PPTP-anslutning - vad är det? PPTP-anslutning - vad är det? Autentisering och kryptering
I den här artikeln kommer vi att titta på hur du kan organisera din egen VPN-server på Windows 7 utan att använda programvara från tredje part
Låt mig påminna dig om det VPN (Virtual Private Network)är en teknik som används för att komma åt säkra nätverk genom delat nätverk Internet. VPN låter dig skydda information och data som överförs över ett offentligt nätverk genom att kryptera den. Således kommer en angripare inte att kunna få tillgång till data som överförs inom VPN-sessionen, även om han får tillgång till paket som överförs över nätverket. För att dekryptera trafik måste han ha en speciell nyckel, eller försöka dekryptera sessionen med brute force. Dessutom är detta en billig lösning för att bygga ett företagsnätverk över WAN-kanaler, utan att behöva hyra en dedikerad dyr kommunikationskanal.
Varför kan du behöva organisera en VPN-server på Windows 7? Det vanligaste alternativet är behovet av att organisera Fjärranslutning till en dator med Windows 7 hemma eller på ett litet kontor (SOHO) när du till exempel är på affärsresa, besöker eller i allmänhet inte är på din arbetsplats.
Det är värt att notera att VPN-servern på Windows 7 har ett antal funktioner och begränsningar:
- Du måste tydligt förstå och acceptera alla potentiella risker som är förknippade med VPN-anslutning m
- Endast en användaranslutning är möjlig åt gången, och det är inte juridiskt möjligt att organisera samtidig VPN-åtkomst till en dator med Win 7 för flera användare samtidigt.
- VPN-åtkomst kan endast beviljas till lokala användarkonton och integration med Active Directory omöjlig
- För att ställa in en VPN-server på en maskin med Win 7 måste du ha administratörsrättigheter
- Om du ansluter till Internet via en router måste du ha tillgång till den och du måste kunna konfigurera port forward-regler för att tillåta inkommande VPN-anslutningar (den faktiska installationsproceduren kan variera avsevärt beroende på routermodellen)
Detta steg för steg instruktioner hjälper dig att organisera din egen VPN-server på Windows 7, utan att använda tredjepartsprodukter och dyra företagslösningar.
Öppna panelen NätverkAnslutningar(Nätverksanslutningar) genom att skriva "nätverksanslutning" i sökruta startmenyn, välj "Visa nätverksanslutningar".
Håll sedan ned knappen Alt, klicka på menyn Fil och välj objektet Ny inkommande anslutning (Ny inkommande anslutning), vilket startar guiden Skapa datoranslutning.
I guidefönstret som visas anger du användaren som ska få ansluta till denna Windows 7-dator via VPN.
Ange sedan användarens anslutningstyp (via Internet eller via ett modem), i det här fallet väljer du "Tänkte på Internet".
Ange sedan typerna nätverksprotokoll, som kommer att användas för att betjäna den inkommande VPN-anslutningen. Åtminstone TCP/IPv4 måste väljas.
Klicka på knappen Egenskaper och ange IP-adressen som kommer att tilldelas den anslutande datorn (det tillgängliga intervallet kan ställas in manuellt, eller så kan du ange att IP-adressen kommer att utfärdas av DHCP-servern).
Efter att du tryckt på knappen Tillåtatillgång, Windows 7 kommer automatiskt att konfigurera VPN-servern och ett fönster visas med namnet på den dator som måste användas för att ansluta.
Det är allt, VPN-servern är konfigurerad och i fönstret nätverkskopplingar En ny anslutning med namnet Inkommande anslutningar visas.
Det finns några fler nyanser när du organiserar en VPN-hemserver på Windows 7.
Installera brandväggar
Det kan finnas brandväggar mellan din Windows 7-dator och Internet, och för att de ska kunna passera den inkommande VPN-anslutningen måste du konfigurera dem. inställningar olika enheterär mycket specifik och kan inte beskrivas i en artikel, men det viktigaste att förstå är regeln - du måste öppna VPN PPTP-portnummer 1723 och konfigurera vidarekopplingar (vidarebefordran) till en maskin med Windows 7 där VPN-servern är installerat.
