WireGuard на Mikrotik убийца OpenVPN, IPSec и других протоколов. Или нет?

Поділитися
Вставка
  • Опубліковано 19 чер 2024
  • Подключайтесь к нашему каналу Telegram: @miktrain (t.me/miktrain) чтобы задавать вопросы Роману Козлову
    WireGuard - одно из важнейших приобретений RouterOS 7. Он прост, он быстр, он работает на всех популярных платформах. В нем нет чего-то, чего мы в нем не ждем.
    Похоже, что он может заметно подвинуть все остальные VPN-протоколы, многие из которых уже морально устарели.
    На вебинаре мы познакомимся с его настройкой на Mikrotik, проведем тесты производительности, пройдемся по очевидным и неочевидным настройкам.
    Презентация: mkrtk.ru/wbwg
    00:00 Начало выступления
    01:01 Содержание выступления
    04:49 Опрос: какой VPN Вы предпочитаете?
    09:00 WireGuard
    13:49 Сравнение кодовой базы WireGuard
    17:19 Схема использования WireGuard для соединения Сеть-Сеть
    18:11 Накладные расходы WireGuard
    19:20 WireGuard создание сервера
    24:23 WireGuard peer на сервере
    28:29 Настройка адресов
    29:05 Wireguard настройка peer
    32:19 Настройка маршрутизации
    38:58 Схема
    1:18:27 Выводы
    1:21:48 Завершение выступления
    Консультации и помощь по MikroTik в нашем Telegram-канале: @miktrain (t.me/miktrain)
  • Наука та технологія

КОМЕНТАРІ • 62

  • @Ghooooost
    @Ghooooost 2 роки тому +9

    отдельное спасибо за таймкоды!!

  • @prezid9586
    @prezid9586 2 роки тому +9

    Хороший подход, Роман, правильный: если вы четко не осознаете необходимость зачем вам надо обновление на 7, не обновляйтесь. Но вот лично меня заставили обновляться. Попытался сообщить о баге в версии винбокса 3.36. Поддержка со мной просто отказалась продолжать разговор (переписку по мылу), пока я не выполнил их "рекомендацию" (а фактически получается требование) обновиться. Как только обновился и прислал им supout, вопрос моментально сдвинулся с места, баг тут же признали, пообещали исправить. Разумеется после окончания общения, откатился обратно на 6 лонгтерм.

    • @BalynOmavel
      @BalynOmavel Рік тому

      Это полнейшее свинство, если 6 версия все еще поддерживается.
      Какой номер кейса?

    • @prezid9586
      @prezid9586 Рік тому

      @@BalynOmavel Уже исправили в вышедшей 3.37. А баг заключался в невозможности внести изменения в настройки на закладках Advanced и TX Power у WiFi интерфейса.
      PS. Переписку не сохранил.

  • @privedmidved
    @privedmidved Рік тому

    Кстати, а можно стрим про WG поподробнее, и с другой стороны?)) Если правильно понял, у этого протокола проблемы с некоторыми типами NAT, хотя заявлено, что этот протокол пробивает любые наты. Приходится костыльничать со stun. У меня на предприятии, к примеру, доступ в инет через халявный вайфай, сетка там замороченная, и микротик через CPE к интернету подрублен. Так вот Wireguard туннель не создается никаким раком между микротом в этой сетке и микротом дома, а там белый IP. С телефоном, где интернет через симку, тем временем домашний микрот дружит, а на симке все-таки NAT. Как дружил он и с микротом CHR в амазоновском облаке. Там тоже был белый IP.
    В общем, на работе пытаюсь пока что выяснить конфигурацию NAT на халявном вайфае при помощи STUN, но с ним я пока еще не научился дружить)

  • @user-pv1xb6ot4y
    @user-pv1xb6ot4y 2 роки тому +1

    у WG есть возможность блокировки протокола по первым байтам. по читайте про блокировку в Египте

  • @demo.n
    @demo.n 11 місяців тому +1

    По iperf, очень рекомендую, выделить микро ПК Raspberry pi версии 4 в качестве выделенного сервера iperf, достаточно минимально ОС, только CLI, стоит не дорого, у него полноценный гигабитный интерфейс, можно загрузить по сети или флешки или с usb накопителя, всегда готов к боевым задачам. Дополнительно можно навешать еще задач PXE/FTP/WEB/NFS/SMB ...

