# Anleitung zur VPN-Einrichtung auf MikroTik: Ein umfassender Leitfaden

> Entdecken Sie, wie Sie sichere VPN-Verbindungen auf MikroTik-Routern mit verschiedenen Protokollen wie L2TP/IPsec, OpenVPN, WireGuard und IPsec für Site-to-Site-Verbindungen implementieren.

## Einführung

Virtuelle Private Netzwerke (VPNs) sind zu unverzichtbaren Werkzeugen für Unternehmen und Einzelpersonen geworden, die ihre Internetverbindungen sichern, auf entfernte Netzwerke zugreifen und sensible Daten schützen möchten. MikroTik-Router, bekannt für ihren robusten Funktionsumfang und ihre Kosteneffizienz, bieten mehrere VPN-Implementierungsoptionen, die unterschiedliche Sicherheitsanforderungen und Anwendungsfälle abdecken.

In diesem umfassenden Leitfaden führen wir Sie durch den Prozess der Einrichtung verschiedener VPN-Lösungen auf Ihrem MikroTik-Router. Egal, ob Sie ein Netzwerkadministrator sind, der sichere Site-to-Site-Verbindungen einrichten möchte, oder eine Einzelperson, die remote auf ihr Heimnetzwerk zugreifen will – dieser Artikel liefert Ihnen das Wissen und die Schritt-für-Schritt-Anleitungen, um VPN-Dienste erfolgreich auf Ihrem MikroTik-Gerät zu implementieren. TildaVPS bietet optimierte MikroTik-Server, die perfekt für die Implementierung der in diesem Leitfaden besprochenen VPN-Lösungen geeignet sind und zuverlässige sowie sichere Verbindungen für Ihre Netzwerkanforderungen gewährleisten.

## Abschnitt 1: VPN-Typen auf MikroTik verstehen

### Verfügbare VPN-Optionen auf MikroTik

MikroTik RouterOS unterstützt mehrere VPN-Protokolle, jedes mit seinen eigenen Stärken und idealen Anwendungsfällen. Bevor Sie mit der Konfiguration beginnen, ist es wichtig zu verstehen, welches Protokoll am besten zu Ihren Bedürfnissen passt.

**OpenVPN** ist ein Open-Source-VPN-Protokoll, das ein gutes Gleichgewicht zwischen Sicherheit und Leistung bietet. Es verwendet SSL/TLS für den Schlüsselaustausch und kann sowohl über UDP als auch TCP betrieben werden. OpenVPN ist hochgradig konfigurierbar und kann die meisten Firewalls umgehen, was es zu einer vielseitigen Wahl für viele Szenarien macht.

**IPsec** (Internet Protocol Security) sorgt für sichere IP-Kommunikation, indem jedes IP-Paket authentifiziert und verschlüsselt wird. Es wird plattformübergreifend breit unterstützt und gilt als sehr sicher, was es ideal für Site-to-Site-VPN-Verbindungen zwischen Zweigstellen macht.

**L2TP/IPsec** kombiniert das Layer 2 Tunneling Protocol mit IPsec-Verschlüsselung. Dieses Protokoll wird von den meisten Betriebssystemen, einschließlich Windows, macOS, iOS und Android, nativ unterstützt, was es für Fernzugriffs-VPNs praktisch macht.

**PPTP** (Point-to-Point Tunneling Protocol) ist eines der ältesten VPN-Protokolle. Obwohl es einfach einzurichten ist und schnelle Verbindungen bietet, ist seine Sicherheit kompromittiert, sodass es nur für nicht-sensible Anwendungen geeignet ist, bei denen Bequemlichkeit wichtiger ist als Sicherheitsbedenken.

**SSTP** (Secure Socket Tunneling Protocol) verwendet SSL über TCP-Port 443, wodurch es die meisten Firewalls und Proxyserver passieren kann. Es bietet ein gutes Sicherheitsniveau, wird aber hauptsächlich auf Windows-Plattformen unterstützt.

**WireGuard** ist ein neueres Protokoll, das für seine Einfachheit, hohe Leistung und moderne Kryptographie bekannt ist. MikroTik hat Unterstützung für WireGuard in RouterOS v7 hinzugefügt, was es zu einer ausgezeichneten Option für diejenigen macht, die die neueste Firmware verwenden.

### Vorteile der VPN-Nutzung auf MikroTik

**Erhöhte Sicherheit:** VPNs verschlüsseln Ihre Daten und schützen sie vor Abhören und Man-in-the-Middle-Angriffen, insbesondere bei der Nutzung öffentlicher WLAN-Netzwerke.

**Fernzugriff:** Greifen Sie von überall auf der Welt sicher auf Ihre Heim- oder Büronetzwerkressourcen zu.

**Site-to-Site-Konnektivität:** Verbinden Sie mehrere Bürostandorte sicher über das Internet und schaffen Sie so ein einheitliches Netzwerk.

**Umgehung von Geo-Restriktionen:** Greifen Sie auf regional beschränkte Inhalte zu, indem Sie sich mit VPN-Servern an verschiedenen geografischen Standorten verbinden.

**Netzwerksegmentierung:** Erstellen Sie sichere, isolierte Netzwerksegmente für verschiedene Abteilungen oder Zwecke innerhalb Ihrer Organisation.

### Das richtige VPN-Protokoll wählen

Das beste VPN-Protokoll für Ihre MikroTik-Einrichtung hängt von Ihren spezifischen Anforderungen ab:

- Für **maximale Kompatibilität** über Geräte hinweg: L2TP/IPsec
- Für **höchste Sicherheit** in Unternehmensumgebungen: IPsec
- Für **Flexibilität und ein gutes Gleichgewicht zwischen Sicherheit und Leistung**: OpenVPN
- Für **moderne, leistungsstarke Anforderungen**: WireGuard (RouterOS v7+)
- Für **einfache Einrichtung mit Windows-Clients**: SSTP

### Mini-FAQ

### Welches VPN-Protokoll bietet die beste Leistung auf MikroTik?
WireGuard bietet im Allgemeinen die beste Leistung aufgrund seines schlanken Designs und seiner effizienten Kryptographie, gefolgt von OpenVPN mit UDP. Die Leistung kann jedoch je nach Ihrer spezifischen Hardware und den Netzwerkbedingungen variieren.

### Kann ich mehrere VPN-Protokolle gleichzeitig auf meinem MikroTik-Router ausführen?
Ja, MikroTik RouterOS ermöglicht es Ihnen, mehrere VPN-Protokolle gleichzeitig auszuführen. Dies ist nützlich, um verschiedene Client-Geräte zu unterstützen oder Fallback-Optionen bereitzustellen, falls ein Protokoll blockiert wird.

## Abschnitt 2: Voraussetzungen für die Einrichtung von VPN auf MikroTik

### Hardware- und Software-Anforderungen

Bevor Sie ein VPN auf Ihrem MikroTik-Router einrichten, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

**Hardware-Anforderungen:**
- Ein MikroTik-Router mit ausreichender Rechenleistung für die VPN-Ver-/Entschlüsselung. Für starke VPN-Nutzung sollten Modelle mit Mehrkernprozessoren wie die RB4011- oder CCR-Serie in Betracht gezogen werden.
- Ausreichend RAM (mindestens 256 MB empfohlen für mehrere VPN-Verbindungen)
- Stabile Internetverbindung mit ausreichender Bandbreite für Ihre VPN-Bedürfnisse

**Software-Anforderungen:**
- RouterOS-Version, die mit Ihrem gewählten VPN-Protokoll kompatibel ist (v6.45+ empfohlen, v7+ für WireGuard)
- Aktualisiert auf die neueste stabile Version, um sicherzustellen, dass Sicherheitspatches angewendet werden
- Gültige Lizenzstufe, die Ihr gewähltes VPN-Protokoll unterstützt (die meisten VPN-Funktionen erfordern mindestens Level 4)

**Netzwerk-Anforderungen:**
- Öffentliche IP-Adresse (statisch bevorzugt) oder ordnungsgemäß konfigurierter DDNS-Dienst
- Geeignete Portweiterleitung, falls Ihr MikroTik hinter einem anderen Router steht
- Ordnungsgemäß konfigurierte Firewall-Regeln, um VPN-Verkehr zu erlauben

### Initiale Router-Konfiguration

Bevor Sie ein VPN implementieren, stellen Sie sicher, dass Ihr MikroTik-Router eine sichere Grundkonfiguration aufweist:

