Настроить VPN-сервер на базе MikroTik, к которому подключаются:

• Удалённые офисы (каждый со своей локальной сетью)
• Администраторы (ноутбуки/ПК)

Результат после настройки:

• ✅ Администратор (ноутбук) имеет доступ ко ВСЕМ офисам по их локальным IP.
• ❌ Офисы НЕ видят друг друга (полная изоляция).
• 🌐 Интернет в каждом офисе идёт через своего местного провайдера (VPN не используется для выхода в интернет).
• 🔐 Все подключения зашифрованы через IPsec.

Схема сети:

• VPN-сеть: 10.255.255.0/24
• VPN-шлюз (сервер): 10.255.255.1

Данные для офисов (пример):

Данные для администраторов:

1. **Bridge**: Winbox → ''Bridge'' → ''+'' → Name: ''bridge-vpn'' → OK
2. **IP-адрес для Bridge**: Winbox → ''IP'' → ''Addresses'' → ''+'' → Address: ''10.255.255.1/24'', Interface: ''bridge-vpn'' → OK

1. **IP Pool**: Winbox → ''IP'' → ''Pool'' → ''+'' → Name: ''pool-l2tp'', Addresses: ''10.255.255.2-10.255.255.254'' → OK
2. **PPP Profile**: Winbox → ''PPP'' → ''Profiles'' → ''+''
  * **General**: Name: ''profile-l2tp'', Local Address: ''10.255.255.1'', Remote Address: ''pool-l2tp'', DNS Server: ''(оставить пустым)'', Only One: ''yes''
  * **Protocols**: Use Encryption: ''required'', оставить только ''mschap2'' → OK

• Winbox → PPP → Interface → L2TP Server
• Enabled: ✅
• Default Profile: profile-l2tp
• Max Sessions: 100
• Use IPSec: required
• IPSec Secret: MySecretKey123 (запомните этот ключ!)
• Authentication: оставить только mschap2 → OK

Офисы (с фиксированным VPN IP):

• Winbox → PPP → Secrets → +

Для Офиса 1: Name: office1, Password: pass1, Service: l2tp, Profile: profile-l2tp, Remote Address: 10.255.255.10 → OK Для Офиса 2: Name: office2, Password: pass2, Service: l2tp, Profile: profile-l2tp, Remote Address: 10.255.255.11 → OK Для Офиса 3: Name: office3, Password: pass3, Service: l2tp, Profile: profile-l2tp, Remote Address: 10.255.255.12 → OK

Администраторы (без фиксации IP):

• Winbox → PPP → Secrets → +
• Name: admin, Password: admin123, Service: l2tp, Profile: profile-l2tp, Remote Address: (оставить пустым) → OK

• Winbox → IP → Route → +

• Winbox → IP → Firewall → Filter Rules

Правило 1 (разрешить трафик внутри VPN-сети):

• Chain: forward, Src. Address: 10.255.255.0/24, Dst. Address: 10.255.255.0/24, Action: accept, Comment: VPN to VPN

Правило 2 (разрешить доступ из центральной локалки в VPN, опционально):

• Chain: forward, Src. Address: 10.0.0.0/24, Dst. Address: 10.255.255.0/24, Action: accept, Comment: Local to VPN

Правило 3 (запретить всё остальное):

• Chain: forward, Action: drop, Comment: Drop all else

> ⚠️ **Проверьте**: во вкладке ''NAT'' не должно быть правил с ''out-interface=bridge-vpn'' или ''src-address=10.255.255.0/24''.

• Winbox → Interfaces → + → L2TP Client
• Вкладка General: Name: l2tp-central
• Вкладка Dial Out:
  • Connect To: (публичный IP центрального MikroTik)
  • User: office1
  • Password: pass1
  • Allow: только mschap2
  • Use IPSec: yes
  • IPSec Secret: MySecretKey123
  • Add Default Route: no ⚠️ ОЧЕНЬ ВАЖНО!
  • OK

• Winbox → IP → Addresses → +
• Address: 10.255.255.10/24
• Interface: l2tp-central → OK

• До центральной сети (если нужна): Winbox → IP → Route → + → Dst. Address: 10.0.0.0/24, Gateway: 10.255.255.1 → OK
• > ⚠️ Никаких маршрутов до других офисов не добавлять!

