Mikrotik OpenVPN Server με Android Client

[Nikiforos]

Καλησπέρα παιδιά και χρόνια πολλά.

Για τον οδηγό αυτό με τον OpenVPN server μπορεί να χρησιμοποιηθεί το MikroTik CRS109 που είναι οικονομικό? Επίσης όσοι το έχετε αξίζει τα λεφτά του? Το θέλω για μικρή επιχείρηση.

Ευχαριστώ

καλησπέρα! χρονια πολλα! αυτο εχω και εγω εδω περα, πολυ καλο και αξιζει το καθε ευρω της τιμης του!
φυσικα και μπορει οπως ολα τα μηχανηματα που τρεχουν mikrotik router OS! δεν εχει σημασια τι ειναι.
Με οpenvpn server σε αυτο εχω κανει διπλα ΝΑΤ και κανω 2 ξεχωριστες δουλειες και σε κινητα και ιντερνετ αλλου μεσω ασυρματων δικτυων.
Οσο ποιο δυνατο ειναι το μηχανημα μπορεις να σηκωνεις περισσοτερες υπηρεσιες.

[dkouskousis]

καλησπέρα! χρονια πολλα! αυτο εχω και εγω εδω περα, πολυ καλο και αξιζει το καθε ευρω της τιμης του!
φυσικα και μπορει οπως ολα τα μηχανηματα που τρεχουν mikrotik router OS! δεν εχει σημασια τι ειναι.
Με οpenvpn server σε αυτο εχω κανει διπλα ΝΑΤ και κανω 2 ξεχωριστες δουλειες και σε κινητα και ιντερνετ αλλου μεσω ασυρματων δικτυων.
Οσο ποιο δυνατο ειναι το μηχανημα μπορεις να σηκωνεις περισσοτερες υπηρεσιες.

Τι αμεσότητα Νικηφόρε!! Ευχαριστώ πολύ για την απάντηση και τις πληροφορίες.
Θα το αγοράσω και θα στείλω εντυπώσεις.


Δημήτρης

[Nikiforos]

παρακαλω δεν κανει τιποτα, οτι θες εδω ειμαστε! αφου το θες και για επιχειρηση ειναι οτι πρεπει.

[teodor_ch]

εγώ για επιχείρηση πήρα σήμερα ενα 951 στα 80 ευρώ
με ίδιο επεξεργαστή και μνήμη νομίζω

[Nikiforos]

εγώ για επιχείρηση πήρα σήμερα ενα 951 στα 80 ευρώ
με ίδιο επεξεργαστή και μνήμη νομίζω

καλημερα, με γεια! ναι ιδια cpu και ram εχουν αν πηρες το ακριβοτερο 951, απλα το 109 εχει αρκετα πραγματακια παραπανω. Στο site της routerboard μπορεις να δεις αναλυτικα ποια ειναι αυτα.

[puntomania]

Εδώ παρουσιάζω έναν οδηγό για εγκατάσταση OpenVPN Server στο ΜΤ και χρήση Android Client.
Ο οδηγός αυτός είναι συνέχεια του προηγούμενου βασικού οδηγού εγκατάστασης.
Θα χρειαστούμε ένα ΗΥ με Linux.
Είναι εύκολο να εγκατασταθεί.
Προσωπικά χρησιμοποίησα VirtualBox με Ubuntu Server.

Δημιουργούμε τα πιστοποιητικά στο Linux (οι εντολές δίνονται με δικαιώματα root σαν su ή με sudo μπροστά):

Spoiler:

*** Εγκατάσταση openvpv και παραμετροποίηση default τιμών (για να μην τα δίνουμε συνέχεια)

apt-get install openvpn bridge-utils
cd /etc/openvpn/ 
mkdir easy-rsa
cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/ 
cd /etc/openvpn/easy-rsa/
pico vars
	export KEY_COUNTRY="GR"
	export KEY_PROVINCE="TH"
	export KEY_CITY="Thessaloniki"
	export KEY_ORG="HomeMikrotik"
	export KEY_EMAIL="my@email.com"

*** Δημιουργία master Certificate Authority (CA) certificate & key

source vars
./clean-all
./build-ca
	Common Name: HomeMikrotikCA

*** Δημιουργία certificate & key for server

./build-key-server server
	Common Name: server	
	Sign the certificate: y
	1 out of 1 certificate requests certified, commit: y

*** Δημιουργία certificates & key για 1 client

./build-key client1
	Common Name: client1
	Sign the certificate: y
	1 out of 1 certificate requests certified, commit: y

Αντιγράφουμε στον ΗΥ τα αρχεία:

Spoiler:

	ca.crt
	server.crt 
	server.key
	client1.crt
	client1.key

Η διαδικασία μπορεί να γίνει με έναν ftp server που εύκολα μπορούμε να εγκαταστήσουμε.

