Mikrotik VPN - szyfrowane połączenia zdalne

[@onaar]

JESTEŚ GENIALNY!!! Obejrzałem 1000 filmów żadnego nie zrozumiałem a ty wszystko tak wytłumaczyłeś że zrozumiałem i vpn działa

[@RemigiuszPyrek]

Dziękuję, powodzenia!

[@arturflejszer7258]

Dziękuję serdecznie za ten materiał. Przekazujesz w niezwykle przystępny sposób wiedze

[@RemigiuszPyrek]

Dziękuję za komentarz i za Twój poświęcony czas. Przyjemności!

[@Luksiuelektryk]

Kryzys minął a mi materiał pomógł w konfiguracji:) Pozdrawiam serdecznie!

[@RemigiuszPyrek]

Cieszę się :) Powodzenia i pozdrawiam!

[@velsign]

Super poradnik, wszystko wyjaśnione tak jak trzeba, nikt nie wspomina o zmianie miejsc w firewallu (kolejność) bez tego VPN działa ale wewnątrz sieci a już na zewnątrz nie. Pozdrawiam serdecznie

[@RemigiuszPyrek]

Dziękuję za komentarz!

[@kshyhoopn]

Dzięki, sposób przekazu jasny i przyjazny. Konfigurowanie RikiTiki Mikrotiki wg twoich wskazań bezproblemowe. Pozdro👍

[@RemigiuszPyrek]

Proszę bardzo :)

[@DanelSwitalski]

Witam, ostatnie update do windows skutecznie rozbija możliwość korzystania z l2tp - komputery odmawiają połączenia, alternatywą jest całkiem fajny vpn-sstp. wymaga trochę więcej wiedzy przy konfiguracji ale działa rewelacyjnie. pozdrawiam Daniel

[@RemigiuszPyrek]

Cenna informacja, dziękuję w imieniu oglądających z nadzieją, że przeczytają komentarze. Sprawdzę w wolnej chwili co się zmieniło w standardach.

[@mondelas2000]

Super film dzięki tobie rozwiązałem problem ponieważ nie pierwszy raz konfiguruje Mikrotick kupiłem sobie nowego więcej wydajnego i się okazało że nie działa Vpn nie łączy się a to była pierdoła przeniosłem regułki portów wyżej i działa dziękuje :) Pozdrawiam serdecznie

[@RemigiuszPyrek]

Cieszę się, że mogłem pośrednio być pomocny :-) Powodzenia!

[@andrzejkrk9820]

Super poradnik, fajnie wszystko wytłumaczone

[@RemigiuszPyrek]

Dziękuję i polecam się na przyszłość :-)

[@arturgegotek8107]

Super materiał! pytanie z innej beczki..w czym robisz prezentacje do filmików? Pozdrawiam

[@RemigiuszPyrek]

Programem Affinity Designer :)

[@rafagasperowicz7735]

czy mogę zestawić 4 tunele do routera i nadać dla każdego osobno usera i hasło

[@RemigiuszPyrek]

Nie wiem czy są jakieś ograniczenia w ilości kont i zestawionych połączeń, ja bynajmniej do takich limitów nie dotarłem. Limitem na pewno jest szybkość łącza do routera i jego wydajność (chodzi o procesor na routerze).

[@chilli9129]

10:53 - pierwszy komputer otrzyma adres 150, bo MT nadaje od góry :)

[@RemigiuszPyrek]

Potwierdzam, lepiej późno niż wcale :-)

[@chilli9129]

Super film, super słowa, super człowiek

[@RemigiuszPyrek]

Dziękuję!

[@pridsi]

czy da się ustawić tak przy zmiennym IP, MikroTik na DDNS np. no-ip przez ruter dostawcy np. orange, play UPC czy Toya? Bo we wewnętrznej sieci działa i z stałym IP tez az miło.

