Настройка Микротик

Добавление пула адресов выдаваемых клиентам

Создание сертификатов

Корневой сертификат:

Подписываем как есть:

Если в поле “Subject Alt Name” указано FQDN, надо подключаться именно по имени, если указываете IP, то надо подключаться по IP. Иначе не получится.

Сертификат клиента:

Подписываем корневым

Настройка сервера IKEv2. IP- IPSEC

Последовательность настройки:

Profiles

Proposals

Groups

Policies

Peers

Mode Configs

Profiles

Экспортируем сертификат клиента

Переносим на смартфон

На смартфоне Android

Скачиваем устанавливаем приложение Strongswan

Скачиваем на смартфон два файла в любом удобном приложении-проводнике:
1 .sswan – файл конфигурации подключения
2. .p12 – сертификат для подключения

В проводнике:
1. Нажимаем на файле сертификата.
2. Вводим пароль для извлечения сертификата.
3. Указываем “сертификата пользователя и приложений VPN”.
4. Указываем имя под которым сертификат будет установлен в систему.
5. Получаем сообщение, что сертификат успешно установлен.

Открываем приложение Strongswan:
1. Нажимаем сверху три точки
2. Открываем “Import VPN profile”
3. Выбираем сертификат пользователя, который мы добавили на предыдущем шаге.

Сохраняем. Подключаемся.

Настройка клиента Windows, powershell

Параметр -MachineCertificateIssuerFilter не нужен если на пк только одно IKEv2 подключение.

Add-VpnConnection `
-Name «Vpn» ` #имя вашего подключения
-ServerAddress «vpn.example.com» ` #адрес vpn сервера
-TunnelType IKEv2 ` #тип туннеля
-AuthenticationMethod MachineCertificate ` #метод аутентификации
-EncryptionLevel Maximum ` #уровень шифрования
-SplitTunneling ` #раздельное туннелирование трафика
-PassThru ` #просто выводит параметры подключения после создания
-MachineCertificateIssuerFilter «C:\software\cert\ca-vpn.crt»

Параметр -MachineCertificateIssuerFilter нужен когда на пк используется несколько подключений IKEv2 с авторизацией по сертификату. Указываем сертификат CA. Своего рода «привязка» сертификата к подключению. Когда в локальное хранилище компьютера импортировано несколько сертификатов, при подключении получаю ошибку

неприемлемые учетные данные при проверке подлинности IKE

Без этой настройки так и не смог заставить работать несколько IKEv2 на одном пк с Windows10