abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 04:11 | Komunita

    V Berlíně probíhá konference vývojářů a uživatelů desktopového prostředí KDE Plasma Akademy 2025. Při té příležitosti byla oznámena alfa verze nové linuxové distribuce KDE Linux.

    Ladislav Hagara | Komentářů: 0
    6.9. 17:11 | Nová verze

    Byl vydán Debian 13.1, tj. první opravná verze Debianu 13 s kódovým názvem Trixie a Debian 12.12, tj. dvanáctá opravná verze Debianu 12 s kódovým názvem Bookworm. Řešeny jsou především bezpečnostní problémy, ale také několik vážných chyb. Instalační média Debianu 13 a Debianu 12 lze samozřejmě nadále k instalaci používat. Po instalaci stačí systém aktualizovat.

    Ladislav Hagara | Komentářů: 2
    5.9. 23:44 | IT novinky

    Evropská komise potrestala Google ze skupiny Alphabet pokutou 2,95 miliardy eur (71,9 miliardy Kč) za porušení antimonopolní legislativy. Podle EK, která mimo jiné plní funkci antimonopolního orgánu EU, se Google dopustil protisoutěžních praktik ve svém reklamním byznysu. Google v reakci uvedl, že rozhodnutí považuje za chybné a hodlá se proti němu odvolat. EK ve věci rozhodovala na základě stížnosti Evropské rady vydavatelů. Podle

    … více »
    Ladislav Hagara | Komentářů: 18
    5.9. 23:11 | Komunita

    Podpora 32bitového Firefoxu pro Linux skončí v roce 2026. Poslední podporované 32bitové verze budou Firefox 144 a Firefox 140 s rozšířenou podporou, jehož podpora skončí v září 2026.

    Ladislav Hagara | Komentářů: 3
    5.9. 19:33 | IT novinky

    Společnost Raspberry Pi nově nabízí Raspberry Pi SSD s kapacitou 1 TB za 70 dolarů.

    Ladislav Hagara | Komentářů: 7
    5.9. 15:55 | Zajímavý software

    Microsoft BASIC pro mikroprocesor 6502 byl uvolněn jako open source. Zdrojový kód je k dispozici na GitHubu.

    Ladislav Hagara | Komentářů: 9
    5.9. 15:33 | IT novinky

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) se připojil k dokumentu „A Shared Vision of Software Bill of Materials (SBOM) for Cybersecurity“, který vydala americká Agentura pro kybernetickou a infrastrukturní bezpečnost (CISA) s Národní bezpečnostní agenturou (NSA), spolu s dalšími mezinárodními partnery. Dokument vznikl v rámci globálního expertního fóra pro SBOM, které má za cíl motivovat k širšímu využívání … více »

    Ladislav Hagara | Komentářů: 3
    4.9. 21:22 | IT novinky

    Švýcarská AI centra EPFL, ETH Zurich a CSCS představila otevřený vícejazyčný velký jazykový model (LLM) s názvem Apertus. Vyzkoušet lze na stránce Public AI Inference Utility.

    Ladislav Hagara | Komentářů: 27
    4.9. 17:22 | Nová verze

    Byl vydán Linux Mint 22.2 s kódovým jménem Zara. Podrobnosti v přehledu novinek a poznámkách k vydání. Vypíchnout lze novou XApp aplikaci Fingwit pro autentizaci pomocí otisků prstů nebo vlastní fork knihovny libAdwaita s názvem libAdapta podporující grafická témata. Linux Mint 22.2 bude podporován do roku 2029.

    Ladislav Hagara | Komentářů: 2
    4.9. 12:55 | IT novinky

    Čínská společnost Tencent uvolnila svůj AI model HunyuanWorld-Voyager pro generování videí 3D světů z jednoho obrázku a určené trajektorie kamery. Licence ale nedovoluje jeho používání na území Evropské unie, Spojeného království a Jižní Koreje.

