Configuración del servidor OpenVPN en MikroTik RouterOS: guía práctica completa

OpenVPN — es un protocolo VPN fiable y comprobado que permite organizar acceso remoto seguro a la red local. MikroTik RouterOS soporta OpenVPN en modo servidor desde la versión 6.x (TCP), y desde la versión 7+ — también UDP, pero con una serie de limitaciones arquitectónicas:

• el usuario se autentica por login y contraseña PPP incluso al usar certificados;
• lista limitada de cifrados y algoritmos (entre los modernos — AES-GCM);
• ausencia de algunas funcionalidades del OpenVPN “clásico”.

A pesar de esto, OpenVPN en MikroTik sigue siendo una solución demandada — especialmente en escenarios donde los clientes no soportan WireGuard o se requiere compatibilidad con sistemas antiguos.

En este artículo se describe la configuración completa de un servidor OpenVPN en MikroTik RouterOS:

• usando una CA propia y certificados de cliente;
• con soporte para UDP y TCP;
• con aislamiento entre clientes VPN;
• con acceso a la red local;
• con ejemplos de diagnóstico y depuración.

Qué es OpenVPN, en qué difieren sus ediciones y cómo está organizada la PKI en el OpenVPN clásico se trata en la serie «OpenVPN» — PKI y configuración básica, inicio de sesión vía Keycloak.

⚠️ Todas las direcciones IP, nombres de usuario y contraseñas que se muestran a continuación son de prueba. Nunca las use en un entorno de producción.

Topología propuesta

• Red local (LAN): 192.168.11.0/24

• Pool de direcciones para clientes VPN: 10.222.60.0/24

• Servidor OpenVPN:

  • puerto 1199
  • protocolos: UDP y TCP

Paso 1: Creación de certificados

OpenVPN utiliza cifrado TLS, por lo que se requiere una autoridad certificadora (CA) propia, certificado de servidor y certificados de cliente.

/certificate
add name=ovpn-ca common-name=ovpn-ca key-size=4096 days-valid=3650 key-usage=key-cert-sign,crl-sign
sign ovpn-ca ca-crl-host=127.0.0.1

add name=ovpn-server common-name=ovpn-server key-size=4096 days-valid=1825 \
    key-usage=digital-signature,key-encipherment,tls-server
sign ovpn-server ca=ovpn-ca

# Certificados de cliente
add name=testuser1-cert common-name=testuser1 key-usage=tls-client days-valid=365
sign testuser1-cert ca=ovpn-ca

add name=testuser2-cert common-name=testuser2 key-usage=tls-client days-valid=365
sign testuser2-cert ca=ovpn-ca

Exportación de certificados:

# Exportación de CA
export-certificate ovpn-ca

# Exportar certificados de cliente con contraseña
export-certificate testuser1-cert export-passphrase="TestExportPass2025!"
export-certificate testuser2-cert export-passphrase="TestExportPass2025!"

Los archivos aparecerán en /files. Se pueden descargar mediante Winbox → Files o por FTP.

Paso 2: Crear un pool de direcciones IP para clientes VPN

/ip pool
add name=ovpn-pool ranges=10.222.60.10-10.222.60.200

Paso 3: Perfil PPP para OpenVPN

/ppp profile
add name=ovpn-profile \
    local-address=10.222.60.1 \
    remote-address=ovpn-pool \
    use-encryption=required \
    only-one=yes

• local-address — IP del MikroTik dentro de la VPN;
• remote-address — pool de direcciones de los clientes;
• only-one=yes — una sesión activa por usuario.

Paso 4: Configuración del servidor OpenVPN (UDP y TCP)

En RouterOS v7+ OpenVPN se configura como una interfaz. Es posible crear varios servidores en un mismo router (como aquí — UDP y TCP simultáneamente) a partir de RouterOS 7.17; en versiones anteriores solo hay un servidor.

