микротик настройка openvpn

микротик настройка openvpn

Микротик + OpenVPN: как не превратить роутер в уязвимость

микротик настройка openvpn — задача, с которой сталкиваются тысячи пользователей в России и СНГ. Но большинство гайдов упускают главное: правильно настроенный тоннель может стать лазейкой для утечек, а «безопасный» роутер — точкой сбора ваших данных. Эта статья разберёт всё по полочкам: от генерации сертификатов до защиты от DPI-анализа Ростелекома и МТС.

Почему OpenVPN на MikroTik — не всегда лучший выбор

MikroTik RouterOS поддерживает OpenVPN, но с оговорками. В отличие от IPsec или WireGuard, OpenVPN здесь реализован через TCP/UDP-прокси без аппаратного ускорения шифрования. На слабых моделях (hAP lite, RB750Gr3) это приводит к падению скорости на 60–80% даже при AES-128-CBC. А если вы используете AES-256-GCM — готовьтесь к полной деградации канала.

OpenVPN на MikroTik работает только в режиме клиента. Серверную часть запустить нельзя — только через сторонние решения (например, установку Linux на CHR). Это критично, если вы планировали использовать роутер как центральный VPN-шлюз для удалённых сотрудников.

Ещё один подводный камень — отсутствие поддержки TLS-crypt v2 и контроля целостности сертификатов на уровне ядра. При компрометации CA ваш трафик может быть перехвачен без предупреждения. В то же время IPsec с IKEv2 и PFS (Perfect Forward Secrecy) на том же устройстве работает стабильнее и быстрее.

Пошаговая микротик настройка openvpn: от .ovpn до проверки утечек

Шаг 1. Подготовка конфигурации

Вам понадобится файл .ovpn от провайдера. Убедитесь, что в нём:

• Указан явный remote (не доменное имя без DNSSEC).
• Используется proto udp (TCP вызывает double-NAT и увеличивает задержки).
• Присутствует cipher AES-256-GCM или AES-128-GCM.
• Есть tls-cipher TLS-ECDHE-RSA-WITH-AES-256-GCM-SHA384.

Если в конфиге стоит dev tun — отлично. dev tap на MikroTik не поддерживается.

Шаг 2. Импорт в RouterOS

1. Зайдите в WinBox → Files → загрузите .ovpn, сертификаты (ca.crt, client.crt, client.key) и DH-параметры.
2. Перейдите в PPP → Profiles → создайте профиль:
3. Local Address: 10.8.0.1
4. Remote Address: 10.8.0.2
5. Use Encryption: required
6. Change TCP MSS: yes (значение 1300)
7. В PPP → Secrets добавьте учётную запись с именем из client.crt.
8. В Interface → OVPN Client создайте интерфейс:
9. Connect To: IP из remote
10. Port: как в конфиге
11. User: имя из Secrets
12. Certificate: выберите client.crt
13. Auth: sha256
14. Cipher: aes256

Шаг 3. Маршрутизация и NAT

Добавьте правило в IP → Firewall → NAT:

chain=srcnat action=masquerade out-interface=ovpn-out1

И маршрут в IP → Routes:

dst-address=0.0.0.0/0 gateway=ovpn-out1 distance=1 check-gateway=ping

Важно! Не включайте «default route» в настройках OVPN-интерфейса — это обходит kill switch и может привести к утечке трафика при обрыве.

Шаг 4. Проверка утечек

После подключения:

1. Зайдите на ipleak.net — проверьте IP, DNS, WebRTC.
2. Убедитесь, что DNS-серверы не принадлежат вашему провайдеру (Ростелеком использует 8.8.8.8 только как fallback).
3. В браузере откройте browserleaks.com/webrtc — должен показывать IP VPN, а не локальный.

Если видите свой реальный IP — значит, маршрутизация настроена неверно или включён split tunneling без контроля.

Чего вам НЕ говорят в других гайдах

Большинство инструкций молчат о трёх критических рисках:

1. Бесплатные OpenVPN-конфиги = сбор данных

Серверы стоят денег. Аренда VPS с 1 Гбит/с — от $5/мес. Если вам дают «бесплатный» .ovpn-файл — кто-то платит за трафик. Обычно за счёт:

• Логирования всех запросов (включая HTTP-заголовки).
• Подмены рекламы через MITM-прокси.
• Продажи трафика третьим лицам (например, аналитическим фирмам).

В 2023 году исследователи обнаружили, что 78% бесплатных VPN для Android передают данные в Китай. Hola VPN в 2019 году превратила пользователей в ботнет для DDoS-атак.

1. «No logs» — маркетинг, а не гарантия

Даже если провайдер заявляет «no logs», он обязан хранить данные по решению суда в рамках юрисдикции. Россия входит в так называемую «14 Eyes» коалицию обмена разведданными. Провайдер с серверами в Нидерландах или Германии обязан передать информацию ФСБ по официальному запросу.

Аудиты? Большинство «независимых» проверок оплачены самим VPN-сервисом. Настоящие аудиты (как у Mullvad от Cure53) публикуются полностью и включают исходный код.

1. Kill switch на роутере — иллюзия без скриптов

RouterOS не имеет встроенного kill switch. При обрыве соединения трафик автоматически уйдёт в основной канал. Чтобы этого избежать, нужен скрипт:

:local iface "ovpn-out1"
:if ([/interface get $iface running] = false) do={
    /ip firewall filter set [find comment="BLOCK_ALL"] disabled=no
}

И правило в Firewall → Filter Rules:

chain=forward action=drop comment="BLOCK_ALL" disabled=yes

Без этого — любой перезапуск OpenVPN или потеря сигнала приведёт к утечке.

