Ինչպես կարգավորել WireGuard VPN MikroTik-ում հեռավար աշխատակիցների համար

WireGuard-ը ժամանակակից և արագ VPN է, որը ներկառուցված է RouterOS v7-ում։ Այն շատ ավելի հեշտ է կարգավորել, քան VPN-ի հին տեսակները, և լավ է աշխատում նոութբուքերում և հեռախոսներում։ Աշխատակիցները գրասենյակային սերվերներին հասնում են կոդավորված թունելով, իսկ ինտերնետին բաց է միայն մեկ UDP պորտ։

Քայլ 1. Ստեղծեք WireGuard ինտերֆեյսը ռաութերում

Ստեղծեք ինտերֆեյսը, տվեք նրան հասցե առանձին VPN ցանցում և ավելացրեք LAN ցուցակում, որպեսզի VPN օգտատերերը դիտարկվեն որպես գրասենյակային։ Եթե ցանկանում եք սահմանափակել VPN օգտատերերի մուտքը, օգտագործեք առանձին ցուցակ և firewall կանոններ։

/interface wireguard add name=wg-office listen-port=13231
/ip address add address=10.10.10.1/24 interface=wg-office
/interface list member add interface=wg-office list=LAN

Քայլ 2. Թույլատրեք WireGuard պորտը firewall-ում

Կանոնը պետք է լինի LAN-ից չեկող ամեն ինչ մերժող կանոնից վերև։ Տպեք կանոնների ցանկը, գտեք այդ կանոնի համարը և նշեք այն place-before-ում (լռելյայն կոնֆիգուրացիայում՝ 3)։

/ip firewall filter print
/ip firewall filter add chain=input protocol=udp dst-port=13231 action=accept comment="WireGuard" place-before=3

Քայլ 3. Ավելացրեք յուրաքանչյուր աշխատակցին որպես peer

Աշխատակցի սարքի WireGuard հավելվածում ստեղծեք դատարկ թունել․ հավելվածը կստեղծի բանալիների զույգ։ Սարքի հանրային բանալին պատճենեք ռաութեր։ Առաջին հրամանը ցույց է տալիս ռաութերի հանրային բանալին, որը պետք է հաջորդ քայլում։ Յուրաքանչյուր սարք ունի իր հասցեն։

/interface wireguard print
/interface wireguard peers add interface=wg-office public-key="CLIENT_PUBLIC_KEY" allowed-address=10.10.10.2/32 comment="Anna - laptop"

Քայլ 4. Կարգավորեք աշխատակցի սարքը

Լրացրեք թունելը հավելվածում այսպես։ AllowedIPs-ը VPN-ով ուղարկում է միայն գրասենյակային երթևեկը, մնացած ինտերնետը գնում է ուղղակիորեն։

[Interface]
PrivateKey = (created by the WireGuard app)
Address = 10.10.10.2/32
DNS = 192.168.88.1
[Peer]
PublicKey = ROUTER_PUBLIC_KEY
Endpoint = YOUR_PUBLIC_IP:13231
AllowedIPs = 192.168.88.0/24, 10.10.10.0/24
PersistentKeepalive = 25

Քայլ 5. Կառավարեք մուտքը

Նոութբուքի կորստի կամ աշխատակցի հեռանալու դեպքում անջատեք կամ ջնջեք նրա peer-ը․ մուտքը կդադարի անմիջապես։ Պարբերաբար վերանայեք ցուցակը։

/interface wireguard peers print
/interface wireguard peers disable [find comment="Anna - laptop"]

Լավ պրակտիկա

• Մեկ peer՝ մեկ սարքի համար, ոչ մի ընդհանուր բանալի։
• Երբեք մի ուղարկեք մասնավոր բանալիները էլ. փոստով կամ մեսենջերով․ մասնավոր բանալին չի լքում սարքը։
• VPN-ը համատեղեք ուժեղ գաղտնաբառերի և MFA-ի հետ դրա հետևում գտնվող համակարգերում (1C, RDP, ընդհանուր թղթապանակներ)։

VPN-ը ձեր թիմի դուռն է։ Յուրաքանչյուրին տվեք իր բանալին և հետ վերցրեք այն հեռանալիս։

Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։

Հաճախ տրվող հարցեր

Բոլոր հոդվածները