Wykorzystanie połączeń VPN do zarządzania MikroTik RouterOS
Największe centrum szkoleniowe Mikrotik w Polsce Ul. Ogrodowa 58, Warszawa Centrum Warszawy Bliskość dworca kolejowego Komfortowe klimatyzowane sale szkoleniowe
MikroTik Warsaw Training Center Michał Filipek Piotr Wasyk michal@mwtc.pl piotr@mwtc.pl
Agenda Trochę teorii o VPN Podział wg topologii połaczenia Podział wg technologii SSTP L2LP IPIP IPSEC Czas na praktykę Scenariusz VPN road warrior SSTP z certyfikatami dla klientów MS Windows Scenariusz VPN road warrior L2TP z IPSEC dla klientów z Android/ISO Scenariusz VPN site-site w technologii IPIP z IPSEC Rozbudowa scenariusza o routing dynamiczny OSPF
Podział VPN wg topologii połączenia Site-2-Site 192.168.10.54/24 Router A 83.139.66.12 INTERNET 213.161.100.169 Router B 10.115.30.121/24 192.168.10.55/24 172.16.10.2 Adresacja połączeniowa 172.16.10.1 VPN 10.115.30.122/24 192.168.10.23/24
Podział VPN wg topologii połączenia Road-warrior NAT Router VPN INTERNET 213.161.100.169 10.0.0.9/24 192.168.10.55/24 172.16.10.4 Adresacja połączeniowa 172.16.10.254 VPN 192.168.10.23/24
Podział VPN wg technologii PPP (Point to Point Protocol) PPTP uznany za niebezpieczny, traci znaczenie, wycofywane wsparcie natywne (np. Apple). Wymaga otwartego portu TCP/1723 oraz protokołu GRE L2TP szeroko stosowany, często łączony z IPSEC, Wymaga otwarcia na firewall: UDP/1701 (opcjonalnie jeśli z IPSEC: UDP/500 ; UDP/4500, protokół ESP) SSTP następca PPTP, silna kryptografia, natywne wsparcie na systemach Microsoft Windows. Dobrze się sprawdza przy road warrior, domyślnie działa na porcie TCP/443. IPIP technologia wymaga po obu stronach publicznego adresu IP. Po każdej stronie tworzone są interfejsy (L3). Dobrze się nadaje do późniejszego użycia w scenariuszach z OSPF. IPSEC zestaw protokołów wykorzystywany do tworzenia bezpiecznego połączenia. Szeroko stosowany, wsparcie na większości urządzeń. Stosunkowo skomplikowana konfiguracja
PPP (Poin to Point Protocol) Interface podłączeni klienci my jako klienci sieci VPN uruchomienie serwerów (PPTP, SSTP, L2TP, OVPN) Użytkownicy login hasło adresacja ppp profil z dodatkowymi ustawieniami Profile (dodatkowe ustawienia) adresacja ppp kompresja czy dane powinny być szyfrowane Konieczna jest aktywna paczka ppp
PPP (Poin to Point Protocol) Uruchomienie serwera
PPP (Poin to Point Protocol) ograniczenie adresu IP, z którego klient może się podłączyć login hasło ustawienia dodatkowe adresacja ppp strona routera adresacja ppp strona klienta Usługi do jakich klient będzie mógł się podłączyć
PPP Profile Gdy mamy wielu użytkowników usług PPP możemy zdefiniować zakres (pulę) adresów (podobnie jak dla DHCP), który będzie przydzielany. W tym wypadku nie podajemy Local Address, Remote Address. Dane zostaną pobrane z konfiguracji profile-mwtc
IPIP Router A Router B 10.0.0.9/24 83.139.151.32 INTERNET 10.20.30.1/30 Adresacja połączeniowa 213.161.100.169 10.20.30.2/30 192.168.10.55/24 Konfiguracja dotyczy Router A Podanie w tym miejscu hasła wygeneruje default konfigurację IPSec Wymagane wyłączenie Fast Path Nadanie adresu IP
IPIP + IPSEC 192.168.2.1/24 Router A 45.32.156.35 INTERNET 45.32.158.93 Router B 192.168.1.1/24 172.16.10.1/30 Adresacja interfejsu IPIP IPSec 172.16.10.2/30
IPSEC 192.168.3.1/24 Router A 45.32.156.35 108.61.197.87 INTERNET Router B 192.168.1.1/24 IPSec
Routing dynamiczny Klasyfikacja protokołów routingu Ze względu na rodzaj sieci w jakich funkcjonują Wewnętrzne: IGRP, RIP, ibgp, IS-IS Zewnętrzne: ebgp
Routing dynamiczny OSPF / Open Shortest Path First używa algorytmu Shortest Path / najkrótszej ścieżki aktualizacje są wyzwalane zdarzeniami krótki czas potrzebny na synchronizację zużywa mniej pasma niż protokoły distance vector zapobiega powstawaniu pętli w routingu używa wspólnego obrazu sieci jest złożony obliczeniowo informacje o stanie łącza wysyła do wszystkich routerów w sieci (wewnątrz obszaru, do którego należy)
OSPF / Open Shortest Path First BACKBONE 0.0.0.0 AREA 1.1.1.1 INTERNET ASBR ABR SWITCH
Interface y, na których pracuje OSPF Koszt linku Priorytet (elekcja DR) Uwierzytelnienie Typ połączenia: PtP, broadcast, nbma Sieci jakie rozgłasza nasz router Sąsiedztwa nawiązane przez nasz router OSPF konfiguracja ASBR routery posiadające trasy zewnętrzne, spoza OSPF Obszary w jakich pracuje nasz router, typ obszaru : nssa, stub Definiujemy Router ID Redystrybucja: Trasy domyślnej Tras bezpośrednio połączonych Tras BGP Tras RIP Ręczne dodawanie sąsiadów w środowisku typu NBMA ABR routery pracujące w więcej niż jednym obszarze
OSPF Rozgłaszanie Tras Networks Redystrybucja Networks Wymaga ręcznego dodania każdej z sieci(prefixu) jaką zamierzamy rozgłaszać. Dodatkowo informuje router, iż do interface u posiadającego adres należący do wskazanej tutaj sieci mogą podłączyć inne routery OSPF. Redystrybucja pozwala na automatyczne rozgłaszanie tras o jakich dowiedział się router. Metoda ta jest wygodniejsza niż ręczne dodawanie tras, jakie chcemy rozgłaszać. Należy jednak pamiętać, żeby zablokować rozgłaszanie tras za pomocą filtrów, jeżeli jednak zdecydujemy się na ograniczoną redystrybucję.
Dziękujemy za uwagę Zapraszamy na : Szkolenia certyfikowane Mikrotik Autorskie warsztaty Aktualny kalendarz szkoleń dostępny na stronie http://mwtc.pl