4. OpenVPN

Al abrir OpenVPN, la cabecera consulta el servicio y muestra:

• Servidor;
• Servicio;
• Host;
• TCP 1194;
• UDP 1194.

Los títulos de estado posibles incluyen:

• OpenVPN activo;
• OpenVPN activo, puerto sin escucha;
• OpenVPN inactivo;
• OpenVPN no instalado;
• No se pudo consultar OpenVPN.

La instancia compatible con MikroTik usa TCP 1194. Por ello, el resultado operativo mínimo es OpenVPN activo y TCP 1194: yes. Que UDP 1194 figure como no no invalida por sí solo el perfil MikroTik.

La pantalla contiene:

• Actualizar: vuelve a consultar el estado;
• Configurar: abre Instalar/Configurar OpenVPN;
• Reiniciar: reinicia el servicio;
• Desinstalar: elimina configuración y PKI;
• panel Conexiones activas;
• tabla Clientes OpenVPN;
• Refrescar y Nuevo en la barra de la tabla.

Prerrequisitos:

1. permiso gestion_red.openvpn.instalar;
2. helper OpenVPN instalado en el servidor;
3. Linux con paquetes disponibles;
4. nombre DNS o IP pública estable;
5. TCP 1194 accesible desde el origen de los routers;
6. ventana suficiente: el diálogo advierte que puede tardar varios minutos.

Procedimiento:

1. Abra OpenVPN.
2. Si aparece OpenVPN no está instalado, pulse Instalar / Configurar.
3. Si ya está instalado, pulse Configurar.
4. En Host público * introduzca solo el host o la IP, sin protocolo, ruta ni puerto.
5. Ejemplo DNS ficticio: vpn.isp-ejemplo.test.
6. Ejemplo IP ficticia: 198.51.100.20.
7. No introduzca https://, /admin, espacios ni :1194.
8. Pulse Instalar/Configurar.
9. Espere a que desaparezca Instalando OpenVPN... esto puede tardar varios minutos.
10. Pulse Actualizar.
11. Confirme:
    • título OpenVPN activo;
    • Servicio: active;
    • Host igual al dato introducido;
    • TCP 1194: yes.
12. Desde una red externa autorizada, compruebe que el firewall/NAT lleva TCP 1194 al VPS.

El valor de Host público se escribe en los perfiles .ovpn como destino remote HOST 1194. Si el DNS todavía no resuelve a la IP correcta, los perfiles se descargarán correctamente, pero no conectarán.

1. Confirme que el servidor aparece activo.
2. En la tabla Clientes OpenVPN, pulse Nuevo.
3. En el diálogo Nuevo cliente OpenVPN, complete Nombre *.
4. Reglas exactas:
   • entre 2 y 64 caracteres;
   • primer carácter alfanumérico;
   • letras, números, guion bajo _ o guion -;
   • sin espacios, puntos, tildes ni barras.
5. Ejemplo ficticio: router_sucursal_01.
6. Use un nombre que identifique función y ubicación, no una persona.
7. Pulse Crear.
8. Espere Cliente creado correctamente.
9. Pulse Refrescar si la fila no aparece inmediatamente.
10. Confirme:
    • Nombre correcto;
    • Estado ACTIVE;
    • Revocado vacío;
    • IP VPN puede mostrar Sin conexión hasta el primer enlace.

Al crear el cliente se genera material criptográfico y una IP VPN fija del rango del servidor. No cree dos clientes para el mismo dispositivo activo.

Errores habituales:

• Nombre inválido. Usa letras/números/_/- (2-64).: corrija formato o longitud.
• Ya existe un cliente con ese nombre.: el nombre es único, incluso si la fila anterior está revocada.
• Error creando cliente: confirme servidor activo, helper y espacio en disco; no repita muchas veces sin revisar si la fila/certificado se creó.

La pantalla revisada no ofrece Editar ni permite renombrar un cliente. Las acciones disponibles por fila son:

• Descargar .ovpn;
• Mikrotik;
• Rutas;
• Revocar, solo mientras el estado es ACTIVE.

Por tanto:

• para cambiar redes detrás del cliente, use Rutas;
• para cambiar el destino público, use Configurar en la cabecera y vuelva a exportar;
• para cambiar el nombre, cree un cliente nuevo, migre el equipo, compruebe la conexión y después revoque el anterior.

No revoque primero si ese cliente es la única vía de acceso remoto.

