Dostęp do sieci domowej na wyjeździe - Mikrotik jako klient VPN i mobilny access point

Pokazuję jak można rozwiązać dostęp do sieci domowej na wyjeździe. Przy okazji wykonuję testy wydajności różnych rodzajów tuneli VPN na dość starym sprzęcie Mirotika (RB433GL).
Testy prędkości wykonywałem z Laptopa Dream Machines RT2060-15PL242 (Clevo NH55ADY) do CCR1036-12G-4S.

0:00 Wprowadzenie
1:18 Mikrotik jako klient VPN i wymagania go dotyczące
2:34 Znowu RB433GL i jego uniwersalność
4:09 Uzasadnienie takiego rozwiązania
4:59 Wybór odpowiedniego tunelu VPN i blokowanie tuneli przez dostawców
6:39 Środowisko testowe
7:36 Testy przepustowości WireGuard
9:33 Testy przepustowości SSTP
10:36 Testy przepustowości PPTP
12:04 Testy przepustowości OpenVPN
13:00 Dywagacje na temat MTU i jego wpływu na wydajność oraz połączeń TCP
13:48 Testy przepustowości L2TP
14:48 Podsumowanie testu przepustowości tuneli
15:39 A może LTE jako dostęp do internetu?
16:42 Przejściówka do modemu LTE M.2 na USB
17:44 Modem Fibocom L850-GL
18:55 Znowu o przejściówce M.2 na USB
19:36 Modem LTE podpięty do Mikrotika
20:47 Zakończenie, prośba o likeowanie i subskrybowanie

[tatageek]

Świetny film!
co wakacje ciagnie mnie do zmajstrowania takiego podróżnego routra, moze tym razem w koncu sie uda 😊

Kurcze dobre to jest 😊 musze cos takiego u siebie zastosować by miec na wyjazdy.

[GoracyKanal]

Super materiał, mega merytoryczny <3

[MatiNiewczas]

Jeśli nie ma się publicznego IP to z pomocą przychodzi ZeroTire. Jest do tego pakiet w "extra" dla router'ów z prockiem ARM. Jest wolniejszy od WireGuard oczywiście.

[endij]

Dzięki za materiał, sporo się można dowiedzieć. Od jakiegoś czasu sam stałem się fanem WireGuarda, właśnie za swoje zużycie zasobów i przepustowość - mam go na każdym swoim urządzeniu, mam także stałe tunele między sieciami, niestety, z L2TP jest kłopot, gdyż ten wymaga publicznego adresu IP (nie wiem jak z SSTP), a ja jestem za cholernym NATem. Korzystałem kiedyś z PPTP (zanim WireGuard pojawił się w mikrotiku) i z niektórych sieci miałem problem z podłączeniem, np. z internetu mobilnego (Orange), być może blokowali ten protokół. Wspomniałeś o blokowaniu UDP w publicznych sieciach... Zastanawiam się, jak działałby tunel WireGuarda przez narzędzia typu "udptunnel" pozwalające na przepychanie pakietów UDP przez TCP. Moim zdaniem blokowanie UDP w sieciach publicznych to jakieś nieporozumienie, bo internet to nie tylko porty 80/443, ale często także komunikatory głosowe, które przecież najczęściej działają przez UDP, chociażby WifiCalling, który jest dosyć pożądaną funkcją za granicą. Ja osobiście spotkałem się z blokowaniem UDP tylko na wifi w pociągu PKP IC. Uważam, że taki mobilny router to faktycznie fajna sprawa, jednak ciężko o dobrego mikrotika do tego typu zastosowań, niby są te małe wynalazki jak mAP, no ale to zbyt dobrej wydajności nie ma. Mi się podoba zastosowanie małego komputerka typu rpi z OpenWRT na pokładzie. Taki mobilny router daje jeszcze jedną fajną rzecz - za granicą spotkałem się z hotelami, gdzie trzeba było z osobna płacić za każde urządzenie w ich sieci wifi, taki router sprawia, że dla ich sieci jesteśmy widoczni jako jedno urządzenie (co prawda obcięta przepustowość, ale nie będę specjalnie płacił 5€ dziennie, tylko po to, żeby wysłać wiadomości z telefonu), w tamtym czasie akurat użyłem laptopa - jako bramę dla moich urządzeń.

