MikroTik – kompleksowa konfiguracja sieci od podstaw do zaawansowanych rozwiązań

Część 28: Zaawansowana konfiguracja MikroTik jako węzła VPN w sieci korporacyjnej – bezpieczeństwo, skalowalność i optymalizacja

W poprzedniej części skupiliśmy się na integracji MikroTik z platformą MISP, tworząc system Threat Intelligence do automatycznego zarządzania blokadami na firewallu. W tej części serii zagłębimy się w konfigurację MikroTik jako zaawansowanego węzła VPN, który będzie kluczowym elementem bezpiecznej i skalowalnej infrastruktury korporacyjnej. Omówimy protokoły VPN, zaawansowane mechanizmy uwierzytelniania, skalowanie połączeń oraz optymalizację ruchu, aby sprostać wymaganiom dużych środowisk.

Rola VPN w nowoczesnej sieci korporacyjnej

VPN (Virtual Private Network) to podstawa zapewniająca bezpieczny, zaszyfrowany tunel komunikacyjny między oddziałami, zdalnymi pracownikami czy chmurą a siecią firmową. MikroTik, dzięki swoim rozbudowanym funkcjom, pozwala na implementację wielu typów VPN, w tym IPsec, L2TP, SSTP, WireGuard czy OpenVPN, z możliwością zaawansowanego zarządzania połączeniami, politykami i skalowaniem.

Wybór protokołu VPN – porównanie i zastosowania

IPsec

Najczęściej stosowany w korporacjach, oferuje silne szyfrowanie, możliwość łączenia site-to-site oraz integrację z certyfikatami. Zalecany do tuneli pomiędzy oddziałami.

L2TP/IPsec

Łatwy w konfiguracji, dobre zabezpieczenia, często używany do zdalnego dostępu użytkowników.

SSTP

Tunelowanie VPN przez HTTPS, idealne gdy VPN musi działać przez zapory i proxy.

WireGuard

Najnowszy protokół, bardzo szybki, prosty i bezpieczny, zyskuje popularność w nowych implementacjach.

Krok 1: Podstawowa konfiguracja IPsec site-to-site

Przykład tunelu IPsec pomiędzy oddziałami z uwierzytelnianiem na klucz pre-shared key (PSK):

/ip ipsec peer add address=192.0.2.2/32 auth-method=pre-shared-key secret="TwojSekretnyKlucz" exchange-mode=main-l2tp enc-algorithm=aes-256,aes-128,3des
/ip ipsec proposal set default auth-algorithms=sha256 enc-algorithms=aes-256-cbc,aes-128-cbc pfs-group=none
/ip ipsec policy add src-address=10.1.0.0/16 dst-address=10.2.0.0/16 protocol=all action=encrypt level=require ipsec-protocols=esp sa-src-address=192.0.2.1 sa-dst-address=192.0.2.2 proposal=default

Tutaj adresy 10.1.0.0/16 i 10.2.0.0/16 to podsieci po obu stronach tunelu.

Krok 2: Zaawansowane uwierzytelnianie – certyfikaty i IKEv2

Dla większego bezpieczeństwa warto wdrożyć certyfikaty zamiast PSK oraz użyć protokołu IKEv2, który jest bardziej odporny na ataki i zapewnia lepszą wymianę kluczy.

• Wygeneruj CA i certyfikaty dla urządzeń MikroTik (można użyć narzędzi jak OpenSSL lub wbudowanych funkcji MikroTik)
• Zaimportuj certyfikaty do routerów i skonfiguruj IPsec z IKEv2

Przykład fragmentu konfiguracji IKEv2:

/ip ipsec profile add name=ike2-profile dh-group=modp2048 enc-algorithm=aes-256 hash-algorithm=sha256
/ip ipsec peer add address=192.0.2.2/32 profile=ike2-profile auth-method=digital-signature certificate=client-cert generate-policy=port-strict

Krok 3: Skalowanie tuneli VPN – load balancing i failover

W dużych sieciach często potrzebujemy wysokiej dostępności i rozłożenia ruchu VPN na kilka łączy. MikroTik pozwala na:

• Konfigurację wielu peerów IPsec z różnymi adresami
• Automatyczne przełączanie na backupowy tunel w przypadku awarii
• Load balancing bazujący na adresach źródłowych, protokołach lub niestandardowych skryptach

Przykład prostego failover dla IPsec:

/ip route add dst-address=10.2.0.0/16 gateway=192.0.2.2 routing-mark=main check-gateway=ping
/ip route add dst-address=10.2.0.0/16 gateway=198.51.100.2 routing-mark=backup distance=2

Krok 4: Optymalizacja i bezpieczeństwo ruchu VPN

• Ustawienia MTU i MSS clamping, aby uniknąć fragmentacji pakietów
• Ograniczanie dostępu do tunelu za pomocą firewall filter
• Monitorowanie i alertowanie o stanie tuneli VPN przez SNMP, NetFlow lub zewnętrzne systemy SIEM
• Regularna rotacja kluczy i certyfikatów

Krok 5: Zdalny dostęp VPN dla użytkowników końcowych

Konfiguracja L2TP/IPsec lub SSTP umożliwia zdalnym pracownikom bezpieczne łączenie się z siecią firmową.

Przykład L2TP/IPsec:

/interface l2tp-server server set enabled=yes default-profile=default use-ipsec=yes ipsec-secret=TwojSekretnyKlucz
/ppp secret add name=uzytkownik password=haslo service=l2tp profile=default

Krok 6: Automatyzacja zarządzania VPN – skrypty i API

MikroTik pozwala na automatyzację zarządzania tunelami VPN przez:

• Skrypty RouterOS do dynamicznego dodawania/usuwania użytkowników i peerów
• API MikroTik pozwalające na integrację z systemami IAM i portalami samoobsługowymi
• Integrację z systemami monitoringu i alertów

Podsumowanie

Zaawansowana konfiguracja MikroTik jako węzła VPN to fundament bezpieczeństwa i elastyczności w nowoczesnej infrastrukturze sieci korporacyjnych. Wykorzystanie różnych protokołów, silnych mechanizmów uwierzytelniania, skalowalności i automatyzacji pozwala budować środowiska gotowe na dynamiczne zmiany i rosnące wymagania. Dobrze zaprojektowany VPN chroni dane, umożliwia bezpieczny zdalny dostęp i poprawia wydajność sieci.

Polecane wpisy

Migracja z IPv4 do IPv6: Przewodnik po procesie

Migracja z IPv4 do IPv6: Przewodnik po procesie Migracja z IPv4 do IPv6 to jeden z najważniejszych kroków, które muszą Czytaj dalej

Jak dodać wyjątek do zapory Windows 11

Jak dodać wyjątek do zapory Windows 11? Zapora systemu Windows 11 to podstawowy element ochrony komputera przed nieautoryzowanym dostępem i Czytaj dalej