Mikrotik - Lets Encrypt Zertifikate mit MetaROUTER Instanz auf dem Router erzeugen

Einleitung

Folgende Anleitung ist aus der Lage heraus entstanden das ein Kunde auf seinem Mikrotik sein Hotspot Captive Portal auf SSL umstellen wollte (Sollte ja heute Pflichtprogramm sein). Nötig dafür ist natürlich ein gültiges Zertifikat so dass bei den Usern keine Warnungen aufpoppen. Da ein kostenpflichtiges Zertifikat nicht in Frage kam, dachte ich mir, lösen wir es mit Let's Encrypt Zertifikaten. Problem: Mikrotik bietet keine Möglichkeit solche Zertifikate automatisiert zu erneuern und alle 3 Monate manuell erneuern geht ja gar nicht . Also dachte ich mir, ran an ans Werk und nachrüsten. Natürlich kann man das Generieren der Zertifikate auch auf andere Systeme auslagern(Cloud/Azure/AWS/Raspi) und nur die Zertifikate am Mikrotik downloaden lassen, aber hier ging es vornehmlich darum, das Ganze ohne weitere zusätzlich Strom fressenden Systeme gänzlich allein auf dem Router zu realisieren.

In den nachfolgenden Punkten erläutere ich euch die notwendigen Schritte um ein Let's Encrypt Zertifikat abzurufen und in den Speicher des Mikrotik zu importieren um es anschließend in den Hotspot einzubinden. Grundsätzlich ist der Ablauf folgender:

• Anlegen einer METARouter-Instanz
• Anpassen der Instanz mit den nötigen Tools
• Erzeugen von SSH-Keys für den automatisierten Login auf den Webspace und dem Mikrotik (Zur Verifizierung bei Let's Encrypt wird der Webspace der Domain für welche das Zertifikat erzeugt werden soll temporär per SSHFS eingebunden.)
• Einfügen eines Skripts zur Erneuerung des Zertifikats
• Skript in den Autostart der Instanz einfügen, so dass es beim Booten automatisch gestartet wird
• Skript kopiert erzeugtes Zertifikat und privaten Schlüssel per SCP zurück in den Speicher des Mikrotik.
• Ein Mikrotik-Skript startet dann das ganze und lässt sich via Scheduler z.B. alle 60 Tage für die Verlängerung des Zertifikats ausführen

In diesem Beispiel erneuere ich das Hotspot-Zertifikat. Das Mikrotik-Script kann natürlich jeder auf seine Bedürfnisse anpassen, wenn z.B. das Zertifikat für eine andere Komponente auf dem Mikrotik verwendet werden soll.

1. Hinweise

Da die Anleitung das Feature MetaROUTER des Mikrotik verwendet kommen folgende Geräte in Frage
https://wiki.mikrotik.com/wiki/Manual:Metarouter
Euer Mikrotik sollte genügend freien RAM (für die METARouter Instanz ca. 16-32MB) und NAND-Speicher haben.
Als Spielwiese kam ein RB951G-2HnD mit 128MB RAM und 128MB Speicher zum Einsatz.
Die Instanz begnügt sich normalerweise mit sehr wenig RAM (ca. 10MB), bei Bedarf lässt sich sich auch noch weiter abspecken, aber das lass ich euch .

2. Meta-ROUTER Image herunterladen und installieren

• Für die MIPS Architektur dieses OpenWRT Image herunterladen (Für andere Architekturen müsst Ihr euch ein eigenes Image bauen):
• http://download.bmsoft.de/mikrotik/12.09/metarouter/mr-mips/openwrt-mr- ...
• Das Archiv so wie es ist in den Speicher des Mikrotik kopieren (Drag n' Drop in die Winbox / SFTP / FTP)
• Nun erstellen wir einen neuen Meta-ROUTER mit dem Image (Bitte das Häkchen bei enable raus nehmen, da wir vor dem Start der VM erst noch ein Netzwerkinterface hinzufügen müssen)

Alternativ als Shell-Befehl:

• Jetzt benötigen wir ein Netzwerk-Interface für die Instanz

Folgende Einstellungen vornehmen:

Virtual-Machine: <Bitte aus dem Dropdown auswählen>
Type: Dynamic
Dynamic-MAC-Address: <wird vom Mikrotik generiert, kann bei Bedarf geändert werden>
Bridge-Interface: <Das Bridge-Interface wählen welchem dieses Interface dynamisch hinzugefügt wird>
VM MAC-Address: <wird vom Mikrotik generiert, kann bei Bedarf geändert werden>



Alternativ als Shell-Befehl:


Damit ist die Instanz zum ersten Start bereit.

3. Anpassen der Meta-ROUTER Instanz

Los geht's. Starten der Instanz:


Alternativ als Shell-Befehl:

Die Instanz startet nach dem Aktivieren automatisch und wird euch in der Spalte "Status" als "running" signalisiert.
Die Konsole des Meta-ROUTER erreicht ihr nun über das Kontextmenü > "Console", oder über den oben gezeigten Shell-Befehl. Drückt darin einmal ENTER um die Shell zu aktivieren.


Als erstes solltet ihr euch nun davon überzeugen das die Netzwerkkarte der Instanz Netzzugang hat (Wenn ihr eine statische IP bevorzugt, könnt ihr das in der Datei /etc/config/network nachholen).
Dazu ein ifconfig eintippen, ein route sollte das Default Gateway listen und ein Ping an eine Internetadresse sollte erfolgreich sein.


Nun fehlen uns noch einige Tools und Einstellungen. Ich habe der kürze halber der nötigen Befehle hier im Kasten zusammengefasst und jeweils kommentiert

In meinem Beispiel hat ist der Webspace per SSH/SCP erreichbar welchen wir nun in ein Verzeichnis in der Instanz mounten wollen. Damit das in der Zukunft natürlich automatisch ohne Passworteingabe passiert erzeugt ihr euch ein Keypair, gängige Praxis die ich euch sicherlich nicht nochmal detailliert vorbeten muss, oder .
Kurzfassung:
eingeben und alle Eingaben mit Enter bestätigen (kein Passwort für den Schlüssel vergeben!).
Den Inhalt des PublicKeys (/root/.ssh/id_rsa.pub) solltet ihr nun auf dem Webspace in die Datei ~/.ssh/authorized_keys kopieren. Abschließend testet ihr den Zugang zum Webspace mit
Ein Login sollte dann ohne Passwortabfrage erfolgen.

Das gleiche brauchen wir für den Transfer der nach generierten Zertifikate auf den Mikrotik. Für diese Aufgabe erzeugt man besten einen extra User am Mikrotik dem man dann den generierten Public-Key importiert. Anleitung dazu siehe:
https://jcutrer.com/howto/networking/mikrotik/routeros-ssh-publickeyauth ...
(ACHTUNG: Damit ihr euch nicht vom Mikrotik ausperrt wenn Ihr den Private-Key nicht aus dem Meta-ROUTER gesichert habt, achtet darauf das ihr den Key nicht dem admin zuweist denn sonst kommt ihr ohne Key-Auth nicht mehr auf den Mikrotik) -Anmerkung der Redaktion:-> Oh, ja ist mir selbst auch schon passiert , hatte die Keys aber gesichert und brauchte somit kein Backup zurückspielen.

Jetzt erstellen wir das Skript welches das Zertifikat bei Let's Encrypt abruft und auf den Mikrotik transferiert.
Dazu eine leere Datei erstellen mit
Nun i drücken und folgendes Skript einfügen:
Dabei gibt es diese Variablen die es an eure Umgebung anzupassen gilt:

DOMAIN = <COMMON-NAME des Zertifikats das erzeugt werden soll>
WEBROOT = <Das lokale Verzeichnis in welchem wir den Webspace temporär mounten (Dient zur Verifikation von Let's Encrypt)>
WEBSPACE = <Benutzerkennung und Host eures Webspace>
MIKROTIKSSHHOST = <Benutzerkennung und Host/IP unter der der Mikrotik per SSH seinen Speicher zur Verfügung stellt>
MAXWAITINET = <Zeit in Sekunden wie lange das Skript max. auf eine Internetverbindung wartet.>