Glöm inte att kontrollera dina inbyggda Windows-brandväggsinställningar. Öppna kontrollpanelen för avancerade inställningar i Windows-brandväggen, gå till avsnittet Inkommande regler och kontrollera att regeln "Routing och fjärråtkomst (PPTP-In)" är aktiverad. Denna regel tillåter att acceptera inkommande anslutningar på port 1723
Port forwarding
Nedan har jag lagt upp en skärmdump som visar hur portvidarebefordran organiseras på min NetGear-router. Bilden visar att allt externa anslutningar på port 1723 omdirigeras till Windows 7-maskinen (vars adress är statisk).
Konfigurera en VPN-anslutning
För att ansluta till en VPN-server med Windows 7 måste du konfigurera en VPN-anslutning på den anslutande klientdatorn
För detta för det nya VPN-anslutningar ställ in följande parametrar:
- Högerklicka på VPN-anslutningen och välj Egenskaper .
- På fliken säkerhet i fält TypavVPN(VPN-typ) välj alternativ Point to Point Tunneling Protocol (PPTP) och i avsnittet Datakryptering Välj Maximal styrka kryptering (koppla från om servern avvisar) .
- Klick OK för att spara inställningarna
VPN-tunnlar är en vanlig typ av punkt-till-punkt-kommunikation baserad på en standard Internetanslutning via MikroTik-routrar. De är i huvudsak en "kanal inom en kanal" - en dedikerad linje inuti huvudkanalen.
Behovet av att konfigurera en tunnel VPN-anslutning på MikroTik uppstår i fall där:
- Krävs för att tillhandahålla Tillgång till företagsnätverk anställda i företaget som arbetar hemifrån eller när du är på affärsresa, inklusive från mobila enheter.
- Krävs för att tillhandahålla Internetåtkomst för leverantörsabonnenter(Nyligen har denna implementering av klientåtkomst blivit allt mer populär).
- Nödvändig koppla samman två fjärravdelningar av företaget säker kommunikationskanal med minimala kostnader.
Till skillnad från ett vanligt nätverk, där data överförs öppet och okrypterat, är ett VPN en säker kommunikationskanal. Skyddsnivån beror på vilken typ av tunnelprotokoll som valts för anslutningen.Således anses PPtP-protokollet vara det minst säkra; även dess "topp" autentiseringsalgoritm mschap2 har ett antal säkerhetsproblem och hackas lätt. IPsec-protokollsviten anses vara den säkraste.
Trots den klandervärda bilden finns det ibland fortfarande en mening med att inaktivera kryptering och autentisering. Många MikroTik-modeller stöder inte hårdvarukryptering, och alla processer relaterade till anslutningssäkerhet bearbetas på CPU-nivå. Om anslutningssäkerhet inte är en kritisk fråga för dig, och prestandan för routern du använder lämnar mycket övrigt att önska, kan inaktivering av kryptering användas för att avlasta processorn.
Välja ett protokoll för VPN på MikroTik
För att ställa in en VPN-anslutning via MikroTik används oftast följande protokoll:
I dagens artikel kommer vi att titta på att sätta upp en VPN-anslutning med två av dem, som den vanligaste i leverantörens och systemadministratör: PPtP och PPPoE. .
VPN via PPtP på MikroTik
PPtP är det vanligaste VPN-protokollet. Det är en kombination av TCP-protokollet, som används för dataöverföring, och GRE, för paketinkapsling. Används oftast för fjärråtkomst till ett företagsnätverk. I princip kan en VPN användas för många ändamål, men dess säkerhetsbrister bör beaktas.
Lätt att ställa in. För att organisera en tunnel behöver du:
skapa en PPtP-server på MikroTik-routern, genom vilken användare kommer att ansluta till företagets nätverk,
skapa användarprofiler med inloggningar/lösenord för identifiering på serversidan,
skapa undantagsregler för brandväggsrouter så att anslutningar passerar genom brandväggen utan hinder.
Vi aktiverar PPtP-servern.
För att göra detta, gå till menydelen PPP, gå till fliken Gränssnitt, högst upp i listan över flikar vi hittar PPTP-server och markera rutan Aktiverad.
Avmarkera de minst säkra identifieringsalgoritmerna - pap och kap.
Vi skapar användare.
I kapitel PPPgå till menynHemligheteroch använd knappen "+ "lägg till en ny användare.
