1.2 Creează tunelul VPN securizat — Manualul de utilizare SmartOLT

Un tunel VPN conectează SmartOLT la rețeaua ta privată. Prin tunel, SmartOLT ajunge la OLT-urile tale și la adresele IP de management ale ONU-urilor, pe adresele lor private.

Un tunel poate servi mai multe OLT-uri și toate ONU-urile lor, dacă router-ul de la capătul tunelului ajunge la ele. Poți crea câte tuneluri ai nevoie, de exemplu câte unul pentru fiecare locație.

Tunelul se termină pe un router din rețeaua ta care ajunge la OLT-uri și la ONU-uri. Acest router poate fi un MikroTik (WireGuard sau OpenVPN) sau un router IPsec, de exemplu FortiGate, NE8000, Juniper sau Sophos.

Exemplele din acest ghid folosesc aceste valori:

Valoare	Exemplu
Subnetul tunelului	`10.69.69.0/24`
Rețeaua OLT-urilor	`192.168.50.0/24`
Rețeaua de management a ONU-urilor	`10.50.61.0/24`

1Creează tunelul

Mergi la Settings → VPN & TR069, unde tab-ul VPN tunnels arată lista tunelurilor tale. Fă clic pe . Se deschide fereastra Create a new VPN tunnel, cu setările deja completate. Le poți păstra sau poți introduce propriile subnet-uri private în Tunnel routes. Fă clic pe .

Coloană	Conținut
Status	Arată Connected când tunelul este activ. Tunnel IP este adresa MikroTik-ului tău în interiorul tunelului.
Subnet	Rețeaua privată din interiorul tunelului VPN, între SmartOLT și MikroTik-ul tău, de exemplu `10.69.69.0/24`. SmartOLT are o adresă în această rețea, iar MikroTik-ul tău are alta. SmartOLT setează această rețea pentru tine, așa că nu trebuie s-o schimbi.
Connected subnets	Rețelele la care SmartOLT ajunge prin tunel. Le setezi în Tunnel routes când editezi tunelul.
Used by	OLT-urile care folosesc tunelul.

Câmpul Tunnel type din tab-ul VPN tunnels setează protocolul pentru toate tunelurile VPN. Selectează un tip și fă clic pe Apply. Link-ul Compare protocols arată tabelul de mai jos.

Tipul tunelului	Viteză	CPU-ul router-ului	Funcționează pe
WireGuard	Cea mai mare	Scăzut	RouterOS 7.12.1 sau mai nou
OpenVPN UDP	Medie	Ridicat	RouterOS 7.12.1 sau mai nou
OpenVPN TCP	Cea mai mică	Ridicat	RouterOS 6 sau mai nou
IPsec (IKEv2)	Mare cu accelerare hardware	Scăzut cu accelerare hardware, mediu fără	FortiGate, NE8000, Juniper, Sophos etc.

Pentru un MikroTik cu RouterOS 7.12.1 sau mai nou, recomandăm WireGuard.

Atenție

Tipul tunelului se aplică tuturor tunelurilor VPN. După ce îl schimbi, aplică din nou VPN setup script pe fiecare router. Router-ele care rămân pe tipul vechi pierd conexiunea.

2Aplică configurarea VPN pe router

Pe rândul tunelului, fă clic pe . Ce arată fereastra VPN setup script depinde de tipul tunelului.

Router MikroTik

Pentru un tunel MikroTik (WireGuard sau OpenVPN), fereastra VPN setup script arată scriptul pentru RouterOS.

Fă clic pe .
Pe MikroTik, deschide New Terminal și lipește scriptul.
Ține fereastra deschisă până se termină configurarea, pentru că scriptul de configurare VPN este valabil doar puțin timp, cât fereastra de configurare din SmartOLT este deschisă.

Sfat

Dacă RouterOS răspunde failure: not allowed by device-mode, urmează pasul 5.

Router IPsec

Pentru un tunel IPsec (IKEv2), fereastra VPN setup script arată valorile pe care le copiezi pe router. Folosește-le pe orice router care suportă IKEv2, de exemplu un FortiGate sau un Juniper.

Pune Tunnel IP of your router pe router, de exemplu pe o interfață loopback. Router-ul trebuie să trimită traficul către OLT-uri de pe această adresă.

3Adaugă rețelele tale în rutele tunelului

SmartOLT trimite prin tunel doar traficul pentru rețelele din Tunnel routes. Dacă adresa unui OLT sau a unui ONU nu este în una dintre aceste rețele, SmartOLT nu ajunge la ea.

Pe rândul tunelului, fă clic pe . În fereastra Edit tunnel, introdu în Tunnel routes subnet-urile OLT-urilor și ale adreselor IP de management ale ONU-urilor, câte unul pe linie. Apoi fă clic pe .

