IKEv2 VPN сервер: настройка на MikroTik, подключение клиентов и безопасность

Что такое IKEv2 и почему он лучше других VPN-протоколов

IKEv2 (Internet Key Exchange version 2) — это протокол, входящий в семейство IPsec, который используется для установления защищённых VPN-соединений. Он был разработан совместно Microsoft и Cisco и поддерживается всеми современными операционными системами: Windows, macOS, iOS, Android и Linux. В отличие от устаревших PPTP и L2TP, IKEv2 обеспечивает высокий уровень безопасности и устойчивость к разрывам соединения. Например, при смене сети (переход с Wi-Fi на мобильный интернет) соединение IKEv2 автоматически восстанавливается, что особенно важно для мобильных пользователей.

Главное преимущество IKEv2 — использование сертификатов для аутентификации. Это исключает передачу паролей по сети и защищает от атак типа «человек посередине». Кроме того, IKEv2 показывает хорошую скорость при аппаратном ускорении IPsec и не требует установки стороннего ПО на клиентские устройства. Настройка серверной части сложнее, чем у L2TP, но результат стоит затраченных усилий.

Подготовка к настройке: требования и необходимые компоненты

Перед началом настройки IKEv2 VPN-сервера на MikroTik убедитесь, что у вас есть:

• Роутер MikroTik с RouterOS (подойдут модели с поддержкой IPsec, например, RB951Ui-2HnD или hEX).
• Статический IP-адрес или доменное имя (FQDN) для сервера. Это обязательное условие, так как сертификат сервера привязывается к адресу, по которому клиенты будут подключаться.
• Доступ к Winbox или терминалу для настройки.
• Базовые знания о работе IPsec и сетевых протоколах.

Важно понимать, что сертификат сервера должен соответствовать адресу подключения. Если вы выпустили сертификат с доменным именем, а клиент подключается по IP-адресу, соединение будет отклонено. Поэтому рекомендуется использовать FQDN, чтобы в будущем не перевыпускать сертификаты при смене IP.

Создание центра сертификации (CA) на MikroTik

Для аутентификации по сертификатам необходима инфраструктура открытых ключей (PKI). В её основе лежит центр сертификации (CA), который выпускает и подписывает сертификаты. В MikroTik CA можно создать прямо на роутере, используя встроенные средства RouterOS.

Перейдите в меню System → Certificates и нажмите «+» для создания нового сертификата. Заполните поля:

• Name — например, ca;
• Common Name — также ca;
• Key Size — 2048 бит или больше (меньшие ключи считаются небезопасными);
• Days Valid — срок действия, например, 3650 дней (10 лет).

Затем перейдите на вкладку Key Usage и оставьте только флаги crl sign и key cert. sign. Это необходимо для подписи списков отзыва и других сертификатов. Нажмите Apply, затем Sign. В окне подписи укажите CA CRL Host — адрес, по которому будет доступен список отзыва сертификатов (можно использовать 127.0.0.1). После этого корневой сертификат будет создан.

В терминале те же действия выполняются командой:

/certificate add name=ca common-name=ca key-size=2048 days-valid=3650 key-usage=crl-sign,key-cert-sign
/certificate sign ca ca-crl-host=192.168.1.1

Выпуск серверного и клиентских сертификатов

После создания CA необходимо выпустить сертификат для VPN-сервера. Этот сертификат будет использоваться для шифрования и проверки подлинности сервера. В меню System → Certificates создайте новый сертификат:

• Name — IP-адрес или доменное имя сервера (например, vpn.example.com);
• Common Name — тот же адрес;
• Subject Alt. Name — выберите тип DNS или IP и укажите адрес;
• Key Size — 2048;
• Days Valid — 3650.

На вкладке Key Usage оставьте только tls server. Подпишите сертификат закрытым ключом CA.

Для клиентов выпускаются отдельные сертификаты. В качестве имени используйте понятное значение, например, ФИО сотрудника или название офиса. Срок действия клиентских сертификатов рекомендуется устанавливать меньше — например, 365 дней. На вкладке Key Usage укажите tls client и подпишите сертификат CA.

Для использования на клиентских устройствах сертификаты экспортируются в формат PKCS12, который содержит закрытый ключ, клиентский сертификат и корневой сертификат CA в одном файле. При экспорте задайте пароль (не менее 8 символов), иначе закрытый ключ не будет выгружен.

Настройка IPsec на MikroTik: профили, предложения и пулы

Настройка IKEv2 VPN-сервера включает несколько этапов. Сначала создайте профиль IPsec, который задаёт параметры соединения. Перейдите в IP → IPsec → Profiles и создайте новый профиль с именем, например, IKEv2. Остальные параметры оставьте по умолчанию.

Затем настройте криптографические предложения (Proposals). Перейдите на вкладку Proposals и создайте новое предложение. В блоке Encr. Algorithms уберите 3des (устаревший алгоритм) и добавьте aes-128-cbc, aes-192-cbc, aes-256-cbc. Эти алгоритмы поддерживаются всеми современными ОС и обеспечивают высокий уровень безопасности.

Для выдачи IP-адресов клиентам создайте пул адресов: IP → Pool. Укажите имя, например, IKEv2_Pool, и диапазон, например, 172.16.200.1-172.16.200.100.

Эти настройки являются основой для дальнейшей конфигурации. Важно не отклоняться от рекомендуемых параметров, так как изменение алгоритмов может сделать подключение невозможным для некоторых клиентов.

