Настройка L2TP VPN на MikroTik: сервер, клиент, безопасность и маршрутизация

Что такое L2TP и зачем он нужен на MikroTik

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования, который работает на канальном уровне модели OSI, но в IP-сетях используется для создания VPN-соединений уровня L3. Он позволяет организовать защищённый канал между двумя точками через интернет, при этом данные передаются так, будто устройства находятся в одной локальной сети.

На роутерах MikroTik L2TP реализован как клиент-серверное решение. Это означает, что один роутер выступает в роли сервера, принимающего подключения, а другие устройства (роутеры, компьютеры, смартфоны) — в роли клиентов. Такая архитектура удобна для:

• объединения нескольких офисов в единую сеть (site-to-site);
• предоставления удалённого доступа сотрудникам к внутренним ресурсам (client-to-site);
• организации доступа к серверам, камерам видеонаблюдения или другим устройствам за NAT.

Одним из ключевых преимуществ L2TP является его широкая совместимость. Он поддерживается практически всеми операционными системами и устройствами «из коробки»: Windows, Linux, macOS, Android (частично), iOS (частично), а также большинством сетевых устройств. Для подключения не требуется устанавливать дополнительное программное обеспечение, что упрощает развёртывание.

Однако важно понимать: сам по себе L2TP не обеспечивает шифрование. Для защиты трафика используется связка L2TP + IPsec, которая добавляет шифрование и аутентификацию. Именно такая комбинация рекомендуется для использования в MikroTik, так как она сочетает простоту настройки и высокий уровень безопасности.

Сравнение L2TP с другими VPN-протоколами в MikroTik

MikroTik поддерживает несколько VPN-протоколов, каждый из которых имеет свои особенности. Понимание различий поможет выбрать подходящий вариант для конкретной задачи.

PPTP — один из самых старых протоколов, который поддерживается Windows и Android. Он прост в настройке, но крайне небезопасен: ключ шифрования может быть извлечён из дампа трафика за несколько часов. Использовать PPTP не рекомендуется, если требования к безопасности высоки.

OpenVPN — гибкий и безопасный протокол, который поддерживает множество опций, включая передачу маршрутов клиенту. Однако в MikroTik OpenVPN работает только по TCP, что снижает скорость по сравнению с UDP. Кроме того, не поддерживается сжатие заголовков. Поэтому OpenVPN на MikroTik часто уступает L2TP+IPsec по производительности.

SSTP — протокол от Microsoft, использующий SSL/TLS. Он хорошо интегрирован с Windows и может работать через порт 443, что помогает обходить файрволы. Но на слабых устройствах MikroTik SSTP сильно нагружает процессор и показывает низкую скорость.

GRE и EoIP — это туннели уровня L2/L3, которые не шифруют трафик. Они обеспечивают максимальную скорость, но требуют белых IP-адресов с обеих сторон и не работают через NAT. EoIP — проприетарный протокол MikroTik, который передаёт Ethernet-кадры, что удобно для объединения L2-сегментов.

L2TP + IPsec — оптимальный выбор для большинства сценариев. Он обеспечивает надёжное шифрование, поддерживается всеми современными устройствами, работает через NAT и подходит как для site-to-site, так и для client-to-site подключений. Настройка не намного сложнее, чем у PPTP, но безопасность на порядок выше.

Подготовка к настройке L2TP сервера на MikroTik

Прежде чем приступить к настройке L2TP VPN сервера, необходимо выполнить несколько подготовительных шагов.

1. Наличие белого (публичного) IP-адреса.

Для работы VPN-сервера требуется, чтобы роутер MikroTik имел статический публичный IP-адрес, доступный из интернета. Если провайдер выдаёт серый адрес, потребуется организация проброса портов или использование дополнительных сервисов, что усложняет задачу. Для клиентов белый IP не обязателен — они могут подключаться из-за NAT.

2. Обновление RouterOS.

Рекомендуется использовать актуальную версию RouterOS, так как в новых версиях исправляются уязвимости и улучшается поддержка IPsec. Проверить версию можно в разделе System → Resources.

3. Планирование IP-адресации.

Нужно заранее определить:

• пул IP-адресов для VPN-клиентов (например, 192.168.10.100-192.168.10.150);
• локальный адрес сервера в VPN-подсети (например, 192.168.10.1);
• DNS-серверы, которые будут передаваться клиентам.

4. Создание резервной копии конфигурации.

Перед внесением изменений рекомендуется сделать бэкап текущей конфигурации (Files → Backup), чтобы можно было быстро восстановить работоспособность в случае ошибки.

5. Понимание лицензионных ограничений.

Количество одновременных VPN-подключений зависит от уровня лицензии RouterOS. Минимальные значения начинаются от 200 подключений, что покрывает потребности большинства организаций. Однако на слабых моделях MikroTik производительность может стать узким местом.

Пошаговая настройка L2TP сервера в MikroTik

Рассмотрим настройку L2TP VPN сервера на роутере MikroTik через графический интерфейс WinBox. Все действия также можно выполнить через командную строку.