Fereastra Edit tunnel cu două rute de tunel

În acest exemplu, 192.168.50.0/24 este rețeaua OLT-urilor și 10.50.61.0/24 este rețeaua de management a ONU-urilor. Funcționează și o rută mai mare. De exemplu, 10.0.0.0/8 include 10.50.61.0/24.

Sub câmp, Used by arată OLT-urile și subnet-urile de ONU-uri care folosesc deja tunelul.

Notă

Fiecare tunel are nevoie de propriile rute. Dacă ai locații care nu sunt conectate între ele, creează câte un tunel pentru fiecare locație și introdu rețelele acelei locații. Dacă rutele a două tuneluri se suprapun, adresele din ruta mai mică folosesc tunelul acelei rute, iar restul folosesc tunelul cu ruta mai mare.

Atenție

Router-ul nu trebuie să facă NAT pe traficul dintre tunel și rețelele tale de OLT-uri și ONU-uri. Configurația MikroTik generată de SmartOLT exclude deja tunelul din NAT.

4Verifică dacă tunelul este conectat

Reîncarcă de câteva ori pagina VPN tunnels. Când tunelul este activ, Status arată Connected, adresa publică a router-ului și Tunnel IP-ul lui.

Ca să testezi tunelul, fă clic pe butonul portocaliu cu lupă de sub Status. Fereastra VPN tunnel diagnosis arată starea tunelului și aceste instrumente:

Connection log arată încercările recente de conectare ale router-ului.
Butoanele Ping testează adresa IP din tunel și adresa IP publică a router-ului. Dacă adresa IP publică nu răspunde, SmartOLT arată și un traceroute, ca să vezi unde se oprește traficul.
Check from other locations testează adresa IP publică a router-ului din alte locuri de pe internet.

Apoi verifică un dispozitiv din spatele tunelului. De exemplu, adaugă OLT-ul cu adresa lui IP privată, ca în Adaugă OLT-ul.

5Dacă tunelul nu se conectează

Deschide fereastra VPN tunnel diagnosis, ca la pasul 4. Fereastra arată cauza găsită de SmartOLT. Acestea sunt cauzele cele mai frecvente:

Ce vezi	Ce faci
No router ran the setup script for this tunnel recently, and no router connected to it.	Aplică din nou VPN setup script pe router, ca la pasul 2.
Router-ul răspunde `failure: not allowed by device-mode`.	Schimbă device-mode-ul MikroTik-ului, ca în pașii de mai jos.
Diagnosticul spune că router-ul nu primește răspunsurile serverului.	O regulă de firewall, o regulă de NAT sau o problemă de MTU din rețeaua ta aruncă răspunsurile. Permite traficul de la adresele pe care le arată mesajul.
Tunnel conflict detected	Două router-e folosesc același tunel. Folosește un tunel pe un singur router. Pentru un al doilea router, creează un tunel nou.
The router is not connected. Check on the router that the remote gateway is ..., the local ID is ... and the pre-shared key matches.	Doar IPsec. Fă ca aceste valori de pe router să fie identice cu cele din fereastra VPN setup script.
The router has contacted the server, but the tunnel is not up yet ...	Doar IPsec. Fă ca propunerile IKE și ESP și subnet-urile de faza 2 de pe router să fie identice cu cele din fereastra VPN setup script.
The tunnel is connected, but these routes are missing on the server: ...	Doar IPsec. Editează tunelul și salvează-l din nou, ca la pasul 3.
Connected, dar SmartOLT nu ajunge la un OLT sau la un ONU.	Verifică dacă rețeaua dispozitivului este în Tunnel routes, ca la pasul 3. Apoi verifică dacă router-ul poate da ping la dispozitiv.

Dacă RouterOS răspunde "failure: not allowed by device-mode"

Dispozitivele MikroTik mai noi pornesc într-un device-mode restricționat. În acest mod, RouterOS blochează unele comenzi de care scriptul de configurare VPN are nevoie, de exemplu /tool fetch. De aceea terminalul arată failure: not allowed by device-mode și RouterOS nu creează tunelul.

În terminalul MikroTik, rulează:

/system/device-mode/update mode=advanced

În cel mult 5 minute, scoate router-ul din priză și pune-l din nou în priză. RouterOS aplică noul mod doar după această repornire reală, cu întreruperea alimentării.
Verifică modul:
```
/system/device-mode/print
```
Rezultatul trebuie să arate mode: advanced.
În SmartOLT, deschide din nou VPN setup script, copiază scriptul și lipește-l în terminalul MikroTik. Fă asta cât timp fereastra este deschisă, pentru că scriptul de configurare VPN este valabil doar puțin timp.