MikroTik IPsec Site-to-Site VPN Kılavuzu

Özet MikroTik IPsec site-to-site VPN, iki ağın tamamı arasındaki trafiği şifreler — merkez ofis ile şube, NOC ile kule sahası gibi — böylece her LAN’daki cihazlar diğerine yerelmiş gibi erişir. Bu kılavuz her iki yönlendiriciyi RouterOS v7 üzerinde yapılandırır: IKEv2 peer, ön paylaşımlı anahtarlı identity, Faz 2 proposal, tünel policy’si, ilk denemelerin çoğunu bozan NAT atlama kuralı ve tünelin çalıştığını doğrulayan güvenlik duvarı kuralları ile kontroller.

MikroTik IPsec site-to-site VPN nedir?

MikroTik IPsec site-to-site VPN, iki yönlendirici arasında kalıcı bir şifreli tüneldir ve iki ayrı LAN’ı Katman 3’te tek bir yönlendirilebilir ağda birleştirir; hiçbir yönlendirici genel internete bir yönetim portu açmaz. WireGuard veya OpenVPN gibi istemci erişimli VPN’lerin aksine — burada tek bir yönetici cihaz bağlanır — site-to-site tüneli her zaman açıktır ve alt ağdan alt ağa çalışır: A Yönlendiricisi’nin arkasındaki her cihaz, B Yönlendiricisi’nin arkasındaki izin verilen her cihaza otomatik olarak ulaşır. IPsec burada doğru araçtır çünkü neredeyse her güvenlik duvarı ve yönlendirici üreticisinin desteklediği açık bir standarttır, iyi verim için RouterOS çekirdeğinde çalışır ve MikroTik’te kurulacak ek paket olmadan yerleşik gelir.

Tünel iki müzakereyle kurulur. Faz 1 (IKE) iki yönlendiriciyi birbirine doğrular ve güvenli bir kanal kurar; Faz 2 (IPsec) veri trafiğinizi asıl şifreleyen anahtarları müzakere eder. Her iki fazı her iki uçta eşleştirin, tünel kalkar; tek bir algoritma bile uyuşmazsa sessizce başarısız olur — aşağıdaki adımların iki tarafı simetrik tutmasının nedeni budur.

Başlamadan önce

RouterOS v7 çalıştıran iki MikroTik yönlendiriciye ihtiyacınız var; her birinde bir genel IP adresi veya çalışan bir DDNS ana bilgisayar adı ve çakışmayan iki LAN alt ağı bulunmalı. Bu kılavuz A Sahası’nda 192.168.10.0/24, B Sahası’nda 192.168.20.0/24 kullanır. Her iki saha da 192.168.88.0/24 kullanıyorsa yönlendirme imkânsızdır — önce bir tarafı yeniden adresleyin. IPsec saat kaymasına çok duyarlı olduğundan başlamadan önce her iki yönlendiricide NTP’yi etkinleştirin; iki uç birbirinden uzaklaşırsa security association’lar sona erer ve tünel sürekli düşer.

Bu ön koşulu bir avuçtan fazla sahada yönetmek başlı başına bir külfettir. Bir filo işletirken MKController, bir tüneli devreye almadan önce her yönlendiricinin RouterOS sürümünü ve saat kaynağını doğrulayabileceğiniz tek bir konsol sunar; böylece yalnızca hazır olup olmadığını görmek için her cihaza tek tek bağlanmanız gerekmez.

Adım 1: IKE profile ve peer oluşturun

A Sahası’nda Faz 1 profile’ını tanımlayın ve bir peer’ı B Sahası’nın genel adresine yönlendirin:

/ip ipsec profile add name=to-siteB hash-algorithm=sha256 \
    enc-algorithm=aes-256 dh-group=modp2048 lifetime=1d

/ip ipsec peer add name=siteB address=<SITE_B_PUBLIC_IP>/32 \
    profile=to-siteB exchange-mode=ike2

dh-group=modp2048, Diffie-Hellman Grup 14’tür — sağlam ve modern bir varsayılan. exchange-mode=ike2 IKEv2’yi seçer; bu, eski main/IKEv1 modundan daha hızlı ve daha dayanıklıdır. Her iki uç da aynı profile değerlerini ve aynı değişim modunu kullanmalıdır.

Adım 2: identity ekleyin (ön paylaşımlı anahtar)

/ip ipsec identity add peer=siteB auth-method=pre-shared-key \
    secret="<long-random-shared-secret>"

Uzun, rastgele bir gizli anahtar kullanın ve onu bir SSH anahtarını saklar gibi saklayın — sohbet mesajında değil. Aynı gizli anahtar her iki yönlendiriciye de girilir.

Adım 3: Faz 2 proposal’ını tanımlayın

/ip ipsec proposal add name=to-siteB auth-algorithms=sha256 \
    enc-algorithms=aes-256-cbc pfs-group=modp2048

Perfect Forward Secrecy (pfs-group), her anahtar yenilemesinin taze anahtar malzemesi kullanması demektir; böylece ele geçirilmiş bir anahtar geçmiş trafiği asla açığa çıkarmaz. Faz 1’de olduğu gibi algoritmalar her iki uçta eşleşmelidir.