  • @user-rs3lv9yc1g
    @user-rs3lv9yc1g Рік тому +5

    Еще обратная, связь:
    Часто в Ваших роликах не понятно что делается, почему те или иные параметры ставятся в настройки. Нехватает общей схемы.
    Если ролики создаются с целью - напомнить что-то тем, кто и так знает, то тогда о каком обучении идет речь - так и назовите канал "Микротик для тех, кто знает".
    Также любите сыпать аббревиатурами, не объясняя что это и зачем.
    Тема микротика мне очень интересна, но случается так, что подчерпнув что-то на вашем канале приходится учиться на других каналах.
    Например в этом ролике: я так и не понял как соотносятся адреса сетей и allowed address.
    Выслушивать "я тут подумал и придумал такие циферки" - как-то... ну Вы поняли (наверное).

  • @BenyaKot
    @BenyaKot Рік тому +2

    Hap lite ведёт себя интересно с routeros 7?
    Если можно назвать интересным тормоза, зависания, ребуты, прыгающее потребление процессора до 100%, то да hap lite ведёт себя интересно))

  • @user-rs3lv9yc1g
    @user-rs3lv9yc1g Рік тому +2

    продолжение
    Более получаса мы записываем разные цифирки в разные поля и только потом узнаем, что мы пытаемся соединить два микротика каналом связи...

  • @narcissus2504
    @narcissus2504 2 місяці тому

    Есть ли возможность развернуть WireGuard через проброс портов? То есть публичный адрес висит на фаерволе, а он уже прокидывает определенный порт к микротику? Версия RouterOS 7.14. Заранее спасибо.

  • @user-ne4bd3ry1n
    @user-ne4bd3ry1n 4 місяці тому

    ТС ТПУ занимается поиском сигнатур, нашла сигнутуру туннеля - и хлопнула пакет.
    VPN нужно делать в виде http - и гонять поверх него текст и картинки, внутри которых прятать инфу (сообщения)

  • @litromobil51
    @litromobil51 5 місяців тому

    Настроена распределения сеть из 5-6 сегментов, связанная между собой openvpn. Решил накатить 7. Впн лёг, беглый поиск ничего не дал, вернул 6, тот же конфиг снова ожил. Сейчас предстоит на паре узлов ставить ах2, на котором вроде не бывает 6. Как буду бороться с впн, пока не представляю

  • @yticbps
    @yticbps 2 роки тому

    Подскажите, как сделать возможной связь клиентов между собой?
    У меня есть несколько клиентов, они имеют связь с сервером и наоборот. Как сделать так, чтобы клиенты пинговались между собой?

    • @EvgenyRejnovskey
      @EvgenyRejnovskey Рік тому

      С такой-то матерью и с бубном. Должно сработать)))

  • @user-fw3vy9xy9k
    @user-fw3vy9xy9k 8 місяців тому

    так и не понял, можно-ли сделать реальный тоннель между двумя серыми адресами, как на примере здесь? И как быть, если с одной стороны инет от мобильного оператора, через модем?

    • @user-ne4bd3ry1n
      @user-ne4bd3ry1n 4 місяці тому

      паблик IP нужен хотябы с одной стороны. купите у провайдера паблик IP.

  • @user-gu1vo9hm9x
    @user-gu1vo9hm9x Рік тому +1

    Смотря для чего.
    Например для доступа чаще всего ovpn tcp. Ибо стабильный и безотказный..