Spoiler:

Στο ΜΤ κάνουμε τα παρακάτω:
*** Αντιγράφουμε στο ΜΤ μέσω winbox τα αρχεία (στο files του winbox):

	ca.crt
	server.crt 
	server.key

*** Εγκαθιστούμε τα πιστοποιητικά:

System > Certificates > Certificates > Import	
	ca.crt
	ca.key		
	server.crt
	server.key

*** Δημιουργούμε περιοχή διευθύνσεων τις οποίες θα δίνουμε στους openvpn client

IP > Pool > (+)
	Name: openvpnpool1
	Address: 192.168.5.110-192.168.5.111

*** Δημιουργία profile (στο .36 έχω DNS server εξωτερικό με ads block)

PPP > Profiles > (+)
	Name: openvpnprofile
	Local Address: openvpnpool1
	Remote Address: openvpnpool1
	DNS Server: 192.168.5.36

*** Δημιουργία χρήστη για σύνδεση (usr/psw)

PPP > Secrets > (+)
	Name: myusr
	Password: mypsw
	Service: ovpn
	Profile: openvpnprofile

*** Ενεργοποίηση OpenVPN Server

PPP > Interface > OVPN Server (button)
	Enabled
	Mode: ethernet
	Default Profile: openvpnprofile
	Certificate: cert_2 (server.crt/key)
	Require Client Certificate
	Auth: sha1
	Cipher: aes256

*** Ενεργοποίηση Dynamic DNS για πρόσβαση από έξω

IP > Cloud
	Enabled

Παραμετροποιούμε το παρακάτω αρχείο (client.ovpn) βάζοντας την διεύθυνση από το cloud στη θέση του remote:

Spoiler:

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server.     #
#                                            #
# This configuration can be used by multiple #
# clients, however each client should have   #
# its own cert and key files.                #
#                                            #
# On Windows, you might want to rename this  #
# file so it has a .ovpn extension           #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Windows adapter name
# from the Network Connections panel
# if you have more than one.  On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server?  Use the same setting as
# on the server.
proto tcp
;proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote 000000000000.sn.mynetname.net 1194
;remote my-server-2 1194

# Choose a random host from the remote
# list for load-balancing.  Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server.  Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
;resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user nobody
;group nobody

# Try to preserve some state across restarts.
;persist-key
;persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here.  See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets.  Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description.  It's best to use
# a separate .crt/.key file pair
# for each client.  A single ca
# file can be used for all clients.
ca ca.crt
cert client1.crt
key client1.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server".  This is an
# important precaution to protect against
# a potential attack discussed here:
#  http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server".  The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1
tls-client

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
cipher AES-256-CBC
auth SHA1
;cipher x

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
;comp-lzo

# Set log file verbosity.
;verb 3

# Silence repeating messages
;mute 20

auth-user-pass
redirect-gateway

Πάμε στο Android.
Αντιγράφουμε τα αρχεία στον root κατάλογο:

Spoiler:

ca.crt
client1.crt
client1.key

Στο ίδιο σημείο αντιγράφουμε και το αρχείο client.ovpn που φτιάξαμε παραπάνω.
Εγκαθιστούμε την εφαρμογή OpenVPN Connect και κάνουμε τα παρακάτω:

Spoiler:

*** Ρυθμίσεις για OpenVPN Connect
	Preferences:
		Battery Saver (X)
		Seamless Tunnel (X)
		Reconnect on reboot (X)
		Auto Keyboard
		VPN Protocol: TCP
		Connection Timeout: 1 min
		Compression: No
		Force AES-CBC ciphersuites (X)
		DNS Fallback (X)
		Shortcut Minimize
		Notifications
	Import: Import Profile from SD card
			client.ovpn

Αν όλα πήγαν καλά θα πρέπει να συνδεόμαστε κανονικά στον OpenVPN Server και να δρομολογείται όλη η κίνηση από την ΙΡ του ΜΤ.
Για να το ελέγξουμε και να είμαστε 100% σίγουροι...
Συνδεόμαστε σε κάποιο ασύρματο δίκτυο με την android συσκευή (όχι αυτό του ΜΤ).
Συνδεόμαστε με το OpenVPN Connect.
Ανοίγουμε μία από τις παρακάτω σελίδες:
http://www.whatismyip.com/
http://whatismyipaddress.com/
http://www.showmyip.gr/
http://www.whatsmyip.org/
Θα πρέπει να βλέπουμε για διεύθυνση την ΙΡ του ΜΤ και όχι αυτή του ασύρματου δικτύου που συνδεθήκαμε.

