двухфакторная аутентификация для vpn mikrotik

двухфакторная аутентификация для vpn mikrotik

2FA для MikroTik VPN: как настроить и не пожалеть

двухфакторная аутентификация для vpn mikrotik — это не просто «ещё один уровень защиты». Это ваш последний рубеж, когда пароль уже скомпрометирован, а злоумышленник пытается подключиться к корпоративной сети через украденные учётные данные. В условиях роста фишинга и утечек баз (вспомните хотя бы инциденты с «Ростелеком» в 2023–2024 годах) одноразовые коды или push-уведомления становятся обязательным элементом безопасности. Особенно если вы используете MikroTik как шлюз для удалённого доступа.

Почему ваш MikroTik без 2FA — дырявое ведро

MikroTik RouterOS по умолчанию поддерживает только логин/пароль для PPTP, L2TP/IPsec и даже OpenVPN. Звучит знакомо? Да, это та же модель, что и у большинства домашних роутеров. Проблема в том, что:

• Пароли часто слабые: admin123, qwerty, дата рождения.
• Они переиспользуются: один и тот же пароль от почты, соцсетей и VPN.
• Их легко украсть: keylogger на публичном ПК, MITM-атака в кафе «Кофемания», фишинг под видом обновления прошивки.

Даже AES-256 в IPsec не спасёт, если злоумышленник знает ваши учётные данные. Он просто войдёт легально. Двухфакторная аутентификация (2FA) добавляет второй фактор: то, что у вас есть (телефон с TOTP-приложением, аппаратный ключ YubiKey) или вы есть (биометрия, но MikroTik её не поддерживает напрямую).

Что такое 2FA на самом деле (и почему SMS — плохая идея)

2FA = знание + владение.
Первый фактор — пароль (знание).
Второй — одноразовый код из Google Authenticator, Authy или FreeOTP (владение устройством).

SMS не подходит:
- SIM-swap атаки активно используются в РФ (пример: хакеры выводили деньги с карт Сбербанка через подмену SIM в 2024 году).
- SS7-уязвимости позволяют перехватывать SMS на уровне оператора.
- Нет шифрования между SMSC и вашим телефоном.

Лучше использовать TOTP (Time-based One-Time Password) по стандарту RFC 6238 или HOTP (HMAC-based). Оба работают оффлайн и не зависят от сотовой сети.

Чего вам НЕ говорят в других гайдах

Большинство «руководств» на Хабре или YouTube сводятся к трём шагам: установи пакет, создай пользователя, включи опцию. Но реальность жестче.

1. Бесплатные RADIUS-серверы — это ловушка

Многие советуют поставить FreeRADIUS на Raspberry Pi. Звучит дёшево и круто. Однако:

• FreeRADIUS требует постоянного мониторинга: обновления, патчи, защита от брутфорса.
• Без TLS (EAP-TLS) трафик RADIUS передаётся в открытом виде — любой в LAN может перехватить хэши.
• Настройка EAP-TLS — это сертификаты, CA, CRL... Готовы ли вы быть PKI-администратором?

Если вы не готовы тратить 10+ часов в неделю на поддержку, лучше использовать облачные решения с аудитами (например, privacyIDEA или Duo), даже если они платные.

1. Логирование — ваш враг

RouterOS по умолчанию не пишет логи аутентификации в файл, но отправляет их в системный журнал (/log). При перезагрузке — всё исчезает. Если вы не настроили syslog-сервер, вы не узнаете, кто и когда пытался подключиться. А при расследовании инцидента это критично.

1. Утечки через DNS и WebRTC остаются

Даже с 2FA и IPsec, если клиент (Windows, Android) не настроен правильно, он может отправлять DNS-запросы мимо туннеля. Проверьте на ipleak.net — часто провайдер «МТС» или «Билайн» остаётся в списке DNS.

WebRTC в браузерах (Chrome, Edge) раскрывает ваш реальный IP, даже за VPN. Отключайте его через chrome://flags или используйте Firefox с media.peerconnection.enabled = false.

1. Kill switch в MikroTik — иллюзия

RouterOS не имеет встроенного kill switch. Если туннель OpenVPN рвётся, весь трафик пойдёт напрямую в интернет. Чтобы этого избежать, нужны сложные правила в /ip firewall filter:

/ip firewall filter
add chain=forward out-interface=ether1 action=drop comment="Block non-VPN traffic"
add chain=forward out-interface=ovpn-out1 action=accept comment="Allow VPN traffic"

Но при смене интерфейса (например, Wi-Fi → Ethernet) эти правила ломаются. Требуется скрипт на /system script с триггером по событию.

1. Юрисдикция и 14 Eyes — не ваша проблема (если вы свой сервер)

MikroTik стоит у вас дома или в офисе? Отлично. Вы вне юрисдикции Five/14 Eyes. Но если вы используете чужой VPS (например, в Германии или США), помните: по запросу суда хостер может сохранить логи подключения, даже если RouterOS их не пишет. Арендодатель видит IP входящих подключений.

Как работает 2FA в связке с VPN-протоколами MikroTik

MikroTik не поддерживает 2FA «из коробки» ни для PPTP, ни для L2TP, ни для OpenVPN. Единственный рабочий способ — внешний RADIUS-сервер.

