• Celem tego przewodnika jest konfiguracja tunelu L2TP między dwoma routerami MikroTik RouterBoard.
• Najpierw skonfigurujemy L2TP bez IPSec - ruch będzie przesyłany jako UDP 1701 w czystym tekście (dane widoczne dla obserwatora).
• Następnie dodamy IPSec, co zapewni szyfrowanie (AES), uwierzytelnianie i integralność na poziomie pakietu IP.
• Konfiguracja testowana na RouterOS v7.8 (stable) - komendy zweryfikowane na żywym urządzeniu.

• Zakładamy, że Router A ma skonfigurowane interfejsy i adresację.
• Przykładowa konfiguracja początkowa:

# Router A - adresacja interfejsów
/ip address add address=1.1.1.1/24 interface=ether1 comment="WAN"
/ip address add address=192.168.10.1/24 interface=ether2 comment="LAN"
/ip route add dst-address=2.2.2.0/24 gateway=1.1.1.254

• Upewnij się, że Router A ma trasę do sieci WAN Routera B (lub domyślną bramę do Internetu).
• Sprawdź łączność przed dalszą konfiguracją: /ping 2.2.2.2

• Router B będzie inicjatorem tunelu (klient L2TP).

# Router B - adresacja interfejsów
/ip address add address=2.2.2.2/24 interface=ether1 comment="WAN"
/ip address add address=192.168.20.1/24 interface=ether2 comment="LAN"
/ip route add dst-address=1.1.1.0/24 gateway=2.2.2.1

• Sprawdź łączność: /ping 1.1.1.1 z Routera B powinno odpowiadać.

• Na Routerze A (serwerze) tworzymy pulę adresów dla klientów L2TP oraz profil PPP.

# Pula adresów IP dla klientów L2TP
/ip pool add name=l2tp-pool ranges=10.0.0.2-10.0.0.10

# Profil PPP z adresem lokalnym serwera i referencją do puli
/ppp profile add name=l2tp-profile \
    local-address=10.0.0.1 remote-address=l2tp-pool

• local-address (10.0.0.1) - adres IP interfejsu tunelu po stronie serwera.
• remote-address (l2tp-pool) - nazwa puli, z której klient otrzyma adres (10.0.0.2).
• Parametr bridge (yes/no/default) - domyślnie default; gdy yes, wszyscy klienci są w jednej domenie L2.

• Włączamy serwer L2TP na Routerze A, tym razem bez IPSec.

# Włączenie serwera L2TP bez IPSec
/interface l2tp-server server set enabled=yes \
    authentication=chap,mschap2 \
    default-profile=l2tp-profile \
    use-ipsec=no max-mru=1460 max-mtu=1460

• use-ipsec=no - IPSec nie zostanie automatycznie skonfigurowany (kluczowe!).
• authentication=chap,mschap2 - metody uwierzytelniania PPP (zalecane: CHAP + MS-CHAPv2).
• default-profile - profil PPP dla klientów bez przypisanego profilu.
• Uwaga: parametry logiczne w RouterOS v7 przyjmują wartości yes/no (nie 1/0).

• Przed zestawieniem tunelu dodajemy użytkownika PPP na serwerze (Router A):

# Konto PPP dla klienta L2TP (tylko usługa l2tp)
/ppp secret add name=l2tp-user password=Haslo123 \
    profile=l2tp-profile service=l2tp

• Następnie na Routerze B tworzymy interfejs klienta L2TP:

# Klient L2TP bez IPSec
/interface l2tp-client add name=l2tp-tun \
    connect-to=1.1.1.1 user=l2tp-user password=Haslo123 \
    profile=l2tp-profile add-default-route=no \
    use-ipsec=no disabled=no

• connect-to - adres IP WAN serwera L2TP (Router A).
• service=l2tp w secret - ogranicza konto tylko do L2TP (nie PPTP/SSTP/PPPoE).
• add-default-route=no - nie zmieniamy domyślnej trasy na Routerze B.

• Po zestawieniu tunelu dodajemy trasy, aby sieci LAN mogły się komunikować.

