Einführung

Virtuelle Private Netzwerke (VPNs) sind zu unverzichtbaren Werkzeugen für Unternehmen und Einzelpersonen geworden, die ihre Internetverbindungen sichern, auf entfernte Netzwerke zugreifen und sensible Daten schützen möchten. MikroTik-Router, bekannt für ihren robusten Funktionsumfang und ihre Kosteneffizienz, bieten mehrere VPN-Implementierungsoptionen, die unterschiedliche Sicherheitsanforderungen und Anwendungsfälle abdecken.

In diesem umfassenden Leitfaden führen wir Sie durch den Prozess der Einrichtung verschiedener VPN-Lösungen auf Ihrem MikroTik-Router. Egal, ob Sie ein Netzwerkadministrator sind, der sichere Site-to-Site-Verbindungen einrichten möchte, oder eine Einzelperson, die remote auf ihr Heimnetzwerk zugreifen will – dieser Artikel liefert Ihnen das Wissen und die Schritt-für-Schritt-Anleitungen, um VPN-Dienste erfolgreich auf Ihrem MikroTik-Gerät zu implementieren. TildaVPS bietet optimierte MikroTik-Server, die perfekt für die Implementierung der in diesem Leitfaden besprochenen VPN-Lösungen geeignet sind und zuverlässige sowie sichere Verbindungen für Ihre Netzwerkanforderungen gewährleisten.

Abschnitt 1: VPN-Typen auf MikroTik verstehen

Verfügbare VPN-Optionen auf MikroTik

MikroTik RouterOS unterstützt mehrere VPN-Protokolle, jedes mit seinen eigenen Stärken und idealen Anwendungsfällen. Bevor Sie mit der Konfiguration beginnen, ist es wichtig zu verstehen, welches Protokoll am besten zu Ihren Bedürfnissen passt.

OpenVPN ist ein Open-Source-VPN-Protokoll, das ein gutes Gleichgewicht zwischen Sicherheit und Leistung bietet. Es verwendet SSL/TLS für den Schlüsselaustausch und kann sowohl über UDP als auch TCP betrieben werden. OpenVPN ist hochgradig konfigurierbar und kann die meisten Firewalls umgehen, was es zu einer vielseitigen Wahl für viele Szenarien macht.

IPsec (Internet Protocol Security) sorgt für sichere IP-Kommunikation, indem jedes IP-Paket authentifiziert und verschlüsselt wird. Es wird plattformübergreifend breit unterstützt und gilt als sehr sicher, was es ideal für Site-to-Site-VPN-Verbindungen zwischen Zweigstellen macht.

L2TP/IPsec kombiniert das Layer 2 Tunneling Protocol mit IPsec-Verschlüsselung. Dieses Protokoll wird von den meisten Betriebssystemen, einschließlich Windows, macOS, iOS und Android, nativ unterstützt, was es für Fernzugriffs-VPNs praktisch macht.

PPTP (Point-to-Point Tunneling Protocol) ist eines der ältesten VPN-Protokolle. Obwohl es einfach einzurichten ist und schnelle Verbindungen bietet, ist seine Sicherheit kompromittiert, sodass es nur für nicht-sensible Anwendungen geeignet ist, bei denen Bequemlichkeit wichtiger ist als Sicherheitsbedenken.

SSTP (Secure Socket Tunneling Protocol) verwendet SSL über TCP-Port 443, wodurch es die meisten Firewalls und Proxyserver passieren kann. Es bietet ein gutes Sicherheitsniveau, wird aber hauptsächlich auf Windows-Plattformen unterstützt.

WireGuard ist ein neueres Protokoll, das für seine Einfachheit, hohe Leistung und moderne Kryptographie bekannt ist. MikroTik hat Unterstützung für WireGuard in RouterOS v7 hinzugefügt, was es zu einer ausgezeichneten Option für diejenigen macht, die die neueste Firmware verwenden.

Vorteile der VPN-Nutzung auf MikroTik

Erhöhte Sicherheit: VPNs verschlüsseln Ihre Daten und schützen sie vor Abhören und Man-in-the-Middle-Angriffen, insbesondere bei der Nutzung öffentlicher WLAN-Netzwerke.

Fernzugriff: Greifen Sie von überall auf der Welt sicher auf Ihre Heim- oder Büronetzwerkressourcen zu.

Site-to-Site-Konnektivität: Verbinden Sie mehrere Bürostandorte sicher über das Internet und schaffen Sie so ein einheitliches Netzwerk.

Umgehung von Geo-Restriktionen: Greifen Sie auf regional beschränkte Inhalte zu, indem Sie sich mit VPN-Servern an verschiedenen geografischen Standorten verbinden.

Netzwerksegmentierung: Erstellen Sie sichere, isolierte Netzwerksegmente für verschiedene Abteilungen oder Zwecke innerhalb Ihrer Organisation.

Das richtige VPN-Protokoll wählen

Das beste VPN-Protokoll für Ihre MikroTik-Einrichtung hängt von Ihren spezifischen Anforderungen ab:

• Für maximale Kompatibilität über Geräte hinweg: L2TP/IPsec
• Für höchste Sicherheit in Unternehmensumgebungen: IPsec
• Für Flexibilität und ein gutes Gleichgewicht zwischen Sicherheit und Leistung: OpenVPN
• Für moderne, leistungsstarke Anforderungen: WireGuard (RouterOS v7+)
• Für einfache Einrichtung mit Windows-Clients: SSTP

Mini-FAQ

Welches VPN-Protokoll bietet die beste Leistung auf MikroTik?

WireGuard bietet im Allgemeinen die beste Leistung aufgrund seines schlanken Designs und seiner effizienten Kryptographie, gefolgt von OpenVPN mit UDP. Die Leistung kann jedoch je nach Ihrer spezifischen Hardware und den Netzwerkbedingungen variieren.

Kann ich mehrere VPN-Protokolle gleichzeitig auf meinem MikroTik-Router ausführen?

Ja, MikroTik RouterOS ermöglicht es Ihnen, mehrere VPN-Protokolle gleichzeitig auszuführen. Dies ist nützlich, um verschiedene Client-Geräte zu unterstützen oder Fallback-Optionen bereitzustellen, falls ein Protokoll blockiert wird.

Abschnitt 2: Voraussetzungen für die Einrichtung von VPN auf MikroTik

Hardware- und Software-Anforderungen

Bevor Sie ein VPN auf Ihrem MikroTik-Router einrichten, stellen Sie sicher, dass die folgenden Voraussetzungen erfüllt sind:

Hardware-Anforderungen:

• Ein MikroTik-Router mit ausreichender Rechenleistung für die VPN-Ver-/Entschlüsselung. Für starke VPN-Nutzung sollten Modelle mit Mehrkernprozessoren wie die RB4011- oder CCR-Serie in Betracht gezogen werden.
• Ausreichend RAM (mindestens 256 MB empfohlen für mehrere VPN-Verbindungen)
• Stabile Internetverbindung mit ausreichender Bandbreite für Ihre VPN-Bedürfnisse

Software-Anforderungen:

• RouterOS-Version, die mit Ihrem gewählten VPN-Protokoll kompatibel ist (v6.45+ empfohlen, v7+ für WireGuard)
• Aktualisiert auf die neueste stabile Version, um sicherzustellen, dass Sicherheitspatches angewendet werden
• Gültige Lizenzstufe, die Ihr gewähltes VPN-Protokoll unterstützt (die meisten VPN-Funktionen erfordern mindestens Level 4)

Netzwerk-Anforderungen:

• Öffentliche IP-Adresse (statisch bevorzugt) oder ordnungsgemäß konfigurierter DDNS-Dienst
• Geeignete Portweiterleitung, falls Ihr MikroTik hinter einem anderen Router steht
• Ordnungsgemäß konfigurierte Firewall-Regeln, um VPN-Verkehr zu erlauben

Initiale Router-Konfiguration

Bevor Sie ein VPN implementieren, stellen Sie sicher, dass Ihr MikroTik-Router eine sichere Grundkonfiguration aufweist:

1. RouterOS auf die neueste stabile Version aktualisieren
2. Standard-Admin-Passwort ändern
3. Korrekte IP-Adressierung für alle Schnittstellen konfigurieren
4. Grundlegende Firewall-Regeln zum Schutz Ihres Netzwerks einrichten
5. DNS-Einstellungen konfigurieren
6. Sicherstellen, dass NTP (Network Time Protocol) korrekt konfiguriert ist, da eine genaue Zeit für die VPN-Authentifizierung entscheidend ist

Planung Ihrer VPN-Implementierung

Nehmen Sie sich Zeit, um Ihre VPN-Bereitstellung zu planen, indem Sie Folgendes berücksichtigen:

VPN-Topologie:

• Fernzugriffs-VPN (Clients verbinden sich mit Ihrem Netzwerk)
• Site-to-Site-VPN (Verbindung mehrerer Netzwerke)
• Hub-and-Spoke (zentraler Standort verbindet sich mit mehreren Zweigstellen)
• Mesh (alle Standorte verbinden sich miteinander)

IP-Adressierungsschema:

• Bestimmen Sie das IP-Subnetz für VPN-Clients
• Stellen Sie sicher, dass keine IP-Konflikte zwischen lokalen und entfernten Netzwerken bestehen
• Planen Sie das korrekte Routing zwischen den Netzwerken

Authentifizierungsmethode:

• Benutzername/Passwort
• Zertifikatbasierte Authentifizierung
• Pre-shared Keys
• Zwei-Faktor-Authentifizierung

Sicherheitsaspekte:

• Anforderungen an die Verschlüsselungsstärke
• Bedürfnisse der Verkehrstrennung
• Zugriffskontrollrichtlinien

Zugriff auf Ihren MikroTik-Router

Um Ihren MikroTik-Router zu konfigurieren, müssen Sie mit einer dieser Methoden darauf zugreifen:

1. WebFig (Webbasierte Konfigurationsoberfläche):

   • Verbinden Sie sich über einen Webbrowser mit der IP-Adresse Ihres Routers
   • Melden Sie sich mit Ihren Anmeldeinformationen an
   • Navigieren Sie durch das Menü, um die VPN-Einstellungen zu konfigurieren

2. WinBox (Windows GUI-Anwendung):

   • Laden Sie WinBox von der MikroTik-Website herunter
   • Verbinden Sie sich über IP- oder MAC-Adresse mit Ihrem Router
   • Verwenden Sie die grafische Oberfläche, um Einstellungen zu konfigurieren

3. SSH/Telnet (Kommandozeilenschnittstelle):

   • Verbinden Sie sich mit einem SSH-Client wie PuTTY
   • Geben Sie Befehle direkt in der RouterOS CLI ein
   • Nützlich für Skripting und erweiterte Konfigurationen

4. The Dude (Netzwerkmanagement-Anwendung):

   • Zur Verwaltung mehrerer MikroTik-Geräte
   • Bietet eine netzwerkweite Ansicht Ihrer Infrastruktur

Mini-FAQ

Benötige ich eine statische IP-Adresse, um einen VPN-Server auf MikroTik einzurichten?

Obwohl eine statische IP ideal ist, können Sie dynamische DNS-Dienste (DDNS) wie no-ip.com oder dyn.com verwenden, wenn Sie eine dynamische IP haben. MikroTik unterstützt automatische DDNS-Updates durch Skripte oder den integrierten DDNS-Client.

Welche Lizenzstufe benötige ich für die VPN-Funktionalität auf MikroTik?

Die meisten VPN-Funktionen erfordern mindestens eine Level 4 Lizenz. Grundlegendes PPTP und L2TP sind jedoch ab Level 3 verfügbar. Für erweiterte Funktionen und bessere Leistung wird Level 5 oder Level 6 empfohlen, insbesondere für Unternehmenseinsätze.

Abschnitt 3: Einrichtung eines L2TP/IPsec VPN-Servers

L2TP/IPsec ist eines der am weitesten unterstützten VPN-Protokolle, was es zu einer ausgezeichneten Wahl für Umgebungen mit unterschiedlichen Client-Geräten macht. Lassen Sie uns den Prozess der Einrichtung eines L2TP/IPsec VPN-Servers auf Ihrem MikroTik-Router durchgehen.

Schritt 1: IPsec-Einstellungen konfigurieren

Zuerst müssen wir den IPsec-Teil des VPNs einrichten, der die Verschlüsselung für den L2TP-Tunnel bereitstellt:

1. Öffnen Sie WinBox und verbinden Sie sich mit Ihrem MikroTik-Router
2. Navigieren Sie zu IP → IPsec → Profiles
3. Klicken Sie auf die Schaltfläche +, um ein neues Profil hinzuzufügen
4. Konfigurieren Sie die folgenden Einstellungen:
   • Name: L2TP-IPsec
   • Hash Algorithms: sha256
   • Encryption Algorithms: aes-256-cbc
   • DH Group: modp2048
   • Proposal Check: obey
   • Lifetime: 1d 00:00:00
5. Klicken Sie auf OK, um das Profil zu speichern

Als Nächstes erstellen Sie den IPsec-Proposal:

1. Gehen Sie zu IP → IPsec → Proposals
2. Klicken Sie auf die Schaltfläche +, um einen neuen Proposal hinzuzufügen
3. Konfigurieren Sie Folgendes:
   • Auth Algorithms: sha256
   • Encr Algorithms: aes-256-cbc
   • PFS Group: modp2048
4. Klicken Sie auf OK, um zu speichern

Richten Sie nun den IPsec-Peer ein:

1. Gehen Sie zu IP → IPsec → Peers
2. Klicken Sie auf die Schaltfläche +, um einen neuen Peer hinzuzufügen
3. Konfigurieren Sie Folgendes:
   • Name: L2TP-Peer
   • Address: 0.0.0.0/0 (um Verbindungen von jeder IP zu akzeptieren)
   • Profile: L2TP-IPsec (das zuvor erstellte Profil)
   • Exchange Mode: main
   • Send Initial Contact: yes
   • Nat Traversal: yes
   • Pre-shared Key: IhrStarkerGeheimerSchlüssel (verwenden Sie einen starken, einzigartigen Schlüssel)
4. Klicken Sie auf OK, um zu speichern

Schritt 2: L2TP-Server konfigurieren

Richten wir nun den L2TP-Server ein:

1. Navigieren Sie im linken Menü zu PPP
2. Gehen Sie zum Tab Profiles
3. Klicken Sie auf die Schaltfläche +, um ein neues Profil hinzuzufügen
4. Konfigurieren Sie Folgendes:
   • Name: L2TP-Profile
   • Local Address: Geben Sie die IP-Adresse des Routers an, die für VPN verwendet werden soll (z. B. 10.0.0.1)
   • Remote Address: Geben Sie den IP-Pool für Clients an (z. B. 10.0.0.2-10.0.0.254)
   • DNS Server: Ihre bevorzugten DNS-Server
   • Use Encryption: yes
5. Klicken Sie auf OK, um das Profil zu speichern

Als Nächstes richten Sie den L2TP-Server ein:

1. Gehen Sie zum Tab Interface
2. Klicken Sie auf L2TP Server
3. Konfigurieren Sie Folgendes:
   • Enabled: yes
   • Max MTU: 1450
   • Max MRU: 1450
   • Keep Alive Timeout: 30
   • Default Profile: L2TP-Profile (das von uns erstellte Profil)
   • Authentication: mschap2, mschap1, chap (in dieser Reihenfolge für beste Kompatibilität)
   • Use IPsec: yes
   • IPsec Secret: IhrStarkerGeheimerSchlüssel (derselbe wie in der IPsec-Peer-Konfiguration)
4. Klicken Sie auf OK, um zu speichern

Schritt 3: VPN-Benutzer erstellen

Erstellen Sie nun Benutzerkonten für den VPN-Zugriff:

1. Gehen Sie im linken Menü zu PPP
2. Klicken Sie auf den Tab Secrets
3. Klicken Sie auf die Schaltfläche +, um ein neues Secret hinzuzufügen
4. Konfigurieren Sie Folgendes:
   • Name: benutzername (der Login-Benutzername für den VPN-Benutzer)
   • Password: passwort (ein starkes Passwort für den Benutzer)
   • Service: l2tp
   • Profile: L2TP-Profile
5. Klicken Sie auf OK, um zu speichern
6. Wiederholen Sie dies für weitere Benutzer nach Bedarf

