آموزش جامع راه اندازی OpenVPN در میکروتیک بصورت تصویری

راه اندازی OpenVPN در میکروتیک؛ آموزش کامل تنظیم OpenVPN Server در MikroTik

راه اندازی OpenVPN در میکروتیک یکی از روش‌های امن برای ایجاد ارتباط VPN بین کاربران راه دور، شعب سازمانی و شبکه داخلی شرکت‌ها است. با استفاده از سرویس OpenVPN در RouterOS می‌توان یک تونل رمزنگاری شده ایجاد کرد تا کاربران خارج از سازمان بتوانند به منابع داخلی شبکه دسترسی داشته باشند.

OpenVPN چیست؟

OpenVPN یک پروتکل VPN متن‌باز (Open Source) است که با استفاده از کتابخانه امنیتی OpenSSL امکان ایجاد ارتباط رمزنگاری شده را فراهم می‌کند. این سرویس به دلیل امنیت بالا، انعطاف‌پذیری و پشتیبانی از سیستم‌عامل‌های مختلف مانند Windows، Linux، Android و iOS یکی از محبوب‌ترین راهکارهای VPN در دنیا محسوب می‌شود.

نکته مهم درباره OpenVPN در میکروتیک

در MikroTik RouterOS سرویس OpenVPN فقط از پروتکل TCP پشتیبانی می‌کند. برخلاف برخی سرورها، امکان استفاده از OpenVPN روی UDP در میکروتیک وجود ندارد.

sudo apt update

sudo apt install openvpn easy-rsa

cd /etc/openvpn

sudo mkdir easy-rsa

cp -r /usr/share/easy-rsa/* /etc/openvpn/easy-rsa/

خلاصه بخش اول

در این بخش با مفهوم OpenVPN در میکروتیک، مزایا، نیازمندی‌ها و مراحل اولیه ایجاد Certificate آشنا شدیم. در بخش بعدی، ساخت CA Certificate، ایجاد Certificate سرور MikroTik و آماده‌سازی فایل‌های امنیتی برای انتقال به روتر را انجام خواهیم داد.

ساخت Certificate سرور OpenVPN برای MikroTik با Easy-RSA

در بخش اول مقاله با ساختار OpenVPN و نیاز به Certificate برای راه اندازی VPN Server در میکروتیک آشنا شدیم. در این بخش قصد داریم Certificate های مورد نیاز شامل CA، Certificate سرور و کلید خصوصی را ایجاد کرده و برای استفاده در RouterOS آماده کنیم.

cd /etc/openvpn/easy-rsa/

nano vars

export KEY_COUNTRY="IR"

export KEY_PROVINCE="Tehran"

export KEY_CITY="Tehran"

export KEY_ORG="KarajNetwork"

export KEY_EMAIL="admin@example.com"

export KEY_OU="Network"

نکته امنیتی

اطلاعات وارد شده در Certificate ها هنگام بررسی اعتبار گواهی نمایش داده می‌شود. به همین دلیل بهتر است از اطلاعات واقعی سازمان یا نام دامنه شبکه استفاده کنید.

source vars

./clean-all

./build-ca

• ca.crt

این فایل در مرحله بعد روی MikroTik و همچنین کلاینت‌ها استفاده خواهد شد.

./build-key-server mikrotik

فایل‌های ایجاد شده برای سرور

• mikrotik.crt
• mikrotik.key
• ca.crt

cd /etc/openvpn/easy-rsa/keys

ls

ncftpput -u admin 192.168.1.1 / ca.crt mikrotik.crt mikrotik.key

توجه مهم

فایل Private Key با پسوند key بسیار حساس است. این فایل نباید در اختیار افراد غیرمجاز قرار گیرد، زیرا امکان جعل هویت VPN Server وجود خواهد داشت.

