MikroTik VPN einrichten: WireGuard, OpenVPN und IKEv2 mit VPN Tracker

MikroTik VPN einrichten mit VPN Tracker: Verbinden Sie RouterOS von Mac, iPhone oder iPad aus per WireGuard, OpenVPN oder IKEv2. Diese Anleitung zeigt, wie Sie Ihren MikroTik Router als VPN-Server oder VPN-Gateway vorbereiten und die passende Verbindung in VPN Tracker 365 erstellen.

Nutzen Sie diese Anleitung, wenn Ihr MikroTik Router als VPN-Server oder VPN-Gateway arbeitet und VPN Tracker der Client für sicheren Fernzugriff ist.

Inhalt

• MikroTik Router im Überblick
• Unterstützte VPN Tracker Profile
• Voraussetzungen
• WireGuard einrichten
• OpenVPN einrichten
• IKEv2 einrichten
• Verbindung in VPN Tracker erstellen
• Testen und Fehlerbehebung

MikroTik Router im Überblick

MikroTik RouterOS kommt auf vielen unterschiedlichen Routern zum Einsatz: von kompakten WLAN- und Reise-Routern bis zu Rackmount- und Cloud-Core-Router-Modellen. VPN Tracker unterstützt alle VPN-kompatiblen Modelle, darunter:

• RB5009UG+S+IN
• hAP ax3
• hAP ax2
• Chateau 5G R17 ax
• CCR2004-16G-2S+PC
• L009UiGS-RM.

Diese Modelle sind mit RouterOS v7 sowie WireGuard, OpenVPN und IKEv2 hinterlegt. Je nach Modell bieten MikroTik Geräte Funktionen wie Wi-Fi 6, 5G, Multi-Gigabit-Ethernet, 10G SFP+, PoE, passive Kühlung sowie kompakte Desktop- oder Rackmount-Gehäuse.

Unterstützte VPN Tracker Profile

Der MikroTik Interop-Eintrag enthält aktuell drei öffentliche, funktionsfähige VPN Tracker Profile:

Profil	Geeignet für	VPN Tracker Direktlink
WireGuard	Modernen Fernzugriff mit RouterOS v7, schlanker Konfiguration und guter Performance.	MikroTik WireGuard-Verbindung erstellen
OpenVPN	Umgebungen, die bereits OpenVPN-Profile, Zertifikate oder bestehende OpenVPN-Prozesse nutzen.	MikroTik OpenVPN-Verbindung erstellen
IKEv2	Zertifikatsbasierten IPsec-Fernzugriff mit RouterOS Mode Config und Richtlinien.	MikroTik IKEv2-Verbindung erstellen

Wenn Sie nicht sicher sind, welches Profil passt, starten Sie mit dem allgemeinen MikroTik Verbindungsassistenten und wählen Sie dort das Profil, das Ihrer RouterOS-Konfiguration entspricht: MikroTik VPN-Verbindung erstellen.

Voraussetzungen

Bevor Sie die VPN-Verbindung in VPN Tracker erstellen, sollte die MikroTik-Seite aus dem Internet erreichbar sein und die benötigten VPN-Werte sollten vorliegen.

• Admin-Zugriff auf RouterOS per WinBox oder RouterOS Weboberfläche.
• Eine öffentliche IP-Adresse, ein funktionierender DNS-Name oder MikroTik DDNS für den Router.
• Firewall- und NAT-Regeln, die das gewählte VPN-Protokoll aus dem Internet erlauben.
• Das MikroTik LAN-Subnetz, das erreichbar sein soll, zum Beispiel 192.168.88.0/24.
• VPN Tracker 365 auf dem Mac, iPhone oder iPad, das sich aus der Ferne verbinden soll.
• Bei zertifikatsbasierten Setups: CA, Client-Zertifikat, privater Schlüssel und Passwörter.

WireGuard einrichten

WireGuard ist für viele neue MikroTik RouterOS v7 VPN-Setups der empfohlene Einstieg. RouterOS enthält eine eigene WireGuard-Schnittstelle und Peer-Konfiguration. VPN Tracker kann mit den Werten aus der MikroTik Peer-Konfiguration eine passende WireGuard-Verbindung erstellen.

1. Erstellen Sie in RouterOS ein WireGuard-Interface und notieren Sie den Listen-Port.
2. Weisen Sie dem WireGuard-Interface eine IP-Adresse aus einem VPN-Subnetz zu, das sich nicht mit Ihrem lokalen Netzwerk überschneidet.
3. Erstellen Sie einen Peer für das VPN Tracker Gerät. Verwenden Sie einen eigenen Peer pro Mac, iPhone oder iPad.
4. Setzen Sie die Allowed Address des Peers auf die VPN-Client-Adresse, zum Beispiel 10.10.10.2/32.
5. Ergänzen Sie Firewall-Regeln, die eingehenden WireGuard-Traffic zum Router und Forwarding vom WireGuard-Subnetz ins LAN erlauben.
6. Falls der MikroTik Router hinter NAT steht, richten Sie Port-Forwarding auf dem vorgeschalteten Router ein.