Schritt 4: Firewall-Regeln konfigurieren

Um VPN-Verkehr durch Ihre Firewall zu erlauben:

1. Navigieren Sie zu IP → Firewall → Filter Rules

2. Fügen Sie Regeln hinzu, um L2TP- und IPsec-Verkehr zu erlauben:

   Für IPsec:

   • Fügen Sie eine Regel hinzu, um UDP-Port 500 (IKE) zu erlauben
   • Fügen Sie eine Regel hinzu, um UDP-Port 4500 (IPsec NAT-T) zu erlauben
   • Fügen Sie eine Regel hinzu, um IP-Protokoll 50 (ESP) zu erlauben
   • Fügen Sie eine Regel hinzu, um IP-Protokoll 51 (AH) zu erlauben

   Für L2TP:

   • Fügen Sie eine Regel hinzu, um UDP-Port 1701 (L2TP) zu erlauben

3. Fügen Sie nach Bedarf Regeln hinzu, um den Verkehr vom VPN-Subnetz zum Zugriff auf Ressourcen in Ihrem Netzwerk zu erlauben

Schritt 5: Die VPN-Verbindung testen

Nach Abschluss der Konfiguration testen Sie die VPN-Verbindung von einem Client-Gerät:

1. Unter Windows:

   • Gehen Sie zu Einstellungen → Netzwerk und Internet → VPN
   • Klicken Sie auf "VPN-Verbindung hinzufügen"
   • VPN-Anbieter: Windows (integriert)
   • Verbindungsname: MikroTik L2TP
   • Servername oder -adresse: Die öffentliche IP oder DDNS Ihres MikroTik
   • VPN-Typ: L2TP/IPsec mit vorinstalliertem Schlüssel
   • Vorinstallierter Schlüssel: IhrStarkerGeheimerSchlüssel (der von Ihnen konfigurierte)
   • Benutzername und Passwort: Die Anmeldeinformationen, die Sie in den PPP-Secrets erstellt haben

2. Unter Android/iOS:

   • Gehen Sie zu Einstellungen → VPN
   • Fügen Sie eine neue VPN-Verbindung hinzu
   • Wählen Sie L2TP/IPsec
   • Geben Sie die öffentliche IP oder DDNS Ihres MikroTik ein
   • Geben Sie den vorinstallierten Schlüssel, Benutzernamen und Passwort ein

Mini-FAQ

Warum kann meine L2TP/IPsec VPN-Verbindung nicht aufgebaut werden?

Häufige Probleme sind ein falscher Pre-shared Key (vorinstallierter Schlüssel), eine Firewall, die VPN-Ports blockiert, NAT-Probleme oder inkompatible Verschlüsselungseinstellungen. Überprüfen Sie Ihre Router-Protokolle unter System → Logs auf spezifische Fehlermeldungen zur Fehlerbehebung.

Wie viele gleichzeitige L2TP/IPsec VPN-Benutzer kann mein MikroTik-Router unterstützen?

Dies hängt von den Hardware-Fähigkeiten Ihres Routers ab. Einstiegsmodelle können möglicherweise 5-10 gleichzeitige Benutzer verarbeiten, während High-End-Modelle wie die CCR-Serie Dutzende oder sogar Hunderte von Verbindungen unterstützen können. Die CPU-Auslastung ist aufgrund des Verschlüsselungs-Overheads der Hauptlimitierungsfaktor.

Abschnitt 4: Einrichtung eines OpenVPN-Servers

OpenVPN ist eine hochgradig konfigurierbare und sichere VPN-Lösung, die gut auf verschiedenen Plattformen funktioniert. Die Einrichtung auf MikroTik erfordert die Erstellung von Zertifikaten und die korrekte Konfiguration des Servers. Gehen wir den Prozess Schritt für Schritt durch.

Schritt 1: Zertifikate erstellen

OpenVPN verwendet Zertifikate zur Authentifizierung. Wir müssen eine Zertifizierungsstelle (CA), ein Serverzertifikat und Client-Zertifikate erstellen:

1. Navigieren Sie zu System → Certificates

2. Erstellen Sie zuerst eine Zertifizierungsstelle (CA):

   • Klicken Sie auf die Schaltfläche Add
   • Setzen Sie Name: CA
   • Setzen Sie Common Name: MikroTik-CA
   • Setzen Sie Key Size: 2048
   • Setzen Sie Days Valid: 3650 (10 Jahre)
   • Aktivieren Sie Key Usage: crl sign, key cert sign
   • Klicken Sie auf Apply, dann auf Sign
   • Wählen Sie im neuen Dialogfeld CA als Zertifikat aus und klicken Sie auf Sign

3. Erstellen Sie ein Serverzertifikat:

   • Klicken Sie auf die Schaltfläche Add
   • Setzen Sie Name: Server
   • Setzen Sie Common Name: MikroTik-Server
   • Setzen Sie Key Size: 2048
   • Setzen Sie Days Valid: 3650
   • Aktivieren Sie Key Usage: digital signature, key encipherment, tls server
   • Klicken Sie auf Apply, dann auf Sign
   • Wählen Sie im neuen Dialogfeld CA als Certificate Authority aus und klicken Sie auf Sign

4. Erstellen Sie ein Client-Zertifikat:

   • Klicken Sie auf die Schaltfläche Add
   • Setzen Sie Name: Client1
   • Setzen Sie Common Name: Client1
   • Setzen Sie Key Size: 2048
   • Setzen Sie Days Valid: 3650
   • Aktivieren Sie Key Usage: tls client
   • Klicken Sie auf Apply, dann auf Sign
   • Wählen Sie im neuen Dialogfeld CA als Certificate Authority aus und klicken Sie auf Sign
   • Wiederholen Sie diesen Schritt für weitere Clients nach Bedarf

Schritt 2: OpenVPN-Server konfigurieren

Richten wir nun den OpenVPN-Server ein:

1. Navigieren Sie im linken Menü zu PPP
2. Gehen Sie zum Tab Profiles
3. Klicken Sie auf die Schaltfläche +, um ein neues Profil hinzuzufügen
4. Konfigurieren Sie Folgendes:
   • Name: OVPN-Profile
   • Local Address: Geben Sie die IP-Adresse des Routers an, die für VPN verwendet werden soll (z. B. 10.1.0.1)
   • Remote Address: Geben Sie den IP-Pool für Clients an (z. B. 10.1.0.2-10.1.0.254)
   • DNS Server: Ihre bevorzugten DNS-Server
   • Use Encryption: yes
5. Klicken Sie auf OK, um das Profil zu speichern

Als Nächstes richten Sie den OpenVPN-Server ein:

1. Gehen Sie im linken Menü zu PPP
2. Klicken Sie auf den Tab Interface
3. Klicken Sie auf die Schaltfläche OVPN Server
4. Konfigurieren Sie Folgendes:
   • Enabled: yes
   • Port: 1194
   • Mode: ip
   • Protocol: tcp
   • Netmask: 24
   • Max MTU: 1500
   • Default Profile: OVPN-Profile
   • Certificate: Server (das von uns erstellte Serverzertifikat)
   • Auth: sha1
   • Cipher: aes256
   • Require Client Certificate: yes
5. Klicken Sie auf OK, um zu speichern

Schritt 3: Firewall-Regeln konfigurieren

Um OpenVPN-Verkehr durch Ihre Firewall zu erlauben:

1. Navigieren Sie zu IP → Firewall → Filter Rules

2. Fügen Sie eine Regel hinzu, um OpenVPN-Verkehr zu erlauben:

   • Klicken Sie auf die Schaltfläche +
   • Setzen Sie Chain: input
   • Setzen Sie Protocol: tcp
   • Setzen Sie Dst. Port: 1194
   • Setzen Sie Action: accept
   • Fügen Sie einen Kommentar wie "OpenVPN erlauben" hinzu
   • Klicken Sie auf OK, um zu speichern

3. Fügen Sie nach Bedarf Regeln hinzu, um den Verkehr vom VPN-Subnetz zum Zugriff auf Ressourcen in Ihrem Netzwerk zu erlauben

