При подключении нескольких устройств MikroTik к одному Ideco UTM по PSK нужно указывать разные Идентификаторы ключа (Key id) для каждого устройства;
При подключении нескольких устройств MikroTik к одному Ideco UTM по сертификатам нужно указывать разные Имена сервера (Common Name) для каждого устройства.
Исходящее подключение
Тип аутентификации PSK
Настройка Ideco UTM
1. Откройте вкладку Сервисы -> IPsec -> Устройства, нажмите на Добавить и заполните поля:
Тип соединения - укажите Исходящее;
Название подключения - укажите произвольное имя для подключения. Значение не должно быть длиннее 42 символов;
Адрес удаленного устройства - укажите внешний IP-адрес устройства MikroTik;
PSK - будет сгенерирован случайный PSK-ключ. Он потребуется для настройки подключения в MikroTik;
Идентификатор ключа - введенный ключ будет использоваться для идентификации исходящего подключения;
Домашние локальные сети - перечислите все локальные сети UTM, которые будут видны противоположной стороне;
Удаленные локальные сети - перечислите все локальные сети MikroTik, которые будут видны противоположной стороне.
2. После заполнения всех полей нажмите Добавить подключение. В списке подключений появится созданное подключение:
Настройка Mikrotik
Настройку устройства MikroTik можно осуществить несколькими способами:
После генерации скрипта необходимо открыть раздел System -> Scripts, создать скрипт, вставить в него код, сгенерированный конфигуратором, и запустить.
Тип аутентификации Сертификат
Подключение по сертификатам является более безопасным по сравнению с PSK.
Настройка Ideco UTM
Сгенерируйте запрос на подпись сертификата:
1. В Ideco UTM откройте вкладку Сервисы -> IPsec -> Устройства, нажмите на Добавить и заполните поля:
Тип соединения - укажите Исходящее;
Название подключения - укажите произвольное имя для подключения. Значение не должно быть длиннее 42 символов;
Адрес удаленного устройства - укажите внешний IP-адрес MikroTik;
Запрос на подпись сертификата - будет сгенерирован запрос, который необходимо выслать для подписи на MikroTik.
2. После подписания запроса необходимо продолжить настройку подключения в Ideco UTM.
Не закрывайте вкладку с настройками! При закрытии вкладки с настройками Запрос на подпись сертификата изменит значение и процесс подписания файла UTM.csr потребуется повторить.
Настройка MikroTik
На данном этапе следует настроить MikroTik, чтобы продолжить настройку UTM.
Файл UTM.csr, полученный из Ideco UTM, необходимо загрузить в файловое хранилище MikroTik:
После генерации скрипта откройте раздел System -> Scripts, создайте скрипт и вставьте в него код, сгенерированный конфигуратором, затем запустите.
В файловой системе MikroTik появятся два файла, которые необходимо скачать, чтобы впоследствии загрузить на UTM.
Файл вида cert_export_device_<случайный набор символов>.ipsec.crt - это подписанный сертификат UTM.
Файл вида cert_export_mk_ca.crt - это корневой сертификат MikroTik.
Завершение настройки Ideco UTM
Перейдите обратно на Ideco UTM во вкладку с настройками подключения устройства и продолжите заполнять поля:
Подписанный сертификат UTM - загрузите подписанный в MikroTik сертификат UTM;
Корневой сертификат удаленного устройства - загрузите корневой сертификат MikroTik;
Домашние локальные сети - перечислите все локальные сети UTM, которые будут видны противоположной стороне;
Удаленные локальные сети - перечислите все локальные сети MikroTik, которые будут видны противоположной стороне.
После генерации скрипта необходимо открыть раздел System -> Scripts, создать скрипт, вставить в него код, сгенерированный конфигуратором, и запустить его.
Конфигуратором генерируется два скрипта, потому в MikroTik также нужно создать два скрипта.
Перед настройкой необходимо запустить первый скрипт. В файловом хранилище MikroTik появятся два файла, которые необходимо скачать, они требуются для дальнейшей настройки:
Файл certificate-request.pem - запрос на подпись сертификата;
1. В Ideco UTM откройте вкладку Сервисы -> IPsec -> Устройства, нажмите на Добавить и заполните поля:
Тип соединения - укажите Входящее;
Название подключения - укажите произвольное имя для подключения. Значение не должно быть длиннее 42 символов;
Запрос на подпись сертификата - загрузите запрос на подпись, полученный от MikroTik;
Домашние локальные сети необходимо перечислить все локальные сети UTM, которые будут доступны в IPsec-подключении, т.е. будут видны противоположной стороне.
2. Нажмите кнопку Добавить подключение. Нажмите на кнопку редактирования соединения, чтобы продолжить настройку.
3. Скачайте файлы, которые находятся в полях Корневой сертификат UTM и Подписанный сертификат устройства, для их последующего использования в MikroTik.
Проблемы при повторной активации входящего подключения к Ideco UTM
Если подключение было отключено и при попытке включения соединение не установилось, удаленное устройство попало в fail2ban. Для установки соединения сбросьте блокировки по IP на Ideco UTM. О сбросе блокировки читайте в статье Защита от brute-force атак.
Fail2ban отслеживает в log-файлах попытки обратиться к сервисам, и если находит повторяющиеся неудачные попытки авторизации с одного и того же IP-адреса или хоста, блокирует IP-адрес.
Подключение Mikrotik к Ideco UTM по L2TP/IPsec
Настройте подключение, выполнив команды:
1. Отредактируйте IPsec profile:
ip ipsec profile set default hash-algorithm=sha1 enc-algorithm=aes-256 dh-group=modp2048
2. Отредактируйте IPsec proposals:
ip ipsec proposal set default auth-algorithms=sha1 enc-algorithms=aes-256-cbc,aes-192-cbc,aes-128-cbc pfs-group=modp2048
4. Добавьте маршрут до первого адреса VPN-cети UTM (remote VPN subnet):
ip route add dst-address=<remote VPN subnet> gateway=l2tp-out1
Для работы удаленных сетей на UTM и на Mikrotik нужно создавать маршруты на обоих устройствах.
Если у вас в разделе Правила трафика -> Файрвол -> SNAT отключен Автоматический SNAT локальных сетей, то может понадобиться прописать маршрут до сети VPN, где шлюзом является UTM.
Пример:
Aдрес UTM = 169.254.1.5
Первый адрес VPN = 10.128.0.1
ip route add dst-address=169.254.1.5 gateway==10.128.0.1