Erstellen Sie in VPN Tracker das MikroTik WireGuard-Profil und tragen Sie Hostname, WireGuard-Port, Public Key, Private Key, Client-Adresse und die erreichbaren entfernten Netzwerke ein.

OpenVPN einrichten

Nutzen Sie OpenVPN, wenn Ihr MikroTik Router bereits für OpenVPN konfiguriert ist, wenn Sie einem bestehenden Zertifikatsprozess folgen müssen oder wenn eine exportierte OpenVPN-Konfiguration vorliegt.

1. Bereiten Sie die benötigten Zertifikate in RouterOS vor.
2. Konfigurieren Sie OpenVPN-Serverprofil, Adresspool, Authentifizierung und Verschlüsselung.
3. Erstellen Sie ein PPP Secret oder einen Benutzer für VPN Tracker.
4. Erlauben Sie den OpenVPN-Server-Port in der MikroTik Firewall.
5. Exportieren oder notieren Sie die OpenVPN-Werte für den Client: Serveradresse, Port, Protokoll, Zertifikate, Benutzername und Passwort.

Erstellen Sie in VPN Tracker das MikroTik OpenVPN-Profil und importieren Sie die vorhandene OpenVPN-Datei oder tragen Sie die Werte manuell ein. Prüfen Sie, ob die Route für das entfernte Netzwerk auf Ihr MikroTik LAN-Subnetz zeigt.

IKEv2 einrichten

Nutzen Sie IKEv2, wenn Ihr MikroTik VPN auf IPsec und Zertifikaten basiert. Das passt gut für Teams, die RouterOS IPsec-Identities, Policies und Zertifikate zentral verwalten.

1. Erstellen oder importieren Sie CA, Server-Zertifikat und Client-Zertifikat in RouterOS.
2. Konfigurieren Sie IPsec Profile und Proposal passend zu Ihren Sicherheitsanforderungen.
3. Erstellen Sie einen Mode-Config-Adresspool für VPN-Clients.
4. Erstellen Sie Peer und Identity für den IKEv2-Fernzugriff.
5. Erlauben Sie IKEv2/IPsec-Traffic in der Firewall, darunter UDP 500, UDP 4500 und ESP, sofern erforderlich.
6. Exportieren Sie das Client-Zertifikat und notieren Sie Server-Hostname, Remote ID, Local ID und entfernte Netzwerke.

Erstellen Sie in VPN Tracker das MikroTik IKEv2-Profil und tragen Sie Gateway-Adresse, IDs, Authentifizierung, Zertifikate und entfernte Netzwerke aus Ihrer RouterOS-Konfiguration ein.

Verbindung in VPN Tracker erstellen

Sobald RouterOS vorbereitet ist, erstellen Sie die passende Verbindung in VPN Tracker 365.

1. Öffnen Sie den MikroTik Verbindungsassistenten: MikroTik VPN-Verbindung erstellen.
2. Wählen Sie das Profil, das zu Ihrer RouterOS-Konfiguration passt: WireGuard, OpenVPN oder IKEv2.
3. Tragen Sie Hostname oder öffentliche IP-Adresse des Routers ein.
4. Ergänzen Sie die für das gewählte Profil benötigten Zugangsdaten.
5. Prüfen Sie die Route für das entfernte Netzwerk. Nutzen Sie Ihr echtes MikroTik LAN-Subnetz, zum Beispiel 192.168.88.0/24.
6. Sichern Sie die Verbindung in VPN Tracker und speichern Sie Geheimnisse geschützt.

MikroTik VPN Setup testen und Fehler beheben

Testen Sie von außerhalb des MikroTik LANs, zum Beispiel über einen mobilen Hotspot. Verbinden Sie sich in VPN Tracker und prüfen Sie anschließend die Routeradresse sowie einen internen Host im entfernten Netzwerk.

Das VPN verbindet sich nicht

Prüfen Sie zuerst den öffentlichen Hostnamen, die Firewall-Regeln und die protokollspezifischen Ports. Wenn der Router hinter einem weiteren Router steht, muss das Port-Forwarding auf die MikroTik-Adresse zeigen.

Das VPN verbindet sich, aber das LAN ist nicht erreichbar

Prüfen Sie die Route für das entfernte Netzwerk in VPN Tracker und die RouterOS Forward-Regeln. VPN-Client-Subnetz und MikroTik LAN-Subnetz dürfen sich nicht überschneiden.

WireGuard funktioniert nur auf einem Gerät

Erstellen Sie für jedes VPN Tracker Gerät einen eigenen WireGuard-Peer. Wenn derselbe WireGuard-Peer auf mehreren Geräten verwendet wird, kann das zu schwer nachvollziehbarem Verbindungsverhalten führen.

IKEv2-Zertifikatsauthentifizierung schlägt fehl

Prüfen Sie, ob die Zertifikate vertrauenswürdig, gültig und der richtigen RouterOS IPsec Identity zugewiesen sind. Kontrollieren Sie außerdem, ob Local ID und Remote ID in VPN Tracker zur RouterOS-Konfiguration passen.