abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 20:22 | Nová verze

    Byla vydána (𝕏) květnová aktualizace aneb nová verze 1.101 editoru zdrojových kódů Visual Studio Code (Wikipedie). Přehled novinek i s náhledy a videi v poznámkách k vydání. Ve verzi 1.101 vyjde také VSCodium, tj. komunitní sestavení Visual Studia Code bez telemetrie a licenčních podmínek Microsoftu.

    Ladislav Hagara | Komentářů: 0
    dnes 10:00 | Komunita

    V Brně na FIT VUT probíhá třídenní open source komunitní konference DevConf.CZ 2025. Vstup je zdarma, nutná je ale registrace. Na programu je celá řada zajímavých přednášek, lightning talků, meetupů a workshopů. Přednášky lze sledovat i online na YouTube kanálu konference. Aktuální dění lze sledovat na Matrixu, 𝕏 nebo Mastodonu.

    Ladislav Hagara | Komentářů: 0
    dnes 09:44 | IT novinky

    Vyloučení technologií, které by mohly představovat bezpečnostní riziko pro stát, má umožnit zákon o kybernetické bezpečnosti, který včera Senát schválil spolu s novelami navazujících právních předpisů. Norma, kterou nyní dostane k podpisu prezident, počítá rovněž s prověřováním dodavatelů technologií pro stát. Normy mají nabýt účinnosti od třetího měsíce po jejich vyhlášení ve Sbírce zákonů.

    Ladislav Hagara | Komentářů: 8
    dnes 01:11 | Nová verze

    Open source platforma Home Assistant (Demo, GitHub, Wikipedie) pro monitorování a řízení inteligentní domácnosti byla vydána v nové verzi 2025.6.

    Ladislav Hagara | Komentářů: 0
    dnes 00:55 | Nová verze

    Po Red Hat Enterprise Linuxu a AlmaLinuxu byl v nové stabilní verzi 10.0 vydán také Rocky Linux. Přehled novinek v poznámkách k vydání.

    Ladislav Hagara | Komentářů: 0
    včera 22:55 | Nová verze

    Bylo vydáno Eclipse IDE 2025-06 aneb Eclipse 4.36. Představení novinek tohoto integrovaného vývojového prostředí také na YouTube.

    Ladislav Hagara | Komentářů: 0
    včera 22:33 | IT novinky

    Americká filmová studia Walt Disney a Universal Pictures podala žalobu na provozovatele populárního generátoru obrázků pomocí umělé inteligence (AI) Midjourney. Zdůvodňují to údajným porušováním autorských práv. V žalobě podané u federálního soudu v Los Angeles označují firmu za „bezednou jámu plagiátorství“, neboť podle nich bez povolení bezostyšně kopíruje a šíří postavy z filmů jako Star Wars, Ledové království nebo Já, padouch, aniž by do nich investovala jediný cent.

    Ladislav Hagara | Komentářů: 1
    včera 18:33 | IT novinky

    Ultra Ethernet Consortium (UEC), jehož cílem je optimalizace a další vývoj Ethernetu s důrazem na rostoucí síťové požadavky AI a HPC, vydalo specifikaci Ultra Ethernet 1.0 (pdf, YouTube).

    Ladislav Hagara | Komentářů: 0
    včera 13:00 | IT novinky

    Francouzský prezident Emmanuel Macron chce zakázat přístup na sociální sítě pro děti do 15 let. Francie podle něj tento krok udělá sama do několika měsíců, i pokud se na něm neshodnou další státy Evropské unie. Reaguje tak na úterní vraždu vychovatelky, kterou ve východofrancouzském městě Nogent pobodal 14letý mladík. Jednotlivé sociální sítě podle něj mají možnost věk ověřit a vymáhat zákaz pomocí systémů na rozpoznávání tváří.

    Ladislav Hagara | Komentářů: 12
    včera 05:11 | IT novinky

    Byl aktualizován seznam 500 nejvýkonnějších superpočítačů na světě TOP500. Nejvýkonnějším superpočítačem zůstává El Capitan od HPE (Cray) s výkonem 1,742 exaFLOPS. Druhý Frontier má výkon 1,353 exaFLOPS. Třetí Aurora má výkon 1,012 exaFLOPS. Nejvýkonnější český počítač C24 klesl na 165 místo. Karolina, GPU partition klesla na 195. místo a Karolina, CPU partition na 421. místo. Další přehledy a statistiky na stránkách projektu.