Na Routerze A (serwer):

/ip route add dst-address=192.168.20.0/24 \
    gateway=10.0.0.2 comment="do LAN B przez L2TP"

Na Routerze B (klient):

/ip route add dst-address=192.168.10.0/24 \
    gateway=10.0.0.1 comment="do LAN A przez L2TP"

• Sprawdź łączność: /ping 192.168.10.1 z Routera B przez tunel.

• Sprawdź stan interfejsów L2TP:

/interface l2tp-server server print
/interface l2tp-client print
/interface print where type=l2tp-server
/interface print where type=l2tp-client

• Powinieneś zobaczyć interfejs l2tp-out (klient) i l2tp-in (serwer) z flagą R (running).
• Sprawdź aktywnych użytkowników PPP:

/ppp active print

• Wykonaj przechwycenie pakietów na interfejsie WAN Routera A:

/tool sniffer quick interface=ether1 port=1701

• Jak pokazaliśmy, L2TP samo w sobie NIE SZYFRUJE danych.
• Pakiety UDP 1701 są wysyłane jawnym tekstem - każdy może je odczytać.
• L2TP zapewnia jedynie enkapsulację (tunelowanie) ramek PPP.
• Do zapewnienia poufności, integralności i uwierzytelniania potrzebny jest IPSec.
• IPSec szyfruje cały pakiet L2TP (wraz z nagłówkami) wewnątrz protokołu ESP (IP proto 50).
• Zewnętrzny obserwator widzi tylko ruch ESP, nie L2TP - zawartość tunelu jest nieczytelna.

• Na Routerze A włączamy serwer L2TP z opcją IPSec (one-click):

# Serwer L2TP z automatycznym IPSec
/interface l2tp-server server set enabled=yes \
    authentication=chap,mschap2 \
    default-profile=l2tp-profile \
    use-ipsec=yes ipsec-secret="MojeHasloIPSec"

• use-ipsec=yes - włącza automatyczne generowanie polityk IPSec.
• ipsec-secret - wspólny klucz wstępny (PSK) używany do uwierzytelnienia IPSec.
• RouterOS automatycznie utworzy wpisy w /ip ipsec peer, /ip ipsec identity i /ip ipsec policy.

• Na Routerze B edytujemy lub tworzymy nowego klienta L2TP z IPSec:

# Klient L2TP z IPSec
/interface l2tp-client add name=l2tp-tun-sec \
    connect-to=1.1.1.1 user=l2tp-user password=Haslo123 \
    profile=l2tp-profile \
    use-ipsec=yes ipsec-secret="MojeHasloIPSec" \
    add-default-route=no disabled=no

• use-ipsec=yes - wymusza szyfrowanie IPSec po stronie klienta.
• ipsec-secret - ten sam klucz PSK co na serwerze (musi być identyczny!).
• Automatycznie utworzy się wpis w /ip ipsec policy na Routerze B.

• Trasy dodajemy tak samo jak dla tunelu bez IPSec - przez interfejs L2TP.

Na Routerze A:

/ip route add dst-address=192.168.20.0/24 \
    gateway=10.0.0.2 comment="do LAN B przez L2TP/IPSec"

Na Routerze B:

/ip route add dst-address=192.168.10.0/24 \
    gateway=10.0.0.1 comment="do LAN A przez L2TP/IPSec"

• Sprawdź łączność - ping między sieciami LAN powinien działać.
• Tym razem ruch na interfejsie WAN jest zaszyfrowany (ESP, nie UDP 1701).

• Na serwerze (Router A) dodaj reguły firewall akceptujące ruch IPSec i L2TP.

