آموزش کامل تانل بین دو میکروتیک
اتصال امن بین دو شبکه با WireGuard و L2TP

تانل (Tunnel) چیست و چرا به آن نیاز داریم؟

تانل یا Tunnel در شبکه، مسیری رمزنگاری‌شده بین دو نقطه است که داده‌ها را از طریق اینترنت عمومی عبور می‌دهد بدون اینکه شخص ثالثی بتواند محتوا را بخواند. وقتی دو روتر میکروتیک را با تانل به هم وصل می‌کنید:

• شبکه‌های داخلی هر دو سایت به صورت امن به هم متصل می‌شوند
• ترافیک بین دو شبکه رمزنگاری شده و ناشناخته می‌ماند
• آدرس‌های IP داخلی شما در اینترنت نمایان نمی‌شوند
• می‌توانید فایل شیرینگ، پرینتر و منابع شبکه را به صورت امن به اشتراک بگذارید

تانل میکروتیک معمولاً برای اتصال دو شعبه یک شرکت، دسترسی امن از خانه به دفتر کار یا ایجاد VPN اختصاصی بین دیتاسنترها استفاده می‌شود.

انواع تانل در میکروتیک

میکروتیک از چند پروتکل تانل پشتیبانی می‌کند. انتخاب پروتکل مناسب بستگی به نیاز شما دارد:

• WireGuard — جدیدترین و سریع‌ترین گزینه؛ رمزنگاری مدرن، مصرف منابع بسیار پایین و پیکربندی ساده. پیشنهاد ما برای میکروتیک‌های نوساز (ROS 7 به بالا)
• L2TP/IPsec — استاندارد قدیمی‌تر اما همچنان پرکاربرد؛ سازگاری گسترده با دستگاه‌های مختلف. مناسب برای میکروتیک‌های قدیمی‌تر یا زمانی که نیاز به سازگاری دارید
• Ethernet over IP (EoIP) — ساده و سبک اما بدون رمزنگاری؛ فقط در صورتی استفاده کنید که شبکه میانی قابل اعتماد باشد

در این آموزش هر دو روش WireGuard و L2TP/IPsec را به طور کامل پوشش می‌دهیم.

پیش‌نیازها

قبل از شروع باید موارد زیر را آماده داشته باشید:

• دو روتر میکروتیک با سیستم عامل ROS 7 یا بالاتر (برای WireGuard) / ROS 6.43+ (برای L2TP)
• آدرس IP عمومی (Public IP) روی هر دو روتر
• دسترسی به ترمینال یا WinBox هر دو روتر
• یک شبکه داخلی برای هر سایت (مثلاً 10.0.0.0/24 و 10.0.1.0/24)

روش اول: ایجاد تانل با WireGuard

WireGuard جدیدترین پروتکل VPN است که به دلیل سادگی، سرعت بالا و رمزنگاری قوی (ChaCha20 + Curve25519) محبوب شده است. پیکربندی آن در میکروتیک بسیار ساده‌تر از روش‌های سنتی است.

مرحله ۱: فعال‌سازی ماژول WireGuard

در هر دو روتر، ابتدا باید ماژول WireGuard را از طریق WinBox یا ترمینال فعال کنید:

/system package enable wireguard

مرحله ۲: تولید کلیدهای رمزنگاری

WireGuard از جفت کلید عمومی/خصوصی استفاده می‌کند. در روتر A کلیدها را تولید کنید:

/interface wireguard add name=wg-tunnel listen-port=51820

سپس کلید خصوصی را مشاهده کنید:

/interface wireguard print

کلید خصوصی (Private Key) را کپی کنید و با فرمول ریاضی معکوس، کلید عمومی (Public Key) را محاسبه کنید. در میکروتیک می‌توانید به سادگی از دستور زیر برای مشاهده کلید عمومی استفاده کنید:

/interface wireguard peers print

مرحله ۳: پیکربندی روتر A (سرور)

در ترمینال میکروتیک A وارد شوید:

/interface wireguard interfaces set [find name=wg-tunnel] private-key=YOUR_PRIVATE_KEY_A

سپس یک Peer اضافه کنید (این اطلاعات روتر B است):

/interface wireguard peers add interface=wg-tunnel public-key=PUBLIC_KEY_B allowed-address=10.0.1.0/24 endpoint=PUBLIC_IP_B:51820

مرحله ۴: پیکربندی روتر B (کلاینت)

در ترمینال میکروتیک B وارد شوید:

/interface wireguard add name=wg-tunnel private-key=YOUR_PRIVATE_KEY_B listen-port=51820

سپس Peer روتر A را اضافه کنید:

