Использование Ipsec IKEv2 для подключения клиентских ОС

• Роман Козлов, технический директор компании, занимающейся IT-интеграцией и аутсорсингом, приветствует зрителей.  

• Рассказывает о своём опыте работы с VPN и планах обсудить IPsec.  

• Упоминает о своих обучающих вебинарах по MikroTik и телеграм-канале.  

• Подчёркивает разнообразие клиентских устройств: Windows, Mac, Linux, Android, iOS.  

• Обещает рассказать о способах отправки маршрутов пользователям и особенностях IPsec.  

• Перечисляет различные варианты: PPP, PPTP, L2TP, STP, OpenVPN, IPsec.  

• Обсуждает преимущества и недостатки каждого варианта.  

• Плюсы: не нужны административные привилегии для подключения.  

• Минусы: только одна сетка, лишние манипуляции с ARP.  

• Плюсы: мультиплатформенность, контроль подключения.  

• Минусы: двойное потребление трафика, дополнительные задержки.  

• Плюсы: возможность конфигурации EXE-файла с параметрами VPN.  

• Минусы: необходимость административных привилегий, необходимость пересобора при добавлении новых маршрутов.  

• Плюсы: не нужны административные привилегии при постоянной настройке.  

• Минусы: проблемы с обновлением маршрутов, сложности с iOS.  

• Плюсы: маршруты меняются на лету, возможность всасывания из других протоколов.  

• Минусы: не подходит для клиентов, отличных от Windows, проблемы с мобильными устройствами.  

• Плюсы: удобство, отсутствие необходимости прописывать маршруты.  

• Минусы: необходимость проектирования сети, сложности с мобильными устройствами, ограничения для сетей 192.168.x.0/24.  

• Плюсы: простота настройки, поддержка различных ОС.  

• Минусы: дополнительное ПО, проблемы с производительностью на MikroTik.  

• Плюсы: не нужны административные привилегии, аппаратное шифрование, мультиплатформенность.  

• Минусы: сложность настройки, отсутствие интерфейса в RouterOS, недоработки в пользовательских ОС.  

• В версии 6.40 появилась возможность указывать сплит инклюд для сетей, которые будут отправляться на клиента с использованием PIS.  

• Можно указать DNS и сторонние системы.  

• До версии 6.44 работа была нестабильной, но после неё всё стало более стабильным.  

• Вкладка PIR была разделена на несколько частей.  

• Теперь PIR генерирует параметры для всех адресов.  

• Упоминается первая версия PIS и стандартный режим.  

• Вкладка IP Users заменена на Identity.  

• В Identity настраиваются логин, пароль и другие параметры.  

• Полистимплейт групп генерирует параметры для подключения PIS.  

• Необходимо открыть UDP 4500 и IPsec ESP в firewall.  

• IPsec AH не шифрует данные, а проверяет их целостность.  

• Важно настроить правила для IPsec Policy в firewall.  

• Встроенная поддержка сертификатов в Windows.  

• Создание и настройка сертификатов через роутер.  

• Установка сертификатов сервера и клиента.  

• Клиент отправляет Inform-запрос DHCP серверу.  

• Сервер возвращает список роутов, указанный в Split Network.  

• Обсуждение влияния большого количества маршрутов на клиент.  

• По умолчанию iOS ищет IPsec-сервер для проверки сертификатов.  

• Решение проблемы: использование Apple Configuration Utility 2 или X-Emelka для создания мобильного конфига.  

• Отправка мобильного конфига клиентам для настройки.  

• Упоминание о сервере сертификации Common Name.  

• Необходимость корректировки настроек для корректной работы.  

• При создании сертификата сервера необходимо указать его доменное имя.  

• Также рекомендуется указать идентификатор сертификата пользователя.  

• Проблема: необходимость дополнительной настройки клиентской стороны через CLI.  

• Авторизация пользователей осуществляется через внешний RADIUS-сервер.  

• Микротиковский User Manager не поддерживает RADIUS.  

• Рекомендуется использовать Windows-сервер для авторизации.  

• В разделе «Идентификация» настраивается аутентификационный метод RADIUS.  

• Указывается сертификат сервера.  

• Настройка завершена на MikroTik.  

• На Windows-сервере включается RADIUS в настройках сетевых политик.  

• Добавляется метод проверки подлинности RADIUS MS-CHAPv2.  

• Клиенты подключаются через Active Directory.  

• На macOS не заполняются поля сертификата и сервера.  

• Необходимо вручную создавать и заполнять эти поля.  

• В некоторых версиях macOS прилетает только первый маршрут.  

• Не требуется генерировать сертификаты для клиентов.  

• Можно отслеживать время подключения и отключения пользователей.  

• Вебинар планировался на 3 апреля, но дата изменена.  

• Запись на вебинары доступна на сайте.  

• Возможность совмещения новых и старых туннелей на одном устройстве.  

• RIPE хорошо работает с L2TP и PPPoE.  

• После обновления режим с PSK ключами считается менее безопасным, чем режим с сертификатами.  

• Рекомендуется использовать сертификаты.  

• Приглашение на курсы и в социальные сети.  

• Благодарность за внимание.