VPN SSTP Entre dos Mikrotik Utilizando Certificados

Crear certificados en el Servidor cloud chr que creamos en Hetzner. 

System -> Certificates. En primer lugar creamos el certificado CA con las siguientes características

Ahora tenemos que crear el certificado del servidor, similar al anterior pero en Common Name pondremos la dirección IP Pública del servidor 195.201.40.65 de manera que los equipos tengan la certeza que la comunicación se establece con el equipo correcto.

A continuación creamos el certificado del cliente.

Firmar los certificados:

Certificado CA:

El certificado CA está firmado (KAT) K - private-key, A - authority, T - trusted.

Firmar certificado del cliente:

Firmar certificado del servidor

Vamos a configurar la VPN clicando en PPP SSTP Server. Primero creamos un PPP Profile con dirección IP local 10.254.254.1 y dirección IP remota 10.254.254.2 o en su defecto si las direcciones IP se entregarán por DHCP, en Remote Address pondremos el pool de direcciones IP del DHCP Server. En la pestaña Protocols la entrada Use Encryption en required (obligatorio).

Ya podemos crear la VPN. PPP -> SSTP Server, TLS Version only--1.2 y tildando Force AES para obligar la encriptación, el puerto será el 443.

Exportar certificados CA y CLIENTE. El certificado cliente lo exportamos con una clave (Export Passphase:

Nos vamos a Files y descargamos los certificados a una carpeta que llamaremos cert-hetzner

En el segundo dispositivo Mikrotik (AdminRouter) es donde vamos a subir los certificados, Upload en la carpeta Files.

Luego los importamos. System -> Certificates -> Import. El CA, el crt (con la clave que utilizamos para crearlo), y la llave pública.

El siguiente paso es crear el SSTP cliente. Abrimos PPP y en la pestaña + elegimos SSTP Client e introducimos los datos correspondientes al servidor cloud SSTP. Tildamos Add Default Router si vamos a navegar a través del cloud, si no lo dejamos por defecto. Por último comprobamos que el túnel se ha establecido. 

Si nos conectamos al cloud chr y vamos a PPP Interface veremos el túnel, DR dynamic y running.

Habilitar conectividad entre el chr y la LAN detrás del AdminRouter. Si hacemos ping hacia el chr tenemos conectividad pero, desde el chr cloud hacia la LAN no. Tenemos que crear la ruta en IP Route agregando en Dst. Address el segmento de la LAN y como Puerta de Enlace el túnel sstp.

Llegados a este punto, podemos establecer la conexión VPN SSTP con el cloud chr, a través de Winbox.

Mikrotik es genial!.