root@raspberrypi:/# apt-get install openvpn bridge-utils
Reading package lists... Done
Building dependency tree
Reading state information... Done
bridge-utils is already the newest version.
openvpn is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
root@raspberrypi:/# cd /etc/openvpn/
root@raspberrypi:/etc/openvpn# mkdir easy-rsa
mkdir: cannot create directory ‘easy-rsa’: File exists
root@raspberrypi:/etc/openvpn# cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/
cp: cannot stat ‘/usr/share/doc/openvpn/examples/easy-rsa/2.0/*’: No such file or directory
root@raspberrypi:/etc/openvpn#


στο examples μέσα δεν έχει φάκελο easy-rsa!!!

[deniSun]

Τα rasp χρησιμοποιούν δικές τους εκδόσεις linux.
Όπως γράφω:

Προσωπικά χρησιμοποίησα VirtualBox με Ubuntu Server.

[Nikiforos]

root@raspberrypi:/# apt-get install openvpn bridge-utils
Reading package lists... Done
Building dependency tree
Reading state information... Done
bridge-utils is already the newest version.
openvpn is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 0 not upgraded.
root@raspberrypi:/# cd /etc/openvpn/
root@raspberrypi:/etc/openvpn# mkdir easy-rsa
mkdir: cannot create directory ‘easy-rsa’: File exists
root@raspberrypi:/etc/openvpn# cp -R /usr/share/doc/openvpn/examples/easy-rsa/2.0/* /etc/openvpn/easy-rsa/
cp: cannot stat ‘/usr/share/doc/openvpn/examples/easy-rsa/2.0/*’: No such file or directory
root@raspberrypi:/etc/openvpn#
στο examples μέσα δεν έχει φάκελο easy-rsa!!!

καλημερα! κανονικα θα επρεπε να είναι οπως στο ubuntu, ομως επειδη η καθε διανομη έχει τις δικες της μετατροπες μπορει κάτι να αλλαζει εδω. Για να το δει καποιος πρεπει να το κανει σε ιδιο λειτουργικο.
εγω πχ τα αρχεια αυτα τα έφτιαξα σε archlinux desktop και ειχαν διαφορετικο τροπο https://wiki.archlinux.org/index.php/Easy-RSA
Aς δουμε λιγο το δικο σου ομως.

Οπως βλεπω εδω : root@raspberrypi:/etc/openvpn# mkdir easy-rsa
mkdir: cannot create directory ‘easy-rsa’: File exists
σου λεει οτι δεν μπορει να κανει τον φακελο επειδη υπαρχει! το τσεκαρες? μηπως τα εχει καπου αλλου?
αν υπαρχει αλλα ειναι αδειος, σβηστον τοτε μηπως και τον φτιαξει σωστα.

προτεινω να δεις αυτο που ειναι πανω σε Raspbian http://readwrite.com/2014/04/10/rasp...-web-browsing/
ή εδω https://jacobsalmela.com/2013/08/11/...-raspberry-pi/

[jkoukos]

στο examples μέσα δεν έχει φάκελο easy-rsa!!!

Οι οδηγίες που κυριαρχούν στο διαδίκτυο αναφέρονται σε εγκατάσταση έως OpenVPN 2.2, όπου το πακέτο easy-rsa εγκαθίσταται μαζί και δημιουργείται ο φάκελλος με τα αρχεία.
Σε OpenVPN 2.3 και μετά, το easy-rsa είναι ξεχωριστό πακέτο (apt-get install easy-rsa) και ο φάκελος με τα αρχεία σε άλλη θέση (/usr/share/easy-rsa).
Άρα η εντολή αντιγραφής θα είναι cp -R /usr/share/easy-rsa /etc/openvpn/easy-rsa

[teodor_ch]

Εγώ τα έφτιαξα στα windows πάντως.
https://community.openvpn.net/openvp...ficatesandKeys

[dkouskousis]

Καλημέρα και καλή χρονιά.

Ακολούθησα τον οδηγό αυτό και ρύθμισα το Μικροκιτ που αγόρασα.
Στο κινητό παίζει κανονικά. Σε Windows pc βγάζει το παρακάτω σφάλμα:

Mon Jan 02 12:24:40 2017 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Mon Jan 02 12:24:40 2017 Attempting to establish TCP connection with [AF_INET]**.**.43.3:1194 [nonblock]
Mon Jan 02 13:24:40 2017 TCP: connect to [AF_INET]**.**.43.3:1194 failed, will try again in 5 seconds: Connection timed out (WSAETIMEDOUT)


Ξέρει κάποιος τι φταίει ;

[Nikiforos]

Καλημέρα και καλή χρονιά.