# 1. IKE - negocjacja parametrów IPSec
/ip firewall filter add chain=input protocol=udp \
    dst-port=500 action=accept comment="IKE (IPSec)"

# 2. NAT-T - enkapsulacja IPSec przez NAT
/ip firewall filter add chain=input protocol=udp \
    dst-port=4500 action=accept comment="NAT-T (IPSec)"

# 3. ESP - właściwy ruch szyfrowany (IP proto 50)
/ip firewall filter add chain=input protocol=ipsec-esp \
    action=accept comment="ESP (IPSec)"

# 4. Port sterujący L2TP (UDP 1701)
/ip firewall filter add chain=input protocol=udp \
    dst-port=1701 action=accept comment="L2TP sterowanie"

• Zamiast automatyki, możemy ręcznie skonfigurować IPSec dla pełnej kontroli.
• Definiujemy profil IKE (Faza 1) i peera:

# Profil IKE - parametry Fazy 1 (ISAKMP SA)
/ip ipsec profile add name=l2tp-ike \
    enc-algorithm=aes-256 hash-algorithm=sha256 \
    dh-group=modp2048 lifetime=1d

# Peer - definicja drugiego routera
/ip ipsec peer add name=peer-B address=2.2.2.2/32 \
    profile=l2tp-ike exchange-mode=ike2

• enc-algorithm=aes-256 + hash-algorithm=sha256 + dh-group=modp2048 - silne bezpieczeństwo.
• exchange-mode=ike2 - nowoczesny tryb negocjacji (IKEv2). Dozwolone wartości: ike2, main, aggressive.
• lifetime=1d - czas życia ISAKMP SA (24h).

• Definiujemy tożsamość (PSK dla peera) i politykę (który ruch szyfrować).

# Identity - klucz PSK dla peera (musi być identyczny po obu stronach)
/ip ipsec identity add peer=peer-B \
    secret="MojeHasloIPSec"

# Policy - definicja ruchu do szyfrowania (Faza 2)
/ip ipsec policy add src-address=192.168.10.0/24 \
    dst-address=192.168.20.0/24 \
    peer=peer-B tunnel=yes proposal=l2tp-prop

• src-address / dst-address - sieci LAN podlegające ochronie.
• peer - referencja do wcześniej zdefiniowanego peera.
• tunnel=yes - tryb tunelowy (enkapsulacja całego pakietu IP).
• proposal - referencja do propozycji algorytmów Fazy 2 (zdefiniowana w kroku 11).

• Proposal definiuje algorytmy dla Fazy 2 (IPSec SA - właściwe szyfrowanie danych).

# Proposal - algorytmy Fazy 2
/ip ipsec proposal add name=l2tp-prop \
    enc-algorithms=aes-256-cbc \
    auth-algorithms=sha256 \
    pfs-group=modp2048 lifetime=4h

• enc-algorithms - algorytm szyfrowania (AES-256 w trybie CBC).
• auth-algorithms - algorytm integralności (SHA-256). Uwaga: w RouterOS v7 parametr nazywa się auth-algorithms, nie hash-algorithms.
• pfs-group - Perfect Forward Secrecy (modp2048 = DH-14).
• lifetime - czas życia kluczy sesji IPSec (4 godziny).
• Proposal musi być identyczny po obu stronach tunelu.

• Sprawdź stan IPSec:

/ip ipsec active-peers print detail
/ip ipsec policy print
/ip ipsec installed-sa print

• Sprawdź stan interfejsów L2TP i aktywnych użytkowników PPP:

/interface l2tp-server server print
/ppp active print
/interface print where type=l2tp-server

• Diagnostyka logów:

/log print where topics=ipsec
/log print where topics=l2tp

• Sniffer - sprawdź czy widzisz ESP (zamiast UDP 1701):

/tool sniffer quick interface=ether1

• L2TP bez IPSec - używać wyłącznie w laboratorium edukacyjnym.
• L2TP z IPSec - standard korporacyjny dla Site-to-Site i Remote Access.
• Zawsze stosuj silne algorytmy: AES-256, SHA-256, PFS z grupą modp2048 lub wyższą.
• Używaj IKEv2 (exchange-mode=ike2) zamiast starszego IKEv1 (main/aggressive).
• W miarę możliwości stosuj certyfikaty zamiast PSK dla lepszego bezpieczeństwa.
• Pamiętaj o wyjątkach NAT i FastTrack dla ruchu VPN.
• Używaj yes/no dla parametrów logicznych (nie 1/0).

Przydatne polecenia do monitorowania:

/ip ipsec active-peers print detail
/ip ipsec installed-sa print
/ppp active print
/interface print where type=l2tp-server
/log print where topics=ipsec