/interface ovpn-server server
add name=ovpn-udp \
    auth=sha256,sha512 \
    certificate=ovpn-server \
    cipher=aes256-gcm,aes128-gcm \
    tls-version=only-1.2 \
    default-profile=ovpn-profile \
    disabled=no \
    port=1199 \
    protocol=udp \
    require-client-certificate=yes \
    netmask=24 \
    mode=ip \
    keepalive-timeout=60 \
    max-mtu=1500 \
    push-routes=192.168.11.0/24

add name=ovpn-tcp \
    auth=sha256,sha512 \
    certificate=ovpn-server \
    cipher=aes256-gcm,aes128-gcm \
    tls-version=only-1.2 \
    default-profile=ovpn-profile \
    disabled=no \
    port=1199 \
    protocol=tcp \
    require-client-certificate=yes \
    netmask=24 \
    mode=ip \
    keepalive-timeout=60 \
    max-mtu=1500 \
    push-routes=192.168.11.0/24

• cipher=aes256-gcm,aes128-gcm — por defecto RouterOS ofrece aes128-cbc,blowfish128; Blowfish y CBC están obsoletos, por eso dejamos solo AES-GCM;
• auth=sha256,sha512 — eliminamos MD5 y SHA-1 de la lista por defecto (sha1,md5,sha256,sha512);
• tls-version=only-1.2 — prohíbe versiones TLS obsoletas (por defecto any);
• require-client-certificate=yes — el servidor comprueba que el certificado del cliente esté firmado por nuestra CA (por defecto no).

Paso 5: Configuración del firewall

Permitir conexiones entrantes

/ip firewall filter
add chain=input protocol=udp dst-port=1199 action=accept comment="OpenVPN UDP"
add chain=input protocol=tcp dst-port=1199 action=accept comment="OpenVPN TCP"

Reglas de forward e aislamiento de clientes

/ip firewall filter
add chain=forward connection-state=established,related action=accept comment="Established/Related"

add chain=forward src-address=10.222.60.0/24 dst-address=192.168.11.0/24 \
    action=accept comment="VPN -> LAN"

add chain=forward src-address=192.168.11.0/24 dst-address=10.222.60.0/24 \
    action=accept comment="LAN -> VPN"

add chain=forward src-address=10.222.60.0/24 dst-address=10.222.60.0/24 \
    action=drop comment="Изоляция VPN-клиентов"

Paso 6: Crear usuarios (PPP secrets)

⚠️ El servidor OpenVPN en RouterOS verifica al usuario por login y contraseña PPP (/ppp secret o RADIUS); el método de transmisión de la contraseña lo determina el parámetro user-auth-method (pap por defecto o mschap2). El certificado del cliente cuando require-client-certificate=yes es una verificación adicional, no un sustituto de la contraseña.

/ppp secret
add name=testuser1 password="TestPass#2025!" profile=ovpn-profile service=ovpn
add name=testuser2 password="TestPass#2025!" profile=ovpn-profile service=ovpn

Paso 7: Revocar certificado y eliminar usuario

/certificate revoke testuser1-cert
/ppp secret remove [find name="testuser1"]

Configuración del cliente (.ovpn)

client
dev tun
proto udp        # o tcp
remote YOUR_PUBLIC_IP 1199
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
data-ciphers AES-256-GCM:AES-128-GCM
auth SHA256
verb 3

<ca>
--- contenido ovpn-ca.crt ---
</ca>

<cert>
--- contenido testuser1-cert.crt ---
</cert>

<key>
--- contenido testuser1-cert.key ---
</key>

auth-user-pass

El parámetro data-ciphers lo entienden los clientes OpenVPN 2.5 y posteriores; para clientes versión 2.4 y anteriores en su lugar indique cipher AES-256-GCM.

Compatibilidad con clientes:

• OpenVPN Connect
• Viscosity
• Tunnelblick

Diagnóstico y depuración

Activar el registro

/system logging
add topics=ovpn action=memory
add topics=ovpn,debug action=memory

/log print where topics~"ovpn"

Comprobación de conexiones

/interface ovpn-server print
/ppp active print

Pruebas de red

/ping 10.222.60.XX
/tool traceroute 8.8.8.8 interface=ovpn-udp

Desde el cliente:

• ping 10.222.60.1
• ping 192.168.11.1

Problemas frecuentes

• Sin conexión — firewall, puerto, NAT, hora en el router (NTP).
• Error de autenticación — certificado o contraseña.
• Sin acceso a LAN — push-routes y forward.
• Los clientes no se ven entre sí — la regla de aislamiento está funcionando correctamente.

Conclusión

Esta configuración implementa una autenticación doble (certificado + login/contraseña), segmentación de clientes y acceso controlado a la LAN. Para máximo rendimiento se recomienda usar UDP.

Si se requiere criptografía más moderna y menor carga en CPU, vale la pena considerar WireGuard como alternativa.