آموزش کانفیگ اس اس تی پی بر روی میکروتیک
SSTP TUNNEL VIA MIKROTIK
بالاخره انتظار به پایان رسید و شرکت میکروتیک در آخرین ورژن نهایی خود ( ۵) پروتکل بسیار محبوب SSTP
را به تونل های خود اضافه کرد .
از اونجایی که خودم چندین ساعت مشغول ور رفتم برای راه اندازی اون بودم برای راحتی بقیه دوستان راهنمای نصب آنرا در اینجا ذکر میکنم.
لازم به ذکر است هدف از ارائه این مقاله جنبه آموزشی آن برای پارسی زبانان عزیز بوده و استفاده کننده از این روش باید مطابق قوانین کشوری که از آن استفاده میکند عمل نماید و در صورت منع قانونی در کشور خود هرگونه مشکلات و تبعات آن از نویسنده سلب میشود .
در ابتدا باید برای میکروتیک خود یک SSL certificate معتبر تهیه کنید برای اینکار ابتدا در میکروتیک یک درخواست انجام میدهیم
[admin@MikroTik] > certificate
[admin@MikroTik] certificate> create-certificate-request
certificate request file name: certificate-request.pem
certificate request file already exists and will be overwritten if you continue.
file name: private-key.pem
private key file already exists and will be overwritten if you continue.
passphrase: *******
verify passphrase: *******
rsa key bits: 2048
country name: US
state or province name: florida
locality name: my town
organization name: mehdi.ir
organization unit name: mehdi.ir
common name: vpn.mehdi.ir
email address: admin@mehdi.ir
challenge password: *******
unstructured address:
[admin@MikroTik] certificate>
echo: system,info,critical certificate request file certificate-request.pem and
private key file private-key.pem created
و یک اسم رمز دلخواه را در passphrase و RSK Key bit را نیز ۲۰۴۸ انتخاب میکنیم
فقط ذکر یک نکته بسیار مهم ضروری می باشد که باید قبل از ایجاد درخواست یک دی ان اس برای میکروتیک خود تهیه کنید ( حتما باید به “ادمین” دامنه دسترسی داشته باشید.برای مثال CN: vpn.mehdi.ir
برای مثال شما مالک دامنه mehdi.ir میباشد . برای میکروتیک خود یک A record ( ویا C name ) در نظر بگیرید و آنرا در DNS دامنه خودتان با IP میکروتیک اضافه کنید.
VPN.MEHDI.IR IP :1.2.3.4
و وقتی درخواست گواهی دیجیتال را پر میکنید در قسمت (common name(CN دامنه خود را وارد کنید : vpn.mehdi.ir
نکته قابل توجه : اکثر سرویس دهندگان سرتیفیکت با دومین دات ای ار مشکل دارند . از دومین مثلا .com .net استفاده کنید (vpn.tabesh.com )
وقتی کار تمام شد میکروتیک برای شما دو فایل ایجاد خواهد کرد توسط وینباکس یا ftp آنرا به کامپیوتر انتقال میدهیم
certificate-request
private-key
حال نیاز به یک شرکت ارائه دهنده گواهی دیجیتال دارید برای تست ۹۰ روزه مجانی به سایت
http://www.instantssl.com/ssl-certificate-products/free-ssl-certificate.html
رفته و در باکس اول محتوای فایل certificate-request را که میکروتیک برای شما ایجاد کرده است را کپی کنید
مراحل را دنبال کنید و در قسمت Select the server software used to generate the CSR: میتوانید Apache-Modssl را انتخاب کنید
بعد سایت برای اینکه مطمئن شود دامنه متعلق به شماست دامنه شما را چک میکند و به ایمیل مدیر سیستم یک کد میفرستد .
کافیست به میل خود وارد شوید و کد را در کادر مربوطه وارد کنید
و در نهایت سایت برای شما یک فایل زیپ ایمیل میکند که حاول چند فایل میباشد که فقط دو فایل آن برای ما کاربرد دارد.
در صورتی که بعد از چند دقیقه برایتان فایلی نیامد میتوانید در پایین صفحه بر روی Management area کلیک کرده و از قسمت certificate فایل زیپ را دریافت کنید
فایل های MyDomain.ca-bundle و فایل اسم دامنه خود ( Mydomain.crt) را به میکروتیک کپی کنید و توسط دستور زیر آنرا به میکروتیک اضافه کنید
admin@Mehdi] /certificate> import file-name=MyDomain.ca-bundle
passphrase:
admin@Mehdi] /certificate> import file-name=Mydomain.crt
passphrase
حالا نوبت ایمپورت کردن فایل private key میباشد.
