OpenVPN es una de las herramientas mas utilizadas para la creación de Redes Privadas Virtuales (VPN). Siendo uno de los protocolos mas seguros para crear túneles a través de redes publicas ya que utiliza certificados SSL/TLS.
A continuación vamos a crear un servidor OVPN dentro de nuestro Router Mikrotik, con la intención de conectar otros equipos Mikrotik o equipos finales.
[TOC]Crear los certificados necesarios
Certificado CA
Desde nuestro WinBox iremos Sistema>Certificados.
Pulsamos sobre el Simbolo «+», esto nos abrira una pestaña donde crearemos el nuevo certificado.
Para identificarlo fácilmente recomiendo usar un nombre que empiece por CA seguido del nombre que deseamos ponerle. En este caso usaremos el nombre CA_OVPN_Server.
En la pestaña de general tenemos varios campos, yo suelo rellenar los siguientes, pero podemos rellenar los campos que deseemos:
Es muy importante que en la pestaña de Key Usage, marquemos las casillas crl sign y key cert. sign , el resto de casillas deben estar desmarcadas.
Pulsaremos sobre el boton de Apply y luego en Sign.
Una vez en Sign, seleccionaremos el certificado y pondremos nuestra IP WAN de Mikrotik en el campo CA CRL Host, una vez relleno estos campos pulsaremos Start en la pantalla de Sign.
Si nuestro certificado no muestra la columna de Trusted como yes, pincharemos doble clic sobre el certificado y marcaremos Trusted en la pestaña de General.
Certificado Servidor
Ahora vamos a crear el certificado para nuestro servidor OpenVPN
Los pasos son muy parecidos al apartado anterior, Le ponemos un nombre que nos resulte fácilmente identificable, y rellenaremos los campos que queramos en la pestaña de general.
En la pestaña de Key Usage, marcaremos las siguientes pestañas: digital signature, key encipherment y tls server.
Pulsaremos sobre apply, y luego sobre Sign, aquí debemos elegir en Certificate el nuevo certificado, y en CA elegimos el certificado del apartado anterior, si hemos rellenado Common Name aparecera con este nombre y si este campo se encuentra vació saldrá con el nombre del campo Name. Pulsaremos sobre Start y esperaremos al mensaje de Done.
Una vez terminado, es muy probable que nos aparezca Trusted como No, de ser asi, debemos marcarla haciendo doble clic sobre el certificado y marcando la pestaña de Trusted en general.
Certificado cliente
Este paso es casi idéntico al anterior, salvo que en la pestaña de Key Usage, deberemos marcar solo la pestaña de tls client.
Este certificado no requiere Trusted.
Configuracion del servidor OpenVPN en Mikrotik
Una vez creados los certificados necesarios para nuestro montar nuestra VPN con OpenVPN, vamos a configurar nuestro servidor en nuestro router Mikrotik.
Para configurar el servidor, en nuestro WinBox nos vamos a la pestaña PPP y pulsaremos sobre el boton OVPN Server.
Marcaremos la casilla de Enabled, para activar el servidor OpenVPN, Por defecto el puerto de OpenVPN es el 1194, pero podemos cambiarlo por el que queramos.
Debemos asegurarnos que el Modo esta en IP, y el certificado que utilizaremos es el del servidor.
Marcaremos la casilla de Require Client Certificate.
En cifrados de seguridad yo utilizo los siguientes:
En Auth uso el encriptado sha1
En Cipher uso aes 256 cbc
Crear los usuarios para los clientes
Para validar que la conexion es autorizada Mikrotik OpenVPN utiliza un usuario y su contraseña, asi que en este paso vamos a crear un usuario para que pueda conectar con nuestra VPN.
Para este paso, necesitamos haber configurado previamente una Pool para nuestra VPN.
Crearemos un nuevo perfil de VPN en PPP>Profiles y en pool seleccionaremos la Pool creada para nuestra VPN.
Crearemos el usuarios en PPP>Secrets, crearemos un Usuario y su contraseña, como servicio seleccionamos ovpn y para profile utilizaremos el anterior creado.