Nun drückt in VIM ESC und abschließen schreibt :wq! zum Speichern des Skripts.
Jetzt noch ausführbar machen mit
Das Mounten des Webspace (sshfs) solltet ihr vorher erst mal manuell testen, genauso wie das Verbinden mit dem Mikrotik-Speicher (via ssh oder scp). Das muss nun alles ohne Passworteingabe funktionieren, wenn nicht müsst ihr das erst beheben bevor ihr hier weiter macht.

Damit das Skript beim Booten der Meta-ROUTER Instanz automatisch startet fügen wir in die Datei /etc/rc.local vor dem exit 0 noch folgende Zeile ein:

Sollte nun soweit alles geklappt haben könnt Ihr des Skript das erste mal testen und es mit einem
starten. Hat alles geklappt findet Ihr die Zertifikate einmal in der Instanz selbst unter /root/.acme.sh/<COMMON-NAME>, und im Root des Mikrotik -Speichers abgelegt. Erst wenn das erfolgreich war fahrt ihr weiter mit der Anleitung fort.

4. Mikrotik-Skript zum installieren der Zertifikate anlegen

Jetzt verlassen wir die Instanz des Meta-ROUTER erst mal mit exit (Fenster könnt ihr dann schließen), und arbeiten weiter in Winbox.
Das nächste Mikrotik-Skript erledigt nun nachstehende Aufgaben

• Starten des Meta-Routers
• Importieren der Zertifikate in den Zertifikate-Speicher des Mikrotik
• Aktualisieren Hotspot-Profils
• Stoppen des Meta-Routers (Ein Dauerlaufen ist hier ja nicht nötig).

Das Skript hat folgende Variablen die angepasst werden müssen:

COMMONNAME = <Common-Name eures Zertifikats>
HOTSPOTPROFILE = <Der Name des zu aktualisierenden Hotspot-Profils>
METAROUTERNAME = <Name eures Meta-ROUTERS>
MAXWAIT = <Maximale Zeit in Sekunden die das Skript auf die neu erzeugten Zertifikate wartet>

Das Skript legt ihr unter /system scripts ab und speichert es:


Automatisch gestartet werden kann es dann wie gewohnt mit dem Scheduler (z.B. alle 60 Tage):

5. Schlusswort

Bei der Verifikation des Let's Encrypt Zertfikats seit ihr natürlich frei das auf DNS-Verify etc. umzustellen. Das hier war ein einfaches Beispiel bei dem der Kunden seinen Webspace und die Domain bei 1und1 hatte und da bot es sich an den Webspace per SSHFS einzubinden.
Man sieht, mit Meta-ROUTERN lässt sich eine Menge realisieren die ein Mikrotik von selbst nicht anbietet. Auch ganz nützlich z.B. ist eine Asterisk Instanz, macht z.B. eine Fritz!box dann gänzlich überflüssig beim "kleinen Kunden" .

Noch ein wichtiger Hinweis wenn ihr fleißig Zertifikate im Test erstellt und erneuert: Achtet auf die Limits von Let's Encrypt, z.B. maximal 5 Zertfikate von ein und der selben Domain pro Woche (sliding Window). Hier einzusehen:
Rate Limits - Let's Encrypt - Free SSL/TLS Certificates
Also nicht übertreiben, sonst gibt euch das Skript einen Fehler ala 429 too many requests aus .

Hoffe die Anleitung ist dem ein oder anderen von Nutzen .

Wie immer gilt: Nutzung auf eigene Gefahr.

Nun viel Spaß beim Basteln an eurem eigenen Projekt.

Grüße @colinardo

Falls euch der Beitrag gefällt, könnt ich euch auch gerne jederzeit mit einer kleinen Spende erkenntlich zeigen, wenn euch danach ist.