abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 17:11 | Nová verze

    Byla vydána nová verze 9.20 z Debianu vycházející linuxové distribuce DietPi pro (nejenom) jednodeskové počítače. Přehled novinek v poznámkách k vydání. Vypíchnout lze například nový balíček RustDesk Server pro vzdálený přístup.

    Ladislav Hagara | Komentářů: 0
    dnes 14:44 | Nová verze

    Jonathan Thomas oznámil vydání nové verze 3.4.0 video editoru OpenShot (Wikipedie). Představení novinek také na YouTube. Zdrojové kódy OpenShotu jsou k dispozici na GitHubu. Ke stažení je i balíček ve formátu AppImage. Stačí jej stáhnout, nastavit právo na spouštění a spustit.

    Ladislav Hagara | Komentářů: 0
    dnes 14:22 | Nová verze

    Byla vydána nová verze 1.6 otevřeného, licenčními poplatky nezatíženého, univerzálního ztrátového formátu komprese zvuku Opus (Wikipedie) a jeho referenční implementace libopus. Podrobnosti na demo stránce.

    Ladislav Hagara | Komentářů: 2
    dnes 01:33 | Komunita

    Vojtěch Polášek představil Vojtux, tj. linuxovou distribuci pro zrakově postižené uživatele. Vychází ze spinu Fedory 43 s desktopovým prostředím MATE. Konečným cílem je, aby žádný Vojtux nebyl potřeba a požadovaná vylepšení se dostala do upstreamu.

    Ladislav Hagara | Komentářů: 10
    dnes 00:33 | Nová verze

    Byla vydána (Mastodon, 𝕏) druhá RC verze GIMPu 3.2. Přehled novinek v oznámení o vydání. Podrobně v souboru NEWS na GitLabu.

    Ladislav Hagara | Komentářů: 0
    včera 15:22 | Zajímavý článek

    Nové číslo časopisu Raspberry Pi zdarma ke čtení: Raspberry Pi Official Magazine 160 (pdf).

    Ladislav Hagara | Komentářů: 0
    včera 14:11 | IT novinky

    Izrael od února zakáže dětem používat v prostorách základních škol mobilní telefony. Podle agentury AFP to uvedlo izraelské ministerstvo školství, které zdůraznilo negativní dopady, které na žactvo používání telefonů má. Izrael se tímto krokem přidává k rostoucímu počtu zemí, které dětem ve vzdělávacích zařízeních přístup k telefonům omezují.

    Ladislav Hagara | Komentářů: 31
    včera 14:00 | IT novinky

    Internetová společnost Google ze skupiny Alphabet pravděpodobně dostane příští rok pokutu od Evropské komise za nedostatečné dodržování pravidel proti upřednostňování vlastních služeb a produktů ve výsledcích vyhledávání. V březnu EK obvinila Google, že ve výsledcích vyhledávání upřednostňuje na úkor konkurence vlastní služby, například Google Shopping, Google Hotels a Google Flights. Případ staví Google proti specializovaným

    … více »
    Ladislav Hagara | Komentářů: 8
    včera 12:22 | Pozvánky

    Byl oznámen program a spuštěna registrace na konferenci Prague PostgreSQL Developer Day 2026. Konference se koná 27. a 28. ledna a bude mít tři tracky s 18 přednáškami a jeden den workshopů.

    TomasVondra | Komentářů: 0
    včera 12:11 | Pozvánky

    Na webu československého síťařského setkání CSNOG 2026 je vyvěšený program, registrace a další informace k akci. CSNOG 2026 se uskuteční 21. a 22. ledna příštího roku a bude se i tentokrát konat ve Zlíně. Přednášky, kterých bude více než 30, budou opět rozdělené do tří bloků - správa sítí, legislativa a regulace a akademické projekty. Počet míst je omezený, proto kdo má zájem, měl by se registrovat co nejdříve.

    VSladek | Komentářů: 0
    Jaké řešení používáte k vývoji / práci?
     (35%)
     (48%)
     (20%)
     (17%)
     (23%)
     (15%)
     (24%)
     (15%)
     (18%)
    Celkem 469 hlasů
     Komentářů: 19, poslední 11.12. 20:04
    Rozcestník

    Dotaz: OpenVPN na Mikrotiku

    31.1.2022 08:57 iko | skóre: 7
    OpenVPN na Mikrotiku
    Přečteno: 1154×
    zdravim

    nema niekto funkcnu OpenVPN na Mikrotiku oproti Lin/Win/AOS? Nech skusam co skusam, nejde to. Mikrotik v logu nic poriadne nenapise. Certifikaty vytvorene na MKT. Server na lin mi bez problemov roky ide, ale ked mam mat server na MKT, tak ani prd.

