Mi Blog

No te olvides seguirme en Facebook.

Tan solo tienes que hacer click en Me Gusta

 

 

x

⋆ Cómo conectar dos oficinas por VPN con MikroTik y RouterOS

⋆ Cómo conectar dos oficinas por VPN con MikroTik y RouterOS

(Tiempo estimado: 7 - 13 minutos)

Unir en una misma red 2 oficinas, casas (ó lo que sea) ubicados en diferentes ubicaciones geográficas, es sumamente sencillo y algo que se usa en el 100% de las empresas que tienen sedes en diferentes ubicaciones.

Aunque existen varias formas de hacerlo, en este tutorial os voy a enseñar como unir 2 oficinas con Mikrotik y RouterOS utilizando IPSEC. De esta forma las 2 oficinas estarán conectadas y serán visibles entre ellas como si estuvieran en la misma ubicación geográfica.

Si queréis aprender como hacerlo, seguid leyendo este tutorial...

¿QUÉ ES UNA VPN?

Una red privada virtual, en inglés: Virtual Private Network (VPN) es una tecnología de red de computadoras que permite una extensión segura de la red de área local (LAN) sobre una red pública o no controlada como Internet. Permite que la computadora en la red envíe y reciba datos sobre redes compartidas o públicas como si fuera una red privada con toda la funcionalidad, seguridad y políticas de gestión de una red privada.​ Esto se realiza estableciendo una conexión virtual punto a punto mediante el uso de conexiones dedicadas, cifrado o la combinación de ambos métodos.

Ejemplos comunes son la posibilidad de conectar dos o más sucursales de una empresa utilizando como vínculo Internet, permitir a los miembros del equipo de soporte técnico la conexión desde su casa al centro de cómputo, o que un usuario pueda acceder a su equipo doméstico desde un sitio remoto, como por ejemplo un hotel. Todo ello utilizando la infraestructura de Internet.

La conexión VPN a través de Internet es técnicamente una unión wide area network (WAN) entre los sitios pero al usuario le parece como si fuera un enlace privado— de allí la designación "virtual private network".

1.- REQUERIMIENTOS

Los requerimientos para seguir este tutorial son los siguientes:

  • 2 equipo con RouterOS ( Puede ser un router Mikrotik/RouterBoard ó un x86 ).
  • Conexión entre ellos a través de Internet
  • Al menos 1 equipo cliente para pruebas en cada extremo

2.- ESQUEMA DE RED

Este tutorial está enfocado a un público con algo de conocimiento de networking, por tanto, habrá algunos pasos que los pasaré por alto ya que son sumamente sencillos.

 

En este ejemplo, el direccionamiento de los 2 equipos de Mikrotik será el siguiente:

  • Mikrotik PARIS: WAN (10.10.0.1/30) LAN(192.168.1.1/24)
  • Mikrotik MADRID: WAN (10.10.0.2/30) LAN(192.168.2.1/24)

 

Por tanto, las redes locales de cada site serán: PARIS (192.168.1.0/24) y MADRID (192.168.2.0/24)

En la siguiente imagen se pude ver un pequeño esquema de como será la red de ejemplo:

VPN IPSec MikrotikBreve diagrama de red

4.- CONFIGURACIÓN DEL ROUTER DE PARIS

El primer router que vamos a configurar es el Mikrotik de PARIS. Podemos cambiar el nombre de las interfaces de red para ver claramente si es la interfaz LAN (red local) o la WAN (Internet). Para ver las IPs, debemos acceder desde el menú principal IP->Addresses. Éste router tendrá las siguientes direcciones IP:

VPN IPSec MikrotikDirecciones IP Mikrotik PARIS

 

 

Ahora llega el paso de configurar el Túnel IPSEC entre PARIS y MADRID. Para ello, desde el menú principal, iremos a IP->IPSEC y añadiremos un nuevo nodo (Peer). Como estamos en el nodo de Paris, los datos que debemos introducir son los datos del otro nodo, es decir, los datos de Madrid. Los datos principales son: Dirección IP, Secret ó contraseña (debe ser igual en los dos routers), debemos marcar "Send Initicial Contact" para que los routers conecten automáticamente y los algoritmos podemos dejar -a modo de prueba- los que vienen por defecto, aunque lo ideal es cambiar MD5 por SHA y el algoritmo de encriptación.

