IPSec/L2TP com Mikrotik

Neste tutorial vamos configurar o lado do ISP da VPN IPSec/L2TP em um roteador Mikrotik (RouterOS). Diferente do WireGuard, aqui o Mikrotik roda o servidor L2TP e o Cpehub se conecta a ele como cliente, usando usuário, senha e a PSK do IPSec.

Como as duas pontas se encaixam

As credenciais que você cria aqui (usuário, senha e ipsec-secret) são exatamente as que você informa na tela Criar a VPN IPSec/L2TP no Cpehub. Elas precisam bater dos dois lados.

Mapa dos campos (Cpehub ↔ Mikrotik)

Campo no Cpehub	Item no Mikrotik	Exemplo
IP Remoto (Equipamento do ISP)	IP público do Mikrotik	203.0.113.10
Porta Remota	Porta L2TP	1701 (UDP)
Usuário VPN	name do /ppp secret	cpehub-olts
Senha VPN	password do /ppp secret	(sua senha)
IPSec PSK	ipsec-secret do L2TP Server	(sua PSK)
Redes Remotas	redes internas roteadas pela VPN	192.168.100.0/24
IP Remoto de Teste	um IP interno que responde a ping	192.168.100.1

Configuração via terminal (recomendado)

Acesse o Mikrotik pelo terminal (Winbox → New Terminal, ou SSH) e execute os blocos abaixo, substituindo as senhas e a PSK pelos seus próprios valores.

Troque os segredos

Os valores de senha e ipsec-secret abaixo são apenas exemplos. Use senhas fortes e únicas, e nunca reutilize as deste tutorial.

1. Pool de IPs da VPN

Criamos um range de IPs para os clientes da VPN, começando no .10 para deixar os IPs iniciais livres para uso fixo/estático.

/ip pool add name=vpn-cpehub-pool ranges=172.31.255.10-172.31.255.200

2. Profile PPP

O IP do próprio Mikrotik na VPN será o .1.

/ppp profile add name=vpn-cpehub-profile local-address=172.31.255.1 \
    remote-address=vpn-cpehub-pool dns-server=8.8.8.8,1.1.1.1

3. Usuários (PPP secrets)

Crie um usuário para cada conexão do Cpehub. Recomenda-se IP fixo (fora do range do pool) para os usuários de OLTs e ACS:

# Usuários com IP FIXO (.2 e .3, fora do range do pool)
/ppp secret add name=cpehub-olts password=SENHA_OLTS_EXEMPLO profile=vpn-cpehub-profile remote-address=172.31.255.2
/ppp secret add name=cpehub-acs  password=SENHA_ACS_EXEMPLO  profile=vpn-cpehub-profile remote-address=172.31.255.3

# (Opcional) Usuário com IP DINÂMICO — pega um IP do pool (.10 a .200)
/ppp secret add name=cpehub-dev  password=SENHA_DEV_EXEMPLO  profile=vpn-cpehub-profile

Usuário VPN e Senha VPN da tela do Cpehub correspondem ao name e password de um destes secrets. Use o cpehub-olts para a VPN do servidor Cpehub e o cpehub-acs para a VPN do servidor ACS.

4. Servidor L2TP + IPSec

Aqui habilitamos o servidor L2TP com IPSec. O ipsec-secret é a PSK que você informa no Cpehub:

/interface l2tp-server server set enabled=yes default-profile=vpn-cpehub-profile \
    authentication=mschap2 use-ipsec=yes ipsec-secret=PSK_EXEMPLO_TROCAR

5. Firewall

Libere as portas do IPSec/L2TP e o encaminhamento da rede da VPN:

/ip firewall filter
add chain=input protocol=udp dst-port=500,4500 action=accept place-before=0 comment="L2TP/IPSEC"
add chain=input protocol=50 action=accept place-before=0 comment="L2TP/IPSEC (ESP)"
add chain=input protocol=udp dst-port=1701 action=accept place-before=0 comment="L2TP/IPSEC"
add chain=forward src-address=172.31.255.0/24 action=accept place-before=0 comment="L2TP/IPSEC Forward"
add chain=forward dst-address=172.31.255.0/24 action=accept place-before=0 comment="L2TP/IPSEC Forward"

• UDP 500 e 4500 — negociação do IPSec (IKE / NAT-T).
• Protocolo 50 (ESP) — pacotes criptografados do IPSec.
• UDP 1701 — L2TP.

6. NAT (masquerade)

Para que os equipamentos alcançados pela VPN respondam corretamente:

/ip firewall nat add chain=srcnat src-address=172.31.255.0/24 action=masquerade

Configuração via Winbox (alternativa gráfica)

Se preferir a interface gráfica, os mesmos passos ficam em:

• PPP → Profiles — crie o profile (local-address, pool em remote-address, DNS).
• PPP → Secrets — crie os usuários (name/password/profile e, para IP fixo, remote-address).
• PPP → Interface → L2TP Server — marque Enabled, Use IPsec = yes e informe a IPsec Secret (a PSK).
• IP → Firewall → Filter Rules e NAT — adicione as regras da etapa 5 e 6.

Validação

1. No Cpehub, cadastre (ou confira) a VPN em Criar a VPN IPSec/L2TP com o mesmo usuário, senha e PSK.
2. Na listagem de VPNs, o status deve ficar Conectada.
3. Faça um teste de ICMP (ping) a partir do Mikrotik para o IP da VPN do lado Cpehub, e informe no cadastro um IP Remoto de Teste interno que responda a ping.

Roteamento em outros equipamentos

Em alguns cenários é necessário criar rotas em outros equipamentos da rede para que eles conheçam o caminho de volta através da VPN.

Conclusão

Com o servidor L2TP + IPSec no ar e a VPN cadastrada no Cpehub, o sistema já consegue alcançar suas OLTs (ou o ACS alcançar os CPEs) por um túnel seguro.

Em caso de dificuldade, entre em contato com o suporte.