På åkrarna namn Och Lösenord Vi registrerar respektive inloggning och lösenord som användaren ska använda för att ansluta till tunneln.
I fält Service välj vår protokolltyp - pptp, i fältet Lokal adress skriv IP-adressen för MikroTik-routern, som kommer att fungera som en VPN-server, och i fältet Fjärradress - användarens IP-adress
Vi skriver ner reglerna för Brandvägg.
Vi måste öppna port 1723 för trafik via TCP-protokollet för att MikroTik VPN-tunneln ska fungera, och även tillåta GRE-protokollet. För att göra detta, gå till avsnittet IP, Sedan i Brandvägg, sedan till fliken Filterregler, där vi lägger till en ny regel med hjälp av "+"-knappen. I fält Kedja indikera inkommande trafik - inmatning, i fält Protokoll välj ett protokoll tcp, och i fält Dst. Hamn- ange porten för VPN-tunneln 1723 .
Låt oss gå till fliken här Handling och välj acceptera- tillåta (trafik).
Vi lägger till en regel för GRE på samma sätt. På fliken Allmän på samma sätt som den föregående skriver vi indata och i fältet Protokoll välja gre.
På fliken Handling som i föregående regel, välj Jag accepterar.
Glöm inte att flytta dessa regler till toppen i den allmänna listan, placera dem FÖRE de förbjudande reglerna, annars fungerar de inte. I RouterOS Mikrotik kan detta göras genom att dra och släppa regler i FireWall-fönstret.
Det är allt, PPtP-servern för VPN på MikroTik är uppe.
Litet förtydligande.
I vissa fall när du ansluter du måste se det lokala nätverket bakom routern måste du aktivera proxy-arp i inställningarna lokalt nätverk. För att göra detta, gå till avsnittet Gränssnitt, hitta gränssnittet som motsvarar det lokala nätverket och på fliken Allmän i fält ARP välja proxy-arp.
Om du har installerat en VPN mellan två MikroTik-routrar och du behöver tillåta sändningsöverföring, kan du försöka lägga till den befintliga anslutningsprofilen (PPP - Profiler) för fjärrroutern till bryggan på huvudroutern:
UPD från kommentaren:Om du dessutom behöver komma åt delade mappar på lokala nätverksdatorer måste du också öppna port 445 för att skicka SMB-protokolltrafik, som är ansvarig för Windows Shared. (vidarebefordra regel i brandvägg).
Klientinställningar .
På VPN-klientsidan består inställningarna endast av att skapa en VPN-anslutning, ange IP-adressen för VPN (PPtP)-servern, användarinloggning och lösenord.
VPN via PPPoE på MikroTik
VPN som använder PPPOE-protokollet har nyligen tack vare sin popularitet till leverantörer som tillhandahåller bredband, inklusive trådlöst internet. Protokollet förutsätter möjligheten till datakomprimering, kryptering och kännetecknas också av:
Tillgänglighet och enkel installation.
Stöds av de flesta MikroTik-routrar.
Stabilitet.
Skalbarhet.
Motstånd av krypterad trafik mot ARP-spoofing (en nätverksattack som utnyttjar sårbarheter i ARP-protokollet).
Mindre resurskrävande och serverbelastning än PPtP.
En annan fördel är möjligheten att använda dynamiska IP-adresser: det finns inget behov av att tilldela en specifik IP till slutnoderna i VPN-tunneln. Anslutning från klientsidan sker utan komplexa inställningar, endast med inloggning och lösenord.
Konfigurera en PPPoE MikroTik VPN-server
Konfigurera serverprofiler.
Flera PPPoE-serverprofiler kan behövas om du är en leverantör och distribuerar Internet genom flera tariffpaket. Följaktligen kan du i varje profil konfigurera olika hastighetsgränser.
Låt oss gå till avsnittet PPP, öppna objektetProfileroch använd knappen "+ "skapa en ny profil. Ge den ett namn som vi förstår, skriv ner den lokala adressen till servern (routern), markera alternativetÄndra TCP MSS(MSS-justering) så att alla sajter öppnar normalt.
Förresten, i vissa fall, när problem uppstår med att öppna vissa webbplatser, trots att pingar går till dem, kan du göra det annorlunda. Vi inaktiverar MSS-justering och via terminalen registrerar vi följande regel på routern:
"ip brandvägg mangle add chain=forward protocol=tcp tcp-flags=syn tcp-mss=1453-65535 action=change-mss new-mss=1360 disabled=no". I de flesta fall löser detta problemet.