1. ca.crt
2. mikrotik.crt
3. mikrotik.key

چرا سه فایل Import می‌کنیم ولی دو Certificate نمایش داده می‌شود؟

زیرا فایل Key به تنهایی یک Certificate محسوب نمی‌شود و فقط به Certificate سرور متصل می‌شود. بنابراین در لیست Certificates معمولاً فقط CA و Certificate سرور مشاهده خواهند شد.

پایان بخش دوم

در این بخش Certificate های مورد نیاز OpenVPN را ایجاد کرده و به MikroTik منتقل کردیم. در بخش بعدی تنظیمات اصلی OpenVPN Server در RouterOS، ایجاد IP Pool، تنظیم Profile و ساخت کاربران VPN را انجام خواهیم داد.

تنظیم OpenVPN Server در MikroTik RouterOS

پس از ایجاد و Import کردن Certificate های مورد نیاز، اکنون نوبت به فعال‌سازی سرویس OpenVPN در روتر MikroTik می‌رسد. در این مرحله تنظیمات سمت سرور انجام می‌شود تا کاربران بتوانند از طریق اینترنت به شبکه داخلی متصل شوند.

• CA Certificate برای اعتبارسنجی
• mikrotik Certificate برای سرویس OpenVPN Server

نکته: در کنار Certificate سرور باید علامت K به معنی وجود Private Key نمایش داده شود. در غیر این صورت OpenVPN Server قادر به استفاده از Certificate نخواهد بود.

/interface ovpn-server server set enabled=yes \
certificate=mikrotik \
auth=sha1 \
cipher=aes256 \
port=1194

Name:
OpenVPN-Pool

Addresses:
10.10.10.2-10.10.10.254

/ip pool add name=OpenVPN-Pool ranges=10.10.10.2-10.10.10.254

• Name: OpenVPN-Profile
• Local Address: 10.10.10.1
• Remote Address: OpenVPN-Pool
• DNS Server: DNS داخلی سازمان
• Use Encryption: yes

Name:
vpnuser

Password:
StrongPassword

Service:
ovpn

Profile:
OpenVPN-Profile

پایان بخش سوم

در این بخش OpenVPN Server را روی MikroTik فعال کردیم، IP Pool ساختیم، Profile ایجاد کردیم و کاربر VPN ساختیم. در بخش بعدی نحوه ساخت Certificate برای کلاینت‌ها و آماده‌سازی فایل اتصال OVPN را بررسی خواهیم کرد.

ساخت Certificate برای کاربران OpenVPN در MikroTik

در بخش‌های قبلی OpenVPN Server را روی MikroTik فعال کردیم و Certificate مربوط به سرور را ایجاد و نصب نمودیم. اکنون باید برای هر کاربری که قصد اتصال به VPN را دارد یک Client Certificate اختصاصی ایجاد کنیم.

استفاده از Certificate برای کاربران باعث افزایش امنیت شده و امکان احراز هویت دقیق کاربران VPN را فراهم می‌کند.

cd /etc/openvpn/easy-rsa/

source vars

./build-key vpnuser

اطلاعات درخواست شده هنگام ساخت Certificate

• Country Name
• Organization Name
• Common Name
• Email Address

مقدار Common Name باید برای هر کاربر منحصر به فرد باشد.

cd /etc/openvpn/easy-rsa/keys

ls

• vpnuser.crt → Certificate کاربر
• vpnuser.key → کلید خصوصی کاربر
• ca.crt → Certificate مرکز اعتماد

در سیستم عامل Windows مسیر پیش‌فرض فایل‌های OpenVPN به شکل زیر است:

C:\Program Files\OpenVPN\config

client

dev tun

proto tcp

remote YOUR_PUBLIC_IP 1194

resolv-retry infinite

nobind

persist-key

persist-tun

remote-cert-tls server

cipher AES-256-CBC

auth SHA1

verb 3

auth-user-pass auth.cfg

vpnuser

StrongPassword

نکته امنیتی مهم

فایل‌های Certificate و Private Key را مانند رمز عبور محافظت کنید. ارسال عمومی فایل‌های .key می‌تواند باعث ایجاد خطر امنیتی شود.