Ακολούθησα τον οδηγό αυτό και ρύθμισα το Μικροκιτ που αγόρασα.
Στο κινητό παίζει κανονικά. Σε Windows pc βγάζει το παρακάτω σφάλμα:

Mon Jan 02 12:24:40 2017 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Mon Jan 02 12:24:40 2017 Attempting to establish TCP connection with [AF_INET]**.**.43.3:1194 [nonblock]
Mon Jan 02 13:24:40 2017 TCP: connect to [AF_INET]**.**.43.3:1194 failed, will try again in 5 seconds: Connection timed out (WSAETIMEDOUT)


Ξέρει κάποιος τι φταίει ;

καλησπέρα, καλη χρονια!
στο pc client θελει λιγο διαφορετικα τα πραγματα απ' οτι με android, τα ιδια μου κανει και εμενα στο pc απο την δουλεια με XP, και εχω και pptp και παιζω απο εκει με αυτο.
Παντως εχει να κανει με την δηλωση των πιστοποιητικων αυτο ειναι το μονο σιγουρο. Καποτε το ειχα βρει σε αλλο pc με win xp παλι και δεν θυμαμαι τι ειχα κανει.
Επειδη το pc δεν ειναι δικο μου και εφαγε καμια στιγμη format δεν ξανασχοληθηκα.
Εμενα και απο android κινητα-ταμπλετς παιζει και απο mikrotic client.
Ριξε μια ματια και εδω https://forums.openvpn.net/viewtopic.php?t=21255
επισης για πες τι windows εχεις.
Για να σε βοηθησει καποιος ομως πρεπει να δειξεις και το αρχειο του conf απο τα win.

[dkouskousis]

Καλησπέρα Νικηφόρε.

Έχω Windows 7 στο pc. Οι ρυθμίσεις στο client.ovpn είναι οι παρακάτω:

Spoiler:

##############################################
# Sample client-side OpenVPN 2.0 config file #
# for connecting to multi-client server. #
# #
# This configuration can be used by multiple #
# clients, however each client should have #
# its own cert and key files. #
# #
# On Windows, you might want to rename this #
# file so it has a .ovpn extension #
##############################################

# Specify that we are a client and that we
# will be pulling certain config file directives
# from the server.
client

# Use the same setting as you are using on
# the server.
# On most systems, the VPN will not function
# unless you partially or fully disable
# the firewall for the TUN/TAP interface.
;dev tap
dev tun

# Windows needs the TAP-Windows adapter name
# from the Network Connections panel
# if you have more than one. On XP SP2,
# you may need to disable the firewall
# for the TAP adapter.
;dev-node MyTap

# Are we connecting to a TCP or
# UDP server? Use the same setting as
# on the server.
proto tcp
;proto udp

# The hostname/IP and port of the server.
# You can have multiple remote entries
# to load balance between the servers.
remote **************.sn.mynetname.net 1194
;remote my-server-2 1194

# Choose a random host from the remote
# list for load-balancing. Otherwise
# try hosts in the order specified.
;remote-random

# Keep trying indefinitely to resolve the
# host name of the OpenVPN server. Very useful
# on machines which are not permanently connected
# to the internet such as laptops.
;resolv-retry infinite

# Most clients don't need to bind to
# a specific local port number.
nobind

# Downgrade privileges after initialization (non-Windows only)
;user nobody
;group nobody

# Try to preserve some state across restarts.
;persist-key
;persist-tun

# If you are connecting through an
# HTTP proxy to reach the actual OpenVPN
# server, put the proxy server/IP and
# port number here. See the man page
# if your proxy server requires
# authentication.
;http-proxy-retry # retry on connection failures
;http-proxy [proxy server] [proxy port #]

# Wireless networks often produce a lot
# of duplicate packets. Set this flag
# to silence duplicate packet warnings.
;mute-replay-warnings

# SSL/TLS parms.
# See the server config file for more
# description. It's best to use
# a separate .crt/.key file pair
# for each client. A single ca
# file can be used for all clients.
ca ca.crt
cert dkouskousis.crt
key dkouskousis.key