1. RouterOS auf die neueste stabile Version aktualisieren
2. Standard-Admin-Passwort ändern
3. Korrekte IP-Adressierung für alle Schnittstellen konfigurieren
4. Grundlegende Firewall-Regeln zum Schutz Ihres Netzwerks einrichten
5. DNS-Einstellungen konfigurieren
6. Sicherstellen, dass NTP (Network Time Protocol) korrekt konfiguriert ist, da eine genaue Zeit für die VPN-Authentifizierung entscheidend ist

### Planung Ihrer VPN-Implementierung

Nehmen Sie sich Zeit, um Ihre VPN-Bereitstellung zu planen, indem Sie Folgendes berücksichtigen:

**VPN-Topologie:**
- Fernzugriffs-VPN (Clients verbinden sich mit Ihrem Netzwerk)
- Site-to-Site-VPN (Verbindung mehrerer Netzwerke)
- Hub-and-Spoke (zentraler Standort verbindet sich mit mehreren Zweigstellen)
- Mesh (alle Standorte verbinden sich miteinander)

**IP-Adressierungsschema:**
- Bestimmen Sie das IP-Subnetz für VPN-Clients
- Stellen Sie sicher, dass keine IP-Konflikte zwischen lokalen und entfernten Netzwerken bestehen
- Planen Sie das korrekte Routing zwischen den Netzwerken

**Authentifizierungsmethode:**
- Benutzername/Passwort
- Zertifikatbasierte Authentifizierung
- Pre-shared Keys
- Zwei-Faktor-Authentifizierung

**Sicherheitsaspekte:**
- Anforderungen an die Verschlüsselungsstärke
- Bedürfnisse der Verkehrstrennung
- Zugriffskontrollrichtlinien

### Zugriff auf Ihren MikroTik-Router

Um Ihren MikroTik-Router zu konfigurieren, müssen Sie mit einer dieser Methoden darauf zugreifen:

1. **WebFig** (Webbasierte Konfigurationsoberfläche):
   - Verbinden Sie sich über einen Webbrowser mit der IP-Adresse Ihres Routers
   - Melden Sie sich mit Ihren Anmeldeinformationen an
   - Navigieren Sie durch das Menü, um die VPN-Einstellungen zu konfigurieren

2. **WinBox** (Windows GUI-Anwendung):
   - Laden Sie WinBox von der MikroTik-Website herunter
   - Verbinden Sie sich über IP- oder MAC-Adresse mit Ihrem Router
   - Verwenden Sie die grafische Oberfläche, um Einstellungen zu konfigurieren

3. **SSH/Telnet** (Kommandozeilenschnittstelle):
   - Verbinden Sie sich mit einem SSH-Client wie PuTTY
   - Geben Sie Befehle direkt in der RouterOS CLI ein
   - Nützlich für Skripting und erweiterte Konfigurationen

4. **The Dude** (Netzwerkmanagement-Anwendung):
   - Zur Verwaltung mehrerer MikroTik-Geräte
   - Bietet eine netzwerkweite Ansicht Ihrer Infrastruktur

### Mini-FAQ

### Benötige ich eine statische IP-Adresse, um einen VPN-Server auf MikroTik einzurichten?
Obwohl eine statische IP ideal ist, können Sie dynamische DNS-Dienste (DDNS) wie no-ip.com oder dyn.com verwenden, wenn Sie eine dynamische IP haben. MikroTik unterstützt automatische DDNS-Updates durch Skripte oder den integrierten DDNS-Client.

### Welche Lizenzstufe benötige ich für die VPN-Funktionalität auf MikroTik?
Die meisten VPN-Funktionen erfordern mindestens eine Level 4 Lizenz. Grundlegendes PPTP und L2TP sind jedoch ab Level 3 verfügbar. Für erweiterte Funktionen und bessere Leistung wird Level 5 oder Level 6 empfohlen, insbesondere für Unternehmenseinsätze.

## Abschnitt 3: Einrichtung eines L2TP/IPsec VPN-Servers

L2TP/IPsec ist eines der am weitesten unterstützten VPN-Protokolle, was es zu einer ausgezeichneten Wahl für Umgebungen mit unterschiedlichen Client-Geräten macht. Lassen Sie uns den Prozess der Einrichtung eines L2TP/IPsec VPN-Servers auf Ihrem MikroTik-Router durchgehen.

### Schritt 1: IPsec-Einstellungen konfigurieren

Zuerst müssen wir den IPsec-Teil des VPNs einrichten, der die Verschlüsselung für den L2TP-Tunnel bereitstellt:

1. Öffnen Sie WinBox und verbinden Sie sich mit Ihrem MikroTik-Router
2. Navigieren Sie zu **IP → IPsec → Profiles**
3. Klicken Sie auf die Schaltfläche **+**, um ein neues Profil hinzuzufügen
4. Konfigurieren Sie die folgenden Einstellungen:
   - **Name**: L2TP-IPsec
   - **Hash Algorithms**: sha256
   - **Encryption Algorithms**: aes-256-cbc
   - **DH Group**: modp2048
   - **Proposal Check**: obey
   - **Lifetime**: 1d 00:00:00
5. Klicken Sie auf **OK**, um das Profil zu speichern

Als Nächstes erstellen Sie den IPsec-Proposal:

1. Gehen Sie zu **IP → IPsec → Proposals**
2. Klicken Sie auf die Schaltfläche **+**, um einen neuen Proposal hinzuzufügen
3. Konfigurieren Sie Folgendes:
   - **Auth Algorithms**: sha256
   - **Encr Algorithms**: aes-256-cbc
   - **PFS Group**: modp2048
4. Klicken Sie auf **OK**, um zu speichern

Richten Sie nun den IPsec-Peer ein:

1. Gehen Sie zu **IP → IPsec → Peers**
2. Klicken Sie auf die Schaltfläche **+**, um einen neuen Peer hinzuzufügen
3. Konfigurieren Sie Folgendes:
   - **Name**: L2TP-Peer
   - **Address**: 0.0.0.0/0 (um Verbindungen von jeder IP zu akzeptieren)
   - **Profile**: L2TP-IPsec (das zuvor erstellte Profil)
   - **Exchange Mode**: main
   - **Send Initial Contact**: yes
   - **Nat Traversal**: yes
   - **Pre-shared Key**: IhrStarkerGeheimerSchlüssel (verwenden Sie einen starken, einzigartigen Schlüssel)
4. Klicken Sie auf **OK**, um zu speichern

### Schritt 2: L2TP-Server konfigurieren

Richten wir nun den L2TP-Server ein:

1. Navigieren Sie im linken Menü zu **PPP**
2. Gehen Sie zum Tab **Profiles**
3. Klicken Sie auf die Schaltfläche **+**, um ein neues Profil hinzuzufügen
4. Konfigurieren Sie Folgendes:
   - **Name**: L2TP-Profile
   - **Local Address**: Geben Sie die IP-Adresse des Routers an, die für VPN verwendet werden soll (z. B. 10.0.0.1)
   - **Remote Address**: Geben Sie den IP-Pool für Clients an (z. B. 10.0.0.2-10.0.0.254)
   - **DNS Server**: Ihre bevorzugten DNS-Server
   - **Use Encryption**: yes
5. Klicken Sie auf **OK**, um das Profil zu speichern

Als Nächstes richten Sie den L2TP-Server ein:

1. Gehen Sie zum Tab **Interface**
2. Klicken Sie auf **L2TP Server**
3. Konfigurieren Sie Folgendes:
   - **Enabled**: yes
   - **Max MTU**: 1450
   - **Max MRU**: 1450
   - **Keep Alive Timeout**: 30
   - **Default Profile**: L2TP-Profile (das von uns erstellte Profil)
   - **Authentication**: mschap2, mschap1, chap (in dieser Reihenfolge für beste Kompatibilität)
   - **Use IPsec**: yes
   - **IPsec Secret**: IhrStarkerGeheimerSchlüssel (derselbe wie in der IPsec-Peer-Konfiguration)
4. Klicken Sie auf **OK**, um zu speichern

### Schritt 3: VPN-Benutzer erstellen

Erstellen Sie nun Benutzerkonten für den VPN-Zugriff:

1. Gehen Sie im linken Menü zu **PPP**
2. Klicken Sie auf den Tab **Secrets**
3. Klicken Sie auf die Schaltfläche **+**, um ein neues Secret hinzuzufügen
4. Konfigurieren Sie Folgendes:
   - **Name**: benutzername (der Login-Benutzername für den VPN-Benutzer)
   - **Password**: passwort (ein starkes Passwort für den Benutzer)
   - **Service**: l2tp
   - **Profile**: L2TP-Profile
5. Klicken Sie auf **OK**, um zu speichern
6. Wiederholen Sie dies für weitere Benutzer nach Bedarf

### Schritt 4: Firewall-Regeln konfigurieren

Um VPN-Verkehr durch Ihre Firewall zu erlauben:

1. Navigieren Sie zu **IP → Firewall → Filter Rules**
2. Fügen Sie Regeln hinzu, um L2TP- und IPsec-Verkehr zu erlauben:

   Für IPsec:
   - Fügen Sie eine Regel hinzu, um UDP-Port 500 (IKE) zu erlauben
   - Fügen Sie eine Regel hinzu, um UDP-Port 4500 (IPsec NAT-T) zu erlauben
   - Fügen Sie eine Regel hinzu, um IP-Protokoll 50 (ESP) zu erlauben
   - Fügen Sie eine Regel hinzu, um IP-Protokoll 51 (AH) zu erlauben

   Für L2TP:
   - Fügen Sie eine Regel hinzu, um UDP-Port 1701 (L2TP) zu erlauben

3. Fügen Sie nach Bedarf Regeln hinzu, um den Verkehr vom VPN-Subnetz zum Zugriff auf Ressourcen in Ihrem Netzwerk zu erlauben

### Schritt 5: Die VPN-Verbindung testen

Nach Abschluss der Konfiguration testen Sie die VPN-Verbindung von einem Client-Gerät:

1. Unter Windows:
   - Gehen Sie zu Einstellungen → Netzwerk und Internet → VPN
   - Klicken Sie auf "VPN-Verbindung hinzufügen"
   - VPN-Anbieter: Windows (integriert)
   - Verbindungsname: MikroTik L2TP
   - Servername oder -adresse: Die öffentliche IP oder DDNS Ihres MikroTik
   - VPN-Typ: L2TP/IPsec mit vorinstalliertem Schlüssel
   - Vorinstallierter Schlüssel: IhrStarkerGeheimerSchlüssel (der von Ihnen konfigurierte)
   - Benutzername und Passwort: Die Anmeldeinformationen, die Sie in den PPP-Secrets erstellt haben

2. Unter Android/iOS:
   - Gehen Sie zu Einstellungen → VPN
   - Fügen Sie eine neue VPN-Verbindung hinzu
   - Wählen Sie L2TP/IPsec
   - Geben Sie die öffentliche IP oder DDNS Ihres MikroTik ein
   - Geben Sie den vorinstallierten Schlüssel, Benutzernamen und Passwort ein

### Mini-FAQ

### Warum kann meine L2TP/IPsec VPN-Verbindung nicht aufgebaut werden?
Häufige Probleme sind ein falscher Pre-shared Key (vorinstallierter Schlüssel), eine Firewall, die VPN-Ports blockiert, NAT-Probleme oder inkompatible Verschlüsselungseinstellungen. Überprüfen Sie Ihre Router-Protokolle unter System → Logs auf spezifische Fehlermeldungen zur Fehlerbehebung.

### Wie viele gleichzeitige L2TP/IPsec VPN-Benutzer kann mein MikroTik-Router unterstützen?
Dies hängt von den Hardware-Fähigkeiten Ihres Routers ab. Einstiegsmodelle können möglicherweise 5-10 gleichzeitige Benutzer verarbeiten, während High-End-Modelle wie die CCR-Serie Dutzende oder sogar Hunderte von Verbindungen unterstützen können. Die CPU-Auslastung ist aufgrund des Verschlüsselungs-Overheads der Hauptlimitierungsfaktor.

## Abschnitt 4: Einrichtung eines OpenVPN-Servers

OpenVPN ist eine hochgradig konfigurierbare und sichere VPN-Lösung, die gut auf verschiedenen Plattformen funktioniert. Die Einrichtung auf MikroTik erfordert die Erstellung von Zertifikaten und die korrekte Konfiguration des Servers. Gehen wir den Prozess Schritt für Schritt durch.

### Schritt 1: Zertifikate erstellen

OpenVPN verwendet Zertifikate zur Authentifizierung. Wir müssen eine Zertifizierungsstelle (CA), ein Serverzertifikat und Client-Zertifikate erstellen:

1. Navigieren Sie zu **System → Certificates**
2. Erstellen Sie zuerst eine Zertifizierungsstelle (CA):
   - Klicken Sie auf die Schaltfläche **Add**
   - Setzen Sie **Name**: CA
   - Setzen Sie **Common Name**: MikroTik-CA
   - Setzen Sie **Key Size**: 2048
   - Setzen Sie **Days Valid**: 3650 (10 Jahre)
   - Aktivieren Sie **Key Usage**: crl sign, key cert sign
   - Klicken Sie auf **Apply**, dann auf **Sign**
   - Wählen Sie im neuen Dialogfeld **CA** als Zertifikat aus und klicken Sie auf **Sign**

3. Erstellen Sie ein Serverzertifikat:
   - Klicken Sie auf die Schaltfläche **Add**
   - Setzen Sie **Name**: Server
   - Setzen Sie **Common Name**: MikroTik-Server
   - Setzen Sie **Key Size**: 2048
   - Setzen Sie **Days Valid**: 3650
   - Aktivieren Sie **Key Usage**: digital signature, key encipherment, tls server
   - Klicken Sie auf **Apply**, dann auf **Sign**
   - Wählen Sie im neuen Dialogfeld **CA** als Certificate Authority aus und klicken Sie auf **Sign**

4. Erstellen Sie ein Client-Zertifikat:
   - Klicken Sie auf die Schaltfläche **Add**
   - Setzen Sie **Name**: Client1
   - Setzen Sie **Common Name**: Client1
   - Setzen Sie **Key Size**: 2048
   - Setzen Sie **Days Valid**: 3650
   - Aktivieren Sie **Key Usage**: tls client
   - Klicken Sie auf **Apply**, dann auf **Sign**
   - Wählen Sie im neuen Dialogfeld **CA** als Certificate Authority aus und klicken Sie auf **Sign**
   - Wiederholen Sie diesen Schritt für weitere Clients nach Bedarf

### Schritt 2: OpenVPN-Server konfigurieren

Richten wir nun den OpenVPN-Server ein:

1. Navigieren Sie im linken Menü zu **PPP**
2. Gehen Sie zum Tab **Profiles**
3. Klicken Sie auf die Schaltfläche **+**, um ein neues Profil hinzuzufügen
4. Konfigurieren Sie Folgendes:
   - **Name**: OVPN-Profile
   - **Local Address**: Geben Sie die IP-Adresse des Routers an, die für VPN verwendet werden soll (z. B. 10.1.0.1)
   - **Remote Address**: Geben Sie den IP-Pool für Clients an (z. B. 10.1.0.2-10.1.0.254)
   - **DNS Server**: Ihre bevorzugten DNS-Server
   - **Use Encryption**: yes
5. Klicken Sie auf **OK**, um das Profil zu speichern

Als Nächstes richten Sie den OpenVPN-Server ein:

1. Gehen Sie im linken Menü zu **PPP**
2. Klicken Sie auf den Tab **Interface**
3. Klicken Sie auf die Schaltfläche **OVPN Server**
4. Konfigurieren Sie Folgendes:
   - **Enabled**: yes
   - **Port**: 1194
   - **Mode**: ip
   - **Protocol**: tcp
   - **Netmask**: 24
   - **Max MTU**: 1500
   - **Default Profile**: OVPN-Profile
   - **Certificate**: Server (das von uns erstellte Serverzertifikat)
   - **Auth**: sha1
   - **Cipher**: aes256
   - **Require Client Certificate**: yes
5. Klicken Sie auf **OK**, um zu speichern

### Schritt 3: Firewall-Regeln konfigurieren

Um OpenVPN-Verkehr durch Ihre Firewall zu erlauben:

1. Navigieren Sie zu **IP → Firewall → Filter Rules**
2. Fügen Sie eine Regel hinzu, um OpenVPN-Verkehr zu erlauben:
   - Klicken Sie auf die Schaltfläche **+**
   - Setzen Sie **Chain**: input
   - Setzen Sie **Protocol**: tcp
   - Setzen Sie **Dst. Port**: 1194
   - Setzen Sie **Action**: accept
   - Fügen Sie einen Kommentar wie "OpenVPN erlauben" hinzu
   - Klicken Sie auf **OK**, um zu speichern

3. Fügen Sie nach Bedarf Regeln hinzu, um den Verkehr vom VPN-Subnetz zum Zugriff auf Ressourcen in Ihrem Netzwerk zu erlauben

### Schritt 4: Client-Zertifikate exportieren und Client-Konfiguration erstellen

Um Clients mit Ihrem OpenVPN-Server zu verbinden, müssen Sie die Zertifikate exportieren und eine Client-Konfigurationsdatei erstellen:

1. Exportieren Sie das CA-Zertifikat:
   - Gehen Sie zu **System → Certificates**
   - Wählen Sie das CA-Zertifikat aus
   - Klicken Sie auf **Export**
   - Wählen Sie **Export Type**: PEM
   - Klicken Sie auf **Export** und speichern Sie die Datei als `ca.crt`

2. Exportieren Sie das Client-Zertifikat und den Schlüssel:
   - Wählen Sie das Client1-Zertifikat aus
   - Klicken Sie auf **Export**
   - Wählen Sie **Export Type**: PEM
   - Klicken Sie auf **Export** und speichern Sie die Datei als `client1.crt`
   - Klicken Sie erneut auf **Export**
   - Wählen Sie **Export Type**: key
   - Geben Sie die **Export Passphrase** ein, wenn Sie den Schlüssel mit einem Passwort schützen möchten
   - Klicken Sie auf **Export** und speichern Sie die Datei als `client1.key`

3. Erstellen Sie eine Client-Konfigurationsdatei (client.ovpn) mit folgendem Inhalt:

```
client
dev tun
proto tcp
remote ihre-mikrotik-oeffentliche-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
cipher AES-256-CBC
auth SHA1
verb 3
key-direction 1

<ca>
# Fügen Sie hier den Inhalt von ca.crt ein
</ca>

<cert>
# Fügen Sie hier den Inhalt von client1.crt ein
</cert>

<key>
# Fügen Sie hier den Inhalt von client1.key ein
</key>
```

### Schritt 5: Clients mit OpenVPN verbinden

Jetzt können Sie die Client-Konfigurationsdatei verwenden, um sich mit Ihrem OpenVPN-Server zu verbinden:

1. Unter Windows:
   - Installieren Sie den OpenVPN-Client (von openvpn.net)
   - Kopieren Sie die Datei client.ovpn nach C:\Programme\OpenVPN\config\
   - Klicken Sie mit der rechten Maustaste auf das OpenVPN-GUI-Symbol im Systemtray und wählen Sie "Verbinden"

2. Unter macOS:
   - Installieren Sie Tunnelblick (von tunnelblick.net)
   - Importieren Sie die Datei client.ovpn
   - Verbinden Sie sich über das Tunnelblick-Menü

3. Unter Linux:
   - Installieren Sie den OpenVPN-Client (`sudo apt install openvpn` unter Debian/Ubuntu)
   - Führen Sie `sudo openvpn --config client.ovpn` aus

4. Unter Android/iOS:
   - Installieren Sie die OpenVPN Connect App
   - Importieren Sie die Datei client.ovpn
   - Verbinden Sie sich über die App

### Mini-FAQ

### Wie kann ich Fehler bei OpenVPN-Verbindungen beheben?
Überprüfen Sie die Protokolle sowohl auf dem Server (System → Logs) als auch auf der Client-Seite. Häufige Probleme sind Zertifikatprobleme, Firewall-Blockaden oder Routing-Probleme. Aktivieren Sie die ausführliche Protokollierung auf der Client-Seite, indem Sie "verb 5" in der Konfigurationsdatei setzen, um detailliertere Protokolle zu erhalten.

### Kann ich UDP anstelle von TCP für OpenVPN verwenden?
Ja, UDP wird oft wegen der besseren Leistung bevorzugt. Um UDP zu verwenden, ändern Sie die Protokolleinstellung sowohl in der Serverkonfiguration als auch in der Client-Konfigurationsdatei. UDP ist im Allgemeinen schneller, kann aber bei instabilen Verbindungen weniger zuverlässig sein.

## Abschnitt 5: Einrichtung von WireGuard VPN (RouterOS v7+)

WireGuard ist ein modernes VPN-Protokoll, das für seine Einfachheit, hohe Leistung und starke Sicherheit bekannt ist. Es ist in RouterOS Version 7 und neuer verfügbar. Richten wir einen WireGuard VPN-Server auf Ihrem MikroTik-Router ein.

### Schritt 1: WireGuard-Interface erstellen

Zuerst erstellen wir das WireGuard-Interface auf Ihrem MikroTik-Router:

1. Navigieren Sie im linken Menü zu **WireGuard** (oder **Interface → WireGuard** in älteren v7-Versionen)
2. Klicken Sie auf die Schaltfläche **+**, um ein neues Interface hinzuzufügen
3. Konfigurieren Sie Folgendes:
   - **Name**: wireguard1
   - **Listen Port**: 13231 (oder ein anderer Port Ihrer Wahl)
   - **MTU**: 1420
4. Klicken Sie auf **OK**, um das Interface zu erstellen
5. Notieren Sie nach der Erstellung den generierten **Public Key** - Sie benötigen diesen für die Client-Konfiguration

### Schritt 2: IP-Adresse für das WireGuard-Interface konfigurieren

Weisen Sie dem WireGuard-Interface eine IP-Adresse zu:

1. Gehen Sie zu **IP → Addresses**
2. Klicken Sie auf die Schaltfläche **+**, um eine neue Adresse hinzuzufügen
3. Konfigurieren Sie Folgendes:
   - **Address**: 10.10.10.1/24 (dies wird das VPN-Subnetz sein)
   - **Interface**: wireguard1
4. Klicken Sie auf **OK**, um zu speichern

### Schritt 3: WireGuard-Peers (Clients) hinzufügen

Für jeden Client, der sich mit Ihrem WireGuard-VPN verbinden soll:

1. Generieren Sie zuerst ein Schlüsselpaar auf dem Client-Gerät (wir zeigen in Schritt 5, wie das geht)
2. Gehen Sie in Ihrem MikroTik-Router im linken Menü zu **WireGuard**
3. Klicken Sie auf den Tab **Peers**
4. Klicken Sie auf die Schaltfläche **+**, um einen neuen Peer hinzuzufügen
5. Konfigurieren Sie Folgendes:
   - **Interface**: wireguard1
   - **Public Key**: (fügen Sie hier den öffentlichen Schlüssel des Clients ein)
   - **Allowed Address**: 10.10.10.2/32 (die IP-Adresse, die Sie diesem Client zuweisen möchten)
   - **Persistent Keepalive**: 25 (hilft bei der NAT-Traversal)
6. Klicken Sie auf **OK**, um zu speichern
7. Wiederholen Sie dies für weitere Clients und erhöhen Sie die IP-Adresse (10.10.10.3/32 usw.)

### Schritt 4: Firewall-Regeln konfigurieren

Um WireGuard-Verkehr durch Ihre Firewall zu erlauben:

1. Navigieren Sie zu **IP → Firewall → Filter Rules**
2. Fügen Sie eine Regel hinzu, um WireGuard-Verkehr zu erlauben:
   - Klicken Sie auf die Schaltfläche **+**
   - Setzen Sie **Chain**: input
   - Setzen Sie **Protocol**: udp
   - Setzen Sie **Dst. Port**: 13231 (der Port, den Sie für WireGuard konfiguriert haben)
   - Setzen Sie **Action**: accept
   - Fügen Sie einen Kommentar wie "WireGuard erlauben" hinzu
   - Klicken Sie auf **OK**, um zu speichern

3. Fügen Sie nach Bedarf Regeln hinzu, um den Verkehr vom WireGuard-Subnetz zum Zugriff auf Ressourcen in Ihrem Netzwerk zu erlauben
4. Optional: Fügen Sie eine Masquerade-Regel hinzu, damit VPN-Clients über das VPN auf das Internet zugreifen können:
   - Gehen Sie zu **IP → Firewall → NAT**
   - Klicken Sie auf die Schaltfläche **+**
   - Setzen Sie **Chain**: srcnat
   - Setzen Sie **Src. Address**: 10.10.10.0/24
   - Setzen Sie **Action**: masquerade
   - Fügen Sie einen Kommentar wie "WireGuard-Clients maskieren" hinzu
   - Klicken Sie auf **OK**, um zu speichern

### Schritt 5: WireGuard-Clients konfigurieren

Richten wir nun einen Client ein, um sich mit Ihrem WireGuard-VPN zu verbinden:

**Für Windows:**
1. Laden Sie WireGuard von wireguard.com herunter und installieren Sie es
2. Öffnen Sie die WireGuard-Anwendung
3. Klicken Sie auf "Add Empty Tunnel..."
4. Generieren Sie ein neues Schlüsselpaar (dies geschieht automatisch)
5. Konfigurieren Sie den Client mit der folgenden Vorlage:

```
[Interface]
PrivateKey = (privater Schlüssel des Clients)
Address = 10.10.10.2/24
DNS = 8.8.8.8, 8.8.4.4

[Peer]
PublicKey = (öffentlicher Schlüssel Ihres MikroTik WireGuard-Interfaces)
AllowedIPs = 0.0.0.0/0
Endpoint = ihre-mikrotik-oeffentliche-ip:13231
PersistentKeepalive = 25
```