    Odpovědi

    31.1.2022 08:58 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    doplnim, miktotik 6.49.2
    31.1.2022 10:41 PetebLazar | skóre: 35 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Pozn. Pokud se nepletu, tak RouterOS 7 již podporuje OpenVPN over UDP. Co jsem zkousel dřívější RouterOS 7 Bety (na RB4011iGS+RM) neumělo snad to využít v SoC dostupné akcelerace AES (výkon tak byl odvislý od hrubého výpočetního výkonu CPU). Při simulaci výpadků paketů se to chovalo lepe než OpenVPN over TCP u nižších verzí RouterOS, ale zda je to dostatečně robustní pro provoz popravdě netuším. OpenVPN over TCP u verzi RouterOS 6.x mi přišel svým chováním jako nevhodné řešení VPN.
    31.1.2022 11:05 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    7micka je na slabsich mikrotikoch (hAP Lite) nepouzitelna, 100% CPU.
    31.1.2022 11:21 PetebLazar | skóre: 35 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Tj. RB4011iGS+RM s quad-core Cortex-A15@1,4GHz s out-of-order architekturou a 1GB RAM je přecijen jinde.
    31.1.2022 09:55 ehmmm
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Takhle to podle svych starych poznamek delam ja:

    OVPN server:

    System/Certificates: vytvářím cert1xyz, keysize defaultně 2048, days valid 9999. Vzápětí dávám "Sign". Ale stejně vidím, že je validní jen do 2039-01-18. Exportovat, stáhnout do PC, smazat z Files.

    IP/Pool: přidávám ovpn-server-pool, 192.168.90.10-192.168.90.50.

    PPP/Profiles: přidávám ovpn-server-profile, local address 192.168.90.1, remote address ovpn-server-pool.

    PPP/Secrets: přidávám name ovpn, password *****, service any, profile ovpn-server-profile.

    PPP/Interface/OVPN Server: enabled, mode ethernet (v *.ovpn souboru potom musí tap), default profile ovpn-server-profile, certificate cert1xyz, auth pouze sha1, cipher pouze aes256.

    IP/Firewall/Filter Rules: Otevírám pravidlo "allow pptp", dávám "Copy" a upravuji jej na "allow ovpn", dst.port 1194. Při té příležitosti disabluji IPsec NAT, IKE, pptp, l2tp, sstp, in ipsec, out ipsec.

    IP/Firewall/Filter Rules: Pravidlo "drop all not incoming from LAN" je moc přísné a nedovoluje se dostat z tunelu do konfigurace mikrotiku, tak jsem ho disabloval.

    Ve starších verzích na tomto místě bylo "drop all from WAN" (chain input, in. interface list WAN, action drop).

    (Druhou možností by bylo v Interfaces/Interface List přidat ovpn-vpn a pptp-vpn do LAN.)

    Na konci je pravidlo "drop all from WAN not DSTNATed" (ale jenom forward, nikoliv input, takze drop all from WAN je asi lepsi).

    IP/Firewall/NAT: Z pravidla "masq. vpn traffic" dělám kopii "masq. ovpn traffic", src.address 192.168.90.0/24.

    ---

    Nasel jsem jeste starsi poznamky:

    OpenVPN server:

    Kvuli openvpn si vytvarim certifikat "cert1" (pro overeni serveru?). Podepsat jej musim v konzoli prikazem "sign cert1", chvili to trva. Lze jej podepsat i ve WinBoxu, nenechat se zmast tim cekanim. Certifikat potom exportuji, tim se objevi ve "Files", odkud lze (pres www, nebo drag&drop z winboxu) downloadovat k sobe na notebook.

    Jsou dva mozne typy tunelu tun=ip a tap=ethernet. OpenVPN ve Windows pri pripojeni TUN vyzaduje, aby oba konce tunelu byly v masce 255.255.255.253, coz neni mnoho, takze radsi TAP/ethernet. Mikrotik neumi OpenVPN pres UDP, pouze TCP. Take asi neumi uzivatelske klice, pouze jmeno a heslo.