Настройка Mode Config, политик и пиров

Mode Config определяет параметры, которые сервер передаёт клиентам при подключении. Перейдите в IP → IPsec → Mode Configs и создайте новую конфигурацию:

• Name — например, IKEv2_Mod_CFG;
• Установите флаг Responder (сервер будет отвечать на запросы клиентов);
• Address Pool — выберите созданный пул;
• Address Prefix Length — 32 (каждый клиент получает индивидуальный IP);
• Split Include — укажите внутренние подсети, доступ к которым нужен клиентам (например, 192.168.111.0/24);
• System DNS — если нужно передавать DNS-серверы роутера, оставьте флаг включённым.

Затем создайте группу политик: IP → IPsec → Groups, имя, например, IKEv2_Group. Далее на вкладке Policies создайте шаблон политики:

• Src. Address — 0.0.0.0/0 (разрешаем подключения с любого адреса);
• Dst. Address — диапазон VPN-сети, например, 172.16.200.0/24;
• Установите флаг Template и выберите группу;
• На вкладке Action укажите созданное предложение.

Теперь настройте пир (Peer) для приёма подключений: IP → IPsec → Peers. Создайте новый пир:

• Name — например, IKEv2_Peer;
• Установите флаг Passive (сервер ждёт подключений);
• Address — 0.0.0.0/0;
• Profile — выберите созданный профиль;
• Exchange Mode — IKE2.

На вкладке Identities создайте новую идентификацию:

• Peer — выберите пир;
• Auth. Method — digital signature;
• Certificate — сертификат сервера;
• Policy Template Group — созданная группа;
• Mode Configuration — созданная конфигурация;
• Generate Policy — port strict.

Настройка брандмауэра и проверка подключения

Чтобы клиенты могли подключаться к VPN-серверу, необходимо добавить правила брандмауэра. Перейдите в IP → Firewall → Filter Rules и добавьте правило:

• Chain — input;
• Protocol — udp;
• Dst. Port — 500,4500;
• In. Interface — ваш внешний интерфейс (например, ether1).

Действие по умолчанию — accept, поэтому указывать его не нужно. Это правило разрешает входящие соединения IKEv2.

Также добавьте правило для пересылки трафика от VPN-клиентов во внутреннюю сеть:

• Chain — forward;
• In. Interface — внешний интерфейс;
• IPsec Policy — in:ipsec.

Оба правила должны располагаться выше запрещающих правил в соответствующих цепочках.

После настройки проверьте подключение с клиентского устройства. Если соединение не устанавливается, проверьте:

• Правильность указания адреса сервера;
• Соответствие сертификата адресу подключения;
• Наличие правил брандмауэра;
• Логи IPsec на роутере.

Подключение клиентов: Windows, Linux, macOS, Android, iOS

Настройка клиентов зависит от операционной системы. Рассмотрим основные шаги.

Windows 8/10/11

1. Импортируйте сертификат PKCS12 с помощью команды (от имени администратора):

   certutil -f -importpfx "C:\path\to\file.p12" NoExport

1. Создайте VPN-подключение через PowerShell:

   Add-VpnConnection -ServerAddress 'vpn.example.com' -Name 'My IKEv2 VPN' -TunnelType IKEv2 -AuthenticationMethod MachineCertificate -EncryptionLevel Required

1. Настройте IPsec-параметры (опционально):

   Set-VpnConnectionIPsecConfiguration -ConnectionName 'My IKEv2 VPN' -AuthenticationTransformConstants GCMAES128 -CipherTransformConstants GCMAES128 -EncryptionMethod AES256 -IntegrityCheckMethod SHA256 -PfsGroup None -DHGroup Group14

1. Подключитесь через системный трей.

Linux (Ubuntu/Debian)

1. Установите strongSwan и плагин Network Manager:

   sudo apt-get install strongswan network-manager-strongswan libcharon-extra-plugins

1. Извлеките сертификаты из PKCS12:

   openssl pkcs12 -in vpnclient.p12 -cacerts -nokeys -out ca.cer
   openssl pkcs12 -in vpnclient.p12 -clcerts -nokeys -out client.cer
   openssl pkcs12 -in vpnclient.p12 -nocerts -nodes -out client.key

1. В настройках сети добавьте новое VPN-подключение типа IPsec/IKEv2 (strongswan), укажите адрес сервера, импортируйте сертификаты и ключ.

macOS

1. Импортируйте сертификат в связку ключей (Keychain Access), установите доверие для IPsec.
2. В System Preferences → Network создайте новое VPN-подключение типа IKEv2, укажите адрес сервера и Remote ID.
3. В настройках аутентификации укажите имя пользователя и пароль (или сертификат).

Android и iOS

На мобильных устройствах настройка выполняется через системные настройки VPN. Укажите тип IKEv2, адрес сервера, имя пользователя и пароль. Для iOS также потребуется импортировать сертификат CA.

Безопасность и устранение неполадок

IKEv2 с сертификатами обеспечивает высокий уровень безопасности, но важно соблюдать несколько правил:

• Используйте сложные пароли для экспортируемых сертификатов.
• Регулярно обновляйте RouterOS до актуальной версии.
• Ограничьте доступ к VPN-серверу по IP-адресам, если это возможно.
• Следите за сроком действия сертификатов и своевременно их перевыпускайте.

Частые проблемы при подключении:

• Ошибка аутентификации — проверьте, что сертификат клиента подписан вашим CA и не истёк.
• Нет соединения — убедитесь, что порты 500 и 4500 открыты в брандмауэре.
• Несоответствие адреса — если сертификат выпущен для FQDN, подключайтесь по FQDN, а не по IP.
• Проблемы с DNS — проверьте настройки Mode Config и передачу DNS-серверов.

Для диагностики используйте логи IPsec на роутере: IP → IPsec → Active Peers и System → Log.

Вопросы и ответы