Wykorzystanie połączeń VPN do zarządzania MikroTik RouterOS

Transkrypt

1 Wykorzystanie połączeń VPN do zarządzania MikroTik RouterOS

2 Największe centrum szkoleniowe Mikrotik w Polsce Ul. Ogrodowa 58, Warszawa Centrum Warszawy Bliskość dworca kolejowego Komfortowe klimatyzowane sale szkoleniowe

3 MikroTik Warsaw Training Center Michał Filipek Piotr Wasyk

4 Agenda Trochę teorii o VPN Podział wg topologii połaczenia Podział wg technologii SSTP L2LP IPIP IPSEC Czas na praktykę Scenariusz VPN road warrior SSTP z certyfikatami dla klientów MS Windows Scenariusz VPN road warrior L2TP z IPSEC dla klientów z Android/ISO Scenariusz VPN site-site w technologii IPIP z IPSEC Rozbudowa scenariusza o routing dynamiczny OSPF

5 Podział VPN wg topologii połączenia Site-2-Site /24 Router A INTERNET Router B / / Adresacja połączeniowa VPN / /24

6 Podział VPN wg topologii połączenia Road-warrior NAT Router VPN INTERNET / / Adresacja połączeniowa VPN /24

7 Podział VPN wg technologii PPP (Point to Point Protocol) PPTP uznany za niebezpieczny, traci znaczenie, wycofywane wsparcie natywne (np. Apple). Wymaga otwartego portu TCP/1723 oraz protokołu GRE L2TP szeroko stosowany, często łączony z IPSEC, Wymaga otwarcia na firewall: UDP/1701 (opcjonalnie jeśli z IPSEC: UDP/500 ; UDP/4500, protokół ESP) SSTP następca PPTP, silna kryptografia, natywne wsparcie na systemach Microsoft Windows. Dobrze się sprawdza przy road warrior, domyślnie działa na porcie TCP/443. IPIP technologia wymaga po obu stronach publicznego adresu IP. Po każdej stronie tworzone są interfejsy (L3). Dobrze się nadaje do późniejszego użycia w scenariuszach z OSPF. IPSEC zestaw protokołów wykorzystywany do tworzenia bezpiecznego połączenia. Szeroko stosowany, wsparcie na większości urządzeń. Stosunkowo skomplikowana konfiguracja

8 PPP (Poin to Point Protocol) Interface podłączeni klienci my jako klienci sieci VPN uruchomienie serwerów (PPTP, SSTP, L2TP, OVPN) Użytkownicy login hasło adresacja ppp profil z dodatkowymi ustawieniami Profile (dodatkowe ustawienia) adresacja ppp kompresja czy dane powinny być szyfrowane Konieczna jest aktywna paczka ppp

9 PPP (Poin to Point Protocol) Uruchomienie serwera

10 PPP (Poin to Point Protocol) ograniczenie adresu IP, z którego klient może się podłączyć login hasło ustawienia dodatkowe adresacja ppp strona routera adresacja ppp strona klienta Usługi do jakich klient będzie mógł się podłączyć

11 PPP Profile Gdy mamy wielu użytkowników usług PPP możemy zdefiniować zakres (pulę) adresów (podobnie jak dla DHCP), który będzie przydzielany. W tym wypadku nie podajemy Local Address, Remote Address. Dane zostaną pobrane z konfiguracji profile-mwtc

12 IPIP Router A Router B / INTERNET /30 Adresacja połączeniowa / /24 Konfiguracja dotyczy Router A Podanie w tym miejscu hasła wygeneruje default konfigurację IPSec Wymagane wyłączenie Fast Path Nadanie adresu IP

13 IPIP + IPSEC /24 Router A INTERNET Router B / /30 Adresacja interfejsu IPIP IPSec /30

14 IPSEC /24 Router A INTERNET Router B /24 IPSec

15 Routing dynamiczny Klasyfikacja protokołów routingu Ze względu na rodzaj sieci w jakich funkcjonują Wewnętrzne: IGRP, RIP, ibgp, IS-IS Zewnętrzne: ebgp

16 Routing dynamiczny OSPF / Open Shortest Path First używa algorytmu Shortest Path / najkrótszej ścieżki aktualizacje są wyzwalane zdarzeniami krótki czas potrzebny na synchronizację zużywa mniej pasma niż protokoły distance vector zapobiega powstawaniu pętli w routingu używa wspólnego obrazu sieci jest złożony obliczeniowo informacje o stanie łącza wysyła do wszystkich routerów w sieci (wewnątrz obszaru, do którego należy)

17 OSPF / Open Shortest Path First BACKBONE AREA INTERNET ASBR ABR SWITCH

18 Interface y, na których pracuje OSPF Koszt linku Priorytet (elekcja DR) Uwierzytelnienie Typ połączenia: PtP, broadcast, nbma Sieci jakie rozgłasza nasz router Sąsiedztwa nawiązane przez nasz router OSPF konfiguracja ASBR routery posiadające trasy zewnętrzne, spoza OSPF Obszary w jakich pracuje nasz router, typ obszaru : nssa, stub Definiujemy Router ID Redystrybucja: Trasy domyślnej Tras bezpośrednio połączonych Tras BGP Tras RIP Ręczne dodawanie sąsiadów w środowisku typu NBMA ABR routery pracujące w więcej niż jednym obszarze

19 OSPF Rozgłaszanie Tras Networks Redystrybucja Networks Wymaga ręcznego dodania każdej z sieci(prefixu) jaką zamierzamy rozgłaszać. Dodatkowo informuje router, iż do interface u posiadającego adres należący do wskazanej tutaj sieci mogą podłączyć inne routery OSPF. Redystrybucja pozwala na automatyczne rozgłaszanie tras o jakich dowiedział się router. Metoda ta jest wygodniejsza niż ręczne dodawanie tras, jakie chcemy rozgłaszać. Należy jednak pamiętać, żeby zablokować rozgłaszanie tras za pomocą filtrów, jeżeli jednak zdecydujemy się na ograniczoną redystrybucję.

20 Dziękujemy za uwagę Zapraszamy na : Szkolenia certyfikowane Mikrotik Autorskie warsztaty Aktualny kalendarz szkoleń dostępny na stronie