Как обойти блокировку VPN на MikroTik: настройка GRE, L2TP и IPsec

Почему VPN на MikroTik может блокироваться

Роутеры MikroTik часто используются для организации VPN-соединений, но в некоторых регионах, включая Россию, провайдеры и государственные органы могут блокировать VPN-трафик. Блокировка обычно затрагивает стандартные порты и протоколы, такие как PPTP, L2TP и IPsec. Это связано с тем, что данные протоколы легко идентифицировать по характерным заголовкам и портам.

Основные причины блокировок:

• Фильтрация по портам: провайдер может закрывать UDP-порты 500, 1701, 4500, используемые L2TP/IPsec.
• Глубокий анализ пакетов (DPI): системы DPI распознают VPN-трафик по сигнатурам и блокируют его.
• Блокировка IP-адресов: если ваш сервер или клиент использует известные VPN-серверы, их адреса могут быть в черных списках.

Понимание этих механизмов помогает выбрать правильную стратегию обхода. Например, использование протоколов, которые маскируются под обычный HTTPS-трафик (например, SSTP на порту 443), может быть более устойчивым к блокировкам.

Обзор протоколов VPN для MikroTik

MikroTik RouterOS поддерживает несколько протоколов VPN, каждый со своими особенностями:

• PPTP: устаревший протокол, легко взламывается, но прост в настройке. Не рекомендуется для безопасных соединений.
• L2TP/IPsec: комбинация L2TP для туннелирования и IPsec для шифрования. Обеспечивает хорошую безопасность и поддерживается большинством устройств. Однако стандартные порты могут блокироваться.
• SSTP: использует SSL/TLS на порту 443, что делает его похожим на HTTPS-трафик. Это помогает обходить многие фильтры, но требует больше ресурсов процессора.
• OpenVPN: гибкий и безопасный, но в MikroTik работает только через TCP, что снижает скорость. Может использовать порт 443 для маскировки.
• GRE/IPsec: используется для site-to-site соединений, GRE не шифрует трафик, поэтому его комбинируют с IPsec. GRE-пакеты могут блокироваться DPI.

Выбор протокола зависит от ваших задач: для удаленного доступа сотрудников чаще используют L2TP/IPsec или SSTP, для объединения офисов — GRE/IPsec или OpenVPN.

Настройка L2TP/IPsec сервера на MikroTik

L2TP/IPsec — один из самых популярных вариантов для MikroTik. Чтобы настроить сервер, выполните следующие шаги:

1. Создайте пул IP-адресов для VPN-клиентов: IP -> Pool.
2. Добавьте пользователя в PPP -> Secrets.
3. Включите L2TP-сервер: PPP -> L2TP Server, укажите пул и включите IPsec.
4. Настройте IPsec: в IP -> IPsec можно использовать быструю настройку или задать параметры вручную.
5. Создайте правила firewall для разрешения входящих соединений на порты UDP 1701, 500, 4500 и протокол IPsec ESP.

Пример команды для создания L2TP-сервера:

/interface l2tp-server server set enabled=yes default-profile=default

Важно: если вы планируете использовать L2TP/IPsec для обхода блокировок, стандартные порты могут быть закрыты. В таком случае можно попробовать изменить порты, но это не всегда помогает, так как DPI может распознавать протокол по другим признакам.

Настройка GRE/IPsec для объединения офисов

GRE/IPsec — это классическое решение для site-to-site VPN между двумя офисами. GRE создает туннель, а IPsec шифрует трафик. В MikroTik настройка выполняется следующим образом:

1. На обоих роутерах создайте GRE-интерфейс, указав локальный и удаленный IP-адреса, а также общий секрет IPsec.
2. Отключите опцию allow-fast-path, чтобы IPsec работал корректно.
3. Назначьте IP-адреса GRE-интерфейсам (например, 172.16.1.1/32 и 172.16.1.2/32).
4. Добавьте статические маршруты для сетей другого офиса.
5. Настройте firewall для разрешения GRE-протокола и IPsec-портов.

Пример команды для создания GRE-интерфейса:

/interface gre add name="GRE to office-2" local-address=100.64.111.1 remote-address=100.64.222.1 ipsec-secret="secret" allow-fast-path=no

Проверить соединение можно командой /interface gre print — флаг R означает, что туннель работает.

Использование SSTP для обхода блокировок

SSTP (Secure Socket Tunneling Protocol) — это протокол, который использует SSL/TLS на порту 443. Это делает его похожим на обычный HTTPS-трафик, что помогает обходить многие фильтры, особенно DPI, которые не блокируют порт 443.

Настройка SSTP-сервера в MikroTik включает:

1. Создание пользователя в PPP -> Secrets.
2. Включение SSTP-сервера в PPP -> SSTP Server.
3. Настройка firewall для разрешения TCP-порта 443.
4. Настройка сертификатов для SSL-соединения (можно использовать самоподписанные).

SSTP требует больше ресурсов процессора, поэтому на слабых устройствах скорость может быть ниже. Однако для обхода блокировок это один из самых эффективных методов, так как порт 443 обычно не блокируется.

Настройка firewall для VPN-соединений

Правильная настройка firewall критически важна для работы VPN. Если правила неверны, соединение может не устанавливаться. Основные правила для L2TP/IPsec:

• Разрешить UDP-порты 500 (ISAKMP), 1701 (L2TP), 4500 (NAT-T).
• Разрешить протокол IPsec ESP (IP protocol 50).
• Для GRE разрешить протокол GRE (IP protocol 47).

Пример правил firewall:

/ip firewall filter add chain=input protocol=udp dst-port=500,1701,4500 action=accept
/ip firewall filter add chain=input protocol=ipsec-esp action=accept
/ip firewall filter add chain=input protocol=gre action=accept

Важно: порядок правил имеет значение. Разрешающие правила должны быть выше запрещающих. Если вы не уверены, можно временно отключить firewall для диагностики, но не оставляйте это в рабочей сети.

Диагностика проблем с VPN-соединением

Если VPN-соединение не устанавливается, проверьте следующие моменты:

1. IP-адреса: убедитесь, что локальный и удаленный адреса указаны правильно.
2. Учетные данные IPsec: пароль должен совпадать на обоих концах.
3. Firewall: проверьте, не блокирует ли брандмауэр нужные порты и протоколы.
4. Конфликты IPsec: если ранее были созданы другие IPsec-соединения, они могут мешать. Очистите их через IP -> IPsec -> Installed SAs.
5. Блокировки провайдера: если все настройки верны, но соединение не работает, возможно, провайдер блокирует VPN-трафик. Попробуйте отключить IPsec и проверить GRE — если GRE работает, проблема именно в IPsec.

Для диагностики можно использовать команды:

/ping 172.16.1.2
/interface gre print
/ip ipsec active-peers print

Как обойти блокировку VPN на уровне провайдера

Если провайдер блокирует стандартные VPN-протоколы, можно использовать следующие методы обхода:

1. Смена портов: для L2TP можно изменить порт 1701 на другой, но это не всегда помогает, так как DPI может распознавать протокол по сигнатурам.
2. Использование SSTP или OpenVPN на порту 443: эти протоколы маскируются под HTTPS, что часто позволяет обойти блокировку.
3. Использование Shadowsocks или V2Ray: эти инструменты создают зашифрованные туннели, которые сложнее обнаружить. MikroTik может работать как клиент или сервер для некоторых из них.
4. Настройка GRE поверх IPsec: если IPsec блокируется, можно попробовать использовать GRE без IPsec, но тогда трафик не будет шифроваться.

Важно помнить, что обход блокировок может нарушать законодательство вашей страны. Используйте эти методы только в законных целях.

Сравнение производительности VPN-протоколов на MikroTik

Производительность VPN на MikroTik зависит от модели устройства и используемого протокола. В целом, GRE и EoIP без шифрования дают максимальную скорость, но не обеспечивают безопасность. L2TP/IPsec работает быстрее, чем OpenVPN, но медленнее, чем GRE. SSTP и OpenVPN на TCP значительно медленнее из-за накладных расходов на SSL/TLS.

На слабых моделях, таких как RB951G-2hnD, скорость может быть ограничена. Для высоких скоростей рекомендуется использовать аппаратное ускорение шифрования, если оно поддерживается. Например, модели с чипами ARM имеют аппаратный криптоускоритель.

При выборе протокола учитывайте не только скорость, но и безопасность. Для большинства задач оптимальным является L2TP/IPsec, так как он обеспечивает хорошую скорость и надежное шифрование.

Рекомендации по безопасности VPN-сервера

Чтобы защитить ваш VPN-сервер от атак, следуйте этим рекомендациям:

1. Используйте надежные пароли для пользователей VPN и IPsec-секретов.
2. Ограничьте доступ к VPN-серверу по IP-адресам, если это возможно.
3. Настройте firewall так, чтобы разрешать только необходимые порты и протоколы.
4. Регулярно обновляйте RouterOS до последней версии.
5. Включите журналирование для отслеживания подозрительной активности.
6. Используйте сертификаты для SSTP и OpenVPN вместо паролей, если это возможно.

Также рекомендуется отключить неиспользуемые VPN-протоколы, чтобы уменьшить поверхность атаки. Например, если вы используете только L2TP/IPsec, отключите PPTP и SSTP.

Вопросы и ответы