Nästa på flikenProtokollVi stänger av allt för att förbättra prestandan. Om anslutningssäkerhet är viktigt för dig och routerns prestanda tillåter det, då alternativetAnvänd kryptering(använd kryptering) inaktivera inte.
På fliken GränserVi sätter hastighetsgränser vid behov. Den första siffran i hastighetsgränsen är inkommande trafik till servern (utgående från abonnenten), den andra är vår utgående trafik (inkommande från abonnenten).
Vi lägger Ja på pricken Bara en, betyder det att två eller flera abonnenter med samma uppsättning inloggning/lösenord inte kommer att kunna ansluta till PPPoE-servern, bara en.
Nu, om det behövs, skapa andra profiler genom att helt enkelt kopiera (knappKopierai föregående skärmdump) och ändra namn och hastighetsgräns.
Skapa användarkonton .
I samma avsnitt PPPhitta menyalternativetHemligheter. I den, med hjälp av "+"-knappen, skapar vi en ny användare som kommer att ansluta till oss via VPN-tunneln.
Fyll i fälten Namn och Lösenord (inloggning och lösenord som användaren anger från sin sida för att ansluta).
I fält Service välja pppoe, V Profil- motsvarande profil, i detta fall - tariffpaketet som används av abonnenten. Vi tilldelar användaren en IP-adress, som servern kommer att distribuera till abonnenten vid anslutning.
Om vi kopplar ihop flera användare skapar vi en separat för var och en av dem konto, ändra användarnamn/lösenord och IP-adress.
Vi binder PPPoE-servern till ett specifikt MikroTik-gränssnitt.
Nu måste vi tala om för routern på vilket gränssnitt den ska "lyssna" efter inkommande anslutningar från VPN PPPoE-klienter. För att göra detta väljer vi posten PPPoE-servrar i PPP-sektionen. Här ändrar vi:
Gränssnittsfält - välj gränssnittet som klienterna ska ansluta till,
- Keepalive Timeout - 30 sekunder (tid att vänta på svar från klienten innan du kopplar bort)
- Standardprofil - profil som kommer att tilldelas anslutna prenumeranter som standard,
- Vi markerar kryssrutan One Session Per Host, vilket tillåter anslutning av endast en tunnel från klientens router eller dator.
- Vi lämnar/avmarkerar kryssrutorna i autentiseringssektionen efter eget gottfinnande.
Vi konfigurerar NAT för klientåtkomst till Internet.
Vi har höjt PPPoE-servern och nu kan auktoriserade användare ansluta till den. Om vi behöver användare som är anslutna via en VPN-tunnel för att ha åtkomst till Internet, måste vi konfigurera NAT (masquerading), eller lokal nätverksadressöversättning.
I kapitel IP Välj ett föremål Brandvägg och använd "+"-knappen för att lägga till en ny regel.
I fält Kedja ska stå srcnat, vilket innebär att routern kommer att tillämpa den här regeln på in-ut-trafik.
I fält Src. Adress(källadress) ange ett antal adresser 10.1.0.0/16 . Detta innebär att alla klienter med 10.1. (0.0-255.255) kommer åt nätverket via NAT, det vill säga vi listar alla möjliga abonnenter här.
I fält Dst. Adress(destinationsadress) ange!10.0.0.0/8 - adressintervall, vilket betyder ett privat adressutrymme för privata nätverk, med utropstecken ett huvud. Detta indikerar för routern ett undantag - om någon från det lokala nätverket kommer åt en adress i vårt nätverk, tillämpas inte NAT, anslutningen sker direkt.
Och på fliken Handling vi föreskriver faktiskt verkan av maskerad - substitution lokal adress enheter till routerns externa adress.
Konfigurera en PPPoE VPN-klient
Om anslutningen på andra sidan VPN-tunneln kommer från en dator eller bärbar dator, behöver du bara skapa en höghastighetsanslutning via PPPoE i Network Control Center och delad åtkomst(för Win 7, Win 8). Om den andra sidan också är en Mikrotik-router, ansluter vi enligt följande.
Lägga till ett PPPoE-gränssnitt.