1. Localice la fila del cliente.
2. Pulse el botón con título Descargar .ovpn.
3. Guarde el archivo con el nombre generado, por ejemplo router_sucursal_01.ovpn.
4. Transfiéralo mediante un canal aprobado.
5. No lo adjunte a tickets ni lo almacene en carpetas compartidas sin cifrado.
6. Importe el perfil en un equipo de prueba.
7. Conecte y vuelva a OpenVPN.
8. En Conexiones activas, pulse el icono Refrescar conexiones activas.
9. Compruebe las columnas:
   • Cliente;
   • IP VPN;
   • IP remota;
   • Conectado desde;
   • Instancia.

La tabla de clientes también refleja la IP remota bajo IP VPN cuando hay conexión.

Importante: el botón puede seguir visible en una fila revocada. Un perfil basado en un certificado revocado no debe reutilizarse ni redistribuirse.

La barra de DataTables incluye un botón de guardado/exportación. Permite:

• Imprimir;
• Exportar csv;
• Exportar a Excel;
• Exportar a PDF.

Esta exportación contiene el inventario visible de Clientes OpenVPN; no equivale a descargar los perfiles ni exporta claves privadas. Antes de exportar:

1. use Mostrar / ocultar columnas;
2. deje visibles solo los datos necesarios;
3. pulse el icono de guardado;
4. elija el formato;
5. proteja el archivo, porque nombres, estados e IP VPN son información de infraestructura.

Para exportar un perfil operativo use Descargar .ovpn en la fila, no la exportación CSV/Excel/PDF.

El botón Mikrotik abre Mikrotik (RouterOS) - Script para pegar.

1. Abra la fila del cliente correcto.
2. Pulse Mikrotik.
3. Confirme el Cliente mostrado.
4. Seleccione:
   • RouterOS 7+, opción inicial; o
   • RouterOS 6.
5. Compruebe que connect-to corresponde al host público esperado.
6. Pulse Copiar todo o copie cada línea.
7. Pegue primero en un equipo de laboratorio.
8. Verifique que el router puede acceder por HTTP/HTTPS al servidor para descargar los tres archivos.
9. Verifique que se importan:
   • CA;
   • certificado del cliente;
   • clave del cliente.
10. Verifique que se crea y habilita la interfaz cwisp-ovpn.
11. Regrese a OpenVPN → Conexiones activas y pulse refrescar.

La interfaz advierte:

• RouterOS OpenVPN requiere TCP;
• RouterOS 6 usa aes256;
• RouterOS 7+ usa aes256-cbc.

Los enlaces de provisión contienen un token largo y dan acceso al certificado y clave de ese cliente. Trate el script completo como secreto. No lo publique ni lo reutilice para otro equipo.

Si No se pudo copiar, seleccione manualmente el texto. Si la descarga falla, revise que el host web del panel sea alcanzable desde el MikroTik, además del host OpenVPN.

Use Rutas para redes situadas detrás del cliente, no para la IP VPN del cliente.

Ejemplo:

• IP LAN del router: 192.0.2.1/24;
• red que debe registrarse: 192.0.2.0/24.

Procedimiento:

1. Localice el cliente activo.
2. Pulse Rutas.
3. Confirme el nombre tras Cliente:.
4. En Nueva ruta, introduzca una red IPv4 en formato CIDR.
5. Ejemplo ficticio: 192.0.2.0/24.
6. No introduzca 192.0.2.1/24; la interfaz normaliza a la dirección de red, pero el operador debe registrar el dato correcto.
7. Pulse Agregar.
8. Espere Ruta agregada: 192.0.2.0/24.
9. Confirme que aparece en la columna CIDR.
10. El cambio reinicia la instancia OpenVPN; espere unos segundos.
11. Compruebe de nuevo la conexión.
12. Desde un origen autorizado, pruebe un host específico de esa red.
13. Compruebe ida y retorno. Que el ping falle no prueba por sí solo que la ruta esté mal si ICMP está bloqueado.

La ruta se aplica como:

• iroute del cliente, para asociar la red con ese túnel;
• route del servidor OpenVPN.

Además, una nueva descarga .ovpn incluirá la ruta correspondiente. Después de cambiar rutas, vuelva a descargar/reimportar el perfil cuando el cliente utilice ese archivo.

Restricciones:

• solo IPv4;
• prefijo entre /0 y /32;
• el cliente debe seguir ACTIVE;
• no use redes superpuestas;
• no asigne la misma red a dos clientes: el servidor no puede decidir de forma estable cuál túnel es propietario y eliminarla en uno puede afectar la ruta compartida.

