MikroTik-Router unterstützen viele VPN-Dienste, darunter NordVPN. Mit MikroTik-Routern und RouterOS ab Version 6.45 kannst du über IKEv2 EAP VPN-Tunnel eine Verbindung zu einem NordVPN-Server herstellen. Diese Anleitung zeigt dir, wie du dich über deinen MikroTik-Router mit einem VPN verbinden kannst.
- Öffne das Terminal in den Einstellungen deines RouterOS.
- Installiere das NordVPN-Root-Zertifikat mit den folgenden Befehlen:
/tool fetch url="https://downloads.nordcdn.com/certificates/root.der"
/certificate import file-name=root.der
- Verbinde dich mit dem NordVPN-Server, um den Hostnamen des empfohlenen Servers herauszufinden. In unserem Beispiel haben wir „nl125.nordvpn.com“ verwendet.
Mit den folgenden Schritten kannst du den besten Server für deine Verbindung finden:
-
Melde dich mit deinem Nord Account an und klicke auf NordVPN.
- Scrolle runter zu Erweiterte Einstellungen (Advanced Settings) und klicke auf NordVPN manuell einrichten (Set up NordVPN manually).
- Wähle die Registerkarte Server-Empfehlung (Server recommendation) aus. Je nach deinem Standort wird dir der beste Server empfohlen.
- Wenn du auf Erweiterte Filter (Advanced filters) klickst, kannst du die empfohlenen Server weiter anpassen, indem du den Servertyp (Server type) und das Sicherheitsprotokoll (Security protocol) auswählst.
- Wähle unter der Server-IP neben Verfügbare Protokolle (Available protocols) die Option IKEv2/IPSec.
-
Kopiere im sich öffnenden Fenster den Hostnamen des Servers und verwende ihn in deiner manuellen IKEv2-Verbindungskonfiguration.
- Wenn du dich mit IKEv2 manuell verbindest, musst du den Benutzernamen und das Passwort aus dem Reiter Service-Anmeldedaten (Service credentials) verwenden.
- Jetzt musst du den IPsec-Tunnel einrichten. Wir empfehlen, ein separates Profil und eine separate Vorschlagskonfiguration zu erstellen, um Konflikte mit bestehenden oder zukünftigen IPsec-Konfigurationen zu vermeiden:
/ip ipsec profile
add name=NordVPN
/ip ipsec proposal
add name=NordVPN pfs-group=none
Es ist zwar möglich, die Standardrichtlinienvorlage zu verwenden, aber es ist besser, eine neue Richtliniengruppe und Vorlage zu erstellen, um diese Konfiguration von anderen IPsec-Konfigurationen zu trennen.
/ip ipsec policy group add name=NordVPN
/ip ipsec policy add dst-address=0.0.0.0/0 group=NordVPN proposal=NordVPN src-address=0.0.0.0/0 template=yes
- Erstelle einen neuen „mode config“-Eintrag mit „responder=no“ (ohne Anführungszeichen), der Konfigurationsparameter vom Server anfordert:
/ip ipsec mode-config
add name=NordVPN responder=no
- Erstelle Peer- und Identitätskonfigurationen. Gib deine NordVPN-Anmeldedaten in die Parameter für „username“ und „password“ ein:
/ip ipsec peer
add address=nl125.nordvpn.com exchange-mode=ike2 name=NordVPN profile=NordVPN
/ip ipsec identity
add auth-method=eap certificate="" eap-methods=eap-mschapv2 generate-policy=port-strict mode-config=NordVPN peer=NordVPN policy-template-group=NordVPN username=DeinNordVPNServiceBenutzername password=DeinNordVPNServicePasswort - Du findest deine NordVPN-Service-Anmeldedaten (Service-Benutzername und Service-Passwort) im Nord Account-Dashboard.
Mit den folgenden Schritten kannst du die Service-Anmeldedaten für den manuellen Verbindungsaufbau finden:
-
Melde dich in deinem Nord Account an, klicke auf NordVPN und unter Manuelle Einrichtung (Manual setup) auf Service-Anmeldedaten (Service credentials). Hier findest du den Benutzernamen und das Passwort, die du für die manuelle Verbindung benötigst.
- Jetzt kannst du auswählen, was über den VPN-Tunnel gesendet werden soll. In diesem Beispiel befindet sich das lokale Netzwerk „192.168.88.0/24“ hinter dem Router, und wir möchten, dass der gesamte Verkehr aus diesem Netzwerk durch den Tunnel geschickt wird. Zuerst müssen wir eine neue „IP/Firewall/Adresse“-Liste erstellen, die aus unserem lokalen Netzwerk besteht.
/ip firewall address-list
add address=192.168.88.0/24 list=local
Weise die neu erstellte „IP/Firewall/Adresse“-Liste der Konfiguration „mode-config“ zu:
/ip ipsec mode-config
set [ find name=NordVPN ] src-address-list=local
- Überprüfe, ob die richtige NAT-Regel für die Quelle dynamisch erstellt wird, wenn der Tunnel aufgebaut wird.
/ip firewall nat print