Schritt 4: Client-Zertifikate exportieren und Client-Konfiguration erstellen

Um Clients mit Ihrem OpenVPN-Server zu verbinden, müssen Sie die Zertifikate exportieren und eine Client-Konfigurationsdatei erstellen:

1. Exportieren Sie das CA-Zertifikat:

   • Gehen Sie zu System → Certificates
   • Wählen Sie das CA-Zertifikat aus
   • Klicken Sie auf Export
   • Wählen Sie Export Type: PEM
   • Klicken Sie auf Export und speichern Sie die Datei als ca.crt

2. Exportieren Sie das Client-Zertifikat und den Schlüssel:

   • Wählen Sie das Client1-Zertifikat aus
   • Klicken Sie auf Export
   • Wählen Sie Export Type: PEM
   • Klicken Sie auf Export und speichern Sie die Datei als client1.crt
   • Klicken Sie erneut auf Export
   • Wählen Sie Export Type: key
   • Geben Sie die Export Passphrase ein, wenn Sie den Schlüssel mit einem Passwort schützen möchten
   • Klicken Sie auf Export und speichern Sie die Datei als client1.key

3. Erstellen Sie eine Client-Konfigurationsdatei (client.ovpn) mit folgendem Inhalt:

client
dev tun
proto tcp
remote ihre-mikrotik-oeffentliche-ip 1194
resolv-retry infinite
nobind
persist-key
persist-tun
cipher AES-256-CBC
auth SHA1
verb 3
key-direction 1

<ca>
# Fügen Sie hier den Inhalt von ca.crt ein
</ca>

<cert>
# Fügen Sie hier den Inhalt von client1.crt ein
</cert>

<key>
# Fügen Sie hier den Inhalt von client1.key ein
</key>

Schritt 5: Clients mit OpenVPN verbinden

Jetzt können Sie die Client-Konfigurationsdatei verwenden, um sich mit Ihrem OpenVPN-Server zu verbinden:

1. Unter Windows:

   • Installieren Sie den OpenVPN-Client (von openvpn.net)
   • Kopieren Sie die Datei client.ovpn nach C:\Programme\OpenVPN\config\
   • Klicken Sie mit der rechten Maustaste auf das OpenVPN-GUI-Symbol im Systemtray und wählen Sie "Verbinden"

2. Unter macOS:

   • Installieren Sie Tunnelblick (von tunnelblick.net)
   • Importieren Sie die Datei client.ovpn
   • Verbinden Sie sich über das Tunnelblick-Menü

3. Unter Linux:

   • Installieren Sie den OpenVPN-Client (sudo apt install openvpn unter Debian/Ubuntu)
   • Führen Sie sudo openvpn --config client.ovpn aus

4. Unter Android/iOS:

   • Installieren Sie die OpenVPN Connect App
   • Importieren Sie die Datei client.ovpn
   • Verbinden Sie sich über die App

Mini-FAQ

Wie kann ich Fehler bei OpenVPN-Verbindungen beheben?

Überprüfen Sie die Protokolle sowohl auf dem Server (System → Logs) als auch auf der Client-Seite. Häufige Probleme sind Zertifikatprobleme, Firewall-Blockaden oder Routing-Probleme. Aktivieren Sie die ausführliche Protokollierung auf der Client-Seite, indem Sie "verb 5" in der Konfigurationsdatei setzen, um detailliertere Protokolle zu erhalten.

Kann ich UDP anstelle von TCP für OpenVPN verwenden?

Ja, UDP wird oft wegen der besseren Leistung bevorzugt. Um UDP zu verwenden, ändern Sie die Protokolleinstellung sowohl in der Serverkonfiguration als auch in der Client-Konfigurationsdatei. UDP ist im Allgemeinen schneller, kann aber bei instabilen Verbindungen weniger zuverlässig sein.

Abschnitt 5: Einrichtung von WireGuard VPN (RouterOS v7+)

WireGuard ist ein modernes VPN-Protokoll, das für seine Einfachheit, hohe Leistung und starke Sicherheit bekannt ist. Es ist in RouterOS Version 7 und neuer verfügbar. Richten wir einen WireGuard VPN-Server auf Ihrem MikroTik-Router ein.

Schritt 1: WireGuard-Interface erstellen

Zuerst erstellen wir das WireGuard-Interface auf Ihrem MikroTik-Router:

1. Navigieren Sie im linken Menü zu WireGuard (oder Interface → WireGuard in älteren v7-Versionen)
2. Klicken Sie auf die Schaltfläche +, um ein neues Interface hinzuzufügen
3. Konfigurieren Sie Folgendes:
   • Name: wireguard1
   • Listen Port: 13231 (oder ein anderer Port Ihrer Wahl)
   • MTU: 1420
4. Klicken Sie auf OK, um das Interface zu erstellen
5. Notieren Sie nach der Erstellung den generierten Public Key - Sie benötigen diesen für die Client-Konfiguration

Schritt 2: IP-Adresse für das WireGuard-Interface konfigurieren

Weisen Sie dem WireGuard-Interface eine IP-Adresse zu:

1. Gehen Sie zu IP → Addresses
2. Klicken Sie auf die Schaltfläche +, um eine neue Adresse hinzuzufügen
3. Konfigurieren Sie Folgendes:
   • Address: 10.10.10.1/24 (dies wird das VPN-Subnetz sein)
   • Interface: wireguard1
4. Klicken Sie auf OK, um zu speichern

Schritt 3: WireGuard-Peers (Clients) hinzufügen

Für jeden Client, der sich mit Ihrem WireGuard-VPN verbinden soll:

1. Generieren Sie zuerst ein Schlüsselpaar auf dem Client-Gerät (wir zeigen in Schritt 5, wie das geht)
2. Gehen Sie in Ihrem MikroTik-Router im linken Menü zu WireGuard
3. Klicken Sie auf den Tab Peers
4. Klicken Sie auf die Schaltfläche +, um einen neuen Peer hinzuzufügen
5. Konfigurieren Sie Folgendes:
   • Interface: wireguard1
   • Public Key: (fügen Sie hier den öffentlichen Schlüssel des Clients ein)
   • Allowed Address: 10.10.10.2/32 (die IP-Adresse, die Sie diesem Client zuweisen möchten)
   • Persistent Keepalive: 25 (hilft bei der NAT-Traversal)
6. Klicken Sie auf OK, um zu speichern
7. Wiederholen Sie dies für weitere Clients und erhöhen Sie die IP-Adresse (10.10.10.3/32 usw.)

Schritt 4: Firewall-Regeln konfigurieren

Um WireGuard-Verkehr durch Ihre Firewall zu erlauben:

1. Navigieren Sie zu IP → Firewall → Filter Rules

2. Fügen Sie eine Regel hinzu, um WireGuard-Verkehr zu erlauben:

   • Klicken Sie auf die Schaltfläche +
   • Setzen Sie Chain: input
   • Setzen Sie Protocol: udp
   • Setzen Sie Dst. Port: 13231 (der Port, den Sie für WireGuard konfiguriert haben)
   • Setzen Sie Action: accept
   • Fügen Sie einen Kommentar wie "WireGuard erlauben" hinzu
   • Klicken Sie auf OK, um zu speichern

3. Fügen Sie nach Bedarf Regeln hinzu, um den Verkehr vom WireGuard-Subnetz zum Zugriff auf Ressourcen in Ihrem Netzwerk zu erlauben

4. Optional: Fügen Sie eine Masquerade-Regel hinzu, damit VPN-Clients über das VPN auf das Internet zugreifen können:

   • Gehen Sie zu IP → Firewall → NAT
   • Klicken Sie auf die Schaltfläche +
   • Setzen Sie Chain: srcnat
   • Setzen Sie Src. Address: 10.10.10.0/24
   • Setzen Sie Action: masquerade
   • Fügen Sie einen Kommentar wie "WireGuard-Clients maskieren" hinzu
   • Klicken Sie auf OK, um zu speichern

Schritt 5: WireGuard-Clients konfigurieren

Richten wir nun einen Client ein, um sich mit Ihrem WireGuard-VPN zu verbinden:

Für Windows:

1. Laden Sie WireGuard von wireguard.com herunter und installieren Sie es
2. Öffnen Sie die WireGuard-Anwendung
3. Klicken Sie auf "Add Empty Tunnel..."
4. Generieren Sie ein neues Schlüsselpaar (dies geschieht automatisch)
5. Konfigurieren Sie den Client mit der folgenden Vorlage:

[Interface]
PrivateKey = (privater Schlüssel des Clients)
Address = 10.10.10.2/24
DNS = 8.8.8.8, 8.8.4.4

[Peer]
PublicKey = (öffentlicher Schlüssel Ihres MikroTik WireGuard-Interfaces)
AllowedIPs = 0.0.0.0/0
Endpoint = ihre-mikrotik-oeffentliche-ip:13231
PersistentKeepalive = 25

6. Klicken Sie auf "Save" und dann auf "Activate", um sich zu verbinden

Für Android/iOS:

1. Installieren Sie die WireGuard-App aus dem App Store
2. Tippen Sie auf die Schaltfläche + und wählen Sie "Von Grund auf neu erstellen"
3. Geben Sie einen Namen für das VPN ein
4. Konfigurieren Sie mit der gleichen Vorlage wie oben
5. Tippen Sie auf "Speichern" und dann auf den Schalter, um sich zu verbinden

Für Linux:

1. Installieren Sie WireGuard (sudo apt install wireguard unter Debian/Ubuntu)
2. Generieren Sie Schlüssel: wg genkey | tee privatekey | wg pubkey > publickey
3. Erstellen Sie eine Konfigurationsdatei unter /etc/wireguard/wg0.conf mit der obigen Vorlage
4. Verbinden Sie sich mit sudo wg-quick up wg0

Schritt 6: Die Verbindung testen

Nach der Einrichtung von Server und Client:

1. Aktivieren Sie die WireGuard-Verbindung auf Ihrem Client-Gerät
2. Überprüfen Sie die Konnektivität, indem Sie die IP des WireGuard-Interfaces auf Ihrem MikroTik (10.10.10.1) anpingen
3. Versuchen Sie, auf andere Ressourcen in Ihrem Netzwerk zuzugreifen
4. Überprüfen Sie den WireGuard-Status auf Ihrem MikroTik, indem Sie zu WireGuard gehen und den Tab Peers betrachten

Mini-FAQ

Ist WireGuard sicherer als OpenVPN oder IPsec?

WireGuard verwendet moderne Kryptographie mit einer viel kleineren Codebasis als OpenVPN oder IPsec, was potenziell weniger Sicherheitslücken bedeutet. Alle drei Protokolle gelten jedoch bei korrekter Konfiguration als sicher. Die Hauptvorteile von WireGuard sind seine Einfachheit und Leistung.

Wie viele WireGuard-Peers kann mein MikroTik-Router unterstützen?

Dies hängt von den Hardware-Fähigkeiten Ihres Routers ab. WireGuard ist sehr effizient, sodass selbst Einstiegsmodelle von MikroTik-Routern Dutzende von Peers verarbeiten können. High-End-Modelle können Hunderte von Verbindungen mit minimalen Leistungseinbußen unterstützen.

Abschnitt 6: Einrichtung eines Site-to-Site VPN mit IPsec

IPsec ist eine ausgezeichnete Wahl für die Einrichtung sicherer Site-to-Site-VPN-Verbindungen zwischen Zweigstellen oder zwischen Ihrem Hauptbüro und einer Cloud-Umgebung. In diesem Abschnitt konfigurieren wir ein Site-to-Site-VPN zwischen zwei MikroTik-Routern mittels IPsec.

Schritt 1: Planen Sie Ihre Netzwerktopologie

Bevor Sie IPsec konfigurieren, planen Sie Ihre Netzwerktopologie:

Standort A (Hauptstandort):

• Öffentliche IP: 203.0.113.1 (ersetzen Sie dies durch Ihre tatsächliche öffentliche IP)
• Lokales Netzwerk: 192.168.1.0/24
• MikroTik Router: 192.168.1.1

Standort B (Zweigstelle):

• Öffentliche IP: 203.0.113.2 (ersetzen Sie dies durch Ihre tatsächliche öffentliche IP)
• Lokales Netzwerk: 192.168.2.0/24
• MikroTik Router: 192.168.2.1

Schritt 2: IPsec an Standort A konfigurieren (Hauptstandort)

1. IPsec-Profil erstellen:

   • Navigieren Sie zu IP → IPsec → Profiles
   • Klicken Sie auf die Schaltfläche +, um ein neues Profil hinzuzufügen
   • Konfigurieren Sie Folgendes:
     • Name: site-to-site
     • Hash Algorithms: sha256
     • Encryption Algorithms: aes-256-cbc
     • DH Group: modp2048
   • Klicken Sie auf OK, um zu speichern

2. IPsec-Proposal erstellen:

   • Gehen Sie zu IP → IPsec → Proposals
   • Klicken Sie auf die Schaltfläche +, um einen neuen Proposal hinzuzufügen
   • Konfigurieren Sie Folgendes:
     • Name: site-to-site-proposal
     • Auth Algorithms: sha256
     • Encr Algorithms: aes-256-cbc
     • PFS Group: modp2048
   • Klicken Sie auf OK, um zu speichern

3. IPsec-Peer erstellen:

   • Gehen Sie zu IP → IPsec → Peers
   • Klicken Sie auf die Schaltfläche +, um einen neuen Peer hinzuzufügen
   • Konfigurieren Sie Folgendes:
     • Name: site-b-peer
     • Address: 203.0.113.2 (Öffentliche IP von Standort B)
     • Profile: site-to-site
     • Exchange Mode: main
     • Send Initial Contact: yes
     • Nat Traversal: yes
     • Pre-shared Key: IhrStarkerGeheimerSchlüssel (verwenden Sie einen starken, einzigartigen Schlüssel)
   • Klicken Sie auf OK, um zu speichern

4. IPsec-Policy erstellen:

   • Gehen Sie zu IP → IPsec → Policies
   • Klicken Sie auf die Schaltfläche +, um eine neue Policy hinzuzufügen
   • Konfigurieren Sie Folgendes:
     • Src. Address: 192.168.1.0/24 (Lokales Netzwerk von Standort A)
     • Dst. Address: 192.168.2.0/24 (Lokales Netzwerk von Standort B)
     • Protocol: all
     • Action: encrypt
     • Level: require
     • IPsec Protocols: esp
     • Tunnel: yes
     • SA Src. Address: 203.0.113.1 (Öffentliche IP von Standort A)
     • SA Dst. Address: 203.0.113.2 (Öffentliche IP von Standort B)
     • Proposal: site-to-site-proposal
   • Klicken Sie auf OK, um zu speichern

Schritt 3: IPsec an Standort B konfigurieren (Zweigstelle)

Wiederholen Sie die gleichen Schritte auf dem MikroTik-Router von Standort B, jedoch mit umgekehrten Quell- und Zieladressen:

1. IPsec-Profil erstellen (wie bei Standort A)

2. IPsec-Proposal erstellen (wie bei Standort A)

3. IPsec-Peer erstellen:

   • Konfigurieren Sie mit der öffentlichen IP von Standort A (203.0.113.1)
   • Verwenden Sie denselben Pre-shared Key wie bei Standort A

4. IPsec-Policy erstellen:

   • Src. Address: 192.168.2.0/24 (Lokales Netzwerk von Standort B)
   • Dst. Address: 192.168.1.0/24 (Lokales Netzwerk von Standort A)
   • SA Src. Address: 203.0.113.2 (Öffentliche IP von Standort B)
   • SA Dst. Address: 203.0.113.1 (Öffentliche IP von Standort A)
   • Andere Einstellungen wie bei Standort A

Schritt 4: Firewall-Regeln an beiden Standorten konfigurieren

Fügen Sie auf beiden MikroTik-Routern Firewall-Regeln hinzu, um IPsec-Verkehr zu erlauben:

1. Navigieren Sie zu IP → Firewall → Filter Rules

2. Fügen Sie Regeln hinzu, um IPsec-Verkehr zu erlauben:

   • Fügen Sie eine Regel hinzu, um UDP-Port 500 (IKE) zu erlauben
   • Fügen Sie eine Regel hinzu, um UDP-Port 4500 (IPsec NAT-T) zu erlauben
   • Fügen Sie eine Regel hinzu, um IP-Protokoll 50 (ESP) zu erlauben
   • Fügen Sie eine Regel hinzu, um IP-Protokoll 51 (AH) zu erlauben

3. Stellen Sie sicher, dass der Verkehr zwischen den lokalen Netzwerken in Ihren Firewall-Regeln erlaubt ist

Schritt 5: Routing konfigurieren (falls erforderlich)

Wenn Sie komplexere Netzwerke mit mehreren Subnetzen an einem der Standorte haben, müssen Sie möglicherweise statische Routen hinzufügen:

1. Navigieren Sie zu IP → Routes
2. Klicken Sie auf die Schaltfläche +, um eine neue Route hinzuzufügen
3. Konfigurieren Sie die Route zum entfernten Netzwerk über den IPsec-Tunnel
4. Wiederholen Sie dies für alle zusätzlichen Subnetze, die über den Tunnel kommunizieren müssen

Schritt 6: Die Verbindung testen

Nach Abschluss der Konfiguration an beiden Standorten:

1. Überprüfen Sie den IPsec-Status, indem Sie zu IP → IPsec → Active Peers gehen

   • Sie sollten eine etablierte Verbindung zwischen den beiden Standorten sehen

2. Testen Sie die Konnektivität, indem Sie Geräte über den Tunnel anpingen:

   • Pingen Sie von einem Gerät im Netzwerk von Standort A ein Gerät im Netzwerk von Standort B an
   • Pingen Sie von einem Gerät im Netzwerk von Standort B ein Gerät im Netzwerk von Standort A an

3. Wenn die Pings erfolgreich sind, versuchen Sie, auf andere Dienste über den Tunnel zuzugreifen

Schritt 7: Überwachen und Fehlerbehebung

Um Ihren IPsec-Tunnel zu überwachen und Fehler zu beheben:

1. Überprüfen Sie die IPsec-Statistiken:

   • Gehen Sie zu IP → IPsec → Statistics
   • Suchen Sie nach aktiven Security Associations (SAs)

2. Zeigen Sie Protokolle für IPsec-bezogene Meldungen an:

   • Gehen Sie zu System → Logs
   • Filtern Sie nach IPsec-bezogenen Einträgen

3. Verwenden Sie das Ping-Tool mit Routing-Optionen, um den Tunnel zu testen:

   • Gehen Sie zu Tools → Ping
   • Geben Sie die IP eines Geräts am entfernten Standort ein
   • Setzen Sie die Src. Address auf Ihre lokale Interface-IP

Mini-FAQ

Was soll ich tun, wenn der IPsec-Tunnel nicht aufgebaut wird?

Überprüfen Sie die Firewall-Regeln auf beiden Seiten, um sicherzustellen, dass IPsec-Verkehr erlaubt ist. Stellen Sie sicher, dass die Pre-shared Keys exakt übereinstimmen. Prüfen Sie auf NAT-Probleme, falls einer der Router hinter einem anderen NAT-Gerät steht. Überprüfen Sie die Protokolle auf spezifische Fehlermeldungen.

Wie kann ich überprüfen, ob der Datenverkehr tatsächlich durch den IPsec-Tunnel läuft?

Verwenden Sie die Seite IP → IPsec → Statistics, um zu sehen, ob Pakete ver- und entschlüsselt werden. Sie können auch das Torch-Tool (Tools → Torch) verwenden, um den Verkehr auf Ihren Schnittstellen zu überwachen und zu sehen, ob Pakete durch das IPsec-Interface fließen.

Abschnitt 7: Erweiterte VPN-Konfigurationen und Best Practices

Nachdem wir die grundlegenden VPN-Setups behandelt haben, wollen wir uns nun einige erweiterte Konfigurationen und Best Practices ansehen, um die Sicherheit, Leistung und Verwaltbarkeit Ihrer MikroTik VPN-Bereitstellungen zu verbessern.

Implementierung von Split-Tunneling

Split-Tunneling ermöglicht es VPN-Clients, sowohl auf das entfernte Netzwerk als auch direkt auf das Internet zuzugreifen, was die Leistung für ins Internet gerichteten Datenverkehr verbessert:

1. Für OpenVPN:

   • Ändern Sie in der Client-Konfigurationsdatei die Direktive redirect-gateway oder verwenden Sie spezifische route-Anweisungen
   • Beispiel: route 192.168.1.0 255.255.255.0 (leitet nur Verkehr zum Netzwerk 192.168.1.0/24 durch das VPN)

2. Für WireGuard:

   • Ändern Sie in der Client-Konfiguration die Einstellung AllowedIPs
   • Anstelle von 0.0.0.0/0 (was den gesamten Verkehr leitet), verwenden Sie spezifische Netzwerke:
   • Beispiel: AllowedIPs = 10.10.10.0/24, 192.168.1.0/24

3. Für L2TP/IPsec:

   • Bearbeiten Sie auf Windows-Clients die Eigenschaften der VPN-Verbindung
   • Gehen Sie zu Netzwerk → IPv4 → Eigenschaften → Erweitert
   • Deaktivieren Sie "Standardgateway für das Remotenetzwerk verwenden"

Implementierung der Zwei-Faktor-Authentifizierung (2FA)

Erhöhen Sie die Sicherheit mit Zwei-Faktor-Authentifizierung:

1. RADIUS-Authentifizierung:

   • Richten Sie einen RADIUS-Server ein (Sie können das User Manager-Paket von MikroTik verwenden)
   • Konfigurieren Sie Ihren VPN-Server zur Verwendung von RADIUS:
     • Gehen Sie im linken Menü zu Radius
     • Fügen Sie einen neuen RADIUS-Client für Ihren VPN-Dienst hinzu
     • Aktivieren Sie in Ihren VPN-Servereinstellungen die RADIUS-Authentifizierung

2. Zertifikat + Passwort-Authentifizierung:

   • Fordern Sie für OpenVPN sowohl ein Zertifikat als auch Benutzername/Passwort an:
     • Setzen Sie in der Serverkonfiguration das Skript auth-user-pass-verify
     • Stellen Sie sicher, dass client-cert-not-required NICHT gesetzt ist

3. Zeitbasierte Einmalpasswörter (TOTP):

   • Installieren Sie das TOTP-Paket auf Ihrem MikroTik
   • Konfigurieren Sie Benutzer mit TOTP-Secrets
   • Richten Sie Ihre Authentifizierung so ein, dass TOTP-Codes erforderlich sind

Optimierung der VPN-Leistung

Verbessern Sie die VPN-Leistung mit diesen Anpassungen:

1. MTU-Einstellungen anpassen:

   • Finden Sie die optimale MTU für Ihre Verbindung mit Ping-Tests mit dem "Don't Fragment"-Flag
   • Stellen Sie die passende MTU auf Ihrer VPN-Schnittstelle ein
   • Für OpenVPN sind typische Werte 1400-1450
   • Für WireGuard ist 1420 oft optimal

2. Hardware-Beschleunigung aktivieren:

   • Wenn Ihr MikroTik-Modell Hardware-Verschlüsselung unterstützt:
     • Gehen Sie zu System → Resources
     • Prüfen Sie, ob Hardware-Verschlüsselung verfügbar und aktiviert ist
     • Für IPsec gehen Sie zu IP → IPsec → Settings und aktivieren Sie die Hardware-Beschleunigung

3. Effiziente Protokolle wählen:

   • Verwenden Sie UDP anstelle von TCP für OpenVPN, wenn möglich
   • Erwägen Sie WireGuard für bessere Leistung auf RouterOS v7+
   • Verwenden Sie moderne Verschlüsselungsalgorithmen, die Hardware-Beschleunigungsunterstützung haben

Implementierung von Failover und Load Balancing

Implementieren Sie für geschäftskritische VPN-Verbindungen Failover oder Load Balancing:

1. Dual WAN Failover:

   • Konfigurieren Sie mehrere WAN-Verbindungen auf Ihrem MikroTik
   • Richten Sie Failover-Routing mit Routing-Markierungen und Policy-Based Routing ein
   • Konfigurieren Sie Ihr VPN so, dass es sich automatisch wieder verbindet, wenn die primäre Verbindung ausfällt

2. Site-to-Site VPN Redundanz:

   • Richten Sie mehrere Tunnel zwischen Standorten über verschiedene WAN-Verbindungen ein
   • Verwenden Sie Routing-Metriken, um den primären Tunnel zu priorisieren
   • Konfigurieren Sie dynamische Routing-Protokolle (OSPF oder BGP) über die VPN-Tunnel für automatisches Failover

3. Load Balancing:

   • Verteilen Sie bei mehreren Fernzugriffsbenutzern diese auf mehrere VPN-Server
   • Verwenden Sie DNS Round-Robin oder einen Load Balancer, um Verbindungsanfragen zu verteilen

Überwachung und Protokollierung von VPN-Verbindungen

Richten Sie eine umfassende Überwachung für Ihre VPN-Dienste ein:

1. Detaillierte Protokollierung konfigurieren:

   • Gehen Sie zu System → Logging
   • Fügen Sie eine neue Protokollierungsaktion für VPN-bezogene Ereignisse hinzu
   • Legen Sie die entsprechenden Themen fest (z. B. ppp, ipsec, ovpn)

2. SNMP-Überwachung einrichten:

   • Gehen Sie zu IP → SNMP
   • Aktivieren Sie den SNMP-Dienst
   • Konfigurieren Sie Community-Strings und Zugriffslisten
   • Verwenden Sie ein SNMP-Überwachungstool, um VPN-Verbindungen und Leistung zu verfolgen

3. Skripte zur Verbindungsverfolgung erstellen:

   • Verwenden Sie RouterOS-Skripting, um VPN-Verbindungen zu verfolgen
   • Richten Sie E-Mail-Benachrichtigungen für fehlgeschlagene Verbindungsversuche oder Tunnel-Ausfallereignisse ein
   • Beispielskript zur Überwachung des IPsec-Tunnelstatus und zum Senden von Warnungen

/system script
add name="monitor-ipsec" source={
    :if ([/ip ipsec policy find where dst-address="192.168.2.0/24" and invalid=yes] != "") do={
        /tool e-mail send to="[email protected]" subject="IPsec Tunnel Down" body="Der IPsec-Tunnel zur Zweigstelle ist ausgefallen."
    }
}

/system scheduler
add interval=5m name="check-ipsec" on-event=monitor-ipsec start-time=startup

Mini-FAQ

Wie kann ich die Fernverwaltung meines MikroTik-Routers über VPN sicher erlauben?

Erstellen Sie ein separates VPN-Profil speziell für den Verwaltungszugriff mit strengeren Sicherheitseinstellungen. Verwenden Sie Firewall-Regeln, um den Verwaltungszugriff (Winbox, SSH, WebFig) nur aus dem VPN-Subnetz zuzulassen. Erwägen Sie die Implementierung von IP-basierten Zugriffslisten und Zwei-Faktor-Authentifizierung für zusätzliche Sicherheit.

Was ist der beste Weg, um mit dynamischen IP-Adressen für Site-to-Site-VPNs umzugehen?

Verwenden Sie dynamische DNS-Dienste (DDNS), um sich ändernde IP-Adressen zu verfolgen. Konfigurieren Sie Ihr IPsec oder OpenVPN so, dass Hostnamen anstelle von IP-Adressen verwendet werden. Für IPsec benötigen Sie möglicherweise ein Skript, um Peer-Adressen zu aktualisieren, wenn sie sich ändern. Alternativ können Sie die "mode-config"-Funktion von RouterOS für IPsec verwenden, um die dynamische Adressierung zu handhaben.

Fazit

Die Einrichtung eines VPN auf Ihrem MikroTik-Router bietet sicheren Fernzugriff auf Ihre Netzwerkressourcen und ermöglicht eine sichere Site-to-Site-Konnektivität zwischen mehreren Standorten. In diesem umfassenden Leitfaden haben wir verschiedene VPN-Implementierungsoptionen behandelt, vom weitgehend kompatiblen L2TP/IPsec bis zum modernen und effizienten WireGuard-Protokoll.

Wir haben den schrittweisen Prozess der Konfiguration jedes VPN-Typs durchlaufen, einschließlich der erforderlichen Zertifikate, Verschlüsselungseinstellungen, Firewall-Regeln und Client-Konfigurationen. Wir haben auch erweiterte Konfigurationen wie Split-Tunneling, Zwei-Faktor-Authentifizierung und Techniken zur Leistungsoptimierung untersucht, um Ihnen beim Aufbau einer robusten und sicheren VPN-Infrastruktur zu helfen.

MikroTik-Router bieten außergewöhnliche Flexibilität und leistungsstarke VPN-Funktionen zu einem Bruchteil der Kosten vieler Unternehmenslösungen. Indem Sie den Anweisungen in diesem Leitfaden folgen, können Sie diese Fähigkeiten nutzen, um sichere Verbindungen zu erstellen, die Ihre Daten schützen und einen nahtlosen Fernzugriff auf Ihre Netzwerkressourcen ermöglichen.

Denken Sie daran, dass Sicherheit ein kontinuierlicher Prozess ist, keine einmalige Einrichtung. Aktualisieren Sie regelmäßig Ihre RouterOS-Firmware, überprüfen Sie Ihre VPN-Konfigurationen, überwachen Sie Protokolle auf ungewöhnliche Aktivitäten und passen Sie Ihre Sicherheitseinstellungen nach Bedarf an, um eine starke Sicherheitsposition aufrechtzuerhalten.

Für spezielle VPN-Lösungen, die auf Ihre spezifischen Bedürfnisse zugeschnitten sind, ziehen Sie die MikroTik-Serverangebote von TildaVPS in Betracht, die optimierte Hardware und vorkonfigurierte Umgebungen für den Betrieb robuster VPN-Dienste mit minimaler Einrichtungszeit bieten.

Häufig gestellte Fragen (FAQ)

Welches VPN-Protokoll sollte ich für meinen MikroTik-Router wählen?

Das beste Protokoll hängt von Ihren spezifischen Bedürfnissen ab. L2TP/IPsec bietet breite Kompatibilität mit den meisten Geräten. OpenVPN bietet ein gutes Gleichgewicht zwischen Sicherheit und Flexibilität. WireGuard (verfügbar in RouterOS v7+) bietet die beste Leistung und Einfachheit. Für Site-to-Site-Verbindungen zwischen Zweigstellen ist IPsec aufgrund seiner robusten Sicherheit und der weit verbreiteten Akzeptanz in Unternehmen typischerweise die bevorzugte Wahl.

Wie behebe ich Probleme mit der VPN-Verbindung auf MikroTik?

Beginnen Sie mit der Überprüfung der Protokolle (System → Logs) auf spezifische Fehlermeldungen. Stellen Sie sicher, dass Ihre Firewall-Regeln den VPN-Verkehr auf den entsprechenden Ports zulassen. Bei zertifikatbasierten VPNs wie OpenVPN stellen Sie sicher, dass die Zertifikate korrekt signiert und nicht abgelaufen sind. Testen Sie die Konnektivität mit Ping und Traceroute, um festzustellen, wo die Verbindung fehlschlägt. Überprüfen Sie bei IPsec, ob die Security Associations (SAs) etabliert sind, indem Sie unter IP → IPsec → Active Peers nachsehen.

Kann ich mehrere VPN-Server auf demselben MikroTik-Router betreiben?

Ja, Sie können mehrere VPN-Protokolle gleichzeitig auf einem einzigen MikroTik-Router ausführen. Sie können beispielsweise L2TP/IPsec für mobile Clients, OpenVPN für Remote-Mitarbeiter und IPsec für Site-to-Site-Verbindungen haben. Stellen Sie einfach sicher, dass jeder Dienst einen anderen Port verwendet und über entsprechende Firewall-Regeln verfügt. Berücksichtigen Sie die Hardware-Fähigkeiten Ihres Routers, da der Betrieb mehrerer VPN-Dienste mit vielen Clients CPU-intensiv sein kann.