OpenVPN vs WireGuard vs IPsec: сравнение для MikroTik

Примечание: скорость измерена на канале 100 Мбит/с с шифрованием AES-256. WireGuard и IPsec используют аппаратное ускорение на некоторых чипах (например, IPQ4019).

📖Свобода информации

Сценарии использования: когда OpenVPN на MikroTik оправдан

1. Обход блокировок в публичных сетях

Вы в кафе с Wi-Fi от «МегаФона». Без VPN ваш трафик виден провайдеру и владельцу точки. OpenVPN шифрует всё — включая DNS-запросы. Но помните: если сайт заблокирован по IP (как Telegram в 2018), а ваш VPN-сервер тоже в чёрном списке — соединение не установится.

1. Корпоративный доступ к внутренним ресурсам

Если у компании есть выделенный OpenVPN-сервер, MikroTik может выступать как клиент для доступа к 1C, CRM или NAS. Главное — использовать собственные сертификаты, а не общие.

1. Защита IoT-устройств

Умная колонка, камера или холодильник не умеют в VPN. Но если весь трафик с них идёт через MikroTik с OpenVPN — они автоматически защищены от сканирования Shodan и эксплуатации уязвимостей.

1. Торренты — с осторожностью

Да, трафик шифруется. Но если провайдер замечает высокий объём P2P-трафика, он может отправить запрос правообладателю. А тот — вашему VPN-провайдеру. Если тот хранит логи (даже временно) — вас найдут. Лучше использовать сервисы с прозрачной no-log политикой и оплатой криптовалютой.

Как проверить, что kill switch работает

1. Подключитесь к OpenVPN.
2. Откройте терминал на компьютере: ping 8.8.8.8.
3. В WinBox отключите интерфейс ovpn-out1.
4. Ping должен сразу оборваться. Если продолжается — трафик уходит в основной канал.
5. Верните интерфейс — ping восстановится.

Это простейший тест. Для продвинутой проверки используйте tcpdump на CHR или внешний сниффер.

Альтернативы: стоит ли вообще использовать OpenVPN на MikroTik?

Если ваша цель — максимальная безопасность и скорость:

• WireGuard — лучший выбор. Минимальный код, высокая производительность, встроенный roaming. Но требует установки CHR (Cloud Hosted Router) или сторонней прошивки.
• IPsec/L2TP — нативная поддержка, работает даже на старых моделях. Подходит для корпоративных сценариев, но легко детектируется DPI.
• Shadowsocks + Stunnel — обход глубокой фильтрации (например, в регионах с активным DPI от Ростелекома). Но сложен в настройке и не обеспечивает аутентификацию.

OpenVPN оправдан, только если у вас уже есть доверенный сервер и вы не можете перейти на WireGuard.

VPN замедляет интернет на сколько реально?

На MikroTik с OpenVPN — до 70% потерь на слабых CPU. Например, RB750Gr3 (650 МГц) даёт 18 Мбит/с вместо 100 Мбит/с. На мощных моделях (RB5009) — 45–60 Мбит/с. WireGuard почти не замедляет: 90+ Мбит/с.

Меня найдёт спецслужба при использовании VPN?

Если вы используете коммерческий VPN с серверами за рубежом — да, при наличии судебного запроса. Если вы сами хостите сервер (например, в облаке Hetzner) и не оставляете цифровых следов (оплата картой, аккаунты) — шансы минимальны. Но помните: метаданные (время, объём, частота) тоже анализируются.

🛠️Инструмент для работы

WireGuard или OpenVPN — что безопаснее?

WireGuard безопаснее: меньше кода (меньше уязвимостей), современная криптография (Curve25519, ChaCha20), обязательный PFS. OpenVPN уязвим к атакам типа SWEET32 при использовании CBC-режима и слабых ключей. Но WireGuard не маскирует трафик — его легче заблокировать.

Нужно ли отключать IPv6 при использовании VPN на MikroTik?

Да. RouterOS плохо управляет IPv6-маршрутами в тоннелях. Если у вас включен IPv6, браузер может отправить запрос через него, минуя VPN. Отключите IPv6 в IPv6 → Settings → disable.

Можно ли использовать OpenVPN для обхода блокировок YouTube или Telegram?

Технически — да. Но если ваш VPN-сервер уже в чёрном списке Роскомнадзора (а многие популярные попадают туда быстро), соединение не установится. Лучше использовать малоизвестные серверы или технологии маскировки (obfs4, Shadowsocks).

🛠️Инструмент для работы

Что делать, если OpenVPN не подключается после обновления RouterOS?

После версии 7.10 MikroTik усилил проверку сертификатов. Убедитесь, что в сертификате указан правильный CN и SAN. Также проверьте, что используется SHA256, а не SHA1. В логах (Log → topics: ovpn) будут ошибки вроде “certificate verify failed”.

Вывод

микротик настройка openvpn — технически возможна, но с серьёзными оговорками. Вы получаете шифрование, но теряете скорость, удобство и часто — реальную защиту из-за отсутствия kill switch и утечек DNS. Если вы настраиваете OpenVPN ради обхода блокировок или базовой приватности в публичных сетях — это рабочее решение. Но для торрентов, корпоративного доступа или защиты от государственного DPI лучше рассмотреть WireGuard на CHR или сторонние прошивки. Главное — не верить обещаниям «полной анонимности» и всегда проверять утечки самостоятельно.