    Ladislav Hagara | Komentářů: 1
    Pro otevření více webových stránek ve webovém prohlížečí používám
     (83%)
     (7%)
     (2%)
     (3%)
     (3%)
     (2%)
    Celkem 151 hlasů
     Komentářů: 11, poslední 4.9. 16:12
    Rozcestník

    Dotaz: OpenVPN na Mikrotiku

    31.1.2022 08:57 iko | skóre: 7
    OpenVPN na Mikrotiku
    Přečteno: 1081×
    zdravim

    nema niekto funkcnu OpenVPN na Mikrotiku oproti Lin/Win/AOS? Nech skusam co skusam, nejde to. Mikrotik v logu nic poriadne nenapise. Certifikaty vytvorene na MKT. Server na lin mi bez problemov roky ide, ale ked mam mat server na MKT, tak ani prd.

    Odpovědi

    31.1.2022 08:58 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    doplnim, miktotik 6.49.2
    31.1.2022 10:41 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Pozn. Pokud se nepletu, tak RouterOS 7 již podporuje OpenVPN over UDP. Co jsem zkousel dřívější RouterOS 7 Bety (na RB4011iGS+RM) neumělo snad to využít v SoC dostupné akcelerace AES (výkon tak byl odvislý od hrubého výpočetního výkonu CPU). Při simulaci výpadků paketů se to chovalo lepe než OpenVPN over TCP u nižších verzí RouterOS, ale zda je to dostatečně robustní pro provoz popravdě netuším. OpenVPN over TCP u verzi RouterOS 6.x mi přišel svým chováním jako nevhodné řešení VPN.
    31.1.2022 11:05 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    7micka je na slabsich mikrotikoch (hAP Lite) nepouzitelna, 100% CPU.
    31.1.2022 11:21 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Tj. RB4011iGS+RM s quad-core Cortex-A15@1,4GHz s out-of-order architekturou a 1GB RAM je přecijen jinde.
    31.1.2022 09:55 ehmmm
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Takhle to podle svych starych poznamek delam ja:

    OVPN server:

    System/Certificates: vytvářím cert1xyz, keysize defaultně 2048, days valid 9999. Vzápětí dávám "Sign". Ale stejně vidím, že je validní jen do 2039-01-18. Exportovat, stáhnout do PC, smazat z Files.

    IP/Pool: přidávám ovpn-server-pool, 192.168.90.10-192.168.90.50.

    PPP/Profiles: přidávám ovpn-server-profile, local address 192.168.90.1, remote address ovpn-server-pool.

    PPP/Secrets: přidávám name ovpn, password *****, service any, profile ovpn-server-profile.

    PPP/Interface/OVPN Server: enabled, mode ethernet (v *.ovpn souboru potom musí tap), default profile ovpn-server-profile, certificate cert1xyz, auth pouze sha1, cipher pouze aes256.

    IP/Firewall/Filter Rules: Otevírám pravidlo "allow pptp", dávám "Copy" a upravuji jej na "allow ovpn", dst.port 1194. Při té příležitosti disabluji IPsec NAT, IKE, pptp, l2tp, sstp, in ipsec, out ipsec.

    IP/Firewall/Filter Rules: Pravidlo "drop all not incoming from LAN" je moc přísné a nedovoluje se dostat z tunelu do konfigurace mikrotiku, tak jsem ho disabloval.

    Ve starších verzích na tomto místě bylo "drop all from WAN" (chain input, in. interface list WAN, action drop).

    (Druhou možností by bylo v Interfaces/Interface List přidat ovpn-vpn a pptp-vpn do LAN.)

    Na konci je pravidlo "drop all from WAN not DSTNATed" (ale jenom forward, nikoliv input, takze drop all from WAN je asi lepsi).

    IP/Firewall/NAT: Z pravidla "masq. vpn traffic" dělám kopii "masq. ovpn traffic", src.address 192.168.90.0/24.

    ---

    Nasel jsem jeste starsi poznamky:

    OpenVPN server:

    Kvuli openvpn si vytvarim certifikat "cert1" (pro overeni serveru?). Podepsat jej musim v konzoli prikazem "sign cert1", chvili to trva. Lze jej podepsat i ve WinBoxu, nenechat se zmast tim cekanim. Certifikat potom exportuji, tim se objevi ve "Files", odkud lze (pres www, nebo drag&drop z winboxu) downloadovat k sobe na notebook.

    Jsou dva mozne typy tunelu tun=ip a tap=ethernet. OpenVPN ve Windows pri pripojeni TUN vyzaduje, aby oba konce tunelu byly v masce 255.255.255.253, coz neni mnoho, takze radsi TAP/ethernet. Mikrotik neumi OpenVPN pres UDP, pouze TCP. Take asi neumi uzivatelske klice, pouze jmeno a heslo.