Wie kann ich die VPN-Sicherheit auf meinem MikroTik-Router verbessern?

Verbessern Sie die VPN-Sicherheit durch die Verwendung starker Verschlüsselungsalgorithmen (AES-256), die Implementierung von Zwei-Faktor-Authentifizierung, die regelmäßige Rotation von Pre-shared Keys und Passwörtern, die Verwendung von zertifikatbasierter Authentifizierung, wo möglich, die Implementierung strenger Firewall-Regeln zur Begrenzung des Zugriffs nur auf notwendige Ressourcen und die Aktualisierung Ihres RouterOS auf die neueste stabile Version, um Sicherheitslücken zu schließen.

Wie viele gleichzeitige VPN-Benutzer kann mein MikroTik-Router unterstützen?

Dies hängt von den Hardware-Spezifikationen Ihres Routers ab, insbesondere von der CPU-Leistung und dem verfügbaren RAM. Einstiegsmodelle wie die hAP-Serie können möglicherweise 5-10 gleichzeitige Benutzer verarbeiten, Mittelklassemodelle wie der RB4011 können 20-30 Benutzer unterstützen, während High-End-Modelle wie die CCR-Serie 50+ gleichzeitige Verbindungen bewältigen können. WireGuard ist tendenziell effizienter als OpenVPN oder IPsec und ermöglicht mehr gleichzeitige Verbindungen bei gleicher Hardware.

Kann ich von mobilen Geräten auf mein MikroTik-VPN zugreifen?

Ja, alle in diesem Leitfaden besprochenen VPN-Protokolle können von mobilen Geräten verwendet werden. L2TP/IPsec und IKEv2 werden von iOS und Android nativ unterstützt. Für OpenVPN können Sie die offizielle OpenVPN Connect App verwenden. WireGuard hat ausgezeichnete mobile Apps für beide Plattformen. Bei der Einrichtung von VPN für mobile Geräte sollten Sie die Implementierung von Split-Tunneling in Betracht ziehen, um die Akkulaufzeit und die Datennutzung zu optimieren.

Wie richte ich einen VPN-Server auf MikroTik ein, der in Ländern mit Internetbeschränkungen funktioniert?

In restriktiven Umgebungen werden Standard-VPN-Ports oft blockiert. Konfigurieren Sie Ihr VPN so, dass es gängige Ports wie 443 (HTTPS) oder 53 (DNS) verwendet, die selten blockiert werden. Verwenden Sie für OpenVPN TCP anstelle von UDP, da es schwerer zu erkennen ist. Erwägen Sie die Implementierung von Verschleierungstechniken wie stunnel oder obfsproxy, um den VPN-Verkehr zu tarnen. WireGuard kann so konfiguriert werden, dass es auf jedem Port läuft, was es flexibel für die Umgehung von Beschränkungen macht.

Was ist der Unterschied zwischen einem Fernzugriffs-VPN und einem Site-to-Site-VPN?

Ein Fernzugriffs-VPN (Remote Access VPN) verbindet einzelne Benutzer mit einem Netzwerk und ermöglicht ihnen den Zugriff auf Ressourcen, als wären sie physisch an diesem Standort anwesend. Dies ist ideal für Remote-Mitarbeiter oder den Zugriff auf Ihr Heimnetzwerk während der Reise. Ein Site-to-Site-VPN verbindet ganze Netzwerke miteinander, sodass alle Geräte an jedem Standort miteinander kommunizieren können. Dies wird typischerweise verwendet, um Zweigstellen mit der Zentrale oder mit Cloud-Umgebungen zu verbinden.

Wie kann ich überwachen, wer mit meinem MikroTik-VPN verbunden ist?

Für Echtzeitüberwachung überprüfen Sie die aktiven Verbindungen im jeweiligen VPN-Abschnitt (PPP → Active Connections für L2TP und PPTP, IP → IPsec → Active Peers für IPsec, Interface → WireGuard → Peers für WireGuard). Für historische Daten konfigurieren Sie die Protokollierung (System → Logging), um Verbindungsereignisse aufzuzeichnen. Sie können auch SNMP-Überwachungstools verwenden oder benutzerdefinierte Skripte einrichten, um Verbindungen zu verfolgen und Berichte zu erstellen.

Ist es möglich, den VPN-Zugriff auf bestimmte Zeiten oder Tage zu beschränken?

Ja, Sie können zeitbasierte Einschränkungen mithilfe von Scheduler-Skripten oder Firewall-Regeln implementieren. Erstellen Sie zeitbasierte Firewall-Regeln, die VPN-Verkehr nur zu bestimmten Zeiten zulassen. Alternativ können Sie Benutzerprofile mit Zeitbeschränkungen verwenden oder benutzerdefinierte Skripte schreiben, die VPN-Dienste nach einem Zeitplan aktivieren/deaktivieren. Dies ist nützlich, um Geschäftszeiten durchzusetzen oder Wartungsfenster zu implementieren.

Wichtige Erkenntnisse (Key Takeaways)

• MikroTik-Router unterstützen mehrere VPN-Protokolle, darunter L2TP/IPsec, OpenVPN, WireGuard und IPsec, was Ihnen die Flexibilität gibt, die beste Lösung für Ihre spezifischen Bedürfnisse zu wählen.

• WireGuard (verfügbar in RouterOS v7+) bietet die beste Leistung und Einfachheit, während IPsec robuste Sicherheit für Site-to-Site-Verbindungen bietet und L2TP/IPsec die breiteste Gerätekompatibilität aufweist.

• Eine korrekte Firewall-Konfiguration ist für die VPN-Sicherheit unerlässlich – erstellen Sie immer spezifische Regeln, um nur den notwendigen VPN-Verkehr zuzulassen, und implementieren Sie geeignete Zugriffskontrollen für Ihre Netzwerkressourcen.

• Erweiterte Funktionen wie Split-Tunneling, Zwei-Faktor-Authentifizierung und redundante Verbindungen können die Sicherheit und Benutzerfreundlichkeit Ihrer VPN-Implementierung erheblich verbessern.

• Regelmäßige Überwachung, Protokollierung und Wartung Ihres VPN-Setups sind entscheidend für die Aufrechterhaltung der Sicherheit und die Gewährleistung einer zuverlässigen Leistung im Laufe der Zeit.

Glossar

IPsec (Internet Protocol Security): Eine Protokollsuite, die IP-Pakete authentifiziert und verschlüsselt, um eine sichere verschlüsselte Kommunikation zwischen Netzwerkgeräten bereitzustellen.

L2TP (Layer 2 Tunneling Protocol): Ein Tunneling-Protokoll zur Unterstützung von VPNs, oft kombiniert mit IPsec zur Verschlüsselung.

OpenVPN: Ein Open-Source-VPN-Protokoll, das SSL/TLS für den Schlüsselaustausch verwendet und sowohl über UDP als auch TCP betrieben werden kann.

WireGuard: Ein modernes, schnelleres und einfacheres VPN-Protokoll, das auf Leistung und einfache Implementierung ausgerichtet ist.

Split-Tunneling: Eine VPN-Funktion, die es einem Benutzer ermöglicht, über dieselbe physische Netzwerkverbindung gleichzeitig auf verschiedene Netzwerke (öffentlich und privat) zuzugreifen.

Pre-shared Key (PSK): Ein gemeinsames Geheimnis, das zur Authentifizierung bei VPN-Verbindungen verwendet wird.

Zertifizierungsstelle (CA - Certificate Authority): Eine Entität, die digitale Zertifikate ausstellt, die bestätigen, dass ein bestimmter öffentlicher Schlüssel zu einer bestimmten Entität gehört.

MTU (Maximum Transmission Unit): Die Größe der größten Protokolldateneinheit, die in einer einzelnen Netzwerk-Layer-Transaktion kommuniziert werden kann.

NAT Traversal: Techniken zur Herstellung und Aufrechterhaltung von Verbindungen über Netzwerkadressübersetzer (NAT).

Zwei-Faktor-Authentifizierung (2FA - Two-factor Authentication): Ein Sicherheitsprozess, bei dem Benutzer zwei verschiedene Authentifizierungsfaktoren angeben, um ihre Identität zu überprüfen.