Ostatnia z rzeczy, jakie musimy ustawić na Mikrotiku to odblokowanie portu “1194” dla połączeń przychodzących (Input).
Przechodzimy do “IP->Firewall” dodajemy nową regułę.
↓
Strefa Instalatora 5
Strefa Instalatora 6
CHAIN:
wybieramy input
PROTOCOL:
tcp
DST. PORT:
1194
ACTION:
accept
↓
Strefa Instalatora 7
Umieszczamy utworzoną regułę “drop invalid”
Przechodzimy na “PPP” zakładka “Profiles” i dodajemy profil dla klientów VPN.
↓
Strefa Instalatora 15
Strefa Instalatora 16
NAME:
podajemy dowolnie
LOCAL ADDRESS:
w tej samej sieci co wcześniej stworzona pula. Np. 10.0.0.1
REMOTE ADDRESS:
wybieramy pulę vpn
USE ENCRYPTION:
zaznaczamy na required
↓
Przechodzimy do zakładki “Secret” i znakiem plusa dodajemy nowe konto.
↓
Przy wpisie “Name” podajemy nazwę użytkownika następnie, przy “Password” wprowadzamy hasło, po czym przy “Service” wybieramy z rozwijanej listy “OpenVPN”. W “Profile” wybieramy wcześniej utworzony przez nas profil. Zatwierdzamy ustawienia, wciskając przycisk “Apply”.
↓
Pozostaje nam jeszcze włączenie serwera, w tym celu przechodzimy na zakładkę “Interface”, będąc oczywiście dalej w “PPP”
↓
Uruchamiamy, serwer zaznaczając przy wpisie “Enabled”, przy wpisie “Default Profile” z listy wybieramy wcześniej utworzony profil, po czym obok “Certificate” wybieramy z listy wcześniej wygenerowany certyfikat dla serwera. Odznaczamy szyfrowanie “AES 192” i “AES 128” w celu zwiększenia bezpieczeństwa, zatwierdzamy ustawienia, klikając przycisk “Apply”.
Tworzymy osobną pulę adresową dedykowaną dla połączeń VPN. Klikamy na “IP->pool” i dodajemy nową pulę.
↓
Przy wpisie “Name” podajemy dowolną nazwę przy wpisie “Address” podajemy pule adresów, po czym klikamy “Apply”
Po wygenerowaniu certyfikatu dla serwera i klienta musimy je podpisać naszym certyfikatem CA. Czas podpisywania zależy od CPU routera i może zająć nawet kilkanaście minut. Certyfikaty możemy podpisać na dwa sposoby. Za pomocą terminala oraz z poziomu Winbox.
Strefa Instalatora 28
Przechodzimy do “System->Certificates” klikamy prawym przyciskiem myszy na certyfikacie, po czym z listy wybieramy “Sign”.
↓
Strefa Instalatora 29
Strefa Instalatora 30
Strefa Instalatora 31
Przy wpisie w polu “CA CRL Host:” podajemy publiczny adres ip, następnie klikamy start. Przy wpisie “Progres” zobaczymy aktualny status, kiedy certyfikat zostanie podpisany, otrzymamy informacje “done”.
↓
Strefa Instalatora 32
Strefa Instalatora 33
Po podpisaniu certyfikatu CA możemy przejść do podpisania certyfikatu dla klienta, przy wpisie Certificate: wybieramy z listy certyfikat klienta, po czym obok wpisu “CA:” wybieramy nasz certyfikat CA w tym przypadku “myCA”. Następnie klikamy przycisk “Start” i czekamy na uzyskanie statut “done”.
↓
Strefa Instalatora 34
Strefa Instalatora 35
Kiedy podpiszemy certyfikat dla klienta, możemy przejść do podpisywania dla serwera. Ponownie wybieramy certyfikat CA w tym przypadku “myCA”. Następnie z dostępnej listy certyfikatów wybieramy certyfikat serwera w tym przypadku “server” po czym klikamy “Start” i czekamy na uzyskanie statutu done.