[@RemigiuszPyrek]

DNS czy DDNS służy do przetłumaczenia nazwy kanonicznej na adres IP. Oczywiście, że DDNS zadziała na dowolnym łączu, bo takie jest jego zadanie, problem jednak w tym, że operatorzy stosują NAT dla dynamicznych łączy. W rezultacie nawet jeśli uda się ustalić zewnętrzny adres IP, to i tak jest to adres routera operatora a nie Twój. W rezultacie wszystkie próby zalogowania się na routerze, będą próbami logowania na router operatora. Stały adres IP to koszt około 10 zł w Orange na miesiąc, jednak tylko dla łączy zarejestrowanych na firmę lub w usłudze DSL. U innych operatorów pewnie jest podobnie, nie znam ich oferty.

[@rafagasperowicz7735]

po zestawieniu na MT VPN l2 i połączeniu się zdalnie na komputer w którym jest podłączony klucz do wysyłanie deklaracji do ZUS problem polega na tym że nie mogę wysłać bo mam komunikat że nie widać zestawu kluczy ? co moge z tym zrobić

[@RemigiuszPyrek]

Proszę do mnie przedzwonić po 16:30 w dni robocze postaram się jakoś pomóc zdalnie.

[@agraham7108]

Spoko poradni ale zabrakło mi tu wzmianki o tym aby dokładnie zabezpieczyć wszystko odpowiednimi hasłami. Znajdą się pewnie tacy którzy zrobią wszystko według poradnika, łącznie z hasłami które wpisałeś, które są bardzo proste.. A później komputery w firmie zostaną zaszyfrowane ;/ Ale i tak daję łapkę w górę za bardzo dobry poradnik.

[@RemigiuszPyrek]

Wyszedłem z założenia, że każdy podchodzi poważnie do zagadnienia haseł, może nie potrzebnie. Oczywiście masz rację, polityka haseł jest bardzo ważna. Wszyscy wiedzą, że trzeba je zmieniać, jednak niewiele osób to robi. Żyjemy w czasach dużej ilości haseł i chyba, większość wypracowała sobie metody ich tworzenia, a bynajmniej mam taką nadzieję. Dziękuję za łapkę, komentarz i do następnego razu :-)

[@mateuszmaek7265]

Mam pytanie jak zrobić aby PC, który się łączy przez VPN nie korzystał z Internetu wewnątrz tylko własnego ? nie chcę obciążać łącza firmowego

[@RemigiuszPyrek]

Rozumiem, ze chodzi Tobie o sytuacje w której jesteś na zdalnym połączeniu a ruch inny niż firmowy czyli drukarki, zasoby z dyskow sieciowych itp. ida z VPN a reszta z Twojego łącza, jeśli tak to szukaj informacji ja ustawić routing w PC aby tylko adresy z firmy kierowac na VPN. Na routerze jest do tego Routing i firewall NAT a w Windows to nie mam wiedzy.

[@mlody1606]

Super filmik :-)

[@RemigiuszPyrek]

Dziekuje :)

[@darekfus]

Po Ip wchodzę do księgowości ale dlaczego po nazwie jej komputera już nie działa pulpit zdalny?

[@RemigiuszPyrek]

Najlepiej w Windows wpisać na stałe adres i nazwę komputerów w sieci i po sprawie. Plik znajduje się w lokalizacji C:\windows\system32\drivers\etc a sam plik nazywa się hosts bez rozszerzenia. Tam wpisuje się nazwę i adres IP. Od tego momentu ten plik jest nadrzędny przed zapytaniami DNS. W DNS na routerze możemy wpisywać nazwy urządzeń jednak muszą mieć rozszerzenia na przykład ksiegowosc.local lub ksiegowosc.lan a Windows'owe nazwy urządzeń nie mają domyślnie rozszerzeń.

[@weareonlynumber]

Cześć, mam taki problem, że jak nie wyłączę domyślnej bramy w połączeniu VPN w Windows, to podczas połączenia wywala mi się internet a jak już po chwili jest to bardzo powoli działa. Jak wyłączę domyślną bramę we właściwościach połączenia, to vpn łączy się błyskawicznie, ale nie pinga lokalnej sieci. Zrobiłem wszystko jak pokazałeś i mam ten problem na każdym komputerze. Wygląda to jakby cały ruch szedł na VPN

[@RemigiuszPyrek]

Kurcze, być może w Windows zaszły jakieś zmiany. Szczerze, korzystam z Windows tylko w pracy i to do programowania, w innych przypadkach korzystam z MacOS lub Linux i tam wszystko śmiga. Może ktoś będzie służył lepszą niż moja radą, przyznam, że od Windows 10 nie czaję tego systemu :-(

[@pawelkocur8044]

Jaki model routera w filmie ?