6. Klicken Sie auf "Save" und dann auf "Activate", um sich zu verbinden

**Für Android/iOS:**
1. Installieren Sie die WireGuard-App aus dem App Store
2. Tippen Sie auf die Schaltfläche + und wählen Sie "Von Grund auf neu erstellen"
3. Geben Sie einen Namen für das VPN ein
4. Konfigurieren Sie mit der gleichen Vorlage wie oben
5. Tippen Sie auf "Speichern" und dann auf den Schalter, um sich zu verbinden

**Für Linux:**
1. Installieren Sie WireGuard (`sudo apt install wireguard` unter Debian/Ubuntu)
2. Generieren Sie Schlüssel: `wg genkey | tee privatekey | wg pubkey > publickey`
3. Erstellen Sie eine Konfigurationsdatei unter `/etc/wireguard/wg0.conf` mit der obigen Vorlage
4. Verbinden Sie sich mit `sudo wg-quick up wg0`

### Schritt 6: Die Verbindung testen

Nach der Einrichtung von Server und Client:

1. Aktivieren Sie die WireGuard-Verbindung auf Ihrem Client-Gerät
2. Überprüfen Sie die Konnektivität, indem Sie die IP des WireGuard-Interfaces auf Ihrem MikroTik (10.10.10.1) anpingen
3. Versuchen Sie, auf andere Ressourcen in Ihrem Netzwerk zuzugreifen
4. Überprüfen Sie den WireGuard-Status auf Ihrem MikroTik, indem Sie zu **WireGuard** gehen und den Tab **Peers** betrachten

### Mini-FAQ

### Ist WireGuard sicherer als OpenVPN oder IPsec?
WireGuard verwendet moderne Kryptographie mit einer viel kleineren Codebasis als OpenVPN oder IPsec, was potenziell weniger Sicherheitslücken bedeutet. Alle drei Protokolle gelten jedoch bei korrekter Konfiguration als sicher. Die Hauptvorteile von WireGuard sind seine Einfachheit und Leistung.

### Wie viele WireGuard-Peers kann mein MikroTik-Router unterstützen?
Dies hängt von den Hardware-Fähigkeiten Ihres Routers ab. WireGuard ist sehr effizient, sodass selbst Einstiegsmodelle von MikroTik-Routern Dutzende von Peers verarbeiten können. High-End-Modelle können Hunderte von Verbindungen mit minimalen Leistungseinbußen unterstützen.

## Abschnitt 6: Einrichtung eines Site-to-Site VPN mit IPsec

IPsec ist eine ausgezeichnete Wahl für die Einrichtung sicherer Site-to-Site-VPN-Verbindungen zwischen Zweigstellen oder zwischen Ihrem Hauptbüro und einer Cloud-Umgebung. In diesem Abschnitt konfigurieren wir ein Site-to-Site-VPN zwischen zwei MikroTik-Routern mittels IPsec.

### Schritt 1: Planen Sie Ihre Netzwerktopologie

Bevor Sie IPsec konfigurieren, planen Sie Ihre Netzwerktopologie:

**Standort A (Hauptstandort):**
- Öffentliche IP: 203.0.113.1 (ersetzen Sie dies durch Ihre tatsächliche öffentliche IP)
- Lokales Netzwerk: 192.168.1.0/24
- MikroTik Router: 192.168.1.1

**Standort B (Zweigstelle):**
- Öffentliche IP: 203.0.113.2 (ersetzen Sie dies durch Ihre tatsächliche öffentliche IP)
- Lokales Netzwerk: 192.168.2.0/24
- MikroTik Router: 192.168.2.1

### Schritt 2: IPsec an Standort A konfigurieren (Hauptstandort)

1. **IPsec-Profil erstellen:**
   - Navigieren Sie zu **IP → IPsec → Profiles**
   - Klicken Sie auf die Schaltfläche **+**, um ein neues Profil hinzuzufügen
   - Konfigurieren Sie Folgendes:
     - **Name**: site-to-site
     - **Hash Algorithms**: sha256
     - **Encryption Algorithms**: aes-256-cbc
     - **DH Group**: modp2048
   - Klicken Sie auf **OK**, um zu speichern

2. **IPsec-Proposal erstellen:**
   - Gehen Sie zu **IP → IPsec → Proposals**
   - Klicken Sie auf die Schaltfläche **+**, um einen neuen Proposal hinzuzufügen
   - Konfigurieren Sie Folgendes:
     - **Name**: site-to-site-proposal
     - **Auth Algorithms**: sha256
     - **Encr Algorithms**: aes-256-cbc
     - **PFS Group**: modp2048
   - Klicken Sie auf **OK**, um zu speichern

3. **IPsec-Peer erstellen:**
   - Gehen Sie zu **IP → IPsec → Peers**
   - Klicken Sie auf die Schaltfläche **+**, um einen neuen Peer hinzuzufügen
   - Konfigurieren Sie Folgendes:
     - **Name**: site-b-peer
     - **Address**: 203.0.113.2 (Öffentliche IP von Standort B)
     - **Profile**: site-to-site
     - **Exchange Mode**: main
     - **Send Initial Contact**: yes
     - **Nat Traversal**: yes
     - **Pre-shared Key**: IhrStarkerGeheimerSchlüssel (verwenden Sie einen starken, einzigartigen Schlüssel)
   - Klicken Sie auf **OK**, um zu speichern

4. **IPsec-Policy erstellen:**
   - Gehen Sie zu **IP → IPsec → Policies**
   - Klicken Sie auf die Schaltfläche **+**, um eine neue Policy hinzuzufügen
   - Konfigurieren Sie Folgendes:
     - **Src. Address**: 192.168.1.0/24 (Lokales Netzwerk von Standort A)
     - **Dst. Address**: 192.168.2.0/24 (Lokales Netzwerk von Standort B)
     - **Protocol**: all
     - **Action**: encrypt
     - **Level**: require
     - **IPsec Protocols**: esp
     - **Tunnel**: yes
     - **SA Src. Address**: 203.0.113.1 (Öffentliche IP von Standort A)
     - **SA Dst. Address**: 203.0.113.2 (Öffentliche IP von Standort B)
     - **Proposal**: site-to-site-proposal
   - Klicken Sie auf **OK**, um zu speichern

### Schritt 3: IPsec an Standort B konfigurieren (Zweigstelle)

Wiederholen Sie die gleichen Schritte auf dem MikroTik-Router von Standort B, jedoch mit umgekehrten Quell- und Zieladressen:

1. **IPsec-Profil erstellen** (wie bei Standort A)

2. **IPsec-Proposal erstellen** (wie bei Standort A)

3. **IPsec-Peer erstellen:**
   - Konfigurieren Sie mit der öffentlichen IP von Standort A (203.0.113.1)
   - Verwenden Sie denselben Pre-shared Key wie bei Standort A

4. **IPsec-Policy erstellen:**
   - **Src. Address**: 192.168.2.0/24 (Lokales Netzwerk von Standort B)
   - **Dst. Address**: 192.168.1.0/24 (Lokales Netzwerk von Standort A)
   - **SA Src. Address**: 203.0.113.2 (Öffentliche IP von Standort B)
   - **SA Dst. Address**: 203.0.113.1 (Öffentliche IP von Standort A)
   - Andere Einstellungen wie bei Standort A

### Schritt 4: Firewall-Regeln an beiden Standorten konfigurieren

Fügen Sie auf beiden MikroTik-Routern Firewall-Regeln hinzu, um IPsec-Verkehr zu erlauben:

1. Navigieren Sie zu **IP → Firewall → Filter Rules**
2. Fügen Sie Regeln hinzu, um IPsec-Verkehr zu erlauben:
   - Fügen Sie eine Regel hinzu, um UDP-Port 500 (IKE) zu erlauben
   - Fügen Sie eine Regel hinzu, um UDP-Port 4500 (IPsec NAT-T) zu erlauben
   - Fügen Sie eine Regel hinzu, um IP-Protokoll 50 (ESP) zu erlauben
   - Fügen Sie eine Regel hinzu, um IP-Protokoll 51 (AH) zu erlauben

3. Stellen Sie sicher, dass der Verkehr zwischen den lokalen Netzwerken in Ihren Firewall-Regeln erlaubt ist

### Schritt 5: Routing konfigurieren (falls erforderlich)

Wenn Sie komplexere Netzwerke mit mehreren Subnetzen an einem der Standorte haben, müssen Sie möglicherweise statische Routen hinzufügen:

1. Navigieren Sie zu **IP → Routes**
2. Klicken Sie auf die Schaltfläche **+**, um eine neue Route hinzuzufügen
3. Konfigurieren Sie die Route zum entfernten Netzwerk über den IPsec-Tunnel
4. Wiederholen Sie dies für alle zusätzlichen Subnetze, die über den Tunnel kommunizieren müssen

### Schritt 6: Die Verbindung testen

Nach Abschluss der Konfiguration an beiden Standorten:

1. Überprüfen Sie den IPsec-Status, indem Sie zu **IP → IPsec → Active Peers** gehen
   - Sie sollten eine etablierte Verbindung zwischen den beiden Standorten sehen

2. Testen Sie die Konnektivität, indem Sie Geräte über den Tunnel anpingen:
   - Pingen Sie von einem Gerät im Netzwerk von Standort A ein Gerät im Netzwerk von Standort B an
   - Pingen Sie von einem Gerät im Netzwerk von Standort B ein Gerät im Netzwerk von Standort A an

3. Wenn die Pings erfolgreich sind, versuchen Sie, auf andere Dienste über den Tunnel zuzugreifen

### Schritt 7: Überwachen und Fehlerbehebung

Um Ihren IPsec-Tunnel zu überwachen und Fehler zu beheben:

1. Überprüfen Sie die IPsec-Statistiken:
   - Gehen Sie zu **IP → IPsec → Statistics**
   - Suchen Sie nach aktiven Security Associations (SAs)

2. Zeigen Sie Protokolle für IPsec-bezogene Meldungen an:
   - Gehen Sie zu **System → Logs**
   - Filtern Sie nach IPsec-bezogenen Einträgen

3. Verwenden Sie das Ping-Tool mit Routing-Optionen, um den Tunnel zu testen:
   - Gehen Sie zu **Tools → Ping**
   - Geben Sie die IP eines Geräts am entfernten Standort ein
   - Setzen Sie die **Src. Address** auf Ihre lokale Interface-IP

### Mini-FAQ

### Was soll ich tun, wenn der IPsec-Tunnel nicht aufgebaut wird?
Überprüfen Sie die Firewall-Regeln auf beiden Seiten, um sicherzustellen, dass IPsec-Verkehr erlaubt ist. Stellen Sie sicher, dass die Pre-shared Keys exakt übereinstimmen. Prüfen Sie auf NAT-Probleme, falls einer der Router hinter einem anderen NAT-Gerät steht. Überprüfen Sie die Protokolle auf spezifische Fehlermeldungen.

### Wie kann ich überprüfen, ob der Datenverkehr tatsächlich durch den IPsec-Tunnel läuft?
Verwenden Sie die Seite **IP → IPsec → Statistics**, um zu sehen, ob Pakete ver- und entschlüsselt werden. Sie können auch das **Torch**-Tool (Tools → Torch) verwenden, um den Verkehr auf Ihren Schnittstellen zu überwachen und zu sehen, ob Pakete durch das IPsec-Interface fließen.

## Abschnitt 7: Erweiterte VPN-Konfigurationen und Best Practices

Nachdem wir die grundlegenden VPN-Setups behandelt haben, wollen wir uns nun einige erweiterte Konfigurationen und Best Practices ansehen, um die Sicherheit, Leistung und Verwaltbarkeit Ihrer MikroTik VPN-Bereitstellungen zu verbessern.

### Implementierung von Split-Tunneling

Split-Tunneling ermöglicht es VPN-Clients, sowohl auf das entfernte Netzwerk als auch direkt auf das Internet zuzugreifen, was die Leistung für ins Internet gerichteten Datenverkehr verbessert:

1. Für OpenVPN:
   - Ändern Sie in der Client-Konfigurationsdatei die Direktive `redirect-gateway` oder verwenden Sie spezifische `route`-Anweisungen
   - Beispiel: `route 192.168.1.0 255.255.255.0` (leitet nur Verkehr zum Netzwerk 192.168.1.0/24 durch das VPN)

2. Für WireGuard:
   - Ändern Sie in der Client-Konfiguration die Einstellung `AllowedIPs`
   - Anstelle von `0.0.0.0/0` (was den gesamten Verkehr leitet), verwenden Sie spezifische Netzwerke:
   - Beispiel: `AllowedIPs = 10.10.10.0/24, 192.168.1.0/24`

3. Für L2TP/IPsec:
   - Bearbeiten Sie auf Windows-Clients die Eigenschaften der VPN-Verbindung
   - Gehen Sie zu Netzwerk → IPv4 → Eigenschaften → Erweitert
   - Deaktivieren Sie "Standardgateway für das Remotenetzwerk verwenden"

### Implementierung der Zwei-Faktor-Authentifizierung (2FA)

Erhöhen Sie die Sicherheit mit Zwei-Faktor-Authentifizierung:

1. **RADIUS-Authentifizierung:**
   - Richten Sie einen RADIUS-Server ein (Sie können das User Manager-Paket von MikroTik verwenden)
   - Konfigurieren Sie Ihren VPN-Server zur Verwendung von RADIUS:
     - Gehen Sie im linken Menü zu **Radius**
     - Fügen Sie einen neuen RADIUS-Client für Ihren VPN-Dienst hinzu
     - Aktivieren Sie in Ihren VPN-Servereinstellungen die RADIUS-Authentifizierung

2. **Zertifikat + Passwort-Authentifizierung:**
   - Fordern Sie für OpenVPN sowohl ein Zertifikat als auch Benutzername/Passwort an:
     - Setzen Sie in der Serverkonfiguration das Skript `auth-user-pass-verify`
     - Stellen Sie sicher, dass `client-cert-not-required` NICHT gesetzt ist

3. **Zeitbasierte Einmalpasswörter (TOTP):**
   - Installieren Sie das TOTP-Paket auf Ihrem MikroTik
   - Konfigurieren Sie Benutzer mit TOTP-Secrets
   - Richten Sie Ihre Authentifizierung so ein, dass TOTP-Codes erforderlich sind

### Optimierung der VPN-Leistung

Verbessern Sie die VPN-Leistung mit diesen Anpassungen:

1. **MTU-Einstellungen anpassen:**
   - Finden Sie die optimale MTU für Ihre Verbindung mit Ping-Tests mit dem "Don't Fragment"-Flag
   - Stellen Sie die passende MTU auf Ihrer VPN-Schnittstelle ein
   - Für OpenVPN sind typische Werte 1400-1450
   - Für WireGuard ist 1420 oft optimal

2. **Hardware-Beschleunigung aktivieren:**
   - Wenn Ihr MikroTik-Modell Hardware-Verschlüsselung unterstützt:
     - Gehen Sie zu **System → Resources**
     - Prüfen Sie, ob Hardware-Verschlüsselung verfügbar und aktiviert ist
     - Für IPsec gehen Sie zu **IP → IPsec → Settings** und aktivieren Sie die Hardware-Beschleunigung

3. **Effiziente Protokolle wählen:**
   - Verwenden Sie UDP anstelle von TCP für OpenVPN, wenn möglich
   - Erwägen Sie WireGuard für bessere Leistung auf RouterOS v7+
   - Verwenden Sie moderne Verschlüsselungsalgorithmen, die Hardware-Beschleunigungsunterstützung haben

### Implementierung von Failover und Load Balancing

Implementieren Sie für geschäftskritische VPN-Verbindungen Failover oder Load Balancing:

1. **Dual WAN Failover:**
   - Konfigurieren Sie mehrere WAN-Verbindungen auf Ihrem MikroTik
   - Richten Sie Failover-Routing mit Routing-Markierungen und Policy-Based Routing ein
   - Konfigurieren Sie Ihr VPN so, dass es sich automatisch wieder verbindet, wenn die primäre Verbindung ausfällt

2. **Site-to-Site VPN Redundanz:**
   - Richten Sie mehrere Tunnel zwischen Standorten über verschiedene WAN-Verbindungen ein
   - Verwenden Sie Routing-Metriken, um den primären Tunnel zu priorisieren
   - Konfigurieren Sie dynamische Routing-Protokolle (OSPF oder BGP) über die VPN-Tunnel für automatisches Failover

3. **Load Balancing:**
   - Verteilen Sie bei mehreren Fernzugriffsbenutzern diese auf mehrere VPN-Server
   - Verwenden Sie DNS Round-Robin oder einen Load Balancer, um Verbindungsanfragen zu verteilen

### Überwachung und Protokollierung von VPN-Verbindungen

Richten Sie eine umfassende Überwachung für Ihre VPN-Dienste ein:

1. **Detaillierte Protokollierung konfigurieren:**
   - Gehen Sie zu **System → Logging**
   - Fügen Sie eine neue Protokollierungsaktion für VPN-bezogene Ereignisse hinzu
   - Legen Sie die entsprechenden Themen fest (z. B. ppp, ipsec, ovpn)