Поддерживаемые протоколы и их особенности

Важно: WireGuard принципиально не поддерживает 2FA, потому что использует статические ключи. Если вам нужна двухфакторка — забудьте про WireGuard на MikroTik.

🛡️Безопасный интернет

OpenVPN — единственный разумный выбор. Он позволяет подключить RADIUS через openvpn-plugin-auth-pam или напрямую через auth-user-pass-verify.

Пошаговая настройка 2FA через FreeRADIUS + Google Authenticator

Предупреждение: эта схема требует Linux-сервера (можно в Docker). Если у вас только MikroTik — ищите облачные RADIUS-сервисы.

📖Свобода информации

Шаг 1. Установка FreeRADIUS с поддержкой PAM

На Ubuntu 22.04:

sudo apt install freeradius freeradius-config libpam-google-authenticator

Шаг 2. Настройка модуля PAM

Файл /etc/pam.d/radiusd:

auth required pam_google_authenticator.so secret=/etc/google-authenticator/${USER}
account required pam_permit.so

Шаг 3. Генерация секретов для пользователей

От имени каждого пользователя:

google-authenticator -t -d -r 3 -R 30 -f -l "vpn@yourcompany"

Скопируйте QR-код в Authy или Google Authenticator.

Шаг 4. Конфигурация FreeRADIUS

В /etc/freeradius/3.0/sites-enabled/default разрешите PAP:

authorize {
    ...
    pap
}

authenticate {
    Auth-Type PAP {
        pap
    }
}

Шаг 5. Настройка MikroTik

/radius
add address=192.168.88.10 service=login secret=mysecret

/ppp profile
add name=2fa-profile local-address=192.168.99.1 remote-address=pool-vpn use-radius=yes

/ppp aaa
set use-radius=yes

/ip pool
add name=pool-vpn ranges=192.168.99.10-192.168.99.50

/interface ovpn-server server
set enabled=yes port=1194 certificate=none require-client-certificate=no auth=sha1 cipher=aes256 netmask=24

Теперь при подключении OpenVPN клиент должен ввести:
- Логин: имя пользователя
- Пароль: пароль_от_учётки + код_из_Google_Authenticator без пробела

Например: ivanov / mypassword123456

Сравнение решений для 2FA на MikroTik

Все решения требуют допнастройки firewall для kill switch. Ни одно не интегрируется с RouterOS «из коробки».

Реальные сценарии: кому и зачем это нужно

1. IT-админ в малом бизнесе

Вы управляете сетью из 20 компьютеров через WinBox. Если хакер получит ваш пароль (через фишинг на fake.mikrotik-update.ru), он получит полный контроль. 2FA блокирует 99% таких атак.

1. Бухгалтер на удалёнке

Подключается к 1С через L2TP. Без 2FA её учётка — золотая жила для мошенников. Особенно если она использует один пароль везде.

1. Журналист в регионе с цензурой

Даже если власти заблокируют IP вашего MikroTik, 2FA не даст им подключиться к вашей сети, даже имея логин/пароль из утечки.

1. Игрок в онлайн-казино

Некоторые площадки блокируют российские IP. VPN через MikroTik решает проблему, но без 2FA аккаунт легко угнать через брутфорс.

FAQ

Можно ли обойтись без внешнего сервера?

Нет. RouterOS не имеет встроенного TOTP-генератора или RADIUS-сервера с поддержкой 2FA. Единственный вариант — внешний сервер или облачный сервис.

🛡️Безопасный интернет

Замедлит ли 2FA подключение к VPN?

Да, на 1–3 секунды: время на генерацию кода и проверку на RADIUS-сервере. Но это ничто по сравнению с риском взлома.

Что делать, если потерял телефон с Google Authenticator?

При генерации секрета сохраняйте recovery-коды (обычно 10 штук). Их можно ввести вместо TOTP-кода. Храните их в менеджере паролей или на бумаге в сейфе.

Поддерживает ли MikroTik U2F или FIDO2?

Нет. RouterOS не работает с аппаратными ключами напрямую. Для этого нужен полноценный веб-интерфейс с поддержкой WebAuthn, которого в WinBox нет.

🛠️Инструмент для работы

Будет ли работать 2FA при обрыве связи с RADIUS-сервером?

Нет. Все попытки подключения будут отклонены. Поэтому RADIUS-сервер должен быть максимально отказоустойчивым (например, в той же локальной сети).

Можно ли использовать 2FA только для админки, а не для VPN?

Да. В /user можно включить authentication-types=totp. Но это не защитит VPN-трафик, если кто-то подключится как обычный PPP-пользователь.

Вывод

двухфакторная аутентификация для vpn mikrotik — это не «фишка для гиков», а необходимая мера защиты в 2026 году. Без неё ваш VPN превращается в замок с открытым ключом под ковриком. Да, настройка требует времени и Linux-сервера. Да, придётся разобраться с RADIUS и PAM. Но это единственный способ гарантировать, что даже при утечке пароля злоумышленник не получит доступ к вашей сети. Особенно если вы используете MikroTik как шлюз для удалённой работы, доступа к финансовым системам или обхода ограничений. Не экономьте на безопасности — настройте 2FA сегодня, пока не стало слишком поздно.