VPN IPSec MikrotikIPSEC Peer Madrid

 

 

En la pestaña de "Policy" debemos añadir una nueva política indicando la red de destino del otro "site". En este caso, la Src Address será la red local de PARIS (192.168.1.0/24) y la red Dst. Address será MADRID (192.168.2.0/24). En protocolos los marcamos todos (all):

VPN IPSec MikrotikIPSec política general

 

 

En la pestaña de "Action", debemos configurar los valores que vemos en la siguiente imagen, destacando que debemos meter las IPs de las WAN de los routers. En Src.Address será la WAN de PARIS y en Dst Address será la WAN de MADRID. Importante marcar la opción de Tunel:

VPN IPSec Mikrotik IPSec action

5.- CONFIGURACIÓN DEL ROUTER DE MADRID

El segundo router que vamos a configurar es el Mikrotik de MADRID. Podemos cambiar el nombre de las interfaces de red para ver claramente si es la interfaz LAN (red local) o la WAN (Internet). Para ver las IPs, debemos acceder desde el menú principal IP->Addresses. Éste router tendrá las siguientes direcciones IP:

VPN IPSec MikrotikDirecciones IP Mikrotik MADRID

 

 

Ahora llega el paso de configurar el Túnel IPSEC entre MADRID y PARIS. Para ello, desde el menú principal, iremos a IP->IPSEC y añadiremos un nuevo nodo (Peer). Como estamos en el nodo de Madrid, los datos que debemos introducir son los datos del otro nodo, es decir, los datos de Paris. Los datos principales son: Dirección IP, Secret ó contraseña (debe ser igual en los dos routers), debemos marcar "Send Initicial Contact" para que los routers conecten automáticamente y los algoritmos podemos dejar -a modo de prueba- los que vienen por defecto, aunque lo ideal es cambiar MD5 por SHA y el algoritmo de encriptación.

VPN IPSec MikrotikIPSEC Peer Madrid

 

 

En la pestaña de "Policy" debemos añadir una nueva política indicando la red de destino del otro "site". En este caso, la Src Address será la red local de MADRID (192.168.2.0/24) y la red Dst. Address será PARIS (192.168.1.0/24). En protocolos los marcamos todos (all):

VPN IPSec MikrotikIPSec política general

 

 

En la pestaña de "Action", debemos configurar los valores que vemos en la siguiente imagen, destacando que debemos meter las IPs de las WAN de los routers. En Src.Address será la WAN de MADRID y en Dst Address será la WAN de PARIS. Importante marcar la opción de Tunel:

VPN IPSec Mikrotik IPSec action

6.- PRUEBA DE LAS COMUNICACIONES

En cada extremo, tenemos 1 pc para las pruebas. En PARIS tenemos un equipo con la IP 192.168.1.25 y en MADRID otro con la IP 192.168.2.25. Si hacemos PING desde un equipo al otro debe funcionar a través de la VPN IPSEC:

VPN IPSec MikrotikPing desde PARIS a MADRID

 

 

VPN IPSec MikrotikPing desde MADRID hasta PARIS

 

 

Cuando el Túnel es levantado automáticamente, se puede ver en la pestaña "Remote Peers" que la comunicación entre ambos routers se ha establecido:

VPN IPSec MikrotikTúnel levantado en PARIS

 

 

VPN IPSec MikrotikTúnel levantado en MADRID

7.- POSIBLES FALLOS

Si incluso con el Túnel levantado no funciona la comunicación, probad a crear una regla en el Firewall IP-Firewall-Pestaña NAT y tenemos que crear una regla nueva de tipo "srcnat" y origen la red LAN (en PARIS 192.168.1.0/24) y destino la red de MADRID (192.168.2.0/24).

En MADRID habría que hacer lo mismo pero al revés: crear una regla nueva de tipo "srcnat" y origen la red LAN (en MADRID 192.168.2.0/24) y destino la red de PARIS (192.168.1.0/24).

Hacemos click en Aceptar! y esta regla la ponemos la primera de todas las del firewall.

 

 

ENJOY!


Raúl Prieto Fernández

Sitio Web: raulprietofernandez.net

Si quieres ir rápido, ve solo. Si quieres llegar lejos, ve acompañado.

Comentarios  

Omar
# Omar 01-02-2019 19:15
Buen día Raul un gusto, gracias por tus excelentes aportes a la comunidad, necesito de tu valioso apoyo, tengo que comunicar por medio de un tunel VPN como el que explicas en este tutorial, con la finalidad de usar Voip, que cosas extras a lo que presentas en este tutorial tendría que contemplar para realizarlo, muchas gracias.
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 10-02-2019 16:51
Hola Omar:

Pues nunca he realizado una cofiguración para VoIP entre 2 sites con Miktorik y una VPN, pero imagino que no haya mucho problema en conectar a través de VoIP , ya que al estar ambos sites unidos por la VPN , todo el tráfico de el site A puede llegar a B y el de B a A.