Adım 4: Tünel policy’sini oluşturun

Policy, RouterOS’a hangi trafiğin şifreleneceğini söyler — yerel LAN’dan uzak LAN’a:

/ip ipsec policy add peer=siteB tunnel=yes \
    src-address=192.168.10.0/24 dst-address=192.168.20.0/24 \
    proposal=to-siteB action=encrypt

tunnel=yes, bunu ana bilgisayardan ana bilgisayara değil site-to-site yapan şeydir: orijinal paketler bütün olarak sarmalanır, böylece iki LAN şeffaf biçimde konuşabilir.

Adım 5: NAT atlama kuralını ekleyin (herkesin unuttuğu adım)

İlk denemelerin çoğu tam burada bozulur. Yönlendiricinizde giden LAN trafiğinin kaynak adresini yeniden yazan bir masquerade kuralı zaten vardır. Bu kural IPsec’ten önce devreye girerse uzak uç, kaynağı artık policy ile eşleşmeyen paketler alır ve onları düşürür. Tünele giden trafiğin NAT’ı atlaması için masquerade’in üstüne bir accept kuralı ekleyin:

/ip firewall nat add chain=srcnat action=accept place-before=0 \
    src-address=192.168.10.0/24 dst-address=192.168.20.0/24

place-before=0 kuralı srcnat zincirinin en tepesine koyar ve bu zorunludur — masquerade’den sonra yerleştirilen bir atlama kuralı hiçbir işe yaramaz.

Adım 6: Güvenlik duvarını açın ve doğrulayın

Özellikle sahalardan biri başka bir NAT cihazının arkasındaysa, tünelin kurulabilmesi için input zincirinde IKE ve NAT-T portlarına ve ESP protokolüne izin verin:

/ip firewall filter add chain=input protocol=udp dst-port=500,4500 action=accept
/ip firewall filter add chain=input protocol=ipsec-esp action=accept

Ardından tünelin çalıştığını doğrulayın:

/ip ipsec active-peers print
/ip ipsec policy print

Sağlıklı bir tünel, aktif bir peer ve ph2-state değeri established olan bir policy gösterir. Bir LAN’daki bir cihazdan diğerindeki bir cihaza yapılan hızlı bir ping, uçtan uca erişilebilirliği kanıtlar.

Yapılandırmayı B Sahası’nda yansıtın

Adresleri ters çevirerek her adımı B Sahası’nda tekrarlayın: peer, A Sahası’nın genel IP’sini gösterir; policy ve NAT atlaması ise src-address=192.168.20.0/24 ve dst-address=192.168.10.0/24 kullanır. Profile, proposal, identity gizli anahtarı ve IKEv2 modu aynı kalır. İki taraf eşleştiğinde Faz 1 ve Faz 2 tamamlanır ve tünel kalkar.

Güvenlik ve işletim ipuçları

RouterOS’u güncel tutun — son sürümler IPsec/IKEv2 peer sertifikası eşleştirmesini ilgilendiren düzeltmeler getirdi; bu nedenle geçen çeyrekte çalışan bir tünel her yükseltmeden sonra yeniden test edilmeyi hak eder. Eski IKEv1 varsayılanları yerine PFS’li IKEv2’yi tercih edin. Tünel sayısı arttıkça mümkün olan yerlerde paylaşılan gizli anahtardan sertifika kimlik doğrulamasına geçin, çünkü sızan tek bir ön paylaşımlı anahtar onu paylaşan her sahayı etkiler. Ve tünel durumunu gerçekten baktığınız bir yere kaydedin: ölü bir site-to-site bağlantı, biri uzak LAN’a ulaşmaya çalışıp başaramayana kadar görünmezdir.

Bir filoda, saat senkronizasyonu bozulduktan veya WAN kesintisinden sonra sessizce düşen bir IPsec tüneli, tam da müşterinin sizden önce fark ettiği türden bir arızadır. MKController bu boşluğu kapatır: her yönlendiriciyi, cihazda genel IP ve port yönlendirme gerektirmeyen güvenli bir giden tünel üzerinden izler, kötü bir düzenlemeden sonra çalışan bir IPsec bloğunu karşılaştırıp geri yükleyebilmeniz için sürümlenmiş yapılandırma yedekleri tutar ve telefon çalmadan önce bağlantı kopması olayında bir talep açabilir. Tünel yapılandırmasının kendisi için MikroTik’te NAT kılavuzumuz burada atladığınız masquerade kuralını açıklar; iki LAN’ı birleştirmek yerine tek bir yönlendiriciye erişmek içinse CGNAT arkasında uzaktan yönetim ve WireGuard ile uzaktan yönetim incelememize bakın.

Tünellerinizi tek çatı altında toplayın

IPsec iki sahayı temiz biçimde birleştirir, ancak büyüyen bir ISP veya MSP kısa sürede senkronize tutulacak onlarca tünele, anahtara ve güvenlik duvarı kuralına sahip olur — ve her manuel düzenleme, kendinizi uzak bir sahadan kilitleme ihtimalidir. MKController tam da bu ölçek için tasarlandı: merkezi filo yönetimi, açık port gerektirmeyen güvenli uzaktan erişim, yapılandırma geçmişi ve yedekler, ayrıca güvenlik duvarı ve policy değişikliklerinin filo genelinde uygulanması; böylece bir tünel şablonu yönlendirici yönlendirici yeniden yazılmak yerine bir kez dağıtılır. MikroTik’i büyük ölçekte işleten operatörler, cihaz başına SSH ile kaybedilen bir öğleden sonrayı değişiklik başına birkaç tıklamaya dönüştürmek için bunu kullanıyor.

Ücretsiz MKController denemenizi başlatın