    • @MikrotikTraining
      @MikrotikTraining  Рік тому

      Wg еще более безотказный из-за своей простоты. По мне именно Wg лучше всего заменяет в некоторых кейсах именно OpenVPN.

  • @Pr0v0rny
    @Pr0v0rny Рік тому

    Как узнать, что там за алгоритм шифрования?
    Хочу подобрать железки с аппаратным ускорением шифрования, но там по алгоритмам надо подбирать

    • @MikrotikTraining
      @MikrotikTraining  Рік тому +2

      Wireguard не поддерживает аппаратное шифрование. Алгоритмы можете посмотреть на сайте разработчика.

    • @Pr0v0rny
      @Pr0v0rny Рік тому

      ​@@MikrotikTraining тогда какие посоветуете недорогие модели микротика, способные справляться с передачей по wireguard 10-20 мбит/с?
      Или там нагрузка на процессор позволяет взять любое изделие серий 951-952?

  • @Audi80b3striker
    @Audi80b3striker Рік тому +1

    Котэ шикарен!!!

  • @Photonicpainter
    @Photonicpainter 2 роки тому +2

    With all respect OpenVPN is old but reliable secure protocol proven for more than decade of use. WireGuard don't have such extensive "resume" yet. IMHO.

    • @vitaliypro8441
      @vitaliypro8441 Місяць тому

      If openvpn was so great and reliable no one would even bother to write Wireguard. You obviously never dealt with multi site openvpn configs and its troubleshooting.

  • @dexxxqqq
    @dexxxqqq Рік тому +1

    Тема не раскрыта. Как подключить к одному маршрутизатору по WG несколько устройств, если интерфейс один? Пир тоже один, соответственно. Так как к одному интерфейсу не дает привязать несколько пиров. А вы в настройках указываете маску 32. Остальные IP клиентов добавлять тоже в тот пир отдельной записью? Или одной записью с другой маской?

    • @MikrotikTraining
      @MikrotikTraining  Рік тому +3

      /32 к одному peer именно таким образом wireguard процесс разбирает какому peer отдавать трафик. Повторите то что я делаю)

    • @dexxxqqq
      @dexxxqqq Рік тому

      @@MikrotikTraining спасибо! Да, все получилось!

  • @monoakira2179
    @monoakira2179 2 роки тому +2

    С месяц назад же публиковали, что с оригиналом стало?

    • @vasyna007
      @vasyna007 2 роки тому

      То был лайв, а сейчас я так понимаю сделали таймлайн и... и все ) ВИдео с камеры как было мутью, так и осталось, голос тоже не слышно чтобы поправили.

    • @monoakira2179
      @monoakira2179 2 роки тому

      @@vasyna007 спорить не буду. хотя у меня звук вроде норм, что тут что в оригинале

  • @alexparshin5533
    @alexparshin5533 Рік тому +3

    Роман, какой можно поиметь прикол с хап лайтом на 7 прошивке ?

  • @pwpain
    @pwpain 2 роки тому +2

    Может кто подсказать, как завернуть весь трафик на микротике-клиенте через впн wireguard?
    Имеется сервер на Ubuntu в качестве wireguard-сервера, mikrotik wireguard клиент соответственно. Но как мне сделать так, чтобы весь трафик с локальных устройств маскировался под WG?

    • @pwpain
      @pwpain Рік тому

      @al спасибо за ответ. По итогу, да, нашел решение вопроса месяца 4 назад. Все как Вы сказали сделал

    • @EvgenyRejnovskey
      @EvgenyRejnovskey Рік тому

      Эпучий ютуп все затер...

  • @putlerhuylo359
    @putlerhuylo359 9 місяців тому

    tailscale использует wireguard как транспорт...... ждем пока его реализуют в микротике как и zerotier.. zerotier фантастиески удобен....

  • @Johann75
    @Johann75 Рік тому

    A о Zerotier еще ничего не было слышно на момент трансляции?

