Un túnel VPN conecta SmartOLT con tu red privada. A través del túnel, SmartOLT llega a tus OLT y a las IP de gestión de tus ONU en sus direcciones privadas.
Un túnel puede servir a varios OLT y a todas sus ONU, si el router donde termina el túnel llega a ellos. Puedes crear todos los túneles que necesites, por ejemplo uno para cada sitio.
El túnel termina en un router de tu red que puede llegar a tus OLT y ONU. Este router puede ser un MikroTik (WireGuard u OpenVPN) o un router IPsec como FortiGate, NE8000, Juniper o Sophos.
Los ejemplos de esta guía usan estos valores:
| Valor | Ejemplo |
|---|---|
| Subred del túnel | 10.69.69.0/24 |
| Red de los OLT | 192.168.50.0/24 |
| Red de gestión de las ONU | 10.50.61.0/24 |
1Crea el túnel
Ve a Settings → VPN & TR069, donde la pestaña VPN tunnels lista tus túneles. Haz clic en Create a new tunnel. La ventana Create a new VPN tunnel se abre con la configuración ya completada. Puedes conservarla o puedes escribir tus propias subredes privadas en Tunnel routes. Haz clic en Add tunnel.
| Columna | Contenido |
|---|---|
| Status | Muestra Connected cuando el túnel está activo. Tunnel IP es la dirección de tu MikroTik dentro del túnel. |
| Subnet | La red privada dentro del túnel VPN, entre SmartOLT y tu MikroTik, por ejemplo 10.69.69.0/24. SmartOLT tiene una dirección en esta red y tu MikroTik tiene otra. SmartOLT define esta red por ti, así que no necesitas cambiarla. |
| Connected subnets | Las redes a las que SmartOLT llega a través del túnel. Las defines en Tunnel routes cuando editas el túnel. |
| Used by | Los OLT que usan el túnel. |
El campo Tunnel type de la pestaña VPN tunnels define el protocolo de todos los túneles VPN. Selecciona un tipo y haz clic en Apply. El enlace Compare protocols muestra la tabla de abajo.
| Tipo de túnel | Velocidad | CPU del router | Funciona en |
|---|---|---|---|
| WireGuard | La más rápida | Baja | RouterOS 7.12.1 o posterior |
| OpenVPN UDP | Media | Alta | RouterOS 7.12.1 o posterior |
| OpenVPN TCP | La más lenta | Alta | RouterOS 6 o posterior |
| IPsec (IKEv2, clave precompartida) | Alta con aceleración por hardware | Baja con aceleración por hardware, media sin ella | FortiGate, NE8000, Juniper, Sophos etc. |
Para un MikroTik con RouterOS 7.12.1 o posterior, recomendamos WireGuard.
El tipo de túnel se aplica a todos los túneles VPN. Después de cambiarlo, vuelve a aplicar el VPN setup en cada router. Los routers que se quedan con el tipo anterior pierden la conexión.
2Aplica la configuración de VPN en el router
En la fila del túnel, haz clic en VPN setup. Para un túnel de MikroTik (WireGuard u OpenVPN), la ventana VPN setup muestra un script de configuración de VPN para RouterOS.
- Haz clic en Copy to clipboard.
- En el MikroTik, abre New Terminal y pega el script.
- Mantén la ventana abierta hasta que termine la configuración, porque el script de configuración de VPN solo es válido por poco tiempo, mientras la ventana de configuración de SmartOLT está abierta.
Si RouterOS responde failure: not allowed by device-mode, sigue el paso 5.
3Agrega tus redes a las rutas del túnel
SmartOLT envía por el túnel solo el tráfico de las redes que están en Tunnel routes. Si la dirección de un OLT o de una ONU no está en una de estas redes, SmartOLT no puede llegar a ese equipo.
En la fila del túnel, haz clic en Edit. En la ventana Edit tunnel, escribe en Tunnel routes las subredes de tus OLT y de las IP de gestión de las ONU, una por línea. Luego haz clic en Save changes.
En este ejemplo, 192.168.50.0/24 es la red de los OLT y 10.50.61.0/24 es la red de gestión de las ONU. Una ruta más grande también funciona. Por ejemplo, 10.0.0.0/8 incluye 10.50.61.0/24.
Debajo del campo, Used by lista los OLT y las subredes de ONU que ya usan el túnel.
Cada túnel necesita sus propias rutas. Si tienes sitios que no están conectados entre sí, crea un túnel para cada sitio y escribe las redes de ese sitio. Si las rutas de dos túneles se superponen, las direcciones de la ruta más pequeña usan ese túnel y el resto usa el túnel con la ruta más grande.
El router no debe hacer NAT al tráfico entre el túnel y las redes de tus OLT y ONU. La configuración de MikroTik que genera SmartOLT ya excluye el túnel del NAT.
4Revisa que el túnel está conectado
Recarga la página VPN tunnels algunas veces. Cuando el túnel está activo, Status muestra Connected, la dirección pública de tu router y su Tunnel IP.
Para probar el túnel, haz clic en el botón naranja con la lupa debajo de Status. La ventana VPN tunnel diagnosis muestra el estado del túnel y un botón Ping para la dirección del router.
Luego revisa un equipo que está detrás del túnel. Por ejemplo, agrega el OLT con su dirección IP privada, como en Agrega el OLT.
5Si el túnel no se conecta
Abre la ventana VPN tunnel diagnosis, como en el paso 4. La ventana muestra la causa que SmartOLT encontró. Estas son las causas más comunes:
| Lo que ves | Qué hacer |
|---|---|
| No router ran the setup script for this tunnel recently, and no router connected to it. | Aplica de nuevo el VPN setup en el router, como en el paso 2. |
El router responde failure: not allowed by device-mode. |
Cambia el device-mode del MikroTik, como en los pasos de abajo. |
| El diagnóstico dice que el router no recibe las respuestas del servidor. | Una regla de firewall, una regla de NAT o un problema de MTU en tu red descarta las respuestas. Permite el tráfico desde las direcciones que muestra el mensaje. |
| Tunnel conflict detected | Dos routers usan el mismo túnel. Usa un túnel en un solo router. Para un segundo router, crea un túnel nuevo. |
| Connected, pero SmartOLT no puede llegar a un OLT o a una ONU. | Revisa que la red del equipo está en Tunnel routes, como en el paso 3. Luego revisa que el router puede hacer ping al equipo. |
Si RouterOS responde "failure: not allowed by device-mode"
Los dispositivos MikroTik más nuevos arrancan en un device-mode restringido. En este modo, RouterOS bloquea algunos comandos que necesita el script de configuración de VPN, por ejemplo /tool fetch. Por eso, la terminal muestra failure: not allowed by device-mode y RouterOS no crea el túnel.
-
En la terminal del MikroTik, ejecuta:
/system/device-mode/update mode=advanced -
En menos de 5 minutos, desconecta el router de la energía eléctrica y conéctalo de nuevo. RouterOS aplica el nuevo modo solo después de este corte real de energía.
-
Revisa el modo:
/system/device-mode/printLa salida debe mostrar
mode: advanced. -
En SmartOLT, abre VPN setup de nuevo, copia el script y pégalo en la terminal del MikroTik. Hazlo mientras la ventana está abierta, porque el script de configuración de VPN solo es válido por poco tiempo.
Un reinicio desde la terminal o desde Winbox no confirma el cambio. Debes desconectar la energía eléctrica y conectarla de nuevo.
Próximos pasos
El túnel ya está conectado. Ahora agrega tu OLT con su dirección IP privada en Agregar un OLT y revisar su estado. Para gestionar las ONU por TR-069, sigue Configurar TR-069.