På fliken Gränssnitt välj PPPoE Client och använd "+"-knappen för att lägga till ett nytt gränssnitt.
Här på fältet Gränssnittvi väljer gränssnittet för Mikrotik-routern som vi organiserar en VPN-tunnel på.
Vi registrerar anslutningsinställningarna.
Sätt en bock i rutan Använd Peer DNS- för att ta itu med DNS-servrar vi fick det från VPN-servern (från leverantören) och registrerade det inte manuellt.
Autentiseringsinställningar (kryssrutor i pap, chap, mschap1, mschap2) måste överenskommas med servern.
hemsida
Den här artikeln kommer att vara den första i en serie om att ställa in en Mikrotik VPN-server och klient. I det här fallet, överväg alternativet med PPTP.
Låt oss till exempel ta uppgiften att ansluta två kontor via Internet med hjälp av ett VPN.
1. Låt oss börja med att ställa in den första routern.
1.1. Skapa ett intervall av IP-adresser
Klicka på "+" på fliken IP - Pool:
Namn: pptp_pool
Adress: 192.168.4.2-192.168.4.15
1.2. Låt oss skapa en profil för tunneln.
Klicka på "+" på fliken PPP - Profiler:
Namn: pptp_profile
Lokal adress: 192.168.4.1
Fjärradress: pptp_pool - vad gjordes i avsnitt 1.1.
Ändra TCP MSS: ja 
1.3. Vi aktiverar PPTP-servern.
På fliken PPP klickar du på knappen PPTP Server. Markera kryssrutan Aktivera.
Standardprofil: pptp_profile
Autentisering: mschap2 och mschap 1 är mindre sårbara autentiseringsprotokoll, men krävs inte. 
1.4. Låt oss skapa en användare.
Om du stannar i PPP, gå till fliken Hemligheter. Klicka på "+" och ange data:
Namn: tun1
Lösenord: tun1
Service: pptp
Profil: pptp_profile
Lokal adress och fjärradress: vi rör inte dessa fält, eftersom vi ställer in dem i profilen 
1.5. Lägger till en regel i brandväggen
Öppna IP - Brandvägg, klicka på "+" på fliken Filterregler. På fliken Allmänt:
C hain: input
Protokoll: tcp
Dst.Port: 1723 (port för PPTP)
På fliken Åtgärd:
Åtgärd: acceptera
Dst. Address List - INBOUND (detta är en lista över extern IP), om det finns en, fyll i Dst-fältet. Adress på fliken Allmänt VIKTIGT! Om du inte anger destinationsadress eller gränssnitt kommer du inte att kunna installera extern pptp från datorn bakom routern. Han kommer att vända allt på sig själv. 
UPPMÄRKSAMHET!!! När du har skapat en regel måste du höja den över de förbjudande reglerna.
1.6 Naturligtvis, om vi behöver en VPN-klient för att komma åt Internet via en pptp-server, måste vi konfigurera NAT på den
IP - Brandvägg - NAT
Lägg antingen till en ny regel eller ändra en gammal
src. adress - 192.168.4.0/24
actionfliken - maskerad
2. Låt oss gå vidare till att ställa in den andra routern, även känd som en PPTP-klient.
2.1 Gå till avsnittet Gränssnitt, Tryck + , Välj PPTP-klient
Ange gränssnittsnamnet på fliken Allmänt
På fliken Ring ut:
Anslutning till: Här anger vi den riktiga IP-adressen som konfigurerats på den första routern.
Användare: tun1 - den vi installerade på den första routern.
Lösenord - jag tror det är klart :)
2.2 Ruttinställningar
Vi måste bestämma vad vi ska linda in i tunneln. Låt oss till exempel ta sajten 2ip.ru, som har en IP-adress på 178.63.151.224.
Öppna fliken IP - Rutter och klicka på "+":
Dst. Adress (destinationsadress): 178.63.151.224
Gateway: 192.168.4.1 
Det andra alternativet, istället för en IP-gateway, kan du välja en anslutning.
Välkommen till vår hemsida! I den här guiden kommer du att lära dig hur du konfigurerar en PPTP VPN-anslutning för en operationssal. Windows-system 7.