    • @MikrotikTraining
      @MikrotikTraining  Рік тому

      Мне кажется нет. Да и в целом я его не воспринимаю серьезно. Работа только на arm, высокие задержки.

    • @Johann75
      @Johann75 Рік тому

      @@MikrotikTraining , интересная тема SD WAN, но мой тест не удался в гостевой сети WiFi с изолированными пользователями. На сайте ZeroTier это тоже описано. Из многих ваших видео исходит, что вы ARM не уважаете. До сих пор железки глючат?

  • @barcooler
    @barcooler 2 роки тому +3

    Что-то непойму.
    Это перезалив?

  • @user-ew1km5mh2x
    @user-ew1km5mh2x 2 роки тому +1

    КОТ!!!

  • @DotComSashka
    @DotComSashka 2 роки тому

    Запись?

  • @zmey2003
    @zmey2003 2 роки тому

    это что перезалив ?

  • @hulitolku
    @hulitolku Рік тому

    Tor можно прикрутить?

    • @MikrotikTraining
      @MikrotikTraining  Рік тому

      Нет)

    • @hulitolku
      @hulitolku Рік тому

      ​@@MikrotikTraining вот по этой причине я и прошил миркотик openwrt

  • @andrewmad2890
    @andrewmad2890 Рік тому +1

    OpenVPN. L2TP+ IPSec как хрустальный причиндал. Да и его привязка к стандартным портам мне не нравится. OpenVPN в продакшене крутится уже лет 8, сеть на tap(L2) и всё, вообще всё работает и без каких либо проблем. В период зверствования ковида у меня на одну точку приходило 200 клиентов по RDP. И это на 100Мбит канала. Ни одной жалобы я не услышал от сотрудников.

    • @MikrotikTraining
      @MikrotikTraining  Рік тому

      Супер. У нас похожая история - только драйвер tun.

    • @andrewmad2890
      @andrewmad2890 Рік тому

      @@MikrotikTraining Честно признаться я пробовал tun, но он мне показался медленнее. Да и зажимать себя в L3 мне почему то тогда не захотелось. Ну мало ли какой трафик вдруг придётся там гонять. Для основного канала поднял tap. Правда потом я столкнулся с проблемой мобильных устройств, что совсем не хотели tap. Пришлось поднять ещё 2 экземпляра уже с tun под android и ios соответственно и всё взлетело. А вот способность OpenVPN поддерживать канал удивила. Когда канал сыпется, в логах апокалипсис, но в тоннеле лишь лёгкое недопонимание при вполне стабильной работе. Я полагаю количество строк кода там не просто так писано и мне кажется со временем wireguard так же ими обрастёт.

  • @reotron
    @reotron 4 місяці тому

    Сложно

  • @theurs2
    @theurs2 2 роки тому +3

    Перезалив?

  • @bigtown2012
    @bigtown2012 6 місяців тому

    Изо всего что пролезает через DPI, это только SSTP. Работаем с другой страной, где запрещены VPN. Какие только пляски с бубном не устраивали, ни чего кроме sstp не заработало.

  • @vlasker
    @vlasker 2 роки тому

    МикроКотик и WireGuard

  • @SergeyKachalov
    @SergeyKachalov 2 роки тому +4

    Дизлайк. Нельзя скакать с пятого на десятое, когда объясняете кому-то что-то для него новое. Это вы можете каждые 10 секунд менять тему и потом возвращаться. Потому что возвращаетесь к известному. А я через 5 минут совершенно запутался. Знать и объяснять - разные навыки. Хотите кого-то чему-то научить, читайте психологию восприятия.

  • @romandobzhanskiy5619
    @romandobzhanskiy5619 2 роки тому

    сети из говна и палок ))

  • @Trenbo1one
    @Trenbo1one 2 місяці тому

    так убийца или нет ? Ответьте в комментах да or нет