↓
Strefa Instalatora 36
Kiedy już prawidłowo podpiszemy nasze certyfikaty, powinniśmy uzyskać przed nazwą certyfikatów powyższy efekt. Certyfikat CA powinien mieć statut “KLAT” dla klienta “KA”, a serwera “KAT”.
Ponieważ OpenVPN bazuje na certyfikatach, zaczniemy od wygenerowania 3 certyfikatów. Dla serwera, klienta i certyfikat CA.
Przechodzimy na zakładkę “System->Certificates” następnie, dodajemy nowy certyfikat.
↓
Zaczniemy od wygenerowania własnego CA, którym w późniejszym etapie podpiszemy certyfikat dla klienta i serwera.
NAME:
podajemy dowolną nazwę
COMMON:
podajemy nazwę domeny/zewnętrzny adres ip
KEY SIZE:
8192, czyli długość klucza
DAYS VALID
3650, termin ważności klucza czyli 10 lat
↓
Przechodzimy do zakładki “Key Usage” w której zaznaczamy tylko “key cert.” i “sign, crl sign”
↓
Przejdźmy do wygenerowania klucza dla serwera, klikając na zakładkę “System->Certificates” następnie, dodając nowy certyfikat, którego w późniejszym etapie podpiszemy certyfikatem CA.
NAME:
podajemy dowolną nazwę
COMMON:
podajemy nazwę domeny/zewnętrzny adres ip
KEY SIZE:
8192, czyli długość klucza
DAYS VALID
3650, termin ważności klucza czyli 10 lat
↓
Po przejściu do zakładki “Key Usage” należy zaznaczyć opcję “digital signature”, “key cert. sign”, “crl sign”, “key enciphement”, “data enciphement”, “tls client” i “tls server”.
↓
Przejdźmy do wygenerowania klucza dla klienta, klikając na zakładkę “System->Certificates” następnie, dodając nowy certyfikat, przejdźmy do wygenerowania klucza, którego w późniejszym etapie podpiszemy certyfikatem CA.
NAME:
podajemy dowolną nazwę
COMMON:
podajemy nazwę domeny/zewnętrzny adres ip
KEY SIZE:
8192, czyli długość klucza
DAYS VALID
3650, termin ważności klucza, czyli 10 lat
↓
Po przejściu do zakładki “Key Usage” należy zaznaczyć opcję “digital signature”, “key cert. sign”, “crl sign”, “key enciphement”, “data enciphement”, “tls client” i “tls server”.
Strefa Instalatora 51
1. Podłączamy Odpowiednio naszego mikrotika w celu konfiguracji w taki sposób jak powyżej przedstawiono na rysunku. W gniazdo power wtykamy nasze zasilanie dołączone do zestawu w przypadku tego modelu jest to zasilacz 24V. Usłyszymy charakterystyczne piknięcie dające nam znać, że routerboard jest gotowy do pracy. Port nr 1 posłuży nam do pobrania adresu od dostawcy internetowego. Należy wybrać jeden z portów 2-5 w celu konfiguracji urządzenia i podłączyć do komputera. Tutaj został wykorzystany do tego port numer 3.
↓
2. Kiedy podłączymy odpowiednio nasze urządzenie, jesteśmy gotowi do konfiguracji. Instalujemy oprogramowanie “WinBox”. Uruchamiamy program “jako administrator” następnie przechodzimy do zakładki “Neighbors” i wciskamy przycisk “Refresh”. Na liście powinien pojawić się wpis, klikamy na “adres mac”. Standardowy “login” do naszego roterborda to admin bez hasła a adres ip “192.168.88.1” pole “password” więc należy pozostawić puste, następnie klikamy “connect”.
↓
Strefa Instalatora 52
3. Po poprawnym połączeniu powinien ukazać się nam następujący widok. Jeśli chcemy zachować podstawowe ustawienia, klikamy przycisk “ok”. Po zachowaniu podstawowych ustawień mikrotik powinien pobrać adres od operatora internetowego i powinniśmy mieć dostęp do internetu. Zamykamy pozostałe okna krzyżykiem.