admin@Mehdi] /certificate> import file-name=private-key.pem
passphrase
حالا برای راحتی کار اسم آنها تغییر دهید ( اختیاری )
ُ
admin@Mehdi] /certificate> set 0 name=CA
admin@Mehdi] /certificate> Set 1 name=server
در صورتیکه همه مراحل را به خوبی انجام داده باشید در قسمت system در منو Certificate در کنار certificate اصلی کلمه KR باید نمایان شود (بر روی عکس کلیک نمایید )
حالا نوبت تنظیمات مربوط به تونل میباشد . ابتدا به قسمت IP رفته و pool را انتخاب کنید . بر روی + کلیک کنید نام را vp n یا هر نام دیگر
گذاشته و در قسمت آدرس رنج IP که میخواهید به کلاینت ها داده شود را وارد کنید مثلا در این مثال ۱۹۲٫۱۶۸٫۲۲٫۲۰۰-۱۹۲٫۱۶۸٫۲۲٫۱۰
حالا نوبت ایجاد یک پروفایل میباشد که برای اینکار کافیست به قسمت PPP رفته و روی پروفایل default-encription دابل کلیک کرده و بر روی دکمه copy کلیک کتید در پنجره جدید در قسمت نام تایپ کنید sstp و در قسمت local address از همان رنج ip که در قسمت اول وارد کردید را وارد کنید . در این مثال ۱۹۲٫۱۶۸٫۲۲٫۱ در قسمت ریموت آدرس کافیست روی آن کلیک کرده و رنج آدرسی که در مرحله قبل ایجاد کردید را انتخاب کنید ( v p n) در قسمت پایین نیز در گزینه dns دلخواه خودتان را وارد کنید . و بر روی ok کلیک کنید.
حالا نوبت راه اندازی تونل اس اس تی پی میباشد. در قسمت PPP بر روی sstp server کلیک کنید و تیک مربوط به enable را زده و قسمت default profile را sstp ( یا هر اسم دیگری که در مرحله قبل آنرا ساختید) انتخاب کنید. در پایین هم در قسمت certificate باید سرتیفیکت اصلی خودتان را انتخاب کنید و بر روی دکمه ok کلیک کنید.
در مرحله آخر نوبت به ایجاد یوز برای کلاینت میباشد که کافیست از منوی secrets بر روی دکمه + کلیک کنید . در قسمت name کد کاربری در این مثال mehdi و در قسمت password نیز رمز دلخواه در این مثال ۱۲۳۴ را وارد کنید . در صورتی که بخواهید کاربر به همه سرویس های تونل از قبیل pptp و l2tp و.. دسترسی داشته باشد در قسمت services میتوانید any را انتخاب کنید . در اخر نیز از قسمت profile نامی را که ساخته اید را انتخاب کنید در این مثال sstp و بر روی ok کلیک کنید.
کار تمام شد حالا میتوانید با ساختن یک connetion در کلاینت و وارد کردن آدرس میکروتیک خود (بطور dns مثلا sstp.mehdi.ir ) و یوزر mehdi با رمز ۱۲۳۴ متصل شوید.
چند نکته :
اول اینکه در ویندوز ویستا و یا ۷ بعد از ساختن کانکشن وی پی ان از آدرس DNS میکروتیک خود استفاده کنید نه از IP چون امکان گرفتن Certificate error دارید. (The Certificate`s CN Name Does Not Match The Passed Value )
دوم اینکه اگر بخواهید بدون گرفتن گواهی دیجیتال معتبر مثلا با ایجاد یک گواهی در یک سرور لینوکس آنرا اجرا کنید به احتمال بسیار زیاد در قسمت client با مشکل Certificate مواجه خواهید شد. ولی میتوانید از آن برای OPENVPN و یا با شرایط خاص در SSTP استفاده کنید
برای اطلاعات بیشتر به سایت http://wiki.mikrotik.com/wiki/Manual:Create_Certificates مراجعه کنید
در صورتیکه مایل به خریداری سرتیفیکت میباشید میتوانید با کمترین هزینه (۹$ در سال ) از سایت زیر آنرا خریداری کنید
http://www.cheapssls.com/comodo-ssl-certificates/positivessl.html
اگر بعد از برقراری کانکشن sstp دارای سرعت پایینی می باشید ممکن است بعلت اعمال QOS بر روی https توسط فراهم کننده پهنای باند شما باشد . شما میتوانید سرعت اینترنت خودتان را بر روی https اندازه گیری کنید . برای اینکار ارتباط تونل را قطع کرده و سایت زیر را باز کنید https://test.kems.net
با تشکر مهدی
درج این راهنما با ذکر منبع ( اگر به هر دلیلی منبع رو ذکر نمیکنید یه دعای خیر هم کنید کافیه 
) مجاز میباشد .
لطفا نظر فراموش نشه
.