Som en påminnelse är VPN (Virtual Private Network) en teknik som används för att komma åt ett eller flera säkra nätverk över det offentliga Internet. Med hjälp av en VPN-kanal kan du skydda din information genom att kryptera den och överföra den inom VPN-sessionen. Dessutom är VPN ett billigt alternativ till en dyr dedikerad kommunikationskanal.
För att konfigurera ett VPN med PPTP-protokollet för Windows 7 behöver du:
- OS Windows 7;
- adressen till VPN-servern till vilken anslutningen kommer att göras via PPTP-protokollet;
- inloggning och lösenord.
Detta avslutar den teoretiska delen, låt oss gå vidare till praktiken.
1. Öppna "Start"-menyn och gå till "Kontrollpanelen" på din dator
2. Välj sedan avsnittet "Nätverk och Internet".
3. I fönstret som öppnas väljer du "Nätverks- och delningscenter"
4. I nästa steg väljer du "Konfigurera en ny anslutning eller ett nytt nätverk"
5. I det nyöppnade fönstret väljer du "Anslut till en arbetsstation"
6. I det nya fönstret väljer du "Använd min internetanslutning (VPN)"
8. I fönstret som öppnas, i fältet "Internetadress" anger du adressen till din VPN-server, i fältet "Destinationsnamn" anger du namnet på anslutningen, som du kan välja godtyckligt
9. I nästa fönster anger du användarnamnet och lösenordet som är registrerat på VPN-servern. I fältet "Kom ihåg detta lösenord" sätter du en bock så att du inte behöver ange den varje gång du ansluter
10. Efter stegen ovan är anslutningen klar för användning, klicka på "stäng"-knappen
11. Efter detta, gå tillbaka till Start-menyn, sedan till Kontrollpanelen, Nätverk och Internet, Nätverks- och delningshantering, där vi väljer "Ändra adapterinställningar"
12. Hitta vår VPN-anslutning i det här fönstret, högerklicka på den och gå till dess egenskaper
14. I samma fönster, endast på fliken "Nätverk", avmarkera rutorna bredvid objekten: "Klient för Microsoft-nätverk" och "Fil- och skrivaråtkomsttjänst för Microsoft-nätverk"
På den här VPN-inställning via PPTP-protokoll för operativ system Windows 7 är klar och VPN-anslutningen är redo att användas.
Efter att ha undersökt i detalj i den tidigare artikeln hur man höjer serverdelen av en VPN-anslutning på Windows-plattformen, går vi vidare till att ställa in klienten PPTP-anslutningar. Till att börja med skulle jag vilja komma ihåg, för säkerhets skull, att PPTP-protokollet använder två nätverkssessioner: en PPP-session upprättas med GRE-protokollet för dataöverföring, och en anslutning upprättas på TCP-port 1723 för att initiera och hantera förbindelse.
Glöm därför inte att skapa en regel för GRE. Du kan läsa hur du skapar sådana regler i en vanlig brandvägg om du är direkt ansluten till Internet. Står du bakom en router kan du läsa här.
Men vi har redan läst allt detta, vi vet. Låt oss därför börja ställa in en klient-VPN-anslutning för PPTP.
Först måste du gå till Kontrollpanel, i Win7 är allt du behöver göra att klicka Start. och gå till Kontrollpanel. Därefter, beroende på skärminställningarna, klickar vi antingen Nätverk och internet-> -> . Eller så går vi direkt till Nätverks-och delningscenter -> Konfigurera en ny anslutning eller nätverk.
En guide kommer att visas Installation och anslutningar och nätverk. Välja Anslutning till arbetsplatsen
Ange sedan internetadressen (serveradress) och namnet på anslutningen som ska skapas, bäst av allt Tillåt andra användare att använda den här anslutningen. För säkerhets skull råder jag dig också att markera rutan Anslut inte nu. Eftersom vi kommer att konfigurera VPN-inställningarna manuellt.
Vår anslutning har skapats framgångsrikt. Nu måste du konfigurera den. Gå till avsnittet Ändra adapterinställningar från fönstret Nätverks-och delningscenter.
Där letar vi efter vår VPN-anslutning och använder RMB för att gå till menyalternativet Egenskaper. På fliken Säkerhet Vi väljer PPTP som VPN-typ. Det är faktiskt allt. Det finns inget mer att konfigurera på klientsidan med PPTP-protokollet.