    Ladislav Hagara | Komentářů: 0
    Jaký je váš oblíbený skriptovací jazyk?
     (55%)
     (31%)
     (7%)
     (2%)
     (0%)
     (1%)
     (3%)
    Celkem 254 hlasů
     Komentářů: 16, poslední 8.6. 21:05
    Rozcestník

    Dotaz: OpenVPN na Mikrotiku

    31.1.2022 08:57 iko | skóre: 7
    OpenVPN na Mikrotiku
    Přečteno: 1043×
    zdravim

    nema niekto funkcnu OpenVPN na Mikrotiku oproti Lin/Win/AOS? Nech skusam co skusam, nejde to. Mikrotik v logu nic poriadne nenapise. Certifikaty vytvorene na MKT. Server na lin mi bez problemov roky ide, ale ked mam mat server na MKT, tak ani prd.

    Odpovědi

    31.1.2022 08:58 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    doplnim, miktotik 6.49.2
    31.1.2022 10:41 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Pozn. Pokud se nepletu, tak RouterOS 7 již podporuje OpenVPN over UDP. Co jsem zkousel dřívější RouterOS 7 Bety (na RB4011iGS+RM) neumělo snad to využít v SoC dostupné akcelerace AES (výkon tak byl odvislý od hrubého výpočetního výkonu CPU). Při simulaci výpadků paketů se to chovalo lepe než OpenVPN over TCP u nižších verzí RouterOS, ale zda je to dostatečně robustní pro provoz popravdě netuším. OpenVPN over TCP u verzi RouterOS 6.x mi přišel svým chováním jako nevhodné řešení VPN.
    31.1.2022 11:05 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    7micka je na slabsich mikrotikoch (hAP Lite) nepouzitelna, 100% CPU.
    31.1.2022 11:21 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Tj. RB4011iGS+RM s quad-core Cortex-A15@1,4GHz s out-of-order architekturou a 1GB RAM je přecijen jinde.
    31.1.2022 09:55 ehmmm
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Takhle to podle svych starych poznamek delam ja:

    OVPN server:

    System/Certificates: vytvářím cert1xyz, keysize defaultně 2048, days valid 9999. Vzápětí dávám "Sign". Ale stejně vidím, že je validní jen do 2039-01-18. Exportovat, stáhnout do PC, smazat z Files.

    IP/Pool: přidávám ovpn-server-pool, 192.168.90.10-192.168.90.50.

    PPP/Profiles: přidávám ovpn-server-profile, local address 192.168.90.1, remote address ovpn-server-pool.

    PPP/Secrets: přidávám name ovpn, password *****, service any, profile ovpn-server-profile.

    PPP/Interface/OVPN Server: enabled, mode ethernet (v *.ovpn souboru potom musí tap), default profile ovpn-server-profile, certificate cert1xyz, auth pouze sha1, cipher pouze aes256.

    IP/Firewall/Filter Rules: Otevírám pravidlo "allow pptp", dávám "Copy" a upravuji jej na "allow ovpn", dst.port 1194. Při té příležitosti disabluji IPsec NAT, IKE, pptp, l2tp, sstp, in ipsec, out ipsec.

    IP/Firewall/Filter Rules: Pravidlo "drop all not incoming from LAN" je moc přísné a nedovoluje se dostat z tunelu do konfigurace mikrotiku, tak jsem ho disabloval.

    Ve starších verzích na tomto místě bylo "drop all from WAN" (chain input, in. interface list WAN, action drop).

    (Druhou možností by bylo v Interfaces/Interface List přidat ovpn-vpn a pptp-vpn do LAN.)

    Na konci je pravidlo "drop all from WAN not DSTNATed" (ale jenom forward, nikoliv input, takze drop all from WAN je asi lepsi).

    IP/Firewall/NAT: Z pravidla "masq. vpn traffic" dělám kopii "masq. ovpn traffic", src.address 192.168.90.0/24.

    ---

    Nasel jsem jeste starsi poznamky:

    OpenVPN server:

    Kvuli openvpn si vytvarim certifikat "cert1" (pro overeni serveru?). Podepsat jej musim v konzoli prikazem "sign cert1", chvili to trva. Lze jej podepsat i ve WinBoxu, nenechat se zmast tim cekanim. Certifikat potom exportuji, tim se objevi ve "Files", odkud lze (pres www, nebo drag&drop z winboxu) downloadovat k sobe na notebook.