    Na Mikrotiku jsem pridal novy IP/Pool (name "ovpn-server-pool", addresses 192.168.90...), PPP/Profile (name "ovpn-server-profile", local address 192.168.90.1, remote address "ovpn-server-pool"). Do IP/Firewall pridavam Filter Rule podobne pravidlu pro pptp (chain input, protocol tcp, dst. port 1194, action accept) a posunuji jej nad defaultni pravidlo "drop input ether1". Take v IP/Firewall pridavam pravidlo pro NAT (chain srcnat, src. address 192.168.90.0/24, action masquerade), ktere je podobne NATu pro 192.168.89.0/24. V PPP/Secrets jsem si pridal uzivatele (name "ovpn", password "*****", service any, profile ovpn-server-profile). Nastaveni PPP/Interface OVPN Server: enabled yes, port 1194, mode ethernet, ..., default profile "ovpn-server", certificate "cert1", require client certificate no, auth sha1 (mda5 radsi ne), cipher aes256. To na strane serveru staci.

    Konfiguracni soubor klienta:

    dev tap

    proto tcp-client

    remote ***.***.***.*** 1194

    tls-client

    keepalive 10 60

    persist-tun

    persist-key

    cipher AES-256-CBC

    auth SHA1

    pull

    auth-user-pass auth.cfg

    ca cert1.crt

    route 192.168.88.0 255.255.255.0 192.168.90.1

    V souboru auth.cfg je na jednom radku jmeno a na druhem heslo (ovpn/*****).
    31.1.2022 12:21 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    dik, v principe mam vsetko dobre. Momentalne neriesim firewall a spol, port mam pusteny, takze tam je to OK.

    win pise:
    Mon Jan 31 12:13:37 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
    Mon Jan 31 12:13:37 2022 MANAGEMENT: >STATE:1643627617,TCP_CONNECT,,,,,,
    Mon Jan 31 12:13:38 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:38 2022 TCP_CLIENT link local: (not bound)
    Mon Jan 31 12:13:38 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,WAIT,,,,,,
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,AUTH,,,,,,
    Mon Jan 31 12:13:38 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=fefa64f0 6af6217b
    Mon Jan 31 12:13:38 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
    Mon Jan 31 12:13:38 2022 VERIFY KU OK
    Mon Jan 31 12:13:38 2022 Validating certificate extended key usage
    Mon Jan 31 12:13:38 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
    Mon Jan 31 12:13:38 2022 VERIFY EKU OK
    Mon Jan 31 12:13:38 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
    Mon Jan 31 12:13:38 2022 Connection reset, restarting [0]
    Mon Jan 31 12:13:38 2022 SIGUSR1[soft,connection-reset] received, process restarting
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,RECONNECTING,connection-reset,,,,,
    Mon Jan 31 12:13:38 2022 Restart pause, 5 second(s)
    Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,RESOLVE,,,,,,
    Mon Jan 31 12:13:43 2022 TCP/UDP: Preserving recently used remote address: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:43 2022 Socket Buffers: R=[8192->8192] S=[8192->8192]
    Mon Jan 31 12:13:43 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
    Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,TCP_CONNECT,,,,,,
    Mon Jan 31 12:13:44 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:44 2022 TCP_CLIENT link local: (not bound)
    Mon Jan 31 12:13:44 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,WAIT,,,,,,
    Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,AUTH,,,,,,
    Mon Jan 31 12:13:44 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=a8692c25 dde54586
    Mon Jan 31 12:13:45 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
    Mon Jan 31 12:13:45 2022 VERIFY KU OK
    Mon Jan 31 12:13:45 2022 Validating certificate extended key usage
    Mon Jan 31 12:13:45 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
    Mon Jan 31 12:13:45 2022 VERIFY EKU OK
    Mon Jan 31 12:13:45 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
    Mon Jan 31 12:13:45 2022 Connection reset, restarting [0]
    Mon Jan 31 12:13:45 2022 SIGUSR1[soft,connection-reset] received, process restarting
    Mon Jan 31 12:13:45 2022 MANAGEMENT: >STATE:1643627625,RECONNECTING,connection-reset,,,,,
    Mon Jan 31 12:13:45 2022 Restart pause, 5 second(s)
    a mikrotik pise:
    12:12:28 ovpn,info TCP connection established from xx.xx.xx.xx 
    12:12:29 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
    12:12:31 ovpn,info : using encoding - AES-256-CBC/SHA1 
    12:12:36 ovpn,info TCP connection established from xx.xx.xx.xx 
    12:12:37 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
    12:12:37 ovpn,info : using encoding - AES-256-CBC/SHA1 
    
    31.1.2022 12:54 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    OpenVPN nepoužívám takže neporadím.

