[РЕШЕНО] Горячая точка с SSL: Частный ключ и сертификат не работают

Попробуй еще раз выполнить команду импорта.

Но ведь тогда-то получилось? У тебя точка доступа заработала с SSL?

Могли бы, пожалуйста, исправить вводящий в заблуждение заголовок обсуждения? Здесь речь идёт про SSL (!) сертификаты, а не про SSH… С уважением, Christian Meis

RB 112-153 Настройка защищённой точки доступа с HTTPS (опционально HTTPS + RADIUS)

Эта инструкция предназначена для использования на MikroTik RouterBoard 112/153 с RouterOS 2.9.34. Откройте утилиту WinBox и подключитесь к устройству через MDP (или выполните "/system reset" на устройстве, которое уже в использовании):

Нажмите "New Terminal". Теперь будем управлять интерфейсами и включать/выключать нужные (у меня RB 153):

```
[admin@MikroTik] > /interface print
Flags: X - disabled, D - dynamic, R - running
NAME                         TYPE             RX-RATE    TX-RATE    MTU
0  R ether1                       ether            0          0          1500
1  R ether2                       ether            0          0          1500
2  R ether3                       ether            0          0          1500
3  R ether4                       ether            0          0          1500
4  R ether5                       ether            0          0          1500
5 X  wlan1                        wlan             0          0          1500
[admin@MikroTik] > interface
[admin@MikroTik] interface> set 1,2,3,4 disabled=yes
[admin@MikroTik] interface> set 5 disabled=no
[admin@MikroTik] interface> print
Flags: X - disabled, D - dynamic, R - running
NAME                         TYPE             RX-RATE    TX-RATE    MTU
0  R ether1                       ether            0          0          1500
1 X  ether2                       ether            0          0          1500
2 X  ether3                       ether            0          0          1500
3 X  ether4                       ether            0          0          1500
4 X  ether5                       ether            0          0          1500
5    wlan1                        wlan             0          0          1500
```

Задайте имена интерфейсам (без пробелов в беспроводных интерфейсах, иначе настройка точки доступа не сработает, по-моему, это баг).

```
[admin@MikroTik] interface> set 0 name=internet
[admin@MikroTik] interface> set 5 name=hotspot
[admin@MikroTik] interface> print
Flags: X - disabled, D - dynamic, R - running
NAME                         TYPE             RX-RATE    TX-RATE    MTU
0  R internet                     ether            0          0          1500
1 X  ether2                       ether            0          0          1500
2 X  ether3                       ether            0          0          1500
3 X  ether4                       ether            0          0          1500
4 X  ether5                       ether            0          0          1500
5    hotspot                        wlan             0          0          1500
```

Теперь настраиваем беспроводной интерфейс:

```
[admin@MikroTik] interface> wireless set hotspot ssid=IZ3HAD band=5ghz frequency=5280 mode=ap-bridge periodic-calibration=enabled
```

Задайте IP-адрес интерфейсу "internet", его шлюз и DNS. Опция `allow-remote-requests` ускоряет DNS за счёт кэширования локальных запросов в MikroTik.

```
[admin@MikroTik] interface> /ip
[admin@MikroTik] ip> address add address=192.168.10.99/24 interface=internet
[admin@MikroTik] ip> route add gateway=192.168.10.1
[admin@MikroTik] ip> dns
[admin@MikroTik] ip dns> set primary-dns=192.168.10.1
[admin@MikroTik] ip dns> set allow-remote-requests=yes
[admin@MikroTik] ip dns> ..
[admin@MikroTik] ip> ..
```

Создайте сертификат на Linux-машине. Можно использовать следующий скрипт:

```bash
#!/bin/sh
SERVER=hotspot.mynetwork.net
PRIVATE_KEY=$SERVER.key
CERTIFICATE_FILE=$SERVER
VALID_DAYS=1095

openssl genrsa -des3 -out $PRIVATE_KEY 1024

openssl req -new -x509 -days $VALID_DAYS -key $PRIVATE_KEY -out $CERTIFICATE_FILE # Autocertified
```

Сделайте скрипт исполняемым и запустите его:

```bash
chmod +x myscript
./myscript
```

Вам потребуется ввести пароль три раза, предоставить всю необходимую информацию (CA, email, ecc.). Будут созданы два файла:

*   `hotspot.mynetwork.net` — сертификат
*   `hotspot.mynetwork.net.key` — приватный ключ