    Na Mikrotiku jsem pridal novy IP/Pool (name "ovpn-server-pool", addresses 192.168.90...), PPP/Profile (name "ovpn-server-profile", local address 192.168.90.1, remote address "ovpn-server-pool"). Do IP/Firewall pridavam Filter Rule podobne pravidlu pro pptp (chain input, protocol tcp, dst. port 1194, action accept) a posunuji jej nad defaultni pravidlo "drop input ether1". Take v IP/Firewall pridavam pravidlo pro NAT (chain srcnat, src. address 192.168.90.0/24, action masquerade), ktere je podobne NATu pro 192.168.89.0/24. V PPP/Secrets jsem si pridal uzivatele (name "ovpn", password "*****", service any, profile ovpn-server-profile). Nastaveni PPP/Interface OVPN Server: enabled yes, port 1194, mode ethernet, ..., default profile "ovpn-server", certificate "cert1", require client certificate no, auth sha1 (mda5 radsi ne), cipher aes256. To na strane serveru staci.

    Konfiguracni soubor klienta:

    dev tap

    proto tcp-client

    remote ***.***.***.*** 1194

    tls-client

    keepalive 10 60

    persist-tun

    persist-key

    cipher AES-256-CBC

    auth SHA1

    pull

    auth-user-pass auth.cfg

    ca cert1.crt

    route 192.168.88.0 255.255.255.0 192.168.90.1

    V souboru auth.cfg je na jednom radku jmeno a na druhem heslo (ovpn/*****).
    31.1.2022 12:21 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    dik, v principe mam vsetko dobre. Momentalne neriesim firewall a spol, port mam pusteny, takze tam je to OK.

    win pise:
    Mon Jan 31 12:13:37 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
    Mon Jan 31 12:13:37 2022 MANAGEMENT: >STATE:1643627617,TCP_CONNECT,,,,,,
    Mon Jan 31 12:13:38 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:38 2022 TCP_CLIENT link local: (not bound)
    Mon Jan 31 12:13:38 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,WAIT,,,,,,
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,AUTH,,,,,,
    Mon Jan 31 12:13:38 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=fefa64f0 6af6217b
    Mon Jan 31 12:13:38 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
    Mon Jan 31 12:13:38 2022 VERIFY KU OK
    Mon Jan 31 12:13:38 2022 Validating certificate extended key usage
    Mon Jan 31 12:13:38 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
    Mon Jan 31 12:13:38 2022 VERIFY EKU OK
    Mon Jan 31 12:13:38 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
    Mon Jan 31 12:13:38 2022 Connection reset, restarting [0]
    Mon Jan 31 12:13:38 2022 SIGUSR1[soft,connection-reset] received, process restarting
    Mon Jan 31 12:13:38 2022 MANAGEMENT: >STATE:1643627618,RECONNECTING,connection-reset,,,,,
    Mon Jan 31 12:13:38 2022 Restart pause, 5 second(s)
    Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,RESOLVE,,,,,,
    Mon Jan 31 12:13:43 2022 TCP/UDP: Preserving recently used remote address: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:43 2022 Socket Buffers: R=[8192->8192] S=[8192->8192]
    Mon Jan 31 12:13:43 2022 Attempting to establish TCP connection with [AF_INET]xxx.xxx.xxx.xxx:1194 [nonblock]
    Mon Jan 31 12:13:43 2022 MANAGEMENT: >STATE:1643627623,TCP_CONNECT,,,,,,
    Mon Jan 31 12:13:44 2022 TCP connection established with [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:44 2022 TCP_CLIENT link local: (not bound)
    Mon Jan 31 12:13:44 2022 TCP_CLIENT link remote: [AF_INET]xxx.xxx.xxx.xxx:1194
    Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,WAIT,,,,,,
    Mon Jan 31 12:13:44 2022 MANAGEMENT: >STATE:1643627624,AUTH,,,,,,
    Mon Jan 31 12:13:44 2022 TLS: Initial packet from [AF_INET]xxx.xxx.xxx.xxx:1194, sid=a8692c25 dde54586
    Mon Jan 31 12:13:45 2022 VERIFY OK: depth=1, C=SK, ST=Slovakia, O=XXX, CN=CA-XXX
    Mon Jan 31 12:13:45 2022 VERIFY KU OK
    Mon Jan 31 12:13:45 2022 Validating certificate extended key usage
    Mon Jan 31 12:13:45 2022 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
    Mon Jan 31 12:13:45 2022 VERIFY EKU OK
    Mon Jan 31 12:13:45 2022 VERIFY OK: depth=0, C=SK, ST=Slovakia, O=XXX, CN=adresa.tld
    Mon Jan 31 12:13:45 2022 Connection reset, restarting [0]
    Mon Jan 31 12:13:45 2022 SIGUSR1[soft,connection-reset] received, process restarting
    Mon Jan 31 12:13:45 2022 MANAGEMENT: >STATE:1643627625,RECONNECTING,connection-reset,,,,,
    Mon Jan 31 12:13:45 2022 Restart pause, 5 second(s)
    a mikrotik pise:
    12:12:28 ovpn,info TCP connection established from xx.xx.xx.xx 
    12:12:29 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
    12:12:31 ovpn,info : using encoding - AES-256-CBC/SHA1 
    12:12:36 ovpn,info TCP connection established from xx.xx.xx.xx 
    12:12:37 ovpn,debug,error,64748,44112,44300,43240,21920,48572,43872,44296,l2tp,info,44300,debug,update,65535,critical,62728,396,45968,update,48648,48584,2080,4043,48572,48572,62592,48572,error duplicate packet, dropping 
    12:12:37 ovpn,info : using encoding - AES-256-CBC/SHA1 
    
