Configuración del servidor OpenVPN en MikroTik RouterOS: guía práctica completa

OpenVPN — es un protocolo VPN fiable y probado, que permite organizar acceso remoto protegido a la red local. MikroTik RouterOS soporta OpenVPN en modo servidor desde la versión 6.x (TCP), y desde la versión 7+ — también UDP, pero con una serie de limitaciones arquitectónicas:

• autenticación obligatoria por usuario/contraseña incluso al usar certificados;
• lista limitada de cifrados y algoritmos;
• ausencia de algunas funcionalidades del OpenVPN “clásico”.

A pesar de ello, OpenVPN en MikroTik sigue siendo una solución demandada — especialmente en escenarios donde los clientes no soportan WireGuard o se requiere compatibilidad con sistemas antiguos.

En este artículo se aborda la configuración completa de un servidor OpenVPN en MikroTik RouterOS:

• usando un CA propio y certificados de cliente;
• con soporte para UDP y TCP;
• con aislamiento entre clientes VPN;
• con acceso a la red local;
• con ejemplos de diagnóstico y depuración.

⚠️ Todas las direcciones IP, nombres de usuario y contraseñas indicados más abajo son de prueba. Nunca los use en un entorno de producción.

Topología propuesta

• Red local (LAN): 192.168.11.0/24

• Pool de direcciones para clientes VPN: 10.222.60.0/24

• Servidor OpenVPN:

  • puerto 1199
  • protocolos: UDP y TCP

Paso 1: Creación de certificados

OpenVPN utiliza cifrado TLS, por lo que se requiere una autoridad certificadora (CA) propia, certificado de servidor y certificados de cliente.

/certificate
add name=ovpn-ca common-name=ovpn-ca key-size=4096 days-valid=3650 key-usage=key-cert-sign,crl-sign
sign ovpn-ca ca-crl-host=127.0.0.1

add name=ovpn-server common-name=ovpn-server key-size=4096 days-valid=1825 \
    key-usage=digital-signature,key-encipherment,tls-server
sign ovpn-server ca=ovpn-ca

# Certificados de cliente
add name=testuser1-cert common-name=testuser1 key-usage=tls-client days-valid=365
sign testuser1-cert ca=ovpn-ca

add name=testuser2-cert common-name=testuser2 key-usage=tls-client days-valid=365
sign testuser2-cert ca=ovpn-ca

Exportación de certificados:

# Exportación de CA
export-certificate ovpn-ca

# Exportar certificados de cliente con contraseña
export-certificate testuser1-cert export-passphrase="TestExportPass2025!"
export-certificate testuser2-cert export-passphrase="TestExportPass2025!"

Los archivos aparecerán en /files. Se pueden descargar mediante Winbox → Files o por FTP.

Paso 2: Crear un pool de direcciones IP para clientes VPN

/ip pool
add name=ovpn-pool ranges=10.222.60.10-10.222.60.200

Paso 3: Perfil PPP para OpenVPN

/ppp profile
add name=ovpn-profile \
    local-address=10.222.60.1 \
    remote-address=ovpn-pool \
    use-encryption=required \
    only-one=yes

• local-address — IP del MikroTik dentro de la VPN;
• remote-address — pool de direcciones de los clientes;
• only-one=yes — una sesión activa por usuario.

Paso 4: Configuración del servidor OpenVPN (UDP y TCP)

En RouterOS v7+ OpenVPN se configura como una interfaz.

/interface ovpn-server server
add name=ovpn-udp \
    auth=sha1,md5,sha256,sha512 \
    certificate=ovpn-server \
    cipher=aes128-cbc,blowfish128 \
    default-profile=ovpn-profile \
    disabled=no \
    port=1199 \
    protocol=udp \
    require-client-certificate=yes \
    netmask=24 \
    mode=ip \
    keepalive-timeout=60 \
    max-mtu=1500 \
    push-routes=192.168.11.0/24

add name=ovpn-tcp \
    auth=sha1,md5,sha256,sha512 \
    certificate=ovpn-server \
    cipher=aes128-cbc,blowfish128 \
    default-profile=ovpn-profile \
    disabled=no \
    port=1199 \
    protocol=tcp \
    require-client-certificate=yes \
    netmask=24 \
    mode=ip \
    keepalive-timeout=60 \
    max-mtu=1500 \
    push-routes=192.168.11.0/24

Paso 5: Configuración del firewall

Permitir conexiones entrantes

/ip firewall filter
add chain=input protocol=udp dst-port=1199 action=accept comment="OpenVPN UDP"
add chain=input protocol=tcp dst-port=1199 action=accept comment="OpenVPN TCP"

Reglas de forward e aislamiento de clientes

/ip firewall filter
add chain=forward connection-state=established,related action=accept comment="Established/Related"

add chain=forward src-address=10.222.60.0/24 dst-address=192.168.11.0/24 \
    action=accept comment="VPN -> LAN"

add chain=forward src-address=192.168.11.0/24 dst-address=10.222.60.0/24 \
    action=accept comment="LAN -> VPN"

add chain=forward src-address=10.222.60.0/24 dst-address=10.222.60.0/24 \
    action=drop comment="Изоляция VPN-клиентов"

Paso 6: Crear usuarios (PPP secrets)

⚠️ RouterOS siempre requiere usuario/contraseña para OpenVPN.

/ppp secret
add name=testuser1 password="TestPass#2025!" profile=ovpn-profile service=ovpn
add name=testuser2 password="TestPass#2025!" profile=ovpn-profile service=ovpn

Paso 7: Revocar certificado y eliminar usuario

/certificate revoke testuser1-cert
/ppp secret remove [find name="testuser1"]

Configuración del cliente (.ovpn)

client
dev tun
proto udp        # o tcp
remote YOUR_PUBLIC_IP 1199
resolv-retry infinite
nobind
persist-key
persist-tun
remote-cert-tls server
cipher AES-128-CBC
auth SHA512
verb 3

<ca>
--- contenido de ovpn-ca.crt ---
</ca>

<cert>
--- contenido de testuser1-cert.crt ---
</cert>

<key>
--- contenido de testuser1-cert.key ---
</key>

auth-user-pass

Compatible con clientes:

• OpenVPN Connect
• Viscosity
• Tunnelblick

Diagnóstico y depuración

Activar el registro

/system logging
add topics=ovpn action=memory
add topics=ovpn,debug action=memory

/log print where topics~"ovpn"

Comprobación de conexiones

/interface ovpn-server print
/ppp active print

Pruebas de red

/ping 10.222.60.XX
/tool traceroute 8.8.8.8 interface=ovpn-udp

Desde el cliente:

• ping 10.222.60.1
• ping 192.168.11.1

Problemas frecuentes

• Sin conexión — firewall, puerto, NAT, hora en el router (NTP).
• Error de autenticación — certificado o contraseña.
• Sin acceso a LAN — push-routes y forward.
• Los clientes no se ven entre sí — la regla de aislamiento está funcionando correctamente.

Conclusión

Esta configuración implementa autenticación doble (certificado + usuario/contraseña), segmentación de clientes y acceso controlado a la LAN. Para máximo rendimiento se recomienda usar UDP.

Si se requiere criptografía más moderna y menor carga CPU, conviene considerar WireGuard como alternativa.

¡Buena configuración y túneles estables!