L2TP Mikrotik: налаштування. Обладнання Mikrotik

Зараз все більше компаній та їх філій прагнуть об'єднатися в одну інформаційну мережу, тому дане питання досить актуальне. Також часто вимагається можливість надання мережі для співробітників з будь-якої точки земної кулі. Те, як правильно потрібно об'єднувати мережі, у даній статті буде пояснено на прикладі зміни параметрів L2TP. Mikrotik, настроювання якого описана далі, вважається хорошим варіантом для роботи як вдома, так і в офісі. За рахунок функції hAP lite можна з невеликими зусиллями працювати з віддаленим доступом кожного співробітника. Продуктивність роутера дозволить працювати в невеликих офісах, де перед собою компанія не ставить надто великих вимог.


Досить часто в одній локальній мережі розташовуються офіс і його філії. Працюють вони з одним і тим же провайдером, тому процес з'єднання сигналів досить простий. Потрібно зауважити, що досить часто філії розташовані на великій відстані від головного центру і один від одного. Найбільш затребувана і актуальна на даний момент технологія під назвою Virtual Private Network (VPN). Її реалізувати можна багатьма способами. Не рекомендується використовувати PPTP, так як ця технологія застаріла, і OpenVPN. Остання зможе взаємодіяти не з усіма пристроями.

Протокол L2TP

За рахунок відносної доступності протокол L2TP Mikrotik, настроювання якого буде описана далі, здатний працювати на багатьох операційних системах. Він вважається найбільш відомим. Проблеми з них можуть виникати лише тоді, коли клієнт буде знаходитися за NAT. В такому випадку спеціальне забезпечення буде блокувати його пакети. Є способи виправлення цієї проблеми. У цього протоколу є і свої недоліки.


Наприклад, такими у L2TP можна вважати безпеку і продуктивність. Коли використовується IPSec для підвищення рівня захищеності, знижується другий показник. Це так звана ціна безпеки даних.

Налаштування сервера

Головний сервер повинен мати IP-адреса статичного типу. Є його приклад: 192168106.246. Цей нюанс досить важливий, так як адреса ні в якому разі не повинен змінюватися. Інакше власникові та іншим користувачам доведеться використовувати DNS-ім'я та обтяжувати себе зайвими діями.

Створення профілів

Для того щоб створити профіль, потрібно зайти в розділ PPP. Там буде меню «Профайли». Далі потрібно сформувати профіль, який буде застосовуватися до підключенням типу VPN, тобто єдиної мережі. Необхідно відзначити і включити наступні опції: «Змінити TCP MSS», «Використовувати стиснення», «Застосовувати шифрування». Що стосується останнього параметра, то він прийме значення за замовчуванням. Продовжуємо працювати з роутером Mikrotik. L2TP і Server налаштування мають досить складну, тому потрібно стежити за кожним своїм кроком. Далі користувачеві потрібно перейти на вкладку «Інтерфейс». Там слід звернути увагу на L2TP-сервер. З'явиться інформаційне меню, в якому слід натиснути на кнопку «Включити». Профіль буде обраний за замовчуванням, так як він єдиний і створений трохи раніше. Якщо хочеться, можна змінити тип аутентифікації. Але якщо користувач в цьому нічого не розуміє, краще залишити стандартне значення. Опція IPsec повинна залишитися неактивованої.
Після цього користувачеві потрібно перейти в «Секрети» і створити користувача мережі. У графі «Сервер» потрібно вказати L2TP. При бажанні тут же вказується профіль, який буде використовуватися в Mikrotik. Налаштування L2TP і Server практично закінчена. Локальний і віддалений адреси серверів мають бути однаковими, різниця у них лише у двох останніх цифрах. Це значення 10500.10/11 відповідно. Якщо необхідно, потрібно створити додаткових користувачів. Локальний адресу при цьому залишається незмінним, а от віддалений потрібно поступово збільшувати на одне значення.

Налаштування файрволла

Для того щоб працювати з об'єднаною мережею, потрібно відкрити спеціальний порт типу UDP. У ньому піднімається пріоритет правила і переміщається по позиції вище. Тільки так можна добитися хорошої роботи L2TP. Mikrotik налаштування має непросту, але при певних зусиллях це реально. Далі настроювач слід зайти в NAT і додати маскарадинг. Робиться це для того, що комп'ютери були видні в межах однієї мережі.

Додавання маршруту

При проведенні всіх налаштувань була створена дистанційна підмережа. Саме в ній повинен бути прописаний маршрут. Кінцеве значення підмережі повинно бути 1921682.0/24. Шлюзом ж при цьому виступає адресу клієнта в самій мережі. Цільовий обсяг повинен дорівнювати одиниці. На цьому всі налаштування сервера закінчуються, залишилося лише провести клієнтські зміни параметрів.

Налаштування клієнта

Проводячи подальші налаштування технології L2TP «Микротик», налаштування клієнта потрібно приділити велику увагу. Необхідно зайти в розділ «Інтерфейс» і створити нового клієнта типу L2TP. Слід вказати адресу сервера та облікові дані. Шифрування вибрано за промовчанням, біля опції дефолтного маршруту необхідно зняти галочку активації. Якщо все зроблено правильно, то після збереження повинно з'явитися з'єднання в мережі L2TP. Mikrotik, настроювання якого майже завершена, є відмінним варіантом для роботи з VPN.
Перевіряємо працездатність вузлів у створеній сітці. Вводимо значення 1921681.1. З'єднання повинне скинутися. Саме тому необхідно створити новий маршрут статичного типу. Він являє собою підмережа типу 1921681.0/24. Шлюз – адресу сервера віртуальної мережі. У «Джерелі» потрібно вказати адресу користувача мережі. Після повторної перевірки працездатності вузлів так званого пінгу можна помітити, що з'єднання з'явилося. Однак комп'ютери в сітці ще не повинні бачити його. Для того щоб вони могли підключитися, треба створити маскарадинг. Він повинен бути повністю аналогічним тому, що вже був створений на сервері. Вихідний інтерфейс при цьому має значення підключення VPN-типу. Якщо пінг здійснився, то все повинно працювати. Тунель створено, комп'ютери можуть підключатися і працювати в сітці. При хорошому тарифному пакеті з легкістю виходить швидкість понад 50 Мбіт в секунду. Такого показника можна досягти тільки при відмові від технології (при використанні L2TP) IPSec в Mikrotik. На цьому стандартна налаштування мережі завершується. Якщо буде додаватися новий користувач, то слід на його пристрої додати ще маршрут. Тоді пристрої будуть бачити один одного. Якщо відбувається перенесення маршруту з Client1 і Client2 то ніяких налаштувань на сервері міняти не потрібно. Можна просто створити маршрути, а шлюзом задати адресу мережі опонента.

Налаштування L2TP і IPSec в Mikrotik

Якщо необхідно подбає про безпеку, то слід використовувати IPSec. Для цього не потрібно створювати нову мережу, можна використовувати стару. Зверніть увагу, що створювати даний протокол необхідно між адресами типу 10500. Це дозволить технології працювати незалежно від того, якою адресу клієнта. Якщо є бажання створити тунель IPSec в Mikrotik між сервером і клієнтом WAN, то потрібно подбати, щоб у останнього був зовнішній адресу. Якщо ж він буде динамічним, то доведеться міняти політику протоколу, використовуючи скрипти. Якщо буде задіяний IPSec між зовнішніми адресами, то в цілому і потреба в L2TP буде знижена до мінімуму.

Перевірка продуктивності

Обов'язково в кінці налаштувань потрібно перевірити продуктивність. Це пов'язано з тим, що при роботі з L2TP/IPSec відбувається інкапсуляція подвійного типу, а значить, центральний процесор сильно навантажується. Часто при створенні мережі можна помітити, що падає швидкість з'єднання. Збільшити її можна, створивши близько 10 потоків. Процесор при цьому буде завантажений практично на сто відсотків. Саме це є головним недоліком технології L2TP IPSec в Mikrotik. Вона в шкоду продуктивності гарантує максимальну безпеку. Для того щоб отримати хорошу швидкість роботи, потрібно придбати техніку високого рівня. Можна також зупинити свій вибір на роутері, який підтримує роботу з комп'ютером і RouterOS. Якщо він буде мати апаратного шифрування блоку, то продуктивність істотно покращиться. На жаль, дешеве обладнання Mikrotik такого результату не дасть.