    31.1.2022 12:54 Petr Šobáň | skóre: 80 | blog: soban | Olomouc
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    OpenVPN nepoužívám takže neporadím.

    Já používám L2TP s IPsec.

    Tam vím že po nějaké aktualizaci windows se na to nepřipojí (chyba v windows) tak zda to nebude i problém OpenVPN.

    Z jiného zařízení se na ten mikrotik připojíš?

    Z mobilu, linuxu......
    31.1.2022 13:22 Radek
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Problému s openvpn se to netýká ;) openvpn má svůj program a svoje drivery.
    31.1.2022 13:22 Radek
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Postni sem konfigurák.
    31.1.2022 13:32 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    client
    remote domena.tld 1194
    auth-user-pass
    cipher AES-256-CBC
    auth sha1
    dev tun
    proto tcp
    nobind
    auth-nocache
    script-security 2
    persist-key
    persist-tun
    remote-cert-tls server
    verb 3
    <ca>
    ...
    </ca>
    <cert>
    ...
    </cert>
    <key>
    ...
    </key>
    31.1.2022 13:35 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    certifikaty som vytvoril takto:
    /certificate add name=CA-XXX country="SK" state="Slovakia" organization="XXX" common-name=CA-XXX key-usage=key-cert-sign,crl-sign days-valid=3650 key-size=2048
    /certificate sign CA-XXX ca-crl-host=domena.tld name=CA-XXX
    /certificate export-certificate CA-XXX
    /certificate set CA-XXX trusted=yes
    
    /certificate add name=OPENVPN-SERVER-tpl country="SK" state="Slovakia" organization="XXX" common-name="domena.tld" key-usage=digital-signature,key-encipherment,tls-server days-valid=3650 key-size=2048
    /certificate sign OPENVPN-SERVER ca=CA-XXX name=OPENVPN-SERVER
    /certificate set OPENVPN-SERVER trusted=yes
    
    /certificate add name=client-tpl country="SK" state="SK" organization="XXX" common-name="client" days-valid=3650 key-size=4096 key-usage=tls-client
    
    /certificate add name=s7 copy-from="client-tpl" common-name="s7"
    /certificate sign s7 ca="CA-XXX" name="s7"
    /certificate export-certificate s7 export-passphrase=heslo
    /certificate set s7 trusted=yes
    31.1.2022 13:57 ehmmm
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Lisime se v tom, ze ja to provozuju jenom s jednim certifikatem (a jmenem/heslem).

    Jak jsem psal nahore, vygeneruju ho a podepisu na Mikrotiku, na klientovi je z toho pak jen *.crt soubor.

    Priznam se, ze jsem nikdy ten system certifikatu poradne nepochopil.
    31.1.2022 14:37 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    no a ked chcem pripajat 6 zariadeni? a kazdy s vlastnym cert?
    31.1.2022 14:38 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    ja som to vzdy robil takto jak ja, spravit CA a s tou podpisovat vsetky certifikaty. ani neviem ze sa to da nejak inak
    31.1.2022 15:43 PetebLazar | skóre: 35 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    U Linux implementace OpenVPN se využívá CRL (Certificate Revocation List), takže v případě kompromitace individuálního klientského privatního klíče se příslušný klientský certifikát revokuje/odvolá (VPN server při autentifikaci klienta kontroluje zda se jeho klientský certifikat nevyskytuje na CRL). RouterOS implementace OpenVPN toto myslím neposkytuje.
    31.1.2022 16:28 iko | skóre: 7
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    a revokovanie certifikatu na mikrtiku robi co?
    31.1.2022 17:54 PetebLazar | skóre: 35 | blog: l_eonardovo_odhodlani
    Rozbalit Rozbalit vše Re: OpenVPN na Mikrotiku
    Tak se omlouvám za chybnou informaci, jiz je to dlouho co jsem to zkousel. V seznamu certifikatu by to snad melo jit individualne nastavit (revokace).

    https://wiki.mikrotik.com/wiki/Manual:Create_Certificates#Generate_certificates_on_RouterOS

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.