↓
Strefa Instalatora 53
4. Następnie wybieramy z listy po lewej stronie, po czym opcję “Quick Set” wyskoczy nam okienko do konfiguracji roterborda jako Acces Pointa
↓
Strefa Instalatora 54
5. Klikamy strzałkę w dół, aby rozwinąć listę, w której wybieramy tryb “Home AP”
↓
Strefa Instalatora 55
6. Teraz konfigurujemy naszego Home AP na zdjęciu pokazana, jest przykładowa konfiguracja. W polu “Network Name” wpisujemy nazwę naszej sieci. Pole “Frequency” pozostawiamy na auto, są to kanały nadawania naszego routera. W poolu “Band” możemy wybrać standardy naszej sieci. Standardowo mikrotik ustawia standard B/G/N. Jeżeli jesteśmy pewni, że wszystkie urządzenia, jakie mają korzystać z naszej sieci, posiadają radia, które nadają w standardzie N. Możemy w takim wypadku zmienić ustawienia, aby nasz Acces Point nadawał tylko w standardzie N. Jednak urządzenia, które nie nadają w tym standardzie niestety, nie będą w stanie się połączyć z naszym routerem. W polu “Counrtry” z rozwijanej listy przy pomocy strzałki wybieramy “Poland”. Następnie przy “Wi-Fi Paswword” klikamy czarną strzałeczkę oraz klikamy w białe pole i wpisujemy hasło do naszej sieci. W zakładce “Internet” zostawiamy podstawową konfigurację na automatyczną. Teraz zajmiemy się zakładką “LocalNetwork”. Pole “IP address” jest to adres IP naszego mikrotika, “netmask” to nasza maska podsieci, a “DHCP Srerver Range” to nasza pula adresów Acces Pointa. Ustawienia można pozostawić bez zmian. W zakładce “System” wpisujemy hasło do naszego mikrotika. Hasło, które wpiszemy, będziemy wpisywać za każdym razem w Winbox, gdy będziemy łączyć się z naszym routerbordem. Klikamy w prawym rogu na przycisk “Apply” w celu zapisania naszych ustawień.
↓
Strefa Instalatora 56
7. Następnie łączymy się z naszą siecią, wybierając zależnie od systemu operacyjnego, jaki posiadamy. W tym wypadku Windows 7 klikamy w prawym rogu koło zegara systemowego na ikonkę sieci. Następnie klikamy odśwież w prawym górnym rogu na naszej liście dostępnych sieci szukamy nazwy naszego mikrotika, jaką wpisaliśmy wcześniej w polu “Network Name”. Klikamy na nazwę, następnie połącz, wyświetli nam się okienko, podajemy w nim hasło, które wpisaliśmy w polu “Wi-Fi password”.
Pobierz oprogramowanie dla swojego routera w zależności od architektury ze strony producenta
Strefa Instalatora 73
Aby zweryfikować architekturę swojego routera, uruchom oprogramowanie WinBox oraz przejdź do zakładki System -> Resources
↓
Strefa Instalatora 74
Odłącz komputer od sieci Wi-Fi, Ethernet, LTE lub innego rodzaju połączeń. Skonfiguruj adres statyczny IP dla swojego interfejsu Ethernet.
↓
Strefa Instalatora 75
Wypakuj pliki oprogramowania NetInstall oraz uruchom oprogramowanie.
↓
Strefa Instalatora 76
Zezwól w zaporze systemu Windows na następujące zmiany.
↓
Strefa Instalatora 77
Skonfiguruj ustawienia Net Booting tak jak pokazano na zdjęciu poniżej
↓
Adres IP klienta musi być unikalny! Nie używaj istniejącego adresu IP w swojej sieci, oznacza to również, że nie powinieneś również używać adresu IP komputera. Użyj zupełnie innego adresu IP z tej samej podsieci.