Habría que mirar el software a utilizar para la VopIP entre los sites y ver si es necesario algún tipo de configuración adicional en la parte de los Mikrotiks y la VPN.

Con la configuración que he puesto arriba, en principio, deberia funcionar absolulamente cualquier peticición desde un equipo del site A al B y viceversa.

Yo haría una prueba entre 2 equipos uno en A y otro en B y probaría a ver si se pueden llamar entre ellos, pero claro, no sé que vas a utilizar :D Asterisk, algún otro tipo de software ..... depende mucho :D

Saludos
Responder
Seltzer Rodolfo
# Seltzer Rodolfo 11-12-2019 12:38
Hola Omar
Tengo una central A , dos Sucursales B y C , Para conectar por VPN tengo que tener en A dos VPN o con una sola no tendria problemas
Tengo que conectar desde A a B y Desde A a C
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 11-12-2019 15:04
Hola:

Pues con una VPN podría ser suficiente, pero bajo mi punto de vista es mejor tener 2 VPNs ( VPN1: A-B y VPN2: A-C).

De esta forma puedes controlar mucho mejor el tráfico de red, restricciones, etc etc ... De esta forma diferencias bien cada una de las dos sucursales y evitas problemas entre ellas.

Yo sin duda, crearía 2 VPNs. EL trabajo es prácticamente el mismo :)

Saludos
Responder
Borja
# Borja 19-02-2020 01:48
Hola Raul.
Muchas gracias por tus aportaciones.
Mi problema es que quiero colocar el Mikrotik detrás de routers de Vodafone que no se pueden configurar como bridge (lo necesito por el teléfono) y no consigo poner en marcha los túneles ipsec
Tengo configurado:
INTERNET....VODAFONE(192.168.10.1)....(192.168.10.2)MIKROTIK(192.168.0.1).......lan(192.168.0.0)
(en la otra sede la configuración es parecida)
He probado de todo sin éxito.
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 05-03-2020 09:50
Hola Borja:

Lo que tendrás que hacer en el Router de Internet , es hacer NAT de los puertos que se usen en la VPN, asi de esa forma las conexiones que lleguen a tu Router de VPN, se le enviarán al Mikrotik que tienes detrás de tu Router.

Creo que los puertos para IPsec son: UDP 500 y UDP 4500

Internet--->ROUTER[NAT Puertos a la IP del Mikrotik] --->Mikrotik

Saludos
Responder
Borja
# Borja 19-02-2020 02:01
Hola Raul.

En primer lugar quiero agradecer tus aportaciones, son lo mejor que he visto en este tema.

Pero a pesar de todo, no consigo arrancar los túneles ipsec

Tengo dos redes, ambas detrás de routers Vodafone que no puedo sustituir ni configurar en modo bridge.

en mi configuracion, la LAN de los vodafones es 192.168.XX.1 y la WAN de los Mokrotik 192.168.XX.2 las redes de las oficinas son 192.168.0.0 y 192.168.1.0

En ambas redes navego sin problemas pero no soy capaz de hacer funcionar los túneles.

Te agradeceria mucho si me pudieras orientar.
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 26-03-2020 16:43
Hola Borja:

¿Consigues establecer el túnel de IPSEC entre los 2 equipos Mikrotik? Date cuenta que si los routers Mikrotik están DETRÁS de los Routers de Vodafone, deberás hacer NAT de los puertos necesarios para que se establezca la conexión entre ellos a través del túnel de IPSec.

Si tienes los routers de Vodafone en modo Bridge no sería necesario hacer NAT.

Mira el siguiente tutorial donde indican como hacer el túnel IPSEC, pero detrás de un router con NAT, posiblemente sea tu caso ;)

www.juanmnogueira.es/mikrotik-ipsec-nat/

Saludos
Responder
Borja
# Borja 21-05-2020 17:07
Si, lo conseguí. Muchisimas gracias.

Pero...

Después de funcionar de maravilla durante 3 meses, ha dejado de funcionar misteriosamente.

Tras muchos intentos y reseteos de los dos equipos y vuelta a cargar la copia de la configuración que funcionaba sin éxito volvió a funcionar, pero solo durante 12 horas.

