уходил куда попало!

IP → Firewall → NAT

> /ip firewall nat
> add chain=srcnat action=accept src-address=192.168.10.0/23 dst-address=192.168.20.0/24

Настройка IPSEC

Настройка шифрования

IP → IPsec → Proposals

> /ip ipsec proposals
> add name="Secure" auth-algorithms=sha1 enc-algorithms=aes-128-cbc lifetime=30m pfs-group=modp1024

Настройка Policy

Не стоит оставлять поля «Src. Address» и «Dst. Address» со значениями по умолчанию (0.0.0.0/0) - в этом случае вы получите радостно моргающий лампочками кирпич и понадобится делать сброс настроек Mikrotik!

IP → IPsec → Policy

> /ip ipsec policy
> add src-address=192.168.10.0/24 src-port=any dst-address=192.168.20.0/24 dst-port=any
     protocol=all action=encrypt level=require ipsec-protocols=ah-esp tunnel=yes
     sa-src-address=X.X.X.X sa-dst-address=Y.Y.Y.Y proposal=Secure priority=0

Настройка Peer

IP → IPsec → Peers

> /ip ipsec peers
> add address=Y.Y.Y.Y local-address=:: passive=no port=500 auth-method=pre-shared-key 
     secret="Pa$$word" generate-policy=no policy-template-group=default exchange-mode=main 
     send-initial-contact=yes nat-traversal=no hash-algorithm=sha1 enc-algorithm=aes-128 
     dh-group=modp1024 lifetime=1d dpd-interval=2m dpd-maximum-failures=5

Настройка Mikrotik2

Настройка Firewall

Разрешаем пакеты от Mikrotik1

IP → Firewall → Filter rules

> /ip firewall filter
> add chain=input action=accept protocol=udp dst-port=500 src-address=X.X.X.X
> add chain=input action=accept protocol=ipsec-esp src-address=X.X.X.X
> add chain=input action=accept protocol=ipsec-ah src-address=X.X.X.X
> add chain=input action=accept protocol=udp src-address=X.X.X.X

Разрешаем пакеты для внутренних сетей

Данное правило необходимо поставить первым, чтобы трафик не уходил куда попало!

IP → Firewall → NAT

> /ip firewall nat
> add chain=srcnat action=accept src-address=192.168.20.0/23 dst-address=192.168.10.0/24

Настройка IPSEC

Настройка шифрования

IP → IPsec → Proposals

> /ip ipsec proposals
> add name="Secure" auth-algorithms=sha1 enc-algorithms=aes-128-cbc lifetime=30m pfs-group=modp1024

Настройка Policy

IP → IPsec → Policy

> /ip ipsec policy
> add src-address=192.168.20.0/24 src-port=any dst-address=192.168.10.0/24 dst-port=any
     protocol=all action=encrypt level=require ipsec-protocols=ah-esp tunnel=yes
     sa-src-address=Y.Y.Y.Y sa-dst-address=X.X.X.X proposal=Secure priority=0

Настройка Peer

IP → IPsec → Peers

> /ip ipsec peers
> add address=X.X.X.X local-address=:: passive=no port=500 auth-method=pre-shared-key 
     secret="Pa$$word" generate-policy=no policy-template-group=default exchange-mode=main 
     send-initial-contact=yes nat-traversal=no hash-algorithm=sha1 enc-algorithm=aes-128 
     dh-group=modp1024 lifetime=1d dpd-interval=2m dpd-maximum-failures=5

Балансировка каналов и IPSEC

Mikrotik: балансировка двух WAN используя PCC

> /ip firewall mangle
> add chain=output action=mark-connection new-connection-mark=ISP1_conn passthrough=no out-interface=WAN1
> add chain=output action=mark-connection new-connection-mark=ISP2_conn passthrough=no out-interface=WAN2

mikrotik, ipsec, vpn

Mikrotik: настройка Wireless

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:31:15 +0000

Mikrotik: настройка Wireless

Курс «Настройка оборудования MikroTik»

Довольно хорошо разжевано тут: http://habrahabr.ru/post/179149/

Настраиваем шифрование

Wireless, закладка Security Profiles

Создаем новый:

Name: strong
Mode: dynamic keys
Authentication Types: WPA2 PSK
Unicast Ciphers: aes ccm
Group Ciphers: aes ccm
Group Key Update: 00:05:00

Настраиваем Wireless

Открываем интерфейс (например wlan1) и на закладке Wireless меняем:

Security Profile на созданным нами strong
SSID: даем какое-нибудь имя нашей сети
WPS Mode: disabled (я считаю WPS абсолютно небезопасной штукой)
Country: Russia
Frequency: auto (при желании нужно настроить канал)

mikrotik, wireless, wifi, security

Mikrotik: настраиваем безопасное соединение www-ssl (HTTPS)

anonymous@undisclosed.example.com (Anonymous) — Sun, 08 Nov 2020 18:30:36 +0000

Mikrotik: настраиваем безопасное соединение www-ssl (HTTPS)

Курс «Настройка оборудования MikroTik»

Для работы по HTTPS необходим сертификат. Если нет возможности/желания покупать - можно сгенерировать самому (разумеется, при входе все браузеры будут предупреждать о самопальности):

На *nix машине создаем сертификат сервера:

# openssl genrsa -out mikrotik.ca.key.pem 2048
# openssl req -new -x509 -nodes -days 9999 -key mikrotik.ca.key.pem -out mikrotik.ca.cert.pem

Копируем получившиеся файлы на Mikrotik (FTP или как угодно)

Импортируем сертификаты:

[admin@mikrotik] > /certificate import file-name=mikrotik.ca.cert.pem
[admin@mikrotik] > /certificate import file-name=mikrotik.ca.key.pem

Проверяем:

[admin@mikrotik] > /certificate print 
Flags: K - private-key, D - dsa, L - crl, C - smart-card-key, A - authority, 
I - issued, R - revoked, E - expired, T - trusted 
 #          NAME    CO.. SUBJECT-ALT-NAME                                  FI..
 0 K      T cert_1  Ad.. email:admin@mydomain.ru                            0a..

Включаем HTTPS:

[admin@mikrotik] > /ip service set www-ssl certificate=cert_1
[admin@mikrotik] > /ip service set www-ssl disabled=no

Проверяем:

[admin@mikrotik] > /ip service print 
Flags: X - disabled, I - invalid 
 #   NAME                        PORT ADDRESS                                                         CERTIFICATE                    
 0 X telnet                        23
 1   ftp                           21 192.168.0.0/23                                               
 2 X www                           80
 3   ssh                           22
 4   www-ssl                      443                                                                 cert_1                         
 5 X api                         8728
 6   winbox                      8291 192.168.0.0/23                                               
 7 X api-ssl                     8729                                                                 none

mikrotik, https, www-ssl, certificate, сертификат