Pokud jde o vytvoření bezpečného připojení ke vzdálené síti nebo organizaci, protokol IPsec je jednou z nejspolehlivějších možností. A pokud máte více vzdálených sítí nebo kanceláří, pak nastavení více IPSec tunelů na Mikrotik routeru může být velmi užitečné. V tomto článku vám řekneme, jak nastavit více tunelů IPSec na Mikrotik krok za krokem.
Krok 1: Vytvoření bezpečnostních klíčů
Než začnete konfigurovat tunely IPSec, musíte vytvořit bezpečnostní klíče. Musíte vygenerovat klíče pro každý pár vzdálených sítí, které budete vzájemně připojovat.
Příklad příkazu k vytvoření klíčů:
/ip ipsec proposal
add auth-algorithms=sha1 disabled=no enc-algorithms=3des lifetime=1d name=proposal1 pfs-group=none
/ip ipsec peer
add address=192.168.1.1/32 auth-method=pre-shared-key disabled=no dpd-interval=2m dpd-maximum-failures=5 enc-algorithm=3des exchange-mode=main-l2tp generate-policy=port-strict hash-algorithm=sha1 nat-traversal=no passive=no policy-template-group=default proposal-check=strict secret=test123456 send-initial-contact=yes
Krok 2: Konfigurace IPSec tunelů
Nyní, když máte bezpečnostní klíče, můžete začít konfigurovat IPSec tunely. Pro každý pár vzdálených sítí je nutné vytvořit samostatný tunel IPsec.
Příklad příkazu pro konfiguraci tunelu IPSec:
/interface eoip
add comment="Tunnel to Remote Network 1" disabled=no local-address=192.168.1.1 mtu=1452 name=tunnel1 remote-address=192.168.2.1
/ip address
add address=172.16.1.2/24 comment="Local Network 1" interface=bridge network=172.16.1.0
/ip ipsec policy
add disabled=no dst-address=192.168.2.0/24 proposal=proposal1 sa-dst-address=192.168.1.1 sa-src-address=192.168.2.1 src-address=192.168.1.0/24 tunnel=tunnel1
Podle těchto jednoduchých kroků budete moci nakonfigurovat více tunelů IPSec na směrovači Mikrotik. Nezapomeňte uložit změny po každém kroku a zkontrolovat funkčnost tunelů.
Jak nastavit více IPSec tunelů na Mikrotik
Mikrotik umožňuje konfigurovat IPSec tunely, které umožňují bezpečný přenos dat mezi sítěmi. Tento návod poskytne krok za krokem průvodce vytvořením více IPSec tunelů na Mikrotik.
1. Přihlaste se do webového rozhraní Mikrotik prostřednictvím prohlížeče pomocí IP adresy vašeho Mikrotik a přihlašovacích údajů správce.
2. V navigačním podokně vyberte " IP "a poté"IPsec".
3. V části "zabezpečená připojení" klikněte na tlačítko "Přidat nové".
4. Do pole "Name"zadejte název tunelu.
5. Do pole "Local Address" zadejte IP adresu vašeho Mikrotik.
6. Do pole "Remote Address" zadejte IP adresu vzdáleného Mikrotiku nebo vzdálené sítě.
7. V části Použít přednastavený klíč vyberte " no "a do pole"Secret" zadejte tajný klíč. Ujistěte se, že je vybrán správný klíčový algoritmus.
8. V části " Peers "klikněte na tlačítko"Přidat nové".
9. Do pole "Address" zadejte IP adresu vzdáleného Mikrotiku nebo vzdálené sítě.
10. Nastavte klíčový algoritmus a hashovací algoritmus, který odpovídá nastavení vzdálené Mikrotik nebo vzdálené sítě.
11. V části autorizace vyberte metodu autorizace, která je vhodná pro vzdálenou Mikrotik nebo vzdálenou síť.
12. Klepnutím na tlačítko Použít uložíte nastavení.
13. Opakujte kroky 3-12 pro každý další tunel IPSec, který chcete nakonfigurovat.
Nyní máte několik IPSec tunelů nakonfigurovaných na Mikrotik. Můžete je použít k bezpečnému přenosu dat mezi různými sítěmi nebo zařízeními.
Krok 1: Vytvoření bezpečnostní politiky
Chcete-li vytvořit zásady zabezpečení, musíte provést následující kroky:
- Otevřete webové rozhraní routeru Mikrotik, zadejte přihlašovací jméno a heslo.
- Přejděte do nabídky IP ->IPsec.
- Vyberte kartu Policy.
- Klikněte na tlačítko + vytvořit novou bezpečnostní politiku.
- Vyplňte pole podle požadavků vaší sítě.
Zásady zabezpečení zahrnují následující možnosti:
- Src. Address - původní IP adresa nebo podsítě, ze které budou pakety přeskakovat.
- Dst. Address - Cílová IP adresa nebo podsíť, kam budou balíčky směřovat.
- Action - akce, která musí být provedena s balíčkem (přeskočit, zašifrovat atd.).
Po vyplnění všech požadovaných polí stiskněte tlačítko OK Chcete-li zachovat nastavení zásad zabezpečení.
Krok 2: Konfigurace nastavení šifrování
Jakmile nastavíme základní parametry pro každý tunel,je nutné nastavit šifrovací nastavení, aby byl zajištěn bezpečný přenos dat.
1. Zadejte nastavení prvního tunelu výběrem ze seznamu dostupných tunelů.
2. Přejděte na kartu "nastavení šifrování".
3. V poli šifrovací algoritmus vyberte požadovaný algoritmus šifrování dat. Například AES-256.
4. Nastavte hodnotu pro pole "délka klíče". Pro maximální bezpečnost se doporučuje použít hodnotu 256.
5. V poli hash funkce Vyberte vhodný hashovací algoritmus. Například SHA-256.
6. Zaškrtněte políčko "Použít autentizaci" a vyberte požadovaný ověřovací algoritmus.
7. Klepnutím na tlačítko Použít uložíte změny.
Opakujte výše uvedené kroky pro každý tunel a přizpůsobte přizpůsobené možnosti šifrování podle požadavků na zabezpečení.
Krok 3: Výběr hashovacího algoritmu
Hashovací algoritmus se používá k zajištění integrity dat přenášených přes IPSec tunel. Nastavení správného hashovacího algoritmu hraje důležitou roli při zabezpečení vaší sítě.
Na MikroTik RouterOS jsou k dispozici různé hashovací algoritmy. V závislosti na vašich potřebách a požadavcích na bezpečnost si můžete vybrat z následujících algoritmů:
MD5 (Message Digest 5): Tento algoritmus je jedním z nejběžnějších, ale již je považován za nebezpečný, protože existuje možnost kolizí (když dvě různé zprávy mají stejný hash). Nedoporučuje se používat.
SHA-1 (Secure Hash Algorithm 1): V současné době je tento algoritmus také považován za nebezpečný kvůli možnosti kolize. Doporučuje se používat modernější hashovací algoritmy.
SHA-256 (Secure Hash Algorithm 256-bit): Tento algoritmus je bezpečnější a poskytuje vyšší odolnost proti útokům než MD5 a SHA-1. Doporučuje se použít tento algoritmus k zabezpečení IPSec tunelů.
SHA-512 (Secure Hash Algorithm 512-bit): Tento algoritmus je ještě bezpečnější a poskytuje ještě vyšší odolnost proti útokům než SHA-256. Vyžaduje však také více výpočetních zdrojů. Doporučuje se jej používat pouze v případě potřeby maximální bezpečnosti.
Můžete si vybrat hashovací algoritmus, který vyhovuje vašim potřebám a požadavkům. Pro nejvyšší stupeň zabezpečení se však doporučuje používat modernější algoritmy, jako je SHA-256 nebo SHA-512.
Krok 4: konfigurace klíčů a autentizace
1. Přihlaste se do webového rozhraní směrovače MikroTik.
2. Navigujte v nabídce " IP "- > "IPsec".
3. Klikněte na tlačítko "Proposals".
4. Nakonfigurujte nastavení odchozích a příchozích klíčů.
5. V poli "Policies" nakonfigurujte zásady šifrování pro každý tunel.
6. V části "Peers" přidejte vzdálené IP adresy a možnosti autentizace pro každý tunel.
7. Kliknutím na" Apply " uložíte nastavení.
8. Ujistěte se, že nastavení byla úspěšně aplikována a tunely jsou aktivní.
9. Opakujte tyto kroky pro nastavení všech potřebných tunelů.
Krok 5: Instalace adres vzdálených podsítí
Po instalaci a konfiguraci IPsec musíte nastavit adresy vzdálených podsítí, se kterými chcete nainstalovat tunely IPsec. Tyto adresy jsou rozsahy IP adres, které jsou v síti vzdálených uzlů.
Chcete-li nastavit adresy vzdálených podsítí, postupujte takto:
- Otevřete webové rozhraní vašeho směrovače Mikrotik a přejděte do sekce IP.
- Vyberte kartu IPsec a vyhledejte profil IPSec, který jste vytvořili.
- Klepnutím na tlačítko Upravit otevřete nastavení profilu.
- V části podsítě vzdálené adresy přidejte adresy vzdálených podsítí kliknutím na tlačítko"+".
- Zadejte rozsah IP adres umístěných v síti vzdáleného uzlu a klikněte na tlačítko OK.
Jakmile přidáte všechny požadované adresy vzdálených podsítí, nezapomeňte uložit nastavení. Router Mikrotik přitom bude vědět, do jakých sítí nainstalovat tunely IPsec.
Krok 6: vytváření tunelových rozhraní
Po konfiguraci nastavení zabezpečení a ověřování ipsec je nutné vytvořit tunelová rozhraní pro každý tunel IPSec.
Chcete-li vytvořit rozhraní tunelu, postupujte takto:
- Otevřete webové rozhraní směrovače Mikrotik.
- Z hlavní nabídky vyberte kartu "IP" a přejděte do části "IPsec".
- V seznamu dostupných tunelů IPSec najděte ten, pro který chcete vytvořit rozhraní tunelu.
- Klikněte na tlačítko" Přidat nové tunelové rozhraní " umístěné vedle vybraného IPSec tunelu.
- Zadejte název tunelového rozhraní v poli Název tunelu.
- Vyberte režim tunelového rozhraní z rozevíracího seznamu Režim rozhraní.
- Do pole "autorizace" zadejte autentizační údaje uvedené v nastavení protokolu IPsec.
- Klepnutím na tlačítko Použít uložíte nastavení.
Po vytvoření tunelových rozhraní pro všechny tunely IPSec můžete přistoupit k dalšímu kroku-nastavení tras pro přenos provozu tunely.
Krok 7: Kontrola a aktivace IPSec tunelů
Po konfiguraci IPSec tunelů na Mikrotik je nutné provést jejich kontrolu a aktivaci. Postupujte podle níže uvedených kroků:
- Otevřete řídicí konzolu Mikrotik.
- Přejděte do části" IP " v hlavní nabídce.
- Z dostupných možností vyberte "IPsec".
- V okně "IPsec Peer", které se otevře, zkontrolujte, zda jsou všechny tunely ipsec nakonfigurovány a jsou aktivní. Zkontrolujte správné vyplnění polí, jako je" Local address"," Remote address "a"Secret".
- Pokud chcete aktivovat konkrétní IPSec tunel, vyberte jej ze seznamu a klikněte na tlačítko "Enable".
- Po aktivaci tunelu se ujistěte, že se jeho stav stal "enabled" a "established". Pokud je stav tunelu "disabled" nebo "waiting", zkontrolujte nastavení a znovu aktivujte.
- Opakujte kroky 5-6 pro všechny potřebné tunely IPSec.
Po dokončení všech kroků zkontrolujte konektivitu mezi vzdálenými sítěmi, k čemuž lze provést požadavky na ping nebo jiné testy připojení. Pokud konektivita nefunguje správně, opakujte nastavení a kontrolu IPSec tunelů podle předchozích kroků.