# Verify server certificate by checking
# that the certicate has the nsCertType
# field set to "server". This is an
# important precaution to protect against
# a potential attack discussed here:
# http://openvpn.net/howto.html#mitm
#
# To use this feature, you will need to generate
# your server certificates with the nsCertType
# field set to "server". The build-key-server
# script in the easy-rsa folder will do this.
;ns-cert-type server

# If a tls-auth key is used on the server
# then every client must also have the key.
;tls-auth ta.key 1 <--- ΔΟΚΙΜΑΣΑ ΚΑΙ ΜΕ 0 ΑΝΤΙ ΓΙΑ 1.
tls-client

# Select a cryptographic cipher.
# If the cipher option is used on the server
# then you must also specify it here.
cipher AES-256-CBC
auth SHA1
;cipher x

# Enable compression on the VPN link.
# Don't enable this unless it is also
# enabled in the server config file.
;comp-lzo

# Set log file verbosity.
;verb 3

# Silence repeating messages
;mute 20

auth-user-pass
redirect-gateway

[Nikiforos]

κοιτα πανε χρονια απο τοτε που δουλευα σε windows xp, τωρα δεν δουλεψε μια φορα και επειδη ετσι κι αλλιως εχω και pptp server vpn δεν ασχοληθηκα.
Εψαξα ομως και βρηκα απο τα backup αρχεια μου τι ειχα και δουλευε τοτε και βρηκα το αρχειο στα win xp. Τοτε ομως ειχα τον openvpn server επανω σε Rspro με Openwrt και επισης ειχα 3 αν θυμαμαι καλα openvpn servers να τρεχουν. Το mikrotik client ΔΕΝ παιζει με UDP και θελει TCP ετσι τα αλλα θα δουλευα με UDP.
Στα windows ο client αν θυμαμαι καλα θελει το αντιθετο interface απο αυτο που εχεις, μπορει το λαθος να δειχνει προς τα πιστοποιητικα αλλα πρεπει να εχει σχεση και μπορει να ειναι αυτο.
Δες το αρχειο μου που τοτε δουλευε μια χαρα.
To ξερεις οτι ειναι μετα απο ερωτηματικο ; οτι δεν τα λαμβανει υποψην ετσι? το λεω επειδη καπου λες δοκιμασες με ο και με 1 αλλα βλεπω ερωτηματικο μπροστα.

############################### openvpn.ovpn
# remote OpenVPN server port
remote onoma.thes.cx 1723
tls-client
# keys/certificates
cert client3.cert
key  client3.key
ca   ca.cert
# our local IP and netmask
# ifconfig 10.X.X.X 255.255.255.X
# misc.
dev tap
route 10.0.0.0 255.0.0.0 10.X.X.X (εδω θελει το network)
float
persist-key
keepalive 10 60
resolv-retry infinite
nobind
verb 3
###############################

https://openvpn.net/index.php/open-s...downloads.html
Tap-windows

OpenVPN uses TAP-windows to provide virtual tap device functionality on Windows. Normally you don't need to install TAP-windows separately, as OpenVPN installers include it. The tap-windows driver comes in two flavours: the NDIS 5 driver (tap-windows, version 9.9.x) for Windows XP and NDIS 6 (tap-windows6, version 9.21.x) for Windows Vista and above. Source code for both tap-windows drivers is available on GitHub.

Εγω ειχα αυτο, δεν ξερω ποιο εχεις τωρα με τα 7.
Δοκιμασε το αρχειο να το κανεις σαν το δικο μου, αφου πρωτα το παρεις backup το δικο σου.
Βαλε το σωστο route ομως.

TCP λεει στο error, δεν το εχεις UDP για το android? μπορεις να δειξεις το δικο του conf?

[dkouskousis]

Ευχαριστώ πολύ Νικηφόρε για τις πληροφορίες!!!!! Κάπως πήγε να δουλέψει χθες με τις δικές σου ρυθμίσεις αλλά θέλει δουλίτσα ακόμα. Θα το δω το ΣΚ που θα έχω περισσότερο χρόνο.

Στο κινητό TCP έχω επιλέξει και δουλεύει. Οι ρυθμίσεις που έκανα στο κινητό είναι από τον οδηγό του thread αυτού.


Επίσης ένα άλλο πιο σημαντικό είναι ότι και από linux (ubuntu) και από Android κινητό η ταχύτητα που πιάνω με openvpn είναι 0,28mbps~ . Έτσι είναι και σε σένα ή θέλει κάποια ρύθμιση; Οι ρυθμίσεις που εχω κάνει σε client και server(mikrokit) είναι αυτού του thread. Επίσης έχω απενεργοποιήσει προς το παρόν τα firewall(σε mikrokit και adsl modem).