Qual o objetivo da VPN? Seu principal objetivo é ligar duas redes distintas em localizações diferentes. Existem vários tipos de VPN , o mikrotik oferece as seguintes:
- PPTP
- SSTP
- L2TP
- OVPN
- Wireguard
- Zero Tier
Só usei dois tipos e pelos resultados preliminares o wireguard é de 20 a 30% mais rápido que o L2TP com IPSEC. Nos testes eu utilizei um RB2011<> RB750GR3, o ideal é ter as duas sendo RB750GR3. Mas com a 2011 ainda tem um desempenho satisfatório.
Vamos para a configuração: Na seguinte ordem , primeiro será feito o servidor e na proxima o cliente.
Requisitos: Precisa ter o RouterOS na versao 7. E dois mikrotiks ou mais.
Na criação da interface wireguard o mikrotik vai criar uma chave privada e uma chave publica. O que interessa é a chave publica. Na aba Peers é onde acontece a mágica.
Colocar um IP na interface wireguard em IP/ADRESS/NEW IP:
Nesse exemplo esse seria o Matriz.
- Public key ( Essa chave é do cliente que se conectara)
- Endpoint (Deixar em branco)
- Endpoint Port ( pode colocar uma a gosto , mas pode ser usada a padrao 13231)
- Allowed Address ( quais Ips passarao pelo tunnel – aqui tem que ficar atento, tem que colocar alem da faixa do cliente o ip da interface ) Ex:
- Minha matriz tem ip na faixa 192.168.50.0/24 e filial tem ip 192.168.1.0/24.
- PresharedKey ( considero boa pratica colocar uma senha para ter ainda mais segurança, a senha so pode ser base64 , vá nesse site e gere uma https://www.wireguardconfig.com )
Pronto com essas informações vamos preencher o que será necessário para que o servidor na matriz seja criado
PublicKey:QLUlFjRFDrer6l1Knw9byoJ8NalU3wIDUv3EYAX7ZHQ=(da filial)
Endpoint: deixa em branco
Endpoint port : deixa em branco
Allowed Adress:192.168.200.0/24,192.168.50.0/24 – o primeiro bloco de ips referente a outra ponta do cliente, o segundo bloco referente a lan do outro cliente. Pode se colocar um bloco ou apenas o ip exato se quiser.
Configuração da Filial
PublicKey:PCrbKhhAhQT+WUu6HIQQkbGK4/tCfwl6WAxWdbuEWVo=(da matriz)
Endpoint: ippublicodamatriz.dyndns.info
Endpoint port : 13231
Allowed Adress:0.0.0.0/0. com isso a filial alcança os ips da matriz.
Agora é preciso configurar as rotas para a matriz enxergar a filial , e uma para a filial enxergar a matriz.
No mikrotik da matriz va em IP routes e adiciona Dst adress – a lan da filial – 192.168.1.0/24 gateway 192.168.70.2 e clica ok
No mikrotik da filial va em IP routes e adiciona Dst adress – a lan da matriz – 192.168.50.0/24 gateway 192.168.70.1 e clica ok
Resumindo, para cada novo cliente você sempre precisara criar um peer nas duas pontas . Nele é preciso ter a chave publica de cada um para que se enxerguem, além da preshared key se for utilizar para aumentar o nível de segurança. O servidor será aquele com o peer que terá o filtro que definira que rede passara até ele.