2. **SNMP-Überwachung einrichten:**
   - Gehen Sie zu **IP → SNMP**
   - Aktivieren Sie den SNMP-Dienst
   - Konfigurieren Sie Community-Strings und Zugriffslisten
   - Verwenden Sie ein SNMP-Überwachungstool, um VPN-Verbindungen und Leistung zu verfolgen

3. **Skripte zur Verbindungsverfolgung erstellen:**
   - Verwenden Sie RouterOS-Skripting, um VPN-Verbindungen zu verfolgen
   - Richten Sie E-Mail-Benachrichtigungen für fehlgeschlagene Verbindungsversuche oder Tunnel-Ausfallereignisse ein
   - Beispielskript zur Überwachung des IPsec-Tunnelstatus und zum Senden von Warnungen

```routeros
/system script
add name="monitor-ipsec" source={
    :if ([/ip ipsec policy find where dst-address="192.168.2.0/24" and invalid=yes] != "") do={
        /tool e-mail send to="admin@example.com" subject="IPsec Tunnel Down" body="Der IPsec-Tunnel zur Zweigstelle ist ausgefallen."
    }
}

/system scheduler
add interval=5m name="check-ipsec" on-event=monitor-ipsec start-time=startup
```

### Mini-FAQ

### Wie kann ich die Fernverwaltung meines MikroTik-Routers über VPN sicher erlauben?
Erstellen Sie ein separates VPN-Profil speziell für den Verwaltungszugriff mit strengeren Sicherheitseinstellungen. Verwenden Sie Firewall-Regeln, um den Verwaltungszugriff (Winbox, SSH, WebFig) nur aus dem VPN-Subnetz zuzulassen. Erwägen Sie die Implementierung von IP-basierten Zugriffslisten und Zwei-Faktor-Authentifizierung für zusätzliche Sicherheit.

### Was ist der beste Weg, um mit dynamischen IP-Adressen für Site-to-Site-VPNs umzugehen?
Verwenden Sie dynamische DNS-Dienste (DDNS), um sich ändernde IP-Adressen zu verfolgen. Konfigurieren Sie Ihr IPsec oder OpenVPN so, dass Hostnamen anstelle von IP-Adressen verwendet werden. Für IPsec benötigen Sie möglicherweise ein Skript, um Peer-Adressen zu aktualisieren, wenn sie sich ändern. Alternativ können Sie die "mode-config"-Funktion von RouterOS für IPsec verwenden, um die dynamische Adressierung zu handhaben.

## Fazit

Die Einrichtung eines VPN auf Ihrem MikroTik-Router bietet sicheren Fernzugriff auf Ihre Netzwerkressourcen und ermöglicht eine sichere Site-to-Site-Konnektivität zwischen mehreren Standorten. In diesem umfassenden Leitfaden haben wir verschiedene VPN-Implementierungsoptionen behandelt, vom weitgehend kompatiblen L2TP/IPsec bis zum modernen und effizienten WireGuard-Protokoll.

Wir haben den schrittweisen Prozess der Konfiguration jedes VPN-Typs durchlaufen, einschließlich der erforderlichen Zertifikate, Verschlüsselungseinstellungen, Firewall-Regeln und Client-Konfigurationen. Wir haben auch erweiterte Konfigurationen wie Split-Tunneling, Zwei-Faktor-Authentifizierung und Techniken zur Leistungsoptimierung untersucht, um Ihnen beim Aufbau einer robusten und sicheren VPN-Infrastruktur zu helfen.

MikroTik-Router bieten außergewöhnliche Flexibilität und leistungsstarke VPN-Funktionen zu einem Bruchteil der Kosten vieler Unternehmenslösungen. Indem Sie den Anweisungen in diesem Leitfaden folgen, können Sie diese Fähigkeiten nutzen, um sichere Verbindungen zu erstellen, die Ihre Daten schützen und einen nahtlosen Fernzugriff auf Ihre Netzwerkressourcen ermöglichen.

Denken Sie daran, dass Sicherheit ein kontinuierlicher Prozess ist, keine einmalige Einrichtung. Aktualisieren Sie regelmäßig Ihre RouterOS-Firmware, überprüfen Sie Ihre VPN-Konfigurationen, überwachen Sie Protokolle auf ungewöhnliche Aktivitäten und passen Sie Ihre Sicherheitseinstellungen nach Bedarf an, um eine starke Sicherheitsposition aufrechtzuerhalten.

Für spezielle VPN-Lösungen, die auf Ihre spezifischen Bedürfnisse zugeschnitten sind, ziehen Sie die MikroTik-Serverangebote von TildaVPS in Betracht, die optimierte Hardware und vorkonfigurierte Umgebungen für den Betrieb robuster VPN-Dienste mit minimaler Einrichtungszeit bieten.

## Häufig gestellte Fragen (FAQ)

### Welches VPN-Protokoll sollte ich für meinen MikroTik-Router wählen?
Das beste Protokoll hängt von Ihren spezifischen Bedürfnissen ab. L2TP/IPsec bietet breite Kompatibilität mit den meisten Geräten. OpenVPN bietet ein gutes Gleichgewicht zwischen Sicherheit und Flexibilität. WireGuard (verfügbar in RouterOS v7+) bietet die beste Leistung und Einfachheit. Für Site-to-Site-Verbindungen zwischen Zweigstellen ist IPsec aufgrund seiner robusten Sicherheit und der weit verbreiteten Akzeptanz in Unternehmen typischerweise die bevorzugte Wahl.

### Wie behebe ich Probleme mit der VPN-Verbindung auf MikroTik?
Beginnen Sie mit der Überprüfung der Protokolle (System → Logs) auf spezifische Fehlermeldungen. Stellen Sie sicher, dass Ihre Firewall-Regeln den VPN-Verkehr auf den entsprechenden Ports zulassen. Bei zertifikatbasierten VPNs wie OpenVPN stellen Sie sicher, dass die Zertifikate korrekt signiert und nicht abgelaufen sind. Testen Sie die Konnektivität mit Ping und Traceroute, um festzustellen, wo die Verbindung fehlschlägt. Überprüfen Sie bei IPsec, ob die Security Associations (SAs) etabliert sind, indem Sie unter IP → IPsec → Active Peers nachsehen.

### Kann ich mehrere VPN-Server auf demselben MikroTik-Router betreiben?
Ja, Sie können mehrere VPN-Protokolle gleichzeitig auf einem einzigen MikroTik-Router ausführen. Sie können beispielsweise L2TP/IPsec für mobile Clients, OpenVPN für Remote-Mitarbeiter und IPsec für Site-to-Site-Verbindungen haben. Stellen Sie einfach sicher, dass jeder Dienst einen anderen Port verwendet und über entsprechende Firewall-Regeln verfügt. Berücksichtigen Sie die Hardware-Fähigkeiten Ihres Routers, da der Betrieb mehrerer VPN-Dienste mit vielen Clients CPU-intensiv sein kann.

### Wie kann ich die VPN-Sicherheit auf meinem MikroTik-Router verbessern?
Verbessern Sie die VPN-Sicherheit durch die Verwendung starker Verschlüsselungsalgorithmen (AES-256), die Implementierung von Zwei-Faktor-Authentifizierung, die regelmäßige Rotation von Pre-shared Keys und Passwörtern, die Verwendung von zertifikatbasierter Authentifizierung, wo möglich, die Implementierung strenger Firewall-Regeln zur Begrenzung des Zugriffs nur auf notwendige Ressourcen und die Aktualisierung Ihres RouterOS auf die neueste stabile Version, um Sicherheitslücken zu schließen.

### Wie viele gleichzeitige VPN-Benutzer kann mein MikroTik-Router unterstützen?
Dies hängt von den Hardware-Spezifikationen Ihres Routers ab, insbesondere von der CPU-Leistung und dem verfügbaren RAM. Einstiegsmodelle wie die hAP-Serie können möglicherweise 5-10 gleichzeitige Benutzer verarbeiten, Mittelklassemodelle wie der RB4011 können 20-30 Benutzer unterstützen, während High-End-Modelle wie die CCR-Serie 50+ gleichzeitige Verbindungen bewältigen können. WireGuard ist tendenziell effizienter als OpenVPN oder IPsec und ermöglicht mehr gleichzeitige Verbindungen bei gleicher Hardware.