    Já používám L2TP s IPsec.

    Tam vím že po nějaké aktualizaci windows se na to nepřipojí (chyba v windows) tak zda to nebude i problém OpenVPN.

    Z jiného zařízení se na ten mikrotik připojíš?

    Z mobilu, linuxu......
    31.1.2022 13:22 Radek
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Problému s openvpn se to netýká ;) openvpn má svůj program a svoje drivery.
    31.1.2022 13:22 Radek
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Postni sem konfigurák.
    31.1.2022 13:32 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    client
    remote domena.tld 1194
    auth-user-pass
    cipher AES-256-CBC
    auth sha1
    dev tun
    proto tcp
    nobind
    auth-nocache
    script-security 2
    persist-key
    persist-tun
    remote-cert-tls server
    verb 3
    <ca>
    ...
    </ca>
    <cert>
    ...
    </cert>
    <key>
    ...
    </key>
    31.1.2022 13:35 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    certifikaty som vytvoril takto:
    /certificate add name=CA-XXX country="SK" state="Slovakia" organization="XXX" common-name=CA-XXX key-usage=key-cert-sign,crl-sign days-valid=3650 key-size=2048
    /certificate sign CA-XXX ca-crl-host=domena.tld name=CA-XXX
    /certificate export-certificate CA-XXX
    /certificate set CA-XXX trusted=yes
    
    /certificate add name=OPENVPN-SERVER-tpl country="SK" state="Slovakia" organization="XXX" common-name="domena.tld" key-usage=digital-signature,key-encipherment,tls-server days-valid=3650 key-size=2048
    /certificate sign OPENVPN-SERVER ca=CA-XXX name=OPENVPN-SERVER
    /certificate set OPENVPN-SERVER trusted=yes
    
    /certificate add name=client-tpl country="SK" state="SK" organization="XXX" common-name="client" days-valid=3650 key-size=4096 key-usage=tls-client
    
    /certificate add name=s7 copy-from="client-tpl" common-name="s7"
    /certificate sign s7 ca="CA-XXX" name="s7"
    /certificate export-certificate s7 export-passphrase=heslo
    /certificate set s7 trusted=yes
    31.1.2022 13:57 ehmmm
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Lisime se v tom, ze ja to provozuju jenom s jednim certifikatem (a jmenem/heslem).

    Jak jsem psal nahore, vygeneruju ho a podepisu na Mikrotiku, na klientovi je z toho pak jen *.crt soubor.

    Priznam se, ze jsem nikdy ten system certifikatu poradne nepochopil.
    31.1.2022 14:37 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    no a ked chcem pripajat 6 zariadeni? a kazdy s vlastnym cert?
    31.1.2022 14:38 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    ja som to vzdy robil takto jak ja, spravit CA a s tou podpisovat vsetky certifikaty. ani neviem ze sa to da nejak inak
    31.1.2022 15:43 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    U Linux implementace OpenVPN se využívá CRL (Certificate Revocation List), takže v případě kompromitace individuálního klientského privatního klíče se příslušný klientský certifikát revokuje/odvolá (VPN server při autentifikaci klienta kontroluje zda se jeho klientský certifikat nevyskytuje na CRL). RouterOS implementace OpenVPN toto myslím neposkytuje.
    31.1.2022 16:28 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    a revokovanie certifikatu na mikrtiku robi co?
    31.1.2022 17:54 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Tak se omlouvám za chybnou informaci, jiz je to dlouho co jsem to zkousel. V seznamu certifikatu by to snad melo jit individualne nastavit (revokace).

    https://wiki.mikrotik.com/wiki/Manual:Create_Certificates#Generate_certificates_on_RouterOS

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.