    Jsou dva mozne typy tunelu tun=ip a tap=ethernet. OpenVPN ve Windows pri pripojeni TUN vyzaduje, aby oba konce tunelu byly v masce 255.255.255.253, coz neni mnoho, takze radsi TAP/ethernet. Mikrotik neumi OpenVPN pres UDP, pouze TCP. Take asi neumi uzivatelske klice, pouze jmeno a heslo.

    Na Mikrotiku jsem pridal novy IP/Pool (name "ovpn-server-pool", addresses 192.168.90...), PPP/Profile (name "ovpn-server-profile", local address 192.168.90.1, remote address "ovpn-server-pool"). Do IP/Firewall pridavam Filter Rule podobne pravidlu pro pptp (chain input, protocol tcp, dst. port 1194, action accept) a posunuji jej nad defaultni pravidlo "drop input ether1". Take v IP/Firewall pridavam pravidlo pro NAT (chain srcnat, src. address 192.168.90.0/24, action masquerade), ktere je podobne NATu pro 192.168.89.0/24. V PPP/Secrets jsem si pridal uzivatele (name "ovpn", password "*****", service any, profile ovpn-server-profile). Nastaveni PPP/Interface OVPN Server: enabled yes, port 1194, mode ethernet, ..., default profile "ovpn-server", certificate "cert1", require client certificate no, auth sha1 (mda5 radsi ne), cipher aes256. To na strane serveru staci.

    Konfiguracni soubor klienta:

    dev tap

    proto tcp-client

    remote ***.***.***.*** 1194

    tls-client

    keepalive 10 60

    persist-tun

    persist-key

    cipher AES-256-CBC

    auth SHA1

    pull

    auth-user-pass auth.cfg

    ca cert1.crt

    route 192.168.88.0 255.255.255.0 192.168.90.1

    V souboru auth.cfg je na jednom radku jmeno a na druhem heslo (ovpn/*****).
    31.1.2022 12:21 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    dik, v principe mam vsetko dobre. Momentalne neriesim firewall a spol, port mam pusteny, takze tam je to OK.

    win pise:
    Mon Jan 31 12:13:37 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
    Mon Jan 31 12:13:37 2022 MANAGEMENT: >STATE:1643627617,TCP_CONNECT,,,,,,
    Mon Jan 31 12:13:38 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:38 2022 TCP_CLIENT link local: (not bound)
    Mon Jan 31 12:13:38 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,WAIT,,,,,,
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,AUTH,,,,,,
    Mon Jan 31 12:13:38 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=fefa64f0 6af6217b
    Mon Jan 31 12:13:38 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
    Mon Jan 31 12:13:38 2022 VERIFY KU OK
    Mon Jan 31 12:13:38 2022 Validating certificate extended key usage
    Mon Jan 31 12:13:38 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
    Mon Jan 31 12:13:38 2022 VERIFY EKU OK
    Mon Jan 31 12:13:38 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
    Mon Jan 31 12:13:38 2022 Connection reset, restarting [0]
    Mon Jan 31 12:13:38 2022 SIGUSR1[soft,connection-reset] received, process restarting
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,RECONNECTING,connection-reset,,,,,
    Mon Jan 31 12:13:38 2022 Restart pause, 5 second(s)
    Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,RESOLVE,,,,,,
    Mon Jan 31 12:13:43 2022 TCP/UDP: Preserving recently used remote address: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:43 2022 Socket Buffers: R=[8192->8192] S=[8192->8192]
    Mon Jan 31 12:13:43 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
    Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,TCP_CONNECT,,,,,,
    Mon Jan 31 12:13:44 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:44 2022 TCP_CLIENT link local: (not bound)
    Mon Jan 31 12:13:44 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,WAIT,,,,,,
    Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,AUTH,,,,,,
    Mon Jan 31 12:13:44 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=a8692c25 dde54586
    Mon Jan 31 12:13:45 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
    Mon Jan 31 12:13:45 2022 VERIFY KU OK
    Mon Jan 31 12:13:45 2022 Validating certificate extended key usage
    Mon Jan 31 12:13:45 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
    Mon Jan 31 12:13:45 2022 VERIFY EKU OK
    Mon Jan 31 12:13:45 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
    Mon Jan 31 12:13:45 2022 Connection reset, restarting [0]
    Mon Jan 31 12:13:45 2022 SIGUSR1[soft,connection-reset] received, process restarting
    Mon Jan 31 12:13:45 2022 MANAGEMENT: >STATE:1643627625,RECONNECTING,connection-reset,,,,,
    Mon Jan 31 12:13:45 2022 Restart pause, 5 second(s)
    a mikrotik pise:
    12:12:28 ovpn,info TCP connection established from xx.xx.xx.xx 
    12:12:29 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
    12:12:31 ovpn,info : using encoding - AES-256-CBC/SHA1 
    12:12:36 ovpn,info TCP connection established from xx.xx.xx.xx 
    12:12:37 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
    12:12:37 ovpn,info : using encoding - AES-256-CBC/SHA1 
    