Strefa Instalatora 78
Podłącz urządzenie do komputera za pomocą kabla Ethernet bezpośrednio (bez żadnych innych urządzeń pośrednich), podłącz kabel Ethernet do portu Etherboot urządzenia. Najczęściej urządzenia RouterBOARD mogą korzystać z Netinstall z pierwszego portu (Ether1) lub z portu oznaczonego „BOOT”.
Niektóre komputery mają interfejs sieciowy (zwłaszcza adaptery USB Ethernet), który ma tendencję do tworzenia dodatkowej klapki łącza, co wystarczy, aby Netinstall nie wykrył urządzenia w trybie Etherboot. W takim przypadku możesz użyć przełącznika między urządzeniem a komputerem lub routera w trybie mostu, aby zapobiec temu problemowi.
Włącz urządzenie i przełącz je w tryb Etherboot.
Istnieje wiele sposobów przełączenia urządzenia w tryb Etherboot. Upewnij się, że przeczytałeś instrukcję Etherboot przed próbą przełączenia urządzenia w ten tryb. Metody różnią się w zależności od różnych urządzeń MikroTik.
Strefa Instalatora 79
Poczekaj, aż urządzenie pojawi się w Netinstall, wybierz je i naciśnij Przeglądaj…
↓
Jeśli urządzenie nie pojawia się w tym oknie, możesz spróbować zamknąć aplikację Netinstall i otworzyć ją ponownie lub spróbować ponownie przełączyć urządzenie w tryb Etherboot.
Strefa Instalatora 80
Przejdź do folderu Pobrane (lub gdziekolwiek zapisałeś pakiet RouterOS) i naciśnij OK
↓
Strefa Instalatora 81
Wybierz żądaną wersję RouterOS i naciśnij Instaluj
↓
Strefa Instalatora 82
Poczekaj na zakończenie instalacji i naciśnij „Uruchom ponownie” (urządzenia bez konsoli szeregowej muszą zostać ponownie uruchomione ręcznie)
MikroTik Chateau 5G to router z obsługą sieci 5G, który oferuje szybkie połączenie z Internetem z prędkością do 2,6 Gb/s. Posiada dwa porty WAN, siedem portów LAN oraz port SFP+ dla łączności optycznej. Wbudowany moduł WiFi obsługuje standardy 802.11ac i 802.11ax (WiFi 6), co pozwala na bezprzewodowe przesyłanie danych z prędkością do 2,4 Gb/s.
Router wyposażony jest w cztery anteny zewnętrzne, które umożliwiają szeroki zasięg sygnału WiFi. Dodatkowo, urządzenie posiada dwa złącza SIM, co pozwala na podłączenie dwóch kart SIM i korzystanie z dwóch różnych sieci mobilnych.
Chateau 5G oferuje wiele funkcji z zakresu zarządzania siecią, takich jak zaawansowane filtrowanie adresów IP, obsługę protokołów VPN czy QoS dla kontroli przepustowości sieci. Router działa pod kontrolą systemu operacyjnego RouterOS firmy MikroTik, który oferuje wiele zaawansowanych funkcji i jest łatwy w konfiguracji.
Po zalogowaniu się do MikroTika przy pomocy aplikacji WinBox przejdź do zakładki IP -> Firewall.
Strefa Instalatora 87
Dodaj nową regułę do Firewallu w sekcji NAT.
Strefa Instalatora 88
W zakładce General ustaw konfigurację według poniższego wzoru zastępując Dst. Port portem na który chcemy przekierować usługę.
Strefa Instalatora 89
Przejdź do zakładki Action oraz ustaw konfigurację wedłu poniższego wzoru zastępując To Addresses oraz To Ports według własnych preferencji. Gdzie To Addresses to adres lokalny urządzenia, a To ports, kórym pracuje usługa.
Strefa Instalatora 90
Większość usług wymaga przekierowania portów 1:1 w celu poprawnego działania.