پایان بخش چهارم

در این بخش Client Certificate ساخته شد و فایل تنظیمات OpenVPN برای اتصال کاربران آماده گردید. در بخش بعدی، Certificate ها را داخل فایل OVPN قرار داده، OpenVPN Client را نصب کرده و اولین اتصال به MikroTik را برقرار می‌کنیم.

اتصال OpenVPN Client به MikroTik OpenVPN Server

در بخش‌های قبلی Certificate های سرور و کلاینت را ایجاد کردیم و فایل تنظیمات OVPN را آماده نمودیم. اکنون باید فایل‌های Certificate را به کلاینت منتقل کرده و اولین اتصال VPN را برقرار کنیم.

• ca.crt : Certificate مرکز اعتماد
• vpnuser.crt : Certificate کاربر
• vpnuser.key : کلید خصوصی کاربر
• vpnuser.ovpn : فایل تنظیمات اتصال

client

dev tun

proto tcp

remote YOUR_PUBLIC_IP 1194

nobind

persist-key

persist-tun

auth-user-pass auth.cfg


<ca>

-----BEGIN CERTIFICATE-----

CA CERTIFICATE CONTENT

-----END CERTIFICATE-----

</ca>


<cert>

-----BEGIN CERTIFICATE-----

CLIENT CERTIFICATE CONTENT

-----END CERTIFICATE-----

</cert>


<key>

-----BEGIN PRIVATE KEY-----

CLIENT PRIVATE KEY CONTENT

-----END PRIVATE KEY-----

</key>

توصیه امنیتی

در محیط‌های سازمانی بهتر است برای هر کاربر یک Certificate اختصاصی ایجاد شود و از اشتراک Certificate بین چند کاربر خودداری شود.

• vpnuser.ovpn
• auth.cfg
• ca.crt
• vpnuser.crt
• vpnuser.key

در صورت صحیح بودن تنظیمات، مراحل زیر مشاهده خواهد شد:

1. برقراری ارتباط TCP با MikroTik
2. تایید Certificate سرور
3. احراز هویت Username و Password
4. دریافت IP از VPN Pool
5. ایجاد Interface مجازی TAP/TUN

/ppp active print

ipconfig

ping 10.10.10.1

route print

پایان بخش پنجم

در این بخش اتصال کامل کاربر به OpenVPN Server میکروتیک انجام شد و روش بررسی وضعیت VPN، دریافت IP و تست Route ها را بررسی کردیم. در بخش بعدی، تنظیمات امنیتی، Firewall، NAT، دسترسی به شبکه داخلی و نکات حرفه‌ای بهینه‌سازی OpenVPN در MikroTik را بررسی خواهیم کرد.

تنظیمات امنیتی OpenVPN در MikroTik و دسترسی به شبکه داخلی

پس از راه اندازی OpenVPN Server در MikroTik و برقراری اتصال کاربران، مرحله مهم بعدی تنظیم دسترسی‌ها، Firewall و Routing است. بدون انجام این تنظیمات، کاربر VPN ممکن است فقط به روتر متصل شود اما نتواند به سرورها، سیستم‌ها و تجهیزات شبکه داخلی دسترسی داشته باشد.

/ip firewall filter

add chain=input protocol=tcp dst-port=1194 \
action=accept comment="Allow OpenVPN"

• Chain: srcnat
• Src Address: 10.10.10.0/24
• Out Interface: WAN Interface
• Action: masquerade

تنظیمات امنیتی OpenVPN در MikroTik و دسترسی به شبکه داخلی

پس از راه اندازی OpenVPN Server در MikroTik و برقراری اتصال کاربران، مرحله مهم بعدی تنظیم دسترسی‌ها، Firewall و Routing است. بدون انجام این تنظیمات، کاربر VPN ممکن است فقط به روتر متصل شود اما نتواند به سرورها، سیستم‌ها و تجهیزات شبکه داخلی دسترسی داشته باشد.

