Dotaz: OpenVPN na Mikrotiku

[iko]

zdravim

nema niekto funkcnu OpenVPN na Mikrotiku oproti Lin/Win/AOS? Nech skusam co skusam, nejde to. Mikrotik v logu nic poriadne nenapise. Certifikaty vytvorene na MKT. Server na lin mi bez problemov roky ide, ale ked mam mat server na MKT, tak ani prd.

Odpovědi

[iko]

doplnim, miktotik 6.49.2

[PetebLazar]

Pozn. Pokud se nepletu, tak RouterOS 7 již podporuje OpenVPN over UDP. Co jsem zkousel dřívější RouterOS 7 Bety (na RB4011iGS+RM) neumělo snad to využít v SoC dostupné akcelerace AES (výkon tak byl odvislý od hrubého výpočetního výkonu CPU). Při simulaci výpadků paketů se to chovalo lepe než OpenVPN over TCP u nižších verzí RouterOS, ale zda je to dostatečně robustní pro provoz popravdě netuším. OpenVPN over TCP u verzi RouterOS 6.x mi přišel svým chováním jako nevhodné řešení VPN.

[iko]

7micka je na slabsich mikrotikoch (hAP Lite) nepouzitelna, 100% CPU.

[PetebLazar]

Tj. RB4011iGS+RM s quad-core Cortex-A15@1,4GHz s out-of-order architekturou a 1GB RAM je přecijen jinde.

[ehmmm]

Takhle to podle svych starych poznamek delam ja:

OVPN server:

System/Certificates: vytvářím cert1xyz, keysize defaultně 2048, days valid 9999. Vzápětí dávám "Sign". Ale stejně vidím, že je validní jen do 2039-01-18. Exportovat, stáhnout do PC, smazat z Files.

IP/Pool: přidávám ovpn-server-pool, 192.168.90.10-192.168.90.50.

PPP/Profiles: přidávám ovpn-server-profile, local address 192.168.90.1, remote address ovpn-server-pool.

PPP/Secrets: přidávám name ovpn, password *****, service any, profile ovpn-server-profile.

PPP/Interface/OVPN Server: enabled, mode ethernet (v *.ovpn souboru potom musí tap), default profile ovpn-server-profile, certificate cert1xyz, auth pouze sha1, cipher pouze aes256.

IP/Firewall/Filter Rules: Otevírám pravidlo "allow pptp", dávám "Copy" a upravuji jej na "allow ovpn", dst.port 1194. Při té příležitosti disabluji IPsec NAT, IKE, pptp, l2tp, sstp, in ipsec, out ipsec.

IP/Firewall/Filter Rules: Pravidlo "drop all not incoming from LAN" je moc přísné a nedovoluje se dostat z tunelu do konfigurace mikrotiku, tak jsem ho disabloval.

Ve starších verzích na tomto místě bylo "drop all from WAN" (chain input, in. interface list WAN, action drop).

(Druhou možností by bylo v Interfaces/Interface List přidat ovpn-vpn a pptp-vpn do LAN.)

Na konci je pravidlo "drop all from WAN not DSTNATed" (ale jenom forward, nikoliv input, takze drop all from WAN je asi lepsi).

IP/Firewall/NAT: Z pravidla "masq. vpn traffic" dělám kopii "masq. ovpn traffic", src.address 192.168.90.0/24.

---

Nasel jsem jeste starsi poznamky:

OpenVPN server:

Kvuli openvpn si vytvarim certifikat "cert1" (pro overeni serveru?). Podepsat jej musim v konzoli prikazem "sign cert1", chvili to trva. Lze jej podepsat i ve WinBoxu, nenechat se zmast tim cekanim. Certifikat potom exportuji, tim se objevi ve "Files", odkud lze (pres www, nebo drag&drop z winboxu) downloadovat k sobe na notebook.

Jsou dva mozne typy tunelu tun=ip a tap=ethernet. OpenVPN ve Windows pri pripojeni TUN vyzaduje, aby oba konce tunelu byly v masce 255.255.255.253, coz neni mnoho, takze radsi TAP/ethernet. Mikrotik neumi OpenVPN pres UDP, pouze TCP. Take asi neumi uzivatelske klice, pouze jmeno a heslo.

Na Mikrotiku jsem pridal novy IP/Pool (name "ovpn-server-pool", addresses 192.168.90...), PPP/Profile (name "ovpn-server-profile", local address 192.168.90.1, remote address "ovpn-server-pool"). Do IP/Firewall pridavam Filter Rule podobne pravidlu pro pptp (chain input, protocol tcp, dst. port 1194, action accept) a posunuji jej nad defaultni pravidlo "drop input ether1". Take v IP/Firewall pridavam pravidlo pro NAT (chain srcnat, src. address 192.168.90.0/24, action masquerade), ktere je podobne NATu pro 192.168.89.0/24. V PPP/Secrets jsem si pridal uzivatele (name "ovpn", password "*****", service any, profile ovpn-server-profile). Nastaveni PPP/Interface OVPN Server: enabled yes, port 1194, mode ethernet, ..., default profile "ovpn-server", certificate "cert1", require client certificate no, auth sha1 (mda5 radsi ne), cipher aes256. To na strane serveru staci.

Konfiguracni soubor klienta:

dev tap

proto tcp-client

remote ***.***.***.*** 1194

tls-client

keepalive 10 60

persist-tun

persist-key

cipher AES-256-CBC

auth SHA1

pull

auth-user-pass auth.cfg

ca cert1.crt

route 192.168.88.0 255.255.255.0 192.168.90.1

V souboru auth.cfg je na jednom radku jmeno a na druhem heslo (ovpn/*****).

[iko]

dik, v principe mam vsetko dobre. Momentalne neriesim firewall a spol, port mam pusteny, takze tam je to OK.

win pise:

Mon Jan 31 12:13:37 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
Mon Jan 31 12:13:37 2022 MANAGEMENT: >STATE:1643627617,TCP_CONNECT,,,,,,
Mon Jan 31 12:13:38 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
Mon Jan 31 12:13:38 2022 TCP_CLIENT link local: (not bound)
Mon Jan 31 12:13:38 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,WAIT,,,,,,
Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,AUTH,,,,,,
Mon Jan 31 12:13:38 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=fefa64f0 6af6217b
Mon Jan 31 12:13:38 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
Mon Jan 31 12:13:38 2022 VERIFY KU OK
Mon Jan 31 12:13:38 2022 Validating certificate extended key usage
Mon Jan 31 12:13:38 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Mon Jan 31 12:13:38 2022 VERIFY EKU OK
Mon Jan 31 12:13:38 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
Mon Jan 31 12:13:38 2022 Connection reset, restarting [0]
Mon Jan 31 12:13:38 2022 SIGUSR1[soft,connection-reset] received, process restarting
Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,RECONNECTING,connection-reset,,,,,
Mon Jan 31 12:13:38 2022 Restart pause, 5 second(s)
Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,RESOLVE,,,,,,
Mon Jan 31 12:13:43 2022 TCP/UDP: Preserving recently used remote address: [AF_INET]xxx.xxx.xxx.xxx:1194
Mon Jan 31 12:13:43 2022 Socket Buffers: R=[8192->8192] S=[8192->8192]
Mon Jan 31 12:13:43 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,TCP_CONNECT,,,,,,
Mon Jan 31 12:13:44 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
Mon Jan 31 12:13:44 2022 TCP_CLIENT link local: (not bound)
Mon Jan 31 12:13:44 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,WAIT,,,,,,
Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,AUTH,,,,,,
Mon Jan 31 12:13:44 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=a8692c25 dde54586
Mon Jan 31 12:13:45 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
Mon Jan 31 12:13:45 2022 VERIFY KU OK
Mon Jan 31 12:13:45 2022 Validating certificate extended key usage
Mon Jan 31 12:13:45 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Mon Jan 31 12:13:45 2022 VERIFY EKU OK
Mon Jan 31 12:13:45 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
Mon Jan 31 12:13:45 2022 Connection reset, restarting [0]
Mon Jan 31 12:13:45 2022 SIGUSR1[soft,connection-reset] received, process restarting
Mon Jan 31 12:13:45 2022 MANAGEMENT: >STATE:1643627625,RECONNECTING,connection-reset,,,,,
Mon Jan 31 12:13:45 2022 Restart pause, 5 second(s)

a mikrotik pise:

12:12:28 ovpn,info TCP connection established from xx.xx.xx.xx 
12:12:29 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
12:12:31 ovpn,info : using encoding - AES-256-CBC/SHA1 
12:12:36 ovpn,info TCP connection established from xx.xx.xx.xx 
12:12:37 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
12:12:37 ovpn,info : using encoding - AES-256-CBC/SHA1 

[Petr Šobáň]

OpenVPN nepoužívám takže neporadím.

Já používám L2TP s IPsec.

Tam vím že po nějaké aktualizaci windows se na to nepřipojí (chyba v windows) tak zda to nebude i problém OpenVPN.

Z jiného zařízení se na ten mikrotik připojíš?

Z mobilu, linuxu......

[Radek]

Problému s openvpn se to netýká ;) openvpn má svůj program a svoje drivery.

[Radek]

Postni sem konfigurák.

[iko]

client
remote domena.tld 1194
auth-user-pass
cipher AES-256-CBC
auth sha1
dev tun
proto tcp
nobind
auth-nocache
script-security 2
persist-key
persist-tun
remote-cert-tls server
verb 3
<ca>
...
</ca>
<cert>
...
</cert>
<key>
...
</key>

[iko]

certifikaty som vytvoril takto:

/certificate add name=CA-XXX country="SK" state="Slovakia" organization="XXX" common-name=CA-XXX key-usage=key-cert-sign,crl-sign days-valid=3650 key-size=2048
/certificate sign CA-XXX ca-crl-host=domena.tld name=CA-XXX
/certificate export-certificate CA-XXX
/certificate set CA-XXX trusted=yes

/certificate add name=OPENVPN-SERVER-tpl country="SK" state="Slovakia" organization="XXX" common-name="domena.tld" key-usage=digital-signature,key-encipherment,tls-server days-valid=3650 key-size=2048
/certificate sign OPENVPN-SERVER ca=CA-XXX name=OPENVPN-SERVER
/certificate set OPENVPN-SERVER trusted=yes

/certificate add name=client-tpl country="SK" state="SK" organization="XXX" common-name="client" days-valid=3650 key-size=4096 key-usage=tls-client

/certificate add name=s7 copy-from="client-tpl" common-name="s7"
/certificate sign s7 ca="CA-XXX" name="s7"
/certificate export-certificate s7 export-passphrase=heslo
/certificate set s7 trusted=yes

[ehmmm]

Lisime se v tom, ze ja to provozuju jenom s jednim certifikatem (a jmenem/heslem).

Jak jsem psal nahore, vygeneruju ho a podepisu na Mikrotiku, na klientovi je z toho pak jen *.crt soubor.

Priznam se, ze jsem nikdy ten system certifikatu poradne nepochopil.

[iko]

no a ked chcem pripajat 6 zariadeni? a kazdy s vlastnym cert?

[iko]

ja som to vzdy robil takto jak ja, spravit CA a s tou podpisovat vsetky certifikaty. ani neviem ze sa to da nejak inak

[PetebLazar]

U Linux implementace OpenVPN se využívá CRL (Certificate Revocation List), takže v případě kompromitace individuálního klientského privatního klíče se příslušný klientský certifikát revokuje/odvolá (VPN server při autentifikaci klienta kontroluje zda se jeho klientský certifikat nevyskytuje na CRL). RouterOS implementace OpenVPN toto myslím neposkytuje.

[iko]

a revokovanie certifikatu na mikrtiku robi co?

[PetebLazar]

Tak se omlouvám za chybnou informaci, jiz je to dlouho co jsem to zkousel. V seznamu certifikatu by to snad melo jit individualne nastavit (revokace).

https://wiki.mikrotik.com/wiki/Manual:Create_Certificates#Generate_certificates_on_RouterOS