Шаг 1. Создание пула IP-адресов

Перейдите в раздел IP → Pool и нажмите кнопку «+». Укажите имя пула (например, vpnpool) и диапазон адресов, которые будут выдаваться VPN-клиентам. Например, 192.168.10.100-192.168.10.150.

Шаг 2. Создание профиля PPP

Перейдите в PPP → Profiles и создайте новый профиль. Задайте:

• Name — например, l2tp;
• Local Address — IP-адрес, который будет назначен VPN-интерфейсу сервера (например, 192.168.10.1);
• Remote Address — выберите созданный пул vpnpool;
• DNS Server — укажите DNS-сервер (например, 192.168.10.1 или 8.8.8.8), если планируется передавать настройки DNS клиентам.

Шаг 3. Включение L2TP сервера

Перейдите в PPP → Interfaces, вкладка L2TP Server. Нажмите кнопку с изображением карандаша (настройки). Установите параметры:

• Enabled — отметьте галочкой;
• Default Profile — выберите созданный профиль l2tp;
• Authentication — рекомендуется оставить mschap2;
• Use IPsec — выберите required, чтобы обязать всех клиентов использовать IPsec;
• IPsec Secret — задайте секретную фразу (например, my-secret-key).

Шаг 4. Создание учётной записи пользователя

Перейдите в PPP → Secrets и добавьте нового пользователя. Укажите:

• Name — логин (например, user1);
• Password — пароль;
• Service — выберите l2tp;
• Profile — выберите созданный профиль l2tp.

Шаг 5. Настройка файрвола

Для того чтобы внешние клиенты могли подключиться, необходимо разрешить входящие соединения на портах L2TP и IPsec. Перейдите в IP → Firewall → Filter Rules и добавьте два правила в цепочке input:

• Протокол UDP, порты 1701, 500, 4500, интерфейс WAN;
• Протокол ipsec-esp, интерфейс WAN.

Важно разместить эти правила выше любых запрещающих правил, иначе они могут быть заблокированы.

После выполнения этих шагов сервер готов к приёму подключений.

Настройка L2TP клиента на MikroTik

Теперь рассмотрим настройку клиентской части на удалённом роутере MikroTik. Это необходимо для объединения двух офисов или подключения филиала к центральному офису.

Шаг 1. Создание L2TP клиента

На удалённом роутере перейдите в PPP → Interfaces и нажмите «+», выберите L2TP Client. Задайте параметры:

• Name — например, l2tp-out1;
• Connect To — IP-адрес или DNS-имя L2TP сервера;
• User — имя пользователя, созданного на сервере;
• Password — пароль;
• Use IPsec — отметьте галочкой, если сервер требует IPsec;
• IPsec Secret — укажите тот же секрет, что и на сервере.

Шаг 2. Проверка подключения

После применения настроек интерфейс должен перейти в состояние connected. Если этого не произошло, проверьте правильность введённых данных и доступность сервера.

Шаг 3. Настройка маршрутизации

Для того чтобы устройства за клиентским роутером могли обращаться к сети за сервером, необходимо добавить статический маршрут. Перейдите в IP → Routes и добавьте маршрут:

• Dst. Address — удалённая сеть (например, 192.168.11.0/24);
• Gateway — IP-адрес, который сервер назначил клиенту (Remote Address).

Аналогичный маршрут нужно добавить на сервере для сети клиента.

Шаг 4. Проверка связи

С помощью ping проверьте доступность устройств в удалённой сети. Если ping проходит, VPN-туннель работает корректно.

Настройка Windows VPN клиента для подключения к MikroTik

Windows имеет встроенный VPN-клиент, который поддерживает L2TP+IPsec. Настройка выполняется в несколько шагов.

Шаг 1. Создание VPN-подключения

Откройте «Панель управления» → «Сеть и Интернет» → «Центр управления сетями и общим доступом» → «Настройка нового подключения или сети» → «Подключение к рабочему месту» → «Использовать моё подключение к Интернету».

Укажите IP-адрес или DNS-имя MikroTik VPN сервера.

Шаг 2. Настройка параметров подключения

После создания подключения откройте его свойства. На вкладке «Безопасность» выберите тип VPN — L2TP/IPsec. Затем нажмите «Дополнительные параметры» и укажите ключ IPsec, который был задан на сервере.

Шаг 3. Подключение

Введите логин и пароль, созданные на сервере, и нажмите «Подключение». Если всё настроено правильно, соединение установится.

Важно: По умолчанию Windows может отправлять весь интернет-трафик через VPN. Если это не требуется, отключите опцию «Использовать основной шлюз в удалённой сети» в свойствах TCP/IPv4 подключения.

Примечание: Начиная с Windows 10, встроенный клиент L2TP может требовать изменения параметров реестра для работы с IPsec. Обычно это не требуется, если сервер настроен корректно.

Маршрутизация и доступ к локальным сетям через L2TP

Одной из ключевых задач при настройке L2TP VPN является обеспечение доступа между локальными сетями, подключёнными через туннель. Для этого необходимо правильно настроить маршрутизацию на обоих роутерах.