[@RemigiuszPyrek]

Mikrotik CRS 326 - link do producenta: mikrotik.com/product/CRS326-24G-2SplusRM

[@Rogerson112]

VPN może działać jeśli chce połączyć się w lanie? Robię laba i mam pc połączonego do mikrotika, który po wifi (od rutera orange) daje mi internet- a router do pc podłączony na eth3. I internet śmiga. Aby sprawdzić vpna do dyspozycji mam jedynie drugi komputer w domu, czyli lan. Jaką adresacje mam wtedy ustawiać, wszystko wewnętrzne?

[@RemigiuszPyrek]

Zdaje się, że masz wiele wątków, jednak związane są z tym samym routerem. Możesz połączyć się z własnym routerem będąc w sieci Lan czy WiFi (też sieć lokalna czyli Lan) z VPN tylko nie będzie żadnej różnicy poza licznikami na Mikrotiku. Po ustanowieniu połączenia VPN na interfejsie VPN będą zliczane pakiety. Najlepiej jakbyś miał od orange stałe IP i z jakiejś lokalizacji poza domen (kawiarenka, restauracja czy hotel) połączył się z VPN i odczytał coś z folderu czy dysku udostępnionego na komputerze. Pozdrawiam!

[@Rogerson112]

@@RemigiuszPyrek Witam, dziękuje za zainteresowanie. Po lanie idzie (podając ip mikrotika wewnętrzne). Próbowałem z 2 różnych hostów z zewnątrz się połączyć i niestety nic. Od orange nie mam stałego ip, jedynie w konfiguracji ustawiłem zastrzeżenie na adres mikrotika. Dowiedziałem się od jednej osoby z branży, że jakaś aktualizacja windowsa 10 blokuje l2tp ipsec. Próbowałem ją odinstalować z poradnikami z internetu i niestety nic. Napotkałem również taki problem, iż nie mogę pingować na mój adres publiczny. Zapory z obu stron specjalnie wyłączone, na routerze orange również poziom zabezpieczenia niski. Dzwoniłem do orange i powiedzieli mi że oni blokują tylko porty 25 135 137 139 445. Gdy je odblokowałem nic nie pomogło. Wykluczam w tym udział mikrotika, choć mogę się mylić

[@RemigiuszPyrek]

@@Rogerson112 problem polega na tym czy twoje IP jest rzeczywiście publiczne. Taki test na szybko, jeśli masz usługę DSL to tak, jeśli inne usługi to raczej nie :( Ja mam orange na kartę, i mam stałe IP publiczne jednak jest to oferta dodatkowo płatna i wyłącznie na firmę. Jeśli nie masz internetu na firmę to Twoje IP też nie jest publiczne. Ja nie mam żadnych portów blokowanych, nawet tych wymienionych przez ciebie. Dowiedz się czy masz stale, publiczne IP a poźniej zobaczysz co dalej. O blokowaniu L2TP nie słyszałem, owszem PPTP zostało usunięte z Windows ponieważ są dowody liczne na to, że nie jest to bezpieczne połączenie. IPSec to cały zestaw protokołów szyfrujących działających z trudem ale działających.

[@pawelkocur8044]

Czy możesz doradzic jaki router kupić? Aby : samemu ustawiać stałe adresy IP dla urządzeń w domu, Oraz była możliwość zalogowania się do routera z innej lokalizacji z drugiego mojego domu, Szukam dodatkowego rozwiązania aby nie prosić dostawcy internetu o dodawanie kolejnego stałego IP, oraz aby nie grzebać w jego routerze. Pisałem rowniez emaila do Pana w tej sprawie

[@RemigiuszPyrek]

Zdaje się, że odpowiedziałem na Twojego maila, jednak jeśli nie dotarł to jedziemy: każdy router klasy domowej ma funkcjonalność NAT i DHCP czyli przydzielanie adresów po stronie lokalnej. Zalogowanie do routera zdalnie to kwestia czy masz publiczny adres IP, jeśli tak to tak samo jak wyżej, praktycznie każdy router ma opcję „Remote Management”. Natomiast jeśli chodzi o wybór producenta, dla mnie byłoby oczywiste, że Mikrotik jednak jak wszędzie, jedni lubią drudzy nienawidzą :-) Nie mam doświadczenia z innymi producentami sprzętu, dlatego nie poradzę nic więcej. Mam Mikrotika z kartą Orange i stałym adresem IP i działa, tyle mogę zapewnić :-)

[@czikiaa]

Z poziomu VPN niestety nie chce działać ping na lokalny komputer :/ dodatkowo Ping na router działa ale już podłączyć się do niego nie mogę. A żeby było lepiej ping z sieci lokalnej działa na sprzęt w sieci VPN.

[@RemigiuszPyrek]

Proszę do mnie zadzwonić w godzinach 10:00 - 16:00, postaram się pomóc przez telefon.

[@macati1234]

Witam, czy będzie więcej materiałów o Mikrotikach? Pozdrawiam :)

[@RemigiuszPyrek]

w chwili obecnej nie mam dostępu do infrastruktury sieciowej, zawodowo zajmuję się utrzymaniem serwerów w aktywności całodobowej :) Oczywiście temat sieci jest mi bliski i na pewno podzielę się swoją wiedzą, jednak nie potrafię określić kiedy to nastąpi, za co przepraszam!

[@piotr424]

Super. Więcej

[@RemigiuszPyrek]

Coming soon :-)

[@jamarandrew9193]

Niestety ale z firmą łaczy się więcej osób i zabrakło mi wyjaśnienia jak jednej osobie z zewnątrz umożliwić dostęp do sieci lokalnej poprzez VPN, jednak z ograniczeniem do jednego komputera (adresu IP). Poza tym Gratulacje z czytelnego poradnika.

[@RemigiuszPyrek]

Dziękuję za komentarz. Nagram film w którym pokażę jak ograniczyć dostęp do jednego komputera, ponieważ widzę, że jest taka potrzeba. Proszę o odrobinę cierpliwości.

[@jamarandrew9193]

@@RemigiuszPyrek SUPER! Jestem pod wrażeniem :-)

[@jamarandrew9193]

@@RemigiuszPyrek Czy mam dalej czekać na obiecany film ???

[@RemigiuszPyrek]

@@jamarandrew9193 Następny film o sieciach będzie o ograniczeniu dostępu z VPN, obiecuję i dziękuję za cierpliwość.

[@W007KING]

Witam A co w przypadku kiedy Nie mam adresu stałego IP

[@RemigiuszPyrek]

Brak stałego IP zawsze jest dużym problemem. Trzeba posiłkować się serwisami dynamicznie aktualizującymi adres IP pod którym w danym momencie funkcjonuje nasze urządzenie. Wiele z tych serwisów jest odpłatnych i czasami taniej zapłacić za IP u operatora aniżeli za serwis DynDNS. Nie znam szczegółów Twojej konfiguracji dlatego nie mogę nic doradzić w tej sytuacji :)

[@Jack_The_Soul]

Panie Remigiuszu czy próbował Pan kiedyś stworzyć połączenie typu EoIP na mikrotikach? Połączenie vpn mi śmiga poprawnie po odpowiedniej konfiguracji w windowsie. Jeśli zestawię połączenie na mikrotiku-kliencie tez działa dobrze, mogę pingować z poziomu samego mikrotika-klienta urządzenia w sieci mikrotika-servera vpn ale już inny komputer w sieci klienta nie widzi urządzeń z sieci serwera :(

[@RemigiuszPyrek]

Proszę sprawdzić routing, czy router-klient wie gdzie ma wysyłać pakiety? Kiedy połączenie zostanie ustanowione pomiędzy klientem a serwerem wówczas możemy pingować ich adres, jednak dalej nie, ponieważ klient nie wie co kryje się pod pojedynczym adresem którym identyfikuje się serwer. Zakładając, że w momencie połączenia klient otrzyma adres 192.168.50.5 a serwer ma 192.168.50.1, to, aby klient mógł pingować więcej komputerów trzeba w tablicy routnigu dodać regułę, że wszystkie pakiety kierowane na 192.168.50.0/24 mają iść właśnie przez adres server 192.168.50.1 czyli dla tej przykładowej sieci będzie to brama (gateway). W innym przypadku dla klienta czy serwera są to pojedyncze adresy na przykład drukarki i nie będzie na nie wysyłany cały ruch, ponieważ nie ma potrzeby na drukarkę wysyłać wszystkich pakietów.

[@piotr424]

Ja mam l2tp i ikev2 dwie usługi. Śmiga. Mega pomocne, bo mam dostęp do rutera z zewnątrz po ip publicznym ddns. Nawet internet działa po ikeV2 na telefonie w vpn. Ale na pc musiałem l2tp ipsec, poniewaz na ikev2 byl certyfikat wymagany

[@RemigiuszPyrek]

Tak to się zgadza, dobra sugestia dla innych, aby zabezpieczali się na przyszłość i używali połączeń szyfrowanych. Doskonała sugestia!

[@kondzio2003]

A czy można ustawić port na jakim ma działać serwer L2TP? Ja mam prywatny IP od dostawcy internetu, ale za darmo mogą mi przekierować port i muszę ustawić serwerowi L2TP port na jakim on działa na taki jaki dostanę od internetodawcy.

[@RemigiuszPyrek]

Z posiadanych przeze mnie danych, port 1701 jest zarezerwowanym zgodnie ze specyfikacją dla usługi L2TP i na routerze Mikrotik nie podlega zmianie, chyba, że ja coś przeoczyłem lub o czymś nie wiem. Proszę poczytać o usłudze OpenVPN, gdzie można zdefiniować własny port. Konfiguracja na routerze jest bardzo podobna do L2TP, różnica polega na szyfrowaniu za pomocą certyfikatu SSL.

[@kondzio2003]

@@RemigiuszPyrek OpenVPN da radę postawić na RB951-2n

[@RemigiuszPyrek]

@@kondzio2003 nie ustawiałem jednak spróbować można, kilka chwil poświęconych aby zobaczyć jak się zachowuje procesor na routerze i wszystko będzie jasne

[@kondzio2003]

@@RemigiuszPyrek Dzięki za podpowiedź. Będę drążył temat.

[@MyMarcelo2222]

Czy jest możliwość zdalnego wejścia na mikrotika w firmie za pomocą winbox bez udziału żadnego komputera w sieci lan (pulpitu zdalnego) tylko bezpośrednio?

[@RemigiuszPyrek]

Oczywiście, port 8291 na łańcuchu INPUT i można się logować z zewnątrz pod warunkiem, że znasz IP zewnętrzne. Jeśli operator łącza nie stosuje NAT dla Twojej sieci to połączenie powinno być możliwe.

[@MyMarcelo2222]

@@RemigiuszPyrek Czy jeżeli w tej regule ustawimy interfejs wejściowy eth1 (wan) z wykrzyknikiem jako dodatkowe zabezpieczenie, to uniemożliwimy tym wejście od strony internetu ? Jeśli dobrze rozumiem łącząc sie VPN wchodzimy na router od strony LAN (wirtualnego). Ja dodałem jeszcze w tej regule „dst.adres” -IP routera/ „src adres”-adres sieci VPN Nie wiem czy dobrze kombinuje, moja jedyna wiedza nt mikrotika pochodzi z Pana filmów.

[@RemigiuszPyrek]

@@MyMarcelo2222 Z tego co wiem to domyślnie mają być zrzucane wszystkie połączenia nie pochodzące z LAN czyli tak jak piszesz. Natomiast wystarczy nie dodawać portu na INPUT dla WinBOX i wejście będzie niemożliwe. Najwidoczniej źle zrozumiałem poprzednie pytanie. Domyślnie Mikrotik nie przepuści żadnego ruchu z zewnątrz.

[@MyMarcelo2222]

@@RemigiuszPyrek Dziękuje za pomoc. Jeśli zastanawiał by się Pan nad tematami przyszłych filmów, to może rozwiniecie firewall o regulowanie ruchu pomiędzy vlan i pojedynczymi hostami w różnych vlan.

[@RemigiuszPyrek]

@@MyMarcelo2222 Dziękuję bardzo za temat. Nagram film o kolejkowaniu, choć sądziłem, że dzisiaj nikt, niczego nie ogranicza jeśli chodzi o prędkości przesyłu.

[@TestyRoznychRzeczy]

Jaki mikrotik za 100zł z usługa VPN? Ktoś mi polecil mikrotik hex s w celu postawienia go za routerem od ISP (światłowód). Nie ustawiałem jeszcze VPN na mikrotiku. Dzięki za filmik :) Brat ma router od operatora, który będzie przestawiany w tryb bridge. Obecnie sieć prywatna na routerze ISP to 192.168.5.0/24, router ma 192.168.5.1. Czy jak ISP przestawi się w tryb bridge to podpinam nowy router do routera ISP i po sprawie? (Mikrotik dostanie publiczny IP?) Czy muszę robić jakąś dodatkową konfigurację po stronie mikrotika?

[@RemigiuszPyrek]

Z mojego doświadczenia każdy Mikrotik poradzi sobie z usługą VPN. Co do modelu i ceny to hAP mini można nabyć już za 79 zł.

[@RemigiuszPyrek]

Jak zwykle można odpowiedzieć „teoretycznie tak” jednak warto zapytać czy zostanie adres przydzielony automatycznie. W usłudze DSL z Orange adres należy wpisać samemu jednak to jedyny Operator i usługa na ten moment, która działa właśnie w ten sposób. O tym fakcie świadczy nawet protokół z instalacji na którym adresy są wpisane przez instalatora i pozostawione u klienta. Pozostali operatorzy świadczą usługę dynamicznego przydzielania stałego publicznego adresu IP, wówczas rzeczywiście nie trzeba nic na Mikrotiku ustawiać. Wystarczy wejść na przykład na stronę ip.wp.pl i zobaczyć jakie mamy przydzielone IP od operatora, które oczywiście nie powinno się zmieniać. Powodzenia!

[@jarosawskibinski4074]

Odsyłam do RFC by autor się doszkolił i by wiedział co do IPSEC jak jest negocjowany a co to L2TP

[@RemigiuszPyrek]

Myślę, że RFC to dobry odsyłacz dla ambitnych. Moim celem jednak nie jest przytaczanie definicji a ich omawianie w dużym skrócie. Myślę, że dociekliwi przeczytają o zabezpieczeniach IPsec jak i o połączeniach L2TP a później i tak zrobią to machinalnie albo w ogóle zrobią to machinalnie nie śledząc rozwoju standardów. Nie ma opcji w jednym filmie omówić wszystkich zagadnień :) Dziękuję za komentarz oczywiście.

[@Satoshi_Nakamoto999]

Ciekawostka my wracamy do pracy w formie rotacyjnej

[@RemigiuszPyrek]

„Nikt się tego nie spodziewał”, jak inflacji przy dodruku pieniędzy :) Trzymam kciuki za powodzenie podczas kryzysu!

[@Satoshi_Nakamoto999]

@@RemigiuszPyrek dzięki, obstawiam pracę jedynie do września potem 4 fala masakra... A co do inflacji nic Pan nie mów Polacy to są ślepi.. Ważne że dostali bon wakacyjny i 500 plus... A to że wszystko poszło w górę to tam nie istotne... Przykre

[@RemigiuszPyrek]

@@Satoshi_Nakamoto999 Wolę nie wypowiadać się na ten temat, jednak arytmetyka nie jest mi obca :)

[@RK-ly5qj]

Patrzac jaka rzezbe trzeba w tym mikroshitku wykonac jesli chodzi o VPN - mimo wiedzy nt protokolow itp to tj masochizm. Zero intuicji, logiki, nic. To juz z VIMa wyjsc latwiej xD jak ja sie ciesze, ze pracuje juz tylko na NGFach xD

[@RemigiuszPyrek]

Mamy dobre czasy, które pozwalają na wybór. Oczywiście nie każdy lubi kombinacje, jedni wolą wspomnianą przez Ciebie prostotę konfiguracji, inni klikanie w Cisco itp. Jak masz jakiś materiał nagrany to podeślij chętnie zobaczę o czym mowa, na naukę nigdy nie jest za późno :-) Pozdrawiam serdecznie!