Voy a probar una instalar una versión anterior del del software del equipo a ver si se arregla. Si tengo éxito ya informaré. De momento me estoy volviendo loco.
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 22-05-2020 09:36
Hola Borja:

Vaya, que cosa mas rara que deje de funcionar. Yo recuerdo que RouterOS tiene licencia gratuita de 24 y luego se pierde la configuración. ¿Podría ser algo de esto?

Es muy, muy , muy raro que te deje de funcionar de repente....

Saludos
Responder
Borja
# Borja 22-05-2020 19:59
Después de resetear los dos routers y hacer la configuración desde 0 el tunel se levanta a la primera, ahora el problema es que los equipos no se ven, ni ping ni nada. (tengo la regla en el firewall tal como explicas al final)

Lo curioso es que tampoco funciona la re dirección de puertos (que en la instalación anterior si funcionaba)
(tengo unas reglas para acceder a determinados equipos)
Responder
Borja
# Borja 26-05-2020 13:27
No tiene ningún sentido pero funciona:

He intercambiado los routers entre sedes, he reseteado ambos y a cada uno le he cargado la copia que les corresponde y funciona perfecto. A ver cuanto dura.
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 29-05-2020 11:25
Hola:

Pues si, sentido no tiene ninguno .... Espero que te dure tiempo la conexión.

Podría ser que estás usando IPs dinámicas y de vez en cuando la IP de uno de los extremos cambia y entonces la VPN se desconecta y ya no reconecta?

Saludos
Responder
Borja
# Borja 01-06-2020 20:30
NO, las IP's son estáticas y no me las han cambiado (cosa de la que Vodafone es perfectamente capaz y ya me lo ha hecho en ocasiones anteriores)
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 06-06-2020 20:59
Hola Borja:

Pues es muy raro que deje de funcionar de repente la verdad .... :eek:

Saludos
Responder
Jessica
# Jessica 23-04-2020 21:41
Hola Borja, un gusto saludarte, quisiera consultarte lo siguiente, tengo dos site A y B, en B tengo un Mikrotik y tengo un enlace punto a punto desde A y B pero quiero configurar una VPN Ipsec entre A y B para que en caso de que el enlace caiga el tráfico se vaya por la VPN, es decir la VPN sería una contingencia, pero cuando creo la VPN levanta y de inmediato me manda el tráfico por la VPN, como puedo haces para que el enlace sea el principal y la VPN este como backup en caso de que caiga el enlace?
Responder
Itr Tecnologia
# Itr Tecnologia 24-05-2020 21:12
saludos, este tunel ipsec funcionaria si cada uno de los rbs mikrotik estan despues de un modem isp nat 2 con ip publicas dinamicas diferentes y sitios distintos, en este caso son dos redes privadas que deseo gestionar remotamente por temas de cuarentena.
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 29-05-2020 11:30
Hola Itr Tecnologia:

Si, pero tienes que tener en cuenta que tienes que hacer NAT de lso puertos necesarios para establecer el túnel IPsec, ya que los rbs estarán (supongo) detrás de los routers de adsl/fibra del ISP.

Te dejo una respuesta que he visto por serverfault.com
--------------------
Here are the ports and protocols:

Protocol: UDP, port 500 (for IKE, to manage encryption keys)
Protocol: UDP, port 4500 (for IPSEC NAT-Traversal mode)
Protocol: ESP, value 50 (for IPSEC)
Protocol: AH, value 51 (for IPSEC)
Also, Port 1701 is used by the L2TP Server, but connections should not be allowed inbound to it from out

-----------------------------------------


Saludos
Responder
JORGE VASCONEZ
# JORGE VASCONEZ 25-06-2020 16:07
Hola
Realice el tunel ipsec y trabajo sin problema unos dos meses, este momento al revisar ipsec -policies sale "ready to send"
he revisado las conexiones y aparentemente todo es normal
Responder
Raúl Prieto Fernández
# Raúl Prieto Fernández 26-06-2020 08:38
Hola JORGE VASCONEZ:

Cuidado con las actualizaciones de RouterOS/Mikrotik, parece que hay problemas con IPSec , mira este foro: https://forum.mikrotik.com/viewtopic.php?t=145963

Mira a ver si tu versión es esa o si has realizado alguna actualización en los equipos...

Parece que le pasa a mas gente.
Responder

Escribir un comentario

Código de seguridad
Refescar

¿Necesitas una web para tu negocio?

Yo te la hago!

Si necesitas una Web para tu negocio, atractiva, llamativa y funcional, no lo dudes y contacta conmigo. Me adapto a cualquier requisito para tu negocio.