Перенесите эти файлы (через FTP) на устройство MikroTik. Вернитесь в CLI устройства MikroTik и выполните следующие команды для импорта сертификата и приватного ключа:

```
[admin@MikroTik] > certificate
[admin@MikroTik] certificate> import passphrase: **************** certificates-imported: 1 private-keys-imported: 0 files-imported: 1 decryption-failures: 0 keys-with-no-certificate: 1
[admin@MikroTik] certificate> import passphrase: **************** certificates-imported: 0 private-keys-imported: 1 files-imported: 1 decryption-failures: 0 decryption-failures: 0 keys-with-no-certificate: 0
[admin@MikroTik] certificate> print
Flags: K - decrypted-private-key, Q - private-key, R - rsa, D - dsa
0 KR name="cert1" subject=C=IT,ST=xxxx,L=xxxx,O=xxxx,OU=xxxx,CN=IZ3HAD,emailAddress=xxxx issuer=C=IT,ST=xxxx,L=xxxx,O=xxxx,OU=xxxx,CN=IZ3HAD, emailAddress=xxxx serial-number="xxxx" email=xxxx invalid-before=nov/13/2006 13:13:27 invalid-after=nov/12/2009 13:13:27 ca=yes
```

Пришло время настраивать точку доступа:

```
[admin@MikroTik] certificate> /ip hotspot
[admin@MikroTik] ip hotspot> setup hotspot interface: hotspot local address of network: 192.168.100.1/24 masquerade network: yes address pool of network: 192.168.100.100-192.168.100.254 select certificate: IZ3HAD ip address of smtp server: 0.0.0.0 dns servers: 192.168.10.2 dns name: hotspot.mynetwork.net name of local hotspot user: admin password for the user: *******
[admin@MikroTik] ip hotspot>
```

Чтобы принудительно установить режим аутентификации только HTTPS, введите следующее:

```
[admin@MikroTik] ip hotspot> profile
[admin@MikroTik] ip hotspot profile> set hsprof1 login-by=https
```

Если у вас есть сервер FreeRADIUS, добавьте новую запись в `/etc/raddb/clients.conf` следующим образом:

```
client 192.168.10.99/24 {
  secret          = iz3had
  shortname       = hotspot
}
```

И на CLI устройства MikroTik:

```
[admin@MikroTik] > /radius
[admin@MikroTik] radius> add address 192.168.10.2 service=hotspot secret=iz3had authentication-port=1812 accounting-port=1813
[admin@MikroTik] radius> /ip hotspot profile
[admin@MikroTik] ip hotspot profile> set hsprof1 use-radius=yes
```

Теперь у вас защищённая точка доступа! Подключите клиентское устройство к MikroTik, и при попытке открыть любой адрес в Firefox, вы получите запрос на одобрение сертификата – это ваш.

**Советы:**

*   Если отключить отслеживание соединений, точка доступа не сможет перенаправлять ваше соединение.

**P.S.**  Я нашёл отличное руководство по этой настройке на предыдущей теме, но там не было информации об SSL и не было или неверной информации для "защищённой" точки доступа, аутентифицирующейся в остальной части форума, поэтому я решил сделать новое руководство.  Спасибо Normis за подсказку.  73 de IZ3HAD

Конечно, всё работает на 100%. Я сбросил настройки роутера и попробовал следовать своей инструкции по созданию точки доступа, как я её выложил. Включил ноутбук, он получил IP-адрес от DHCP точки доступа. Затем, после запуска Firefox, он запросил подтверждение сертификата и показал страницу входа. Вход, перенаправление, выход работают отлично. Сейчас пытаюсь зарегистрироваться на вики, но там какая-то проблема… Попробую позже и выложу свою инструкцию. 73 de IZ3HAD

Я попробовал этот туториал, и он работает просто отлично, огромное спасибо! Всё очень хорошо объяснено, и вы обязательно должны опубликовать его в MikroTik wiki. Не знаю, смогут ли Live CD это делать, если на них установлен OpenSSL, я уверен, что это возможно. Дальше просто нужен FTP-клиент (я использовал Filezilla) и SSH или Telnet, чтобы закончить работу. Попробуйте делать всё в Linux, потому что если импортировать свой самоподписанный сертификат в Windows, то возможно, свойства файла изменятся, и сертификат работать не будет. Но можете попробовать.

Есть ли способ настроить Secure Hotspot без принятия SSL-сертификата? Мой подписан CA, а он выдаёт "Неизвестный издатель". Какие есть идеи?? #SecureHotspot #SSLcertificate #WiFi

Если у вас возникают таймауты при импорте сертификата на RouterOS v6.5 (может быть и на других версиях), попробуйте обновиться до последней версии. Система / Пакеты / Проверить обновления. Установка SSL-сертификата в вашей настройке точки доступа не избавит пользователей от предупреждений в браузере. Последние версии Chrome, насколько мне известно, отображают большой красный замок без каких-либо – сразу видимых – опций. Из-за этого я думаю о том, чтобы разрешить весь трафик по 443 порту. Это проблема, которая кажется неразрешимой из-за особенностей работы зашифрованного трафика. Есть какие-нибудь предложения/мысли?