/ip firewall filter

add chain=input protocol=tcp dst-port=1194 \
action=accept comment="Allow OpenVPN"

• Chain: srcnat
• Src Address: 10.10.10.0/24
• Out Interface: WAN Interface
• Action: masquerade

/ip firewall nat

add chain=srcnat \
src-address=10.10.10.0/24 \
out-interface=WAN \
action=masquerade

route 192.168.10.0 255.255.255.0

/ip firewall filter

add chain=forward \
src-address=10.10.10.0/24 \
dst-address=192.168.10.0/24 \
action=accept \
comment="VPN to LAN Access"

نمونه محدودسازی:

• واحد مالی فقط دسترسی به سرور حسابداری داشته باشد.
• واحد IT به تجهیزات شبکه دسترسی داشته باشد.
• کاربران عادی فقط به نرم افزارهای مورد نیاز دسترسی داشته باشند.

پایان بخش ششم

در این بخش تنظیمات تکمیلی OpenVPN شامل Firewall، NAT، Routing و افزایش امنیت را انجام دادیم. در بخش آخر، خطاهای رایج OpenVPN در MikroTik، روش عیب‌یابی و سوالات متداول سئو شده را بررسی خواهیم کرد.

عیب‌یابی OpenVPN در MikroTik و رفع مشکلات اتصال VPN

پس از راه اندازی OpenVPN Server در MikroTik ممکن است در برخی شرایط کاربران نتوانند به VPN متصل شوند یا پس از اتصال، دسترسی به شبکه داخلی امکان‌پذیر نباشد. در این بخش مهم‌ترین خطاهای OpenVPN، روش بررسی Log ها و راهکارهای رفع مشکل را بررسی می‌کنیم.

/log print

/system logging add topics=ppp,debug action=memory

علائم مشکل:

• کلاینت به سرور متصل نمی‌شود.
• خطای TLS Error نمایش داده می‌شود.
• ارتباط بعد از چند ثانیه قطع می‌شود.

/ppp active print

آیا MikroTik از OpenVPN UDP پشتیبانی می‌کند؟

خیر. در RouterOS سرویس OpenVPN فقط با TCP کار می‌کند.

آیا برای OpenVPN میکروتیک نیاز به Certificate داریم؟

بله. برای ایجاد ارتباط امن باید Certificate سرور و کلاینت ایجاد شود.

پورت پیش فرض OpenVPN در MikroTik چیست؟

پورت استاندارد OpenVPN برابر 1194 است، اما امکان تغییر آن وجود دارد.

آیا می‌توان چند کاربر همزمان به OpenVPN متصل کرد؟

بله. با ایجاد User های مختلف در PPP Secret امکان اتصال چندین کاربر وجود دارد.

آیا OpenVPN برای ارتباط شعب سازمانی مناسب است؟

برای اتصال کاربران و دسترسی راه دور بسیار مناسب است، اما برای ارتباط دائمی Site To Site معمولاً گزینه‌هایی مانند IPsec یا GRE بهتر هستند.

جمع‌بندی راه اندازی OpenVPN در MikroTik

در این مقاله به صورت کامل مراحل راه اندازی OpenVPN Server در MikroTik را بررسی کردیم. از ساخت Certificate با Easy-RSA، نصب Certificate ها در RouterOS، فعال‌سازی OpenVPN Server، ایجاد کاربران، تنظیم Firewall و Routing تا عیب‌یابی مشکلات رایج را آموزش دادیم.

OpenVPN در میکروتیک یک راهکار امن و قابل اعتماد برای ایجاد دسترسی VPN کاربران راه دور به شبکه سازمانی است و با رعایت نکات امنیتی می‌تواند در بسیاری از سناریوهای شبکه مورد استفاده قرار گیرد.