Serwer VPN SSTP dla urządzeń opartych o system operacyjny MS Windows

Wpis pokazuje jak w kilku krokach skonfigurować nasz router do przyjmowania połączeń VPN SSTP

Na początku generujemy w systemie RouterOS certyfikat, który zostanie użyty do zestawienia połączenia VPN. W poniższej komendzie trzeba spersonalizować kilka opcji. Ułatwi to nam później identyfikację certyfikatu w systemie operacyjnym oraz ustalenie, dla której organizacji wygenerowaliśmy certyfikat.

1. country=(tu podajemy symbol kraju organizacji np. PL)
2. state=(tu podajemy symbol województwa organizacji np. MA)
3. organization=(tu podajemy nazwę firmy/organizacji)
4. common-name=(zamiast 0.0.0.0 wpisujemy publiczny adres naszego rutera.
5. subject-alt-name=IP:(zamiast 0.0.0.0 wpisujemy publiczny adres naszego rutera. Zostawiając przed tym adresem IP:)

/certificate add name=cert-sstp country=kraj state=wojewodztwo organization=nazwa_firmy common-name=0.0.0.0 subject-alt-name=IP:0.0.0.0

W kolejnym kroku nic nie modyfikujemy, polecenie służy do podpisania certyfikatu.

/certificate sign [find where name=cert-sstp]

Tutaj określamy zakres adresów IP, które będą przydzielane dla klientów łączących do naszego VPN. Może być to dowolny zakres z adresacji prywatnej zdefiniowanej w dokumencie RFC 1918. Jeżeli nie masz konieczności modyfikacji możesz śmiało zostawić tak jak jest w przykładzie. Ten zakres pozwoli na jednoczesne połączenie się 99 użytkowników.

/ip pool add ranges=172.16.161.2-172.16.161.100 name=pool-sstp

Tutaj również możemy nic nie modyfikować. Jest to utworzenie profilu dla użytkowników i serwera SSTP.

/ppp profile add name=profile-sstp local-address=172.16.161.1 remote-address=pool-sstp use-encryption=yes

Ten krok zapewne zainteresuje nas bardziej niż inne. Dodaje on nowego użytkownika i przypisuje hasło do niego. Można go powtarzać tyle razy, ile użytkowników chcemy stworzyć. Zmieniając tylko name=(tutaj nazwa użytkownika), password=(tutaj hasło)

/ppp secret add name=test password=12345678 service=sstp profile=profile-sstp

Ostatni krok służy uruchomieniu samego serwera SSTP. Po jego wykonaniu na naszym routerze uruchomi się usługa VPN na porcie 443. Polecenia można nie modyfikować.

/interface sstp-server server set certificate=cert-sstp default-profile=profile-sstp enabled=yes

To tyle, jeżeli chodzi o konfigurację routera. Dalsza cześć dotyczy klienta VPN.

W pierwszej kolejności należy wyeksportować certyfikat z routera. Robimy to za pomocą poniższego polecenia.

/certificate export-certificate cert-sstp type=pem

Po uruchomieniu powyższej komendy certyfikat pojawi się w plikach zapisanych na routerze. Łączymy się za pomocą programu Winbox z naszym routerem, klikamy „Files” i kopiujemy certyfikat metodą przeciągnij i upuść np. na pulpit naszego komputera.

Następnie na skopiowanym pliku klikamy prawym klawiszem myszy i wybieramy opcję „Zainstaluj certyfikat”. W kreatorze importu certyfikatów musimy wrócić koniecznie uwagę na ustawienie dwóch opcji.

1. Lokalizacja przechowywania – Komputer lokalny
2. Umieść wszystkie certyfikaty w następującym magazynie – Zaufane główne urzędy certyfikacji.

Po zaimportowaniu certyfikatu do systemu operacyjnego można otworzyć okno z konfiguracją nowego połączenia VPN

Wypełniamy wartości wg powyższego wzoru.

1. Dostawca sieci VPN – Windows wbudowane. Czyli używamy klienta VPN wbudowanego w system operacyjny, nie korzystamy z oprogramowania zewnętrznego (chyba, że chcemy)
2. Nazwa połączenia – tutaj wpisujemy dowolną nazwę identyfikującą nasze połączenie, tak byśmy mogli je łatwo odszukać wśród innych połączeń.
3. Nazwa lub adres serwera – należy podać publiczny adres naszego Mikrotik, ten sam który był podawany w pierwszym kroku przy generowaniu certyfikatu.
4. Typ sieci VPN – wybieramy „Protokół SSTP (Secure Socket Tunneling Protocol)
5. Typ informacji logowania – wybieramy „Nazwa użytkownika i hasło”
6. Kolejne dwa kroki Nazwa użytkownika i Hasło to przepisanie danych podanych w piątym kroku konfigurowania routera: „/ppp secret add…”

Po wypełnieniu wszystkich kroków klikamy zapisz i połączenie VPN jest gotowe do ustanowienia.

Koniec 🙂

Jeżeli pomogłem to  ,a będę miał więcej energii na pisanie kolejnych ciekawych wpisów.