### Kann ich von mobilen Geräten auf mein MikroTik-VPN zugreifen?
Ja, alle in diesem Leitfaden besprochenen VPN-Protokolle können von mobilen Geräten verwendet werden. L2TP/IPsec und IKEv2 werden von iOS und Android nativ unterstützt. Für OpenVPN können Sie die offizielle OpenVPN Connect App verwenden. WireGuard hat ausgezeichnete mobile Apps für beide Plattformen. Bei der Einrichtung von VPN für mobile Geräte sollten Sie die Implementierung von Split-Tunneling in Betracht ziehen, um die Akkulaufzeit und die Datennutzung zu optimieren.

### Wie richte ich einen VPN-Server auf MikroTik ein, der in Ländern mit Internetbeschränkungen funktioniert?
In restriktiven Umgebungen werden Standard-VPN-Ports oft blockiert. Konfigurieren Sie Ihr VPN so, dass es gängige Ports wie 443 (HTTPS) oder 53 (DNS) verwendet, die selten blockiert werden. Verwenden Sie für OpenVPN TCP anstelle von UDP, da es schwerer zu erkennen ist. Erwägen Sie die Implementierung von Verschleierungstechniken wie stunnel oder obfsproxy, um den VPN-Verkehr zu tarnen. WireGuard kann so konfiguriert werden, dass es auf jedem Port läuft, was es flexibel für die Umgehung von Beschränkungen macht.

### Was ist der Unterschied zwischen einem Fernzugriffs-VPN und einem Site-to-Site-VPN?
Ein Fernzugriffs-VPN (Remote Access VPN) verbindet einzelne Benutzer mit einem Netzwerk und ermöglicht ihnen den Zugriff auf Ressourcen, als wären sie physisch an diesem Standort anwesend. Dies ist ideal für Remote-Mitarbeiter oder den Zugriff auf Ihr Heimnetzwerk während der Reise. Ein Site-to-Site-VPN verbindet ganze Netzwerke miteinander, sodass alle Geräte an jedem Standort miteinander kommunizieren können. Dies wird typischerweise verwendet, um Zweigstellen mit der Zentrale oder mit Cloud-Umgebungen zu verbinden.

### Wie kann ich überwachen, wer mit meinem MikroTik-VPN verbunden ist?
Für Echtzeitüberwachung überprüfen Sie die aktiven Verbindungen im jeweiligen VPN-Abschnitt (PPP → Active Connections für L2TP und PPTP, IP → IPsec → Active Peers für IPsec, Interface → WireGuard → Peers für WireGuard). Für historische Daten konfigurieren Sie die Protokollierung (System → Logging), um Verbindungsereignisse aufzuzeichnen. Sie können auch SNMP-Überwachungstools verwenden oder benutzerdefinierte Skripte einrichten, um Verbindungen zu verfolgen und Berichte zu erstellen.

### Ist es möglich, den VPN-Zugriff auf bestimmte Zeiten oder Tage zu beschränken?
Ja, Sie können zeitbasierte Einschränkungen mithilfe von Scheduler-Skripten oder Firewall-Regeln implementieren. Erstellen Sie zeitbasierte Firewall-Regeln, die VPN-Verkehr nur zu bestimmten Zeiten zulassen. Alternativ können Sie Benutzerprofile mit Zeitbeschränkungen verwenden oder benutzerdefinierte Skripte schreiben, die VPN-Dienste nach einem Zeitplan aktivieren/deaktivieren. Dies ist nützlich, um Geschäftszeiten durchzusetzen oder Wartungsfenster zu implementieren.

## Wichtige Erkenntnisse (Key Takeaways)

* MikroTik-Router unterstützen mehrere VPN-Protokolle, darunter L2TP/IPsec, OpenVPN, WireGuard und IPsec, was Ihnen die Flexibilität gibt, die beste Lösung für Ihre spezifischen Bedürfnisse zu wählen.

* WireGuard (verfügbar in RouterOS v7+) bietet die beste Leistung und Einfachheit, während IPsec robuste Sicherheit für Site-to-Site-Verbindungen bietet und L2TP/IPsec die breiteste Gerätekompatibilität aufweist.

* Eine korrekte Firewall-Konfiguration ist für die VPN-Sicherheit unerlässlich – erstellen Sie immer spezifische Regeln, um nur den notwendigen VPN-Verkehr zuzulassen, und implementieren Sie geeignete Zugriffskontrollen für Ihre Netzwerkressourcen.

* Erweiterte Funktionen wie Split-Tunneling, Zwei-Faktor-Authentifizierung und redundante Verbindungen können die Sicherheit und Benutzerfreundlichkeit Ihrer VPN-Implementierung erheblich verbessern.

* Regelmäßige Überwachung, Protokollierung und Wartung Ihres VPN-Setups sind entscheidend für die Aufrechterhaltung der Sicherheit und die Gewährleistung einer zuverlässigen Leistung im Laufe der Zeit.

## Glossar

**IPsec (Internet Protocol Security)**: Eine Protokollsuite, die IP-Pakete authentifiziert und verschlüsselt, um eine sichere verschlüsselte Kommunikation zwischen Netzwerkgeräten bereitzustellen.

**L2TP (Layer 2 Tunneling Protocol)**: Ein Tunneling-Protokoll zur Unterstützung von VPNs, oft kombiniert mit IPsec zur Verschlüsselung.

**OpenVPN**: Ein Open-Source-VPN-Protokoll, das SSL/TLS für den Schlüsselaustausch verwendet und sowohl über UDP als auch TCP betrieben werden kann.

**WireGuard**: Ein modernes, schnelleres und einfacheres VPN-Protokoll, das auf Leistung und einfache Implementierung ausgerichtet ist.

**Split-Tunneling**: Eine VPN-Funktion, die es einem Benutzer ermöglicht, über dieselbe physische Netzwerkverbindung gleichzeitig auf verschiedene Netzwerke (öffentlich und privat) zuzugreifen.

**Pre-shared Key (PSK)**: Ein gemeinsames Geheimnis, das zur Authentifizierung bei VPN-Verbindungen verwendet wird.

**Zertifizierungsstelle (CA - Certificate Authority)**: Eine Entität, die digitale Zertifikate ausstellt, die bestätigen, dass ein bestimmter öffentlicher Schlüssel zu einer bestimmten Entität gehört.

**MTU (Maximum Transmission Unit)**: Die Größe der größten Protokolldateneinheit, die in einer einzelnen Netzwerk-Layer-Transaktion kommuniziert werden kann.

**NAT Traversal**: Techniken zur Herstellung und Aufrechterhaltung von Verbindungen über Netzwerkadressübersetzer (NAT).

**Zwei-Faktor-Authentifizierung (2FA - Two-factor Authentication)**: Ein Sicherheitsprozess, bei dem Benutzer zwei verschiedene Authentifizierungsfaktoren angeben, um ihre Identität zu überprüfen.

## Optional

- URL: https://tildavps.com/de/articles/anleitung-zur-vpn-einrichtung-auf-mikrotik-ein-umfassender-leitfaden
- Published: 2025-05-02
- Updated: 2026-07-19
- Available in:
  - ar: https://tildavps.com/ar/articles/kyfy-aadd-shbk-vpn-aal-mikrotik-dlyl-shml
  - en: https://tildavps.com/en/articles/how-to-setup-vpn-on-mikrotik-a-comprehensive-guide
  - es: https://tildavps.com/es/articles/como-configurar-vpn-en-mikrotik-una-guia-completa
  - fa: https://tildavps.com/fa/articles/chgwnh-vpn-r-rwy-mykhrwtykh-rhndzy-khnym-ykh-rhnmy-jmaa
  - fr: https://tildavps.com/fr/articles/comment-configurer-un-vpn-sur-mikrotik-un-guide-complet
  - it: https://tildavps.com/it/articles/come-configurare-la-vpn-su-mikrotik-una-guida-completa
  - ja: https://tildavps.com/ja/articles/mikrotiknivpnwosetutoatupusurufang-fa-bao-gua-de-nagaido
  - ko: https://tildavps.com/ko/articles/mikrotike-vpn-seoljeonghaneun-bangbeob-jonghab-gaideu
  - ru: https://tildavps.com/ru/articles/kak-nastroit-vpn-na-mikrotik-podrobnoe-rukovodstvo
  - tr: https://tildavps.com/tr/articles/mikrotik-uzerinde-vpn-kurulumu-kapsamli-bir-rehber
  - zh: https://tildavps.com/zh/articles/ru-he-zai-mikrotik-shang-she-zhi-vpn-yi-fen-zong-he-zhi-nan
  - pt: https://tildavps.com/pt/articles/como-configurar-vpn-no-mikrotik-um-guia-abrangente
  - hi: https://tildavps.com/hi/articles/maaikrottik-pr-viipiien-kaise-sett-kren-ek-vyaapk-gaaidd