Co do modemu, ciekawe rozwiązanie, jak się nie ma portu M.2 w mikrotiku. Ja osobiście nie mam M.2 (RB3011), próbowałem używać modemu kategorii 4 (do póki nie zaczęli obcinać pasma 4G dla 5G, to chodził nawet nieźle - wyciągał 50/20Mbps) - Huawei E3372 z HiLinkiem, bez problemu współpracował z mikrotikiem. Jednak naszła mnie chęć pobawienia się publicznym adresem IP w Orange, a modem mi to uniemożliwiał (HiLink robił za NAT dla jednego urządzenia i nawet nie było opcji forwardingu), więc postanowiłem, że pozbędę się HiLinka, udało mi się to, jednak sprawiłem, że modem zaczął działać w trybie NCM zamiast CDC (czy jakoś tak), czego niestety mikrotik już nie wspiera. Musiałem robić kombinacje alpejskie w postaci routera openwrt (który obsługuje tego typu modemy) i bridge do mikrotika. Co prawda modemu używam tylko jako zapasowa sieć, ale fajnie żeby to działało jakoś normalnie. Długo szukałem modemów wyższych kategorii na USB chcących współpracować z mikrotikiem - bezskutecznie, teraz już wiem dlaczego no i wiem, że mogę rozglądać się za przejściówką i modemem na M.2, dzięki.

[qnapalert]

mam laptopa spiętego do mikrotika po L2TP ping idą ale otoczenie sieciowe nie chce chodzić, może ktoś coś podpowie.

[Harvey-Dent]

podrzucisz linka do tego adaptera z obudową do Fibocoma ?

[GrzegorzDerebeckiXan]

Można zastosować również np: Beryl AX (GL-MT3000) bądź Slate AX (GL-AXT1800) które świetnie nadają się jako router podróżny. Ma nawet fizyczny przycisk który włacza / wyłacza vpn'a. Jako serwer używam Wireguard lub OpenVPN na Unifi Dream Machine.

[DarekSzymaczek]

A czy nie da się takiego rozwiązania jak tu robisz z 2 kartami bezprzewodowymi zrobić na np. HAP AX2? Czy da się moduł bezprzewodowy tego HAP'a wykorzystać do pracy dualnej? Jako access point i AP client? Czytałem, że się da, ale skoro tutaj proponujesz od razu rozwiązanie oparte o 2 osobne karty bezprzewodowe, to może się nie da?

[DawidRHA]

Co ciekawe można też podłączyć tel przez USB w trybie tethering usb, mikrotik widzi go również jako interfejs LTE.

[smigolASTV]

Czy mógłbyś udostępnić konfiguracje Mikrotika pod OpenVPN? Mam skonfigurowanego klienta OVPN na LTAPie oraz serwer na domowym hAP. LTAP poprawnie łączy się z routerem ale nie mam pojęcia jak przekierować cały ruch z jego sieci przez VPN (jak na razie leci bezpośrednio na LTE1).

[microt-automatykadomu]

Ameryki nie odkryłeś 😊 takie rozwiązanie mam już kilka lat pomiędzy kilkoma gospodarstwami domowymi oraz zagranicą. W sieciach na MikroTik od 15 lat. Brawo Ty, pozdrawiam.

[spwit]

Za mną jeździ LtAP mini LTE kit. Jak nie ma wifi, to lece na LTE i tam mam pospinane tunele wszystkie

[rogi_elektronik]

zrobisz tutarial jak to skonfigurować?

[fabiankaczor]

Hmm a może by jeszcze test VPN z certem wygenerowanym w Mikrotiku :) ma to mega zalety tylko apka w tel albo komp i connect. Zalety to oczywiscie
1. bezpieczne ogladanie domowego monitoringu bez hmury producenta
2. Mamy możliwość oglądania platform typu Netflix a wiemy że teraz bedą opłaty za ogladanie poza gospodarstwem.
Co do pasma 2.4 to dużo urządzeń używa tylko tego pasma w falownikach/solarach fotowoltaiki.