/interface wireguard peers add interface=wg-tunnel public-key=PUBLIC_KEY_A allowed-address=10.0.0.0/24 endpoint=PUBLIC_IP_A:51820

مرحله ۵: فعال‌سازی و تست

در هر دو روتر، اینترفیس WireGuard را فعال کنید:

/interface wireguard interfaces set [find name=wg-tunnel] disabled=no

برای تست اتصال، از یکی از روترها پینگ بزنید:

ping 10.0.1.1

روش دوم: ایجاد تانل با L2TP/IPsec

اگر از میکروتیک قدیمی‌تر استفاده می‌کنید یا نیاز به سازگاری با دستگاه‌های مختلف دارید، L2TP/IPsec گزینه مناسبی است. این روش کمی پیچیده‌تر اما بسیار پایدار و استاندارد است.

مرحله ۱: تنظیم IPsec Policy

در روتر A وارد شوید:

/ip ipsec mode-config add name=l2tp-server responder=yes

/ip ipsec policy group add name=l2tp-group

/ip ipsec profile add name=l2tp-profile dpd-interval=2min dpd-maximum-failures=5

/ip ipsec peer add address=PUBLIC_IP_B exchange-mode=main name=l2tp-peer profile=l2tp-profile

مرحله ۲: تنظیم L2TP Server

/interface l2tp-server server add authentication=require-pap default-profile=l2tp-profile disabled=no ipsec-secret=YOUR_SHARED_SECRET name=l2tp-tunnel

مرحله ۳: پیکربندی روتر B

روی روتر B، یک L2TP client ایجاد کنید:

/interface l2tp-client add address=PUBLIC_IP_A connect-to=PUBLIC_IP_A disabled=no name=l2tp-client password=YOUR_PASSWORD use-ipsec=yes user=admin

مرحله ۴: تنظیم IPsec Shared Secret

کلید مشترک (Shared Secret) باید در هر دو روتر یکسان باشد:

/ip ipsec peer set [find name=l2tp-peer] secret=YOUR_SHARED_SECRET

مرحله ۵: فعال‌سازی و تست

در هر دو روتر سرویس‌ها را فعال کنید:

/interface l2tp-server server set [find name=l2tp-tunnel] disabled=no

برای بررسی وضعیت اتصال:

/interface l2tp-client print

تنظیمات اضافی و بهینه‌سازی

پس از ایجاد تانل، چند تنظیم تکمیلی می‌تواند عملکرد را بهبود بخشد:

• مسیردهی (Routing): مطمئن شوید که روترها مسیر شبکه مقابل را می‌شناسند. اگر از WireGuard استفاده می‌کنید، معمولاً به صورت خودکار اضافه می‌شود.
• NAT Exemption: ترافیک تانل نباید NAT شود. در روتر A: /ip firewall nat add chain=srcnat src-address=10.0.0.0/24 dst-address=10.0.1.0/24 action=jump jump-connection-mark=no-nat
• Keepalive: برای اطمینان از زنده ماندن اتصال، keepalive را تنظیم کنید (در WireGuard به صورت پیش‌فرض فعال است)
• مصرف منابع: WireGuard بسیار سبک است و حتی روی روترهای ضعیف هم عملکرد عالی دارد

عیب‌یابی تانل میکروتیک

اگر تانل شما به درستی کار نمی‌کند، این مراحل را بررسی کنید:

• بررسی اتصال فیزیکی: مطمئن شوید هر دو روتر به اینترنت متصل هستند
• فایروال: پورت 51820 (WireGuard) یا پورت‌های L2TP/IPsec باید باز باشند
• کلیدها و رمزها: اطمینان حاصل کنید که کلیدهای خصوصی، عمومی و Shared Secret در هر دو طرف درست تنظیم شده‌اند
• بررسی لاگ: از دستور /log print برای مشاهده خطاها استفاده کنید
• پینگ تست: اگر پینگ به آدرس مقابل کار نمی‌کند، احتمالاً مشکل در routing یا NAT است

نکات امنیتی مهم

ایمن نگه داشتن تانل VPN بسیار مهم است. این نکات را رعایت کنید:

• رمزهای قوی: از رمزهای پیچیده و طولانی برای Shared Secret و پسوردها استفاده کنید
• بروزرسانی سیستم عامل: همیشه ROS را به آخرین نسخه بروزرسانی کنید
• محدود کردن دسترسی: فقط آدرس‌های IP ضروری را در allowed-address وارد کنید
• بکاپ تنظیمات: به صورت منظم از تنظیمات روتر بکاپ بگیرید
• مانیتورینگ: اتصال تانل را به صورت منظم چک کنید تا از فعال بودن آن مطمئن شوید