Instalar chr Mikrotik en la Nube Hetzner

Después de registrarnos en Hetzner abrimos nuestroy correo electrónico y clicamos en el enlace:

Are yo insterested in the Hetzner Cloud?
URL: https://console.hetzner.cloud

A continuación procedemos a la creación de un projecto nuevo y un servidor. Revisamos nuevamente el correo electrónico utilizado durante el registro para conocer los datos de conexión.

YOUR NEW SERVER
Your server "ubuntu-2gb-fsn1-1" was created!

You can access your server with the following credentials:
 
IPv4	138.201.94.32
IPv6	2a01:4f8:c17:e00b::/64
User	root
Password	7CN9eFAggr4RJkVaXEbs

Abrimos nuestra terminal Linux o Mac y tecleamos. Estás obligado a cambiar la contraseña. Te pedirá la contraseña actual y la nueva contraseña.

ssh -p 22 root@138.201.94.32
password:

Change password:
Old password:

New password:

Nos ubicamos en la raiz para descargar y descomprimir la imagen Cloud Hoster Router (Raw), desde el sitio web de Mikrotik.

# cd /root

# curl -O https://download2.mikrotik.com/routeros/6.42.3/chr-6.42.3.img.zip

# gunzip -S .zip chr-6.42.3.img.zip

Comprobar el dispositivo

# fdisk -l

Device      Start      End  Sectors Size Type

/dev/sda1  129024 40001502 39872479  19G Linux filesystem

/dev/sda14   2048     4095     2048   1M BIOS boot

/dev/sda15   4096   129023   124928  61M EFI System

# dd if=chr-6.42.3.img of=/dev/sda

262144+0 records in

262144+0 records out

134217728 bytes (134 MB, 128 MiB) copied, 38.3924 s, 3.5 MB/s

Reiniciar el sistema

# reboot

Abrimos Winbox e introducimos en Connect To: la IP Pública del servidor, en la entrada Login: admin, y en Password la contraseña cambiada anteriormente y hacemos clic en Connect.

En System User clicamos en admin y ponemos una contraseña. También actualizamos nuestro RouterOS a la última versión y desactivamos desde IP Services todo menos api y winbox

Mikrotik es genial!

VPN SSTP Entre dos Mikrotik Utilizando Certificados

Crear certificados en el Servidor cloud chr que creamos en Hetzner. 

System -> Certificates. En primer lugar creamos el certificado CA con las siguientes características

Ahora tenemos que crear el certificado del servidor, similar al anterior pero en Common Name pondremos la dirección IP Pública del servidor 195.201.40.65 de manera que los equipos tengan la certeza que la comunicación se establece con el equipo correcto.

A continuación creamos el certificado del cliente.

Firmar los certificados:

Certificado CA:

El certificado CA está firmado (KAT) K - private-key, A - authority, T - trusted.

Firmar certificado del cliente:

Firmar certificado del servidor

Vamos a configurar la VPN clicando en PPP SSTP Server. Primero creamos un PPP Profile con dirección IP local 10.254.254.1 y dirección IP remota 10.254.254.2 o en su defecto si las direcciones IP se entregarán por DHCP, en Remote Address pondremos el pool de direcciones IP del DHCP Server. En la pestaña Protocols la entrada Use Encryption en required (obligatorio).

Ya podemos crear la VPN. PPP -> SSTP Server, TLS Version only--1.2 y tildando Force AES para obligar la encriptación, el puerto será el 443.

Exportar certificados CA y CLIENTE. El certificado cliente lo exportamos con una clave (Export Passphase:

Nos vamos a Files y descargamos los certificados a una carpeta que llamaremos cert-hetzner

En el segundo dispositivo Mikrotik (AdminRouter) es donde vamos a subir los certificados, Upload en la carpeta Files.

Luego los importamos. System -> Certificates -> Import. El CA, el crt (con la clave que utilizamos para crearlo), y la llave pública.

El siguiente paso es crear el SSTP cliente. Abrimos PPP y en la pestaña + elegimos SSTP Client e introducimos los datos correspondientes al servidor cloud SSTP. Tildamos Add Default Router si vamos a navegar a través del cloud, si no lo dejamos por defecto. Por último comprobamos que el túnel se ha establecido. 

Si nos conectamos al cloud chr y vamos a PPP Interface veremos el túnel, DR dynamic y running.

Habilitar conectividad entre el chr y la LAN detrás del AdminRouter. Si hacemos ping hacia el chr tenemos conectividad pero, desde el chr cloud hacia la LAN no. Tenemos que crear la ruta en IP Route agregando en Dst. Address el segmento de la LAN y como Puerta de Enlace el túnel sstp.

Llegados a este punto, podemos establecer la conexión VPN SSTP con el cloud chr, a través de Winbox.

Mikrotik es genial!.