Indledning Denne guide hjælper dig med at sætte L2TP over IPsec op på en MikroTik-router (RouterOS), forklare hvorfor L2TP stadig bruges, og give konkrete konfigurationseksempler, sikkerhedsråd og fejlfinding. Målgruppen er IT‑administratorer og avancerede brugere, der ønsker en stabil og sikker VPN-forbindelse til fjernadgang eller mellem-site routing i danske netværk.

Hvorfor vælge L2TP/IPsec på MikroTik? L2TP alene tilbyder tunneling, men uden kryptering. Kombinationen L2TP over IPsec (L2TP/IPsec) giver derfor både stabil tunneling og stærk kryptering ved hjælp af IPsec. På MikroTik er L2TP/IPsec en praktisk løsning til:

  • Fjernarbejde med indbygget support i mange klient‑OS.
  • Simpel site‑to‑site-opkobling når fuld IPsec‑implementering er overkill.
  • Hurtig konfiguration på RouterOS uden tredjepartssoftware.

Kort teknisk baggrund VPN-teknologi har udviklet sig fra tidlige protokoller som PPTP til mere sikre varianter som L2TP, IPsec og TLS-baserede løsninger. L2TP fungerer som et lag‑2 tunnelprotokol, mens IPsec sørger for kryptering og autentifikation. På RouterOS kombineres disse for at give kompatibilitet og sikkerhed.

Forudsætninger

  • MikroTik-router med RouterOS v7.x anbefales.
  • Grundlæggende kendskab til Winbox/CLI.
  • Offentlig IP eller dynamisk DNS for serverendepunktet.
  • Firewallregler, der tillader UDP 500, UDP 4500 og ESP (proto 50) mellem klient og server.
  • Delte nøgler eller certifikater til IPsec (guide bruger PSK for enkelhed).

Trinvis opsætning (RouterOS CLI-eksempler)

  1. Basis netværksopsætning Sørg for, at din router har en fungerende WAN- og LAN-interfacen. Eksempel:
  • WAN: ether1 (DHCP eller statisk)
  • LAN: bridge eller ether2 med DHCP-server til klienter
  1. Opret PPP-profil og brugere /ppp profile add name=“l2tp-profile” use-encryption=yes local-address=192.168.88.1 remote-address=pool-l2tp /ppp secret add name=“vpnbruger” password=“StærkAdgangsKode1!” profile=“l2tp-profile” service=l2tp

Opret adressepool: /ip pool add name=pool-l2tp ranges=192.168.88.50-192.168.88.100

  1. Enable L2TP-server /interface l2tp-server server set enabled=yes default-profile=l2tp-profile use-ipsec=required ipsec-secret=“DelNøgle123”

Bemærk: use-ipsec=required tvinger IPsec. ipsec-secret er PSK (pre-shared key).

  1. IPsec-profil og peer (RouterOS v7) På RouterOS v7 kan IPsec håndteres automatisk med L2TP, men hvis du vil definere policies:

/ip ipsec peer add address=0.0.0.0/0 auth-method=pre-shared-key secret=“DelNøgle123” exchange-mode=ike2 enc-algorithm=aes-256,payload-algorithm=sha256 dh-group=modp2048

/ip ipsec proposal set [ find default=yes ] enc-algorithms=aes-256-cbc,aes-128-cbc lifetime=1h pfs-group=none

Ofte er standardindstillinger tilstrækkelige; test først med minimal konfiguration.

  1. Firewallregler og NAT Tillad nødvendige porte: /ip firewall filter add chain=input protocol=udp dst-port=500,4500 action=accept comment=“Allow IPsec” /ip firewall filter add chain=input protocol=ipsec-esp action=accept comment=“Allow ESP”

Hvis klienterne skal have fuld intern adgang, sikr korrekt forward-regler og masquerade hvis NAT er nødvendigt: /ip firewall nat add chain=srcnat src-address=192.168.88.0/24 action=masquerade out-interface=ether1

  1. Klientkonfiguration (Windows eksempel)
  • Opret VPN-forbindelse -> Type: L2TP/IPsec
  • Serveradresse: din offentlige IP eller DNS
  • Del nøgle (PSK): DelNøgle123
  • Brugernavn: vpnbruger / password: StærkAdgangsKode1! På macOS og iOS: tilsvarende felter; vælg L2TP med foruddelt nøgle.

Sikkerhedsbest practices

  • Brug stærke, unikke PSK’er eller endnu bedre: certifikatbaseret IPsec (IKEv2 med certifikater).
  • Begræns adgang via firewall ved at tillade kun kendte IP’er til administration.
  • Skift standard SSH/Winbox porte og anvend stærk autentifikation.
  • Overvåg logs for uautoriserede forsøg og opsæt rate‑limiting på POC‑porte.
  • Overvej at bruge moderne cipher suites (AES‑256, SHA‑2, ECDH/dh2048+) og undgå svage algoritmer.

Fejlfinding — almindelige problemer og løsninger Problem: Klienten når ikke L2TP-serveren

  • Tjek at WAN-IP/DNS peger korrekt.
  • Sørg for at UDP 500 og 4500 ikke er blokeret af ISP eller lokal firewall.
  • Brug “tool sniffer” på RouterOS for at se pakker.

Problem: Forbindelsen etableres, men ingen trafik rutes

  • Kontroller at IