MikroTik – kompleksowa konfiguracja sieci od podstaw do zaawansowanych rozwiązań

Część 28: Zaawansowana konfiguracja MikroTik jako węzła VPN w sieci korporacyjnej – bezpieczeństwo, skalowalność i optymalizacja

W poprzedniej części skupiliśmy się na integracji MikroTik z platformą MISP, tworząc system Threat Intelligence do automatycznego zarządzania blokadami na firewallu. W tej części serii zagłębimy się w konfigurację MikroTik jako zaawansowanego węzła VPN, który będzie kluczowym elementem bezpiecznej i skalowalnej infrastruktury korporacyjnej. Omówimy protokoły VPN, zaawansowane mechanizmy uwierzytelniania, skalowanie połączeń oraz optymalizację ruchu, aby sprostać wymaganiom dużych środowisk.

Rola VPN w nowoczesnej sieci korporacyjnej

VPN (Virtual Private Network) to podstawa zapewniająca bezpieczny, zaszyfrowany tunel komunikacyjny między oddziałami, zdalnymi pracownikami czy chmurą a siecią firmową. MikroTik, dzięki swoim rozbudowanym funkcjom, pozwala na implementację wielu typów VPN, w tym IPsec, L2TP, SSTP, WireGuard czy OpenVPN, z możliwością zaawansowanego zarządzania połączeniami, politykami i skalowaniem.

Wybór protokołu VPN – porównanie i zastosowania

IPsec

Najczęściej stosowany w korporacjach, oferuje silne szyfrowanie, możliwość łączenia site-to-site oraz integrację z certyfikatami. Zalecany do tuneli pomiędzy oddziałami.

L2TP/IPsec

Łatwy w konfiguracji, dobre zabezpieczenia, często używany do zdalnego dostępu użytkowników.

SSTP

Tunelowanie VPN przez HTTPS, idealne gdy VPN musi działać przez zapory i proxy.

WireGuard

Najnowszy protokół, bardzo szybki, prosty i bezpieczny, zyskuje popularność w nowych implementacjach.

Krok 1: Podstawowa konfiguracja IPsec site-to-site

Przykład tunelu IPsec pomiędzy oddziałami z uwierzytelnianiem na klucz pre-shared key (PSK):

/ip ipsec peer add address=192.0.2.2/32 auth-method=pre-shared-key secret="TwojSekretnyKlucz" exchange-mode=main-l2tp enc-algorithm=aes-256,aes-128,3des
/ip ipsec proposal set default auth-algorithms=sha256 enc-algorithms=aes-256-cbc,aes-128-cbc pfs-group=none
/ip ipsec policy add src-address=10.1.0.0/16 dst-address=10.2.0.0/16 protocol=all action=encrypt level=require ipsec-protocols=esp sa-src-address=192.0.2.1 sa-dst-address=192.0.2.2 proposal=default

Tutaj adresy 10.1.0.0/16 i 10.2.0.0/16 to podsieci po obu stronach tunelu.

Krok 2: Zaawansowane uwierzytelnianie – certyfikaty i IKEv2

Dla większego bezpieczeństwa warto wdrożyć certyfikaty zamiast PSK oraz użyć protokołu IKEv2, który jest bardziej odporny na ataki i zapewnia lepszą wymianę kluczy.

• Wygeneruj CA i certyfikaty dla urządzeń MikroTik (można użyć narzędzi jak OpenSSL lub wbudowanych funkcji MikroTik)
• Zaimportuj certyfikaty do routerów i skonfiguruj IPsec z IKEv2

Przykład fragmentu konfiguracji IKEv2:

/ip ipsec profile add name=ike2-profile dh-group=modp2048 enc-algorithm=aes-256 hash-algorithm=sha256
/ip ipsec peer add address=192.0.2.2/32 profile=ike2-profile auth-method=digital-signature certificate=client-cert generate-policy=port-strict

Krok 3: Skalowanie tuneli VPN – load balancing i failover

W dużych sieciach często potrzebujemy wysokiej dostępności i rozłożenia ruchu VPN na kilka łączy. MikroTik pozwala na:

• Konfigurację wielu peerów IPsec z różnymi adresami
• Automatyczne przełączanie na backupowy tunel w przypadku awarii
• Load balancing bazujący na adresach źródłowych, protokołach lub niestandardowych skryptach

Przykład prostego failover dla IPsec:

/ip route add dst-address=10.2.0.0/16 gateway=192.0.2.2 routing-mark=main check-gateway=ping
/ip route add dst-address=10.2.0.0/16 gateway=198.51.100.2 routing-mark=backup distance=2

Krok 4: Optymalizacja i bezpieczeństwo ruchu VPN

• Ustawienia MTU i MSS clamping, aby uniknąć fragmentacji pakietów
• Ograniczanie dostępu do tunelu za pomocą firewall filter
• Monitorowanie i alertowanie o stanie tuneli VPN przez SNMP, NetFlow lub zewnętrzne systemy SIEM
• Regularna rotacja kluczy i certyfikatów

Krok 5: Zdalny dostęp VPN dla użytkowników końcowych

Konfiguracja L2TP/IPsec lub SSTP umożliwia zdalnym pracownikom bezpieczne łączenie się z siecią firmową.

Przykład L2TP/IPsec:

/interface l2tp-server server set enabled=yes default-profile=default use-ipsec=yes ipsec-secret=TwojSekretnyKlucz
/ppp secret add name=uzytkownik password=haslo service=l2tp profile=default

Krok 6: Automatyzacja zarządzania VPN – skrypty i API

MikroTik pozwala na automatyzację zarządzania tunelami VPN przez:

• Skrypty RouterOS do dynamicznego dodawania/usuwania użytkowników i peerów
• API MikroTik pozwalające na integrację z systemami IAM i portalami samoobsługowymi
• Integrację z systemami monitoringu i alertów

Podsumowanie

Zaawansowana konfiguracja MikroTik jako węzła VPN to fundament bezpieczeństwa i elastyczności w nowoczesnej infrastrukturze sieci korporacyjnych. Wykorzystanie różnych protokołów, silnych mechanizmów uwierzytelniania, skalowalności i automatyzacji pozwala budować środowiska gotowe na dynamiczne zmiany i rosnące wymagania. Dobrze zaprojektowany VPN chroni dane, umożliwia bezpieczny zdalny dostęp i poprawia wydajność sieci.

Polecane wpisy

Diagnostyka problemów z routingiem RIP: Najczęstsze błędy konfiguracji

Diagnostyka problemów z routingiem RIP: Najczęstsze błędy konfiguracji Wprowadzenie do protokołu RIP Routing Information Protocol (RIP) to jeden z najstarszych Czytaj dalej

Konfiguracja oddzielnych sieci na routerze za pomocą VLAN

Konfiguracja oddzielnych sieci na routerze za pomocą VLAN - poradnik z przykładami VLAN (Virtual Local Area Network) to technologia umożliwiająca Czytaj dalej