Para eliminar:

1. abra Rutas;
2. pulse Eliminar en la fila CIDR;
3. espere Ruta eliminada.;
4. compruebe que la fila desaparece;
5. pruebe que la red dejó de ser alcanzable;
6. vuelva a exportar el perfil si corresponde.

Este procedimiento permite que ColombiaWISP, instalado en el VPS, administre una OLT sin IP pública a través de un MikroTik de la sede. La OLT conserva su dirección privada: no se publica SNMP, SSH ni Telnet en Internet.

Diagrama textual:

Panel/servicios OLT en VPS
        |
        | destino 172.22.40.10 (SNMP/SSH/Telnet)
        v
Servidor OpenVPN -- TCP 1194/Internet -- cwisp-ovpn en MikroTik
10.8.0.1                                  IP VPN 10.8.0.6
                                                |
                                                | bridge/ether de gestión
                                                | 172.22.40.1/24
                                                v
                                      OLT 172.22.40.10/24
                                      gateway 172.22.40.1

Todos los valores son ficticios. olt_sede_norte_01 no es un usuario humano; 198.51.100.20, 10.8.0.6, 172.22.40.0/24 y 172.22.40.10 deben reemplazarse por el diseño aprobado. No copie el token de provisión, comandos con ese token, certificados, claves, community ni contraseñas en el registro de cambio.

Revocar invalida el certificado. No existe botón de reactivación.

1. Confirme que hay otra vía de acceso al equipo.
2. Identifique nombre, IP VPN, rutas y equipo físico.
3. Si necesita conservar evidencia, exporte el inventario; no archive la clave salvo que su política lo exija.
4. Pulse Revocar.
5. En Revocar cliente, lea ¿Revocar este cliente? Esto invalidará su certificado.
6. Pulse Si, revocar.
7. Espere Cliente revocado correctamente.
8. Confirme:
   • Estado REVOKED;
   • fecha y hora en Revocado;
   • desaparición de Revocar.
9. Pulse refrescar en Conexiones activas y confirme la desconexión.
10. Retire el perfil del dispositivo.

Si aparece El cliente ya estaba revocado, no repita. Si necesita reemplazo, cree un nombre nuevo, por ejemplo router_sucursal_01_r2.

Use Reiniciar cuando:

• el servicio figura instalado pero inactivo;
• cambió una ruta y necesita comprobar recuperación;
• el puerto dejó de escuchar tras una intervención controlada.

Pasos:

1. pulse Reiniciar;
2. espere Servicio reiniciado.;
3. pulse Actualizar;
4. confirme OpenVPN activo y TCP 1194: yes;
5. pruebe un cliente.

Use Desinstalar solo para retirar el servicio. La confirmación dice: Esto eliminará configuración y PKI.

La desinstalación:

OpenVPN no instalado

1. Confirme permiso gestion_red.openvpn.instalar.
2. Pulse Instalar / Configurar.
3. Si la respuesta solicita una acción root, escálela al administrador del VPS.

OpenVPN activo, puerto sin escucha

1. Pulse Reiniciar.
2. Pulse Actualizar.
3. Compruebe TCP 1194 local y firewall/NAT.
4. Si el mensaje lo indica, revise el servicio openvpn-server@cwisp-mikrotik.
5. No abra UDP 1194 como sustituto del TCP requerido por MikroTik.

Tiempo de espera agotado o error de comunicación

1. confirme que la sesión del panel sigue activa;
2. recargue el módulo;
3. pruebe Actualizar una vez;
4. compruebe que el helper y sudoers de OpenVPN existen;
5. revise carga del servidor y filesystem;
6. si el sistema está en solo lectura, detenga cambios hasta reparar el VPS.

Cliente activo sin conexión

1. vuelva a descargar el perfil;
2. confirme host, TCP 1194 y hora de ambos equipos;
3. compruebe que usa el cliente correcto;
4. para MikroTik, confirme versión RouterOS y cifrado;
5. pulse el refresco de Conexiones activas; no hay actualización automática continua;
6. compruebe que el certificado no está revocado.

La VPN conecta pero no llega a la LAN

1. confirme el CIDR en Rutas;
2. confirme que es la red, no la IP del gateway;
3. confirme que no se superpone con otra sede;
4. compruebe forwarding y firewall en router y VPS;
5. compruebe ruta de retorno;
6. vuelva a descargar el .ovpn;
7. evite agregar rutas más amplias solo para “probar”.