Как грамотно настроить vpn?

Question

[Александр Булгаков]

Ситуация такая. Есть локальная сеть предприятия, интеренет раздается через mikrotik, статический IP аддрес. Необходимо настроить vpn доступ к данной сети с других внешних компьютеров. Как грамотнее сделать - настраивать vpn именно на самом микротике? (тогда что лучше выбрать Openvpn ppptp?) Либо выбрать компьютер в локальной сети как vpn сервер и в микротике прописать к нему маршрут?

Answer 1

[Diman89]

Поднимайте на микротике
openvpn у него считай что нет
Если мощщи хватает (или скорости большие не нужны), то l2tp&ipsec туннель

Comments

[Станислав Валсинатс]

Тут автора немного пугают. Все зависит от количества ПК.

У меня настроено L2TP+IPSEC, но в пиковой активности максимум 4 сотрудника удаленно - загрузка нулевая.

Соответственно - зависит от количества ПК и модели микротика

[Diman89]

Станислав Валсинатс, сотрудников может быть хоть 104, если они будут генерить 1mbps трафика - нагрузка будет околонулевой
От модели зависит наличие аппаратной поддержки шифрования

[Александр Булгаков]

модель микротика такая

[Diman89]

Александр Булгаков, разворачивайте смело, CCR'ы достаточно производительные

[20ivs]

Исключительно l2tp&ipsec.

[Ruslan-Strannik]

20ivs, почему?

[Diman89]

Ruslan-Strannik, потому что секурно

[20ivs]

Diman89, и достаточно просто на обеих сторонах.

Answer 2

[Radjah]

Если OpenVPN на машине внутри сети, то можно сделать L2 (tap) и мост, тогда со стороны микротика только проброс порта понадобится. Андроид tap не умеет, по крайней мере в 7-й версии точно не умеет, только tun (L3).

Для tun уже нужны будут маршруты или маскарадинг, если доступ к внешним устройствам со стороны сети за микротиком не нужен.

Answer 3

[Дмитрий Шицков]

Сервер с Openvpn - для удалённого подключения людей удобнее всего. Ещё можно рассмотреть softether vpn. Данные решения позволяют пушить конфигурацию клиенту, что довольно удобно.

Про Openvpn на Микротике забудте - разработчики RouterOS не один раз указывали на то, что его развивать не будут. Его функционал на микротике минимален.

Answer 4

[Andrei]

Для винды при помощи CMAK можно сделать удобный автоматический установщик VPN в виде файла .exe + туда же запихать все необходимые маршруты в корпоративную сеть, параметры подключения и т.д.

Answer 5

[CityCat4]

Грамотнее - IPSec, но там с виндой могут быть проблемы. И микротик нужно с аппаратным шифрованием, потому что например RB2011 встает в позу ротного пулемета даже от одного нагруженного туннеля.
Проще всего - pptp пробросом внутрь сети на винду, если на безопасность пофиг (pptp давно сломан).