MikroTik: включение и выключение wifi и vpn по расписанию

На домашнем роутере MikroTik возникла идея организовать автоматическое выключение и включение по расписанию имеющихся точки wifi и канала vpn.

WiFi

Включение/выключение точки wifi производится командами:

/interface wireless enable 0 – включить точку (интерфейс wifi);

/interface wireless disable 0 – выключить точку (интерфейс wifi).

0 – это номер интерфейса wireless (начинается с 0). А так как данный интерфейс является единственным, то к нему применяется значение 0.

Далее остаётся через "System – Sheduler" создать 2 события.

В параметрах события определяется время наступления события (Start Time), устанавливается интервал между событиями 24 часа (24:00:00 или 1d:00:00:00) и указывается действие по событию. Аналогичная запись создаётся и для выключения wifi.

Действие по событию: в поле On Event вписать /interface wireless enable 0 для включения wifi или /interface wireless disable 0 для его выключения (см. выше).

VPN

Канал vpn представляет из себя клиент, осуществляющий соединение через L2tp с удалённым рабочим сервером, к ресурсу которого осуществляется доступ с целью выполнения ряда производственных заданий.

После получения необходимых реквизитов для соединения с сервером предприятия было принято решение не создавать на компьютере ярлык для подключения, а возложить данную задачу на MikroTik.

Со временем возникла идея включать и выключать данный клиент по расписанию. Действия  аналогичны тем, которые были осуществлены для wifi:

/interface l2tp-client enable 0 – включение клиента;

/interface l2tp-client disable 0 – выключение клиента.

Например, для выключения клиента в планировщик внесено событие:

Оптимальный MTU для VPN. После подключения к серверу vpn были произведены тестовые пинги, продемонстрировавшие, что наилучшая связь с необходимым узлом vpn (имя_хоста_vpn) обеспечивается не с MTU=1450, с которым маршрутизатор соединяется с сервером vpn по умолчанию, а с MTU=1440.

Значение складывается из суммы полученного наилучшего значения пинга с компьютера пакетами с флагом запрета фрагментации

Linux:  ping -c 4 -M do -s 1412 имя_хоста_vpn

Windows:  ping имя_хоста_vpn – f –l 1412   (пояснение)

и дополнительных байтов, необходимые на формирование заголовков пакета и запроса, на выходе с маршрутизатора, то есть интерфейса L2TP. Учитывая сказанное, данное значение вырастает на 28 байт и приобретает значение 1440.

Примечание. Длину результирующего пакета можно увидеть в терминале Linux, в котором перед отображением очереди ответов присутствует запись 

PING имя_хоста_vpn (его адрес IP) 1412(1440) bytes of data.

Исходя из этого, правила Firewall были дополнены правилами Mangle для входящих и исходящих соединений. На рисунках ниже указано Mangle Rule для входящего соединения. Аналогичное правило создано и для исходящих соединений, то есть для Out. Interface.

Во вкладке Advanced:

Во вкладке Action:

Ошибка соединения 809 при использовании L2TP IpSec для подключения по VPN с профилем SSTP на MikroTik

В интересах производственных процессов возникает вопрос обеспечения доступа пользователей к локальной сети предприятия через VPN.

Частным случаем реализации данной задачи является организация доступа через шлюз MikroTik по протоколу L2TP с использованием IpSec и ключа проверки подлинности (IPSec Secret). При этом при создании пользователей для доступа по VPN через сервер L2TP используется профиль SSTP.

Однако, как показала практика, возникают сложности с соединением, выражающиеся в отображении пользователю ошибки 809 при его попытке соединиться с локальной сетью, например:

Устранение данной ошибки является комплексным решением проблемы и включает в себя условно 3 этапа.

1. Модем. При работе из дома пользователи, как правило, используют домашний роутер, предоставленный провайдером услуг Интернет. Необходимо убедиться, что Ваш домашний роутер будет корректно обрабатывать протоколы L2TP и IpSec. Пример решения для одного из модемов приведён в этой заметке.

По личному опыту, этого было достаточно при работе в Linux.

2. Брандмауэр Windows, по умолчанию, блокирует необходимые для описываемого типа VPN-соединения соединения к определённым портам. Для обеспечения соединения нужно открыть доступ к портам UDP 500, 1701, 4500. Назначение этих портов:

500 – ISAKMP – Internet Security Association and Key Management Protocol;

1701 – Layer 2 Forwarding Protocol (L2F) & Layer 2 Tunneling Protocol (L2TP);

4500 – NAT-T – IPSec Network Address Translator Traversal.

Запустите оснастку управления брандмауэром Windows и нажмите на ссылку "Дополнительные параметры":

Нужно создать 2 правила: для входящих подключений и исходящих подключений. Активизируйте соответствующий пункт в верхнем меню слева:

Далее в верхнем меню справа нажмите на "Создать правило":

При запросе типа правила укажите, что данное правило создаётся для порта:

Укажите локальные порты UDP: 500, 4500, 1701

Аналогично сделайте и для другого вида подключения (в этом примере далее – для исходящего).

Попробуйте установить соединение. Если не помогло – работаем дальше.

3. Внесение измнения в реестр Windows.

Запустите редактор реестра (regedit) и пройдите в ветку

HKEY_LOCAL_MACHINE\ System\ CurrentControlSet\ Services\ Rasman\ Parameters

Создайте двоичный параметр DWORD с именем ProhibitIpSec и значением 1:

Перезагрузитесь. Попробуйте соединиться со своей сетью по VPN. Получилось?

L2tp Ipsec на модеме "Промсвязь" ZXV10 H208L

Возникла необходимость подключения к узлу VPN по L2tp IpSec. Если модем функционировал в режиме Brigde, то проблем не возникало. Однако если он функционировал в режиме Router, то имела место ошибка 809, говорящая о том, что соединение установить не удаётся, так как конечный узел не найден.

Как показало изучение вопроса, на модеме "Промсвязь" ZXV10 H208L по умолчанию отключена возможность предоставления соединений по L2tp и IpSec. Чтобы их включить, перейдите в панель управления модемом и далее в раздел "Security" и "ALG". Поставьте галочки в полях L2TP ALG и IPSEC ALG:

Сохраните изменения.