    31.1.2022 12:54 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    OpenVPN nepoužívám takže neporadím.

    Já používám L2TP s IPsec.

    Tam vím že po nějaké aktualizaci windows se na to nepřipojí (chyba v windows) tak zda to nebude i problém OpenVPN.

    Z jiného zařízení se na ten mikrotik připojíš?

    Z mobilu, linuxu......
    31.1.2022 13:22 Radek
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Problému s openvpn se to netýká ;) openvpn má svůj program a svoje drivery.
    31.1.2022 13:22 Radek
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Postni sem konfigurák.
    31.1.2022 13:32 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    client
    remote domena.tld 1194
    auth-user-pass
    cipher AES-256-CBC
    auth sha1
    dev tun
    proto tcp
    nobind
    auth-nocache
    script-security 2
    persist-key
    persist-tun
    remote-cert-tls server
    verb 3
    <ca>
    ...
    </ca>
    <cert>
    ...
    </cert>
    <key>
    ...
    </key>
    31.1.2022 13:35 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    certifikaty som vytvoril takto:
    /certificate add name=CA-XXX country="SK" state="Slovakia" organization="XXX" common-name=CA-XXX key-usage=key-cert-sign,crl-sign days-valid=3650 key-size=2048
    /certificate sign CA-XXX ca-crl-host=domena.tld name=CA-XXX
    /certificate export-certificate CA-XXX
    /certificate set CA-XXX trusted=yes
    
    /certificate add name=OPENVPN-SERVER-tpl country="SK" state="Slovakia" organization="XXX" common-name="domena.tld" key-usage=digital-signature,key-encipherment,tls-server days-valid=3650 key-size=2048
    /certificate sign OPENVPN-SERVER ca=CA-XXX name=OPENVPN-SERVER
    /certificate set OPENVPN-SERVER trusted=yes
    
    /certificate add name=client-tpl country="SK" state="SK" organization="XXX" common-name="client" days-valid=3650 key-size=4096 key-usage=tls-client
    
    /certificate add name=s7 copy-from="client-tpl" common-name="s7"
    /certificate sign s7 ca="CA-XXX" name="s7"
    /certificate export-certificate s7 export-passphrase=heslo
    /certificate set s7 trusted=yes
    31.1.2022 13:57 ehmmm
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Lisime se v tom, ze ja to provozuju jenom s jednim certifikatem (a jmenem/heslem).

    Jak jsem psal nahore, vygeneruju ho a podepisu na Mikrotiku, na klientovi je z toho pak jen *.crt soubor.

    Priznam se, ze jsem nikdy ten system certifikatu poradne nepochopil.
    31.1.2022 14:37 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    no a ked chcem pripajat 6 zariadeni? a kazdy s vlastnym cert?
    31.1.2022 14:38 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    ja som to vzdy robil takto jak ja, spravit CA a s tou podpisovat vsetky certifikaty. ani neviem ze sa to da nejak inak
    31.1.2022 15:43 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    U Linux implementace OpenVPN se využívá CRL (Certificate Revocation List), takže v případě kompromitace individuálního klientského privatního klíče se příslušný klientský certifikát revokuje/odvolá (VPN server při autentifikaci klienta kontroluje zda se jeho klientský certifikat nevyskytuje na CRL). RouterOS implementace OpenVPN toto myslím neposkytuje.
    31.1.2022 16:28 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    a revokovanie certifikatu na mikrtiku robi co?
    31.1.2022 17:54 PetebLazar | skóre: 34 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Tak se omlouvám za chybnou informaci, jiz je to dlouho co jsem to zkousel. V seznamu certifikatu by to snad melo jit individualne nastavit (revokace).

    https://wiki.mikrotik.com/wiki/Manual:Create_Certificates#Generate_certificates_on_RouterOS

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.