• Winbox → IP → Firewall → Filter Rules
• Разрешить из VPN в локальную сеть: Chain: forward, Src. Address: 10.255.255.0/24, Dst. Address: 192.168.1.0/24, Action: accept
• Разрешить из локалки в VPN: Chain: forward, Src. Address: 192.168.1.0/24, Dst. Address: 10.255.255.0/24, Action: accept

1. **Пуск** → **Параметры** → **Сеть и Интернет** → **VPN**
2. **Добавить VPN-подключение**:
  * Поставщик VPN: ''Windows (встроенное)''
  * Имя подключения: ''VPN Центр''
  * Адрес сервера: ''(публичный IP MikroTik)''
  * Тип VPN: ''L2TP/IPsec с предварительным ключом''
  * Предварительный ключ: ''MySecretKey123''
  * Имя пользователя: ''admin''
  * Пароль: ''admin123''
  * **Сохранить**

1. **Панель управления** → **Центр управления сетями и общим доступом** → **Изменение параметров адаптера**
2. Правой кнопкой мыши по **VPN Центр** → **Свойства**
3. Вкладка **Сеть** → выберите **IP версии 4 (TCP/IPv4)** → **Свойства**
4. Нажмите **Дополнительно** → **СНИМИТЕ** галочку «Использовать основной шлюз в удалённой сети»
5. Нажмите **OK** → **OK** → **OK**

1. Нажмите на значок сети в трее → выберите **VPN Центр** → **Подключиться**
2. Откройте **Командную строку** (cmd) и выполните:
<code>
ping 192.168.1.1   # Роутер Офиса 1 — должен отвечать
ping 192.168.2.1   # Роутер Офиса 2 — должен отвечать
ping 192.168.3.1   # Роутер Офиса 3 — должен отвечать
ping google.com    # Интернет — должен работать
</code>

Делается на центральном сервере за 30 секунд:

1. Winbox → ''PPP'' → вкладка **Secrets**
2. Нажмите **''+''**
3. Заполните поля:
  * **Name**: ''petrov'' (придумайте логин)
  * **Password**: ''petrov321'' (придумайте пароль)
  * **Service**: ''l2tp''
  * **Profile**: ''profile-l2tp'' (выберите из списка)
  * **Remote Address**: **оставьте это поле пустым** (это важно!)
4. Нажмите **OK**

Всё! Новый администратор готов.

Теперь пользователь petrov может настроить VPN на своём ноутбуке, используя:

• Логин: petrov
• Пароль: petrov321
• Адрес сервера: (публичный IP центрального MikroTik)
• Предварительный ключ: MySecretKey123

После подключения он автоматически получит доступ ко всем офисам.

Когда сотрудник уволился или больше не нуждается в доступе:

1. Winbox → ''PPP'' → **Secrets**
2. Найдите пользователя (например ''petrov'')
3. Нажмите красный минусик **''-''** (удалить) или кнопку **Disable** (отключить)

1. **Добавить пользователя** (как в п. 2.4): Name: ''office4'', Password: ''pass4'', Remote Address: ''10.255.255.13''
2. **Добавить маршрут** (как в п. 2.5): Dst. Address: ''192.168.4.0/24'', Gateway: ''10.255.255.13'', Comment: ''office4''

Выполнить настройку по инструкции из **Раздела 3**, используя:
* Логин: ''office4''
* Пароль: ''pass4''
* VPN IP: ''10.255.255.13''
* Локальная сеть: ''192.168.4.0/24''

• Winbox → PPP → Secrets
• Найти пользователя → нажать - (удалить) или Disable (отключить)

После этого пользователь теряет доступ к VPN. Если это был офис — не забудьте также удалить маршрут до его локальной сети (IP → Route).

На центральном сервере (терминал Winbox):

# Кто подключен?
/ppp active print
 
# Маршруты до офисов
/ip route print where dst-address~"192.168"
 
# Посмотреть логи подключений
/log print where topics~"ppp"

На удалённом офисе (MikroTik):

# Статус туннеля
/interface l2tp-client print status
 
# Пинг до сервера
/ping 10.255.255.1

На ноутбуке (cmd):

# Какой IP получили в VPN?
ipconfig | findstr "10.255"
 
# Посмотреть маршруты
route print -4 | findstr "192.168"

• ✅ Центральный сервер (MikroTik): раздаёт IP, маршрутизирует трафик между администраторами и офисами.
• ✅ Офисы: подключаются к серверу, имеют доступ только в свою локальную сеть и (опционально) в центральную. Интернет — через своего провайдера.
• ✅ Администраторы: подключаются с ноутбуков, получают доступ ко ВСЕМ офисам по их локальным IP, интернет ноутбука не зависит от VPN.
• ✅ Масштабирование:
  • Новый офис = новый пользователь (с фиксацией IP) + маршрут на сервере.
  • Новый администратор = просто новый пользователь (с пустым Remote Address).

Antistatus 30.05.2026 19:53