Настройка OpenVPN в связке Mikrotik/Ubuntu

[click0]

И сколько Мбит VPN прожует этот Микротик? 20? :)

[sawser]

даже 20 не тянет ) Но у меня наоборот, микротик — сервер, а убунта — клиент

[artyfarty]

Я так и не осилил настроить связку микротика-сервера и openvpn-Tunnelblick на маке. Опенвпн свои ошибки шифрует получше данных (коннекшен ресет111).

Гайды на офф вики малость устарели уже, в соеременной роутерос и команды другие итд. На форумах есть куча возможных вариантов клиентского конфига ovpn и тоже что-то ничего не подходит.

Кроме того непонятно зачем оффгайд предлагает генерить сертификаты именно при cacert.org, и что из них потом куда класть.

Так что если вы бы поделились тайным знанием — думаю многим бы пригодилось.

[totalcount]

На маке есть Viscosity.

[ekungurov]

По ipsec/3des тянул мегабит 6-8.

[rtzra]

У кого-нибудь есть реальные цифры сколько можно протащить через IPSEC на Микротике? Т.е. не синтетика а реальный пример?

[shaytan]

Пока только TCP.

[Dreyk]

Тогда с точки зрения производительности связка не имеет особого смысла

[Obramko]

Оно уже лет 5 «пока только». Подозреваю, что UDP у них не будет никогда.

[sawser]

Кроме того, openvpn у микротиков не умеет lzo компрессию трафика использовать

[versofate]

Отсутствие поддержки udp и lzo я подчеркнул комментом в конфиге :)

[Dreyk]

Если не ошибаюсь, easy-rsa в убунте теперь надо ставить отдельным пакетом

[sawser]

совершенно верно

[ragus]

ээ… а зачем openvpn? почему не ipsec? мыльница за 25$ даст 50мбит/с, а если требований к безопасности не так много — можно и просто l2tp

[dorne]

А зачем микротик? Почему не Ubuntu?..

:-)

[ValdikSS]

Очень странный выбор. OpenVPN в Mikrotik реализован так, что лучше бы его вообще не было — не поддерживает UDP, LZO, аутентификацию только по сертификатам (без логина и пароля), т.е. то, что многие используют. К тому же, OpenVPN и так не сильно быстрый, а на Mikrotik он вообще будет буквально ползать (не думаю, что больше 25 МБит/с пропустит).
Уж лучше IPSec, или вообще IPIP/GRE/EoIP, если шифрование не нужно. Ну, или, IPSec поверх всего этого.

[LordMicro]

Mikrotik + OpenVPN поддерживает обязательную аутентификацию по сертификату, сверху этого легко прикручивается логин и пароль.
Без проблем работают связки Mikrotik (OpenVPN server) + Win7 (client) + FreeBSD (client) + WinXP (client) с общим единым сертификатом и разными связками логин-пароль.

[ValdikSS]

Но не поддерживается аутентификация только по сертификатам, без использования логина и пароля. Согласитесь, использовать логин и пароль, когда у вас уже есть сертификат, несколько глупо.

[YourChief]

Зашёл в комменты, рассчитывая увидеть про реализацию openvpn на mikrotik и IPSEC, и нашёл их. Не хватает только картинки про буханку и троллейбус. Статья описывает посредственное решение, продиктованное узким техническим кругозором автора.

[chelaxe]

Ну и раз об общих настройках сказали, то надо было и про защиту. Файрвол настроить первым делом нужно!

[Neuronix]

Эээ… Почему, скажем не Cisco ASA и его lan-to-lan IPSEC? По стоимости решение не такое уж дорогое получается.

[ragus]

эээ… ЩИТО???!!! «cisco» и «недорогое» в одном предложении?!!! )))

вы покажите вариант в районе 100$ :)))

[JDima]

Почему, скажем не Cisco ASA и его lan-to-lan IPSEC?

Я даже не знаю, что хуже — убогий site-to-site асы без возможности туннелировать L2 в каком-либо виде, или openvpn/TCP. Но учитывая, что 5505 с честным k9 выйдет в несколько раз дороже — для мелкой фирмочки все-таки лучше openvpn. Падать будет чаще, зато отобьется быстрее.

А можно выделить какой-нибудь обыкновенный офисный компьютер под виртуалку с чем-нибудь вроде CSR1k. Это кладет микротик на лопатки по всем фронтам, а по деньгам может быть сравнимо. Ну это если злостно нарушить лицензионное соглашение и не оплачивать виртуальный роутер после окончания триального периода, иначе будет дороже.

[SantaClaus16]

Так, а ну а что если взять обычный роутер с openwrt? У меня такое на паре строек сделано, работает хорошо (udp, lzo), правда там сам канал 3-5мбит…

[JDima]

Многие провайдеры предлагают такие услуги, но попросят за это денег, да и кто знает, что там творится на стороне провайдера?

Творится примерно то же самое, вот только если связь пропадала на 5 секунд, то это будет аварийная заявка, причем, в отличие от интернет-канала, вас не смогут с такими запросами послать на три веселых буквы, а будут искать проблему.

Ну а вообще — как правило, L3VPN каналы стабильнее, и обычно на них есть QoS, а если особо повезет — даже по всей сети.

[Night_Snake]

У меня было несколько десятков OpenVPN-клиентов, могу сказать ответственно, что реализация OVPN на микроте — убожество. Уж лучше SSTP (микрот-микрот) или L2TP (+ipsec по желанию). Последний на той же убунте заводится на раз-два