Site-to-site сценарий

При объединении двух офисов каждый роутер должен знать, как достичь сети другого офиса. Для этого на сервере добавляется маршрут к сети клиента, а на клиенте — маршрут к сети сервера. В качестве шлюза используется IP-адрес, назначенный VPN-интерфейсу противоположной стороны.

Client-to-site сценарий

Если подключается одиночный пользователь (например, ноутбук), маршрутизация настраивается автоматически: сервер выдаёт клиенту IP-адрес из пула, и клиент получает доступ к сети за сервером. Однако если клиент хочет получить доступ к сети за сервером, а не ко всему интернету, необходимо на клиенте добавить статический маршрут к нужной подсети через VPN-интерфейс.

Проблемы с маршрутизацией

Частая проблема — отсутствие доступа к удалённой сети при активном VPN. Причины могут быть:

• Неправильно указан шлюз в маршруте;
• Не настроен файрвол на сервере для разрешения трафика между VPN-подсетью и локальной сетью;
• На клиенте включено использование удалённого шлюза по умолчанию, что приводит к отправке всего трафика через VPN.

Решение — проверить таблицу маршрутизации (IP → Routes) и при необходимости добавить недостающие маршруты.

Безопасность L2TP VPN: IPsec, файрвол и ограничение доступа

Безопасность VPN-соединения — критически важный аспект. L2TP без IPsec не обеспечивает шифрования, поэтому использование IPsec обязательно для защиты данных.

Настройка IPsec

В MikroTik IPsec настраивается автоматически при включении опции Use IPsec на L2TP сервере. Достаточно задать общий секрет (IPsec Secret), который будет использоваться для аутентификации. При этом важно, чтобы секрет был достаточно сложным и не совпадал с паролями пользователей.

Ограничение доступа по IP-адресам

Для повышения безопасности можно ограничить список IP-адресов, с которых разрешено подключение. В настройках файрвола можно указать конкретный IP-адрес или подсеть в правиле разрешения для порта 1701. Также можно использовать параметр Caller ID в учётной записи PPP Secret, указав IP-адрес клиента.

Защита от брутфорса

VPN-серверы часто подвергаются атакам перебором паролей. Для защиты можно:

• Использовать сложные пароли;
• Ограничить количество попыток подключения с одного IP;
• Настроить файрвол так, чтобы разрешать подключения только с известных IP-адресов.

Мониторинг подключений

Регулярно проверяйте список активных VPN-подключений в PPP → Active Connections. Если вы видите неизвестные подключения, немедленно принимайте меры: блокируйте пользователя или меняйте секреты.

Производительность и выбор оборудования для L2TP VPN

Производительность L2TP VPN на MikroTik зависит от модели роутера и наличия аппаратного ускорения IPsec. На моделях с аппаратной поддержкой IPsec (например, серии CCR, RB4011, RB5009) шифрование выполняется на аппаратном уровне, что позволяет достигать высоких скоростей без значительной нагрузки на CPU.

На бюджетных моделях (например, RB951, hEX lite) IPsec обрабатывается процессором, что может существенно снижать пропускную способность. При выборе оборудования для VPN необходимо учитывать:

• количество одновременных подключений;
• требуемую пропускную способность;
• необходимость аппаратного шифрования.

Для небольших офисов с несколькими удалёнными сотрудниками подойдут модели среднего уровня. Для крупных организаций с большим трафиком лучше использовать специализированные маршрутизаторы с аппаратным ускорением.

Также стоит учитывать, что скорость VPN-соединения ограничивается скоростью интернет-канала и задержками. При использовании IPsec добавляется накладные расходы на шифрование, что может снижать скорость на 10-30% в зависимости от оборудования.

Типичные проблемы и их решение

При настройке L2TP VPN на MikroTik пользователи часто сталкиваются с рядом типичных проблем. Рассмотрим их и способы решения.

1. Не удаётся установить соединение

Проверьте:

• Доступность сервера из интернета (ping);
• Правильность портов в файрволе (1701, 500, 4500, ipsec-esp);
• Совпадение IPsec Secret на сервере и клиенте;
• Правильность логина и пароля.

2. Соединение устанавливается, но нет доступа к сети

Проверьте маршруты на обоих роутерах. Убедитесь, что шлюз указан правильно и что файрвол разрешает трафик между VPN-подсетью и локальной сетью.

3. Низкая скорость VPN

Причины могут быть:

• Отсутствие аппаратного ускорения IPsec;
• Использование слабого процессора;
• Большое количество одновременных подключений.

Решение — использовать более производительное оборудование или оптимизировать настройки IPsec.

4. Провайдер блокирует L2TP

Некоторые провайдеры блокируют L2TP-трафик. В этом случае можно попробовать использовать порт 4500 (NAT-T) или переключиться на другой протокол, например OpenVPN.

5. Проблемы с Windows VPN клиентом

Если Windows не подключается, проверьте настройки безопасности и наличие ключа IPsec. Иногда требуется изменить параметры реестра для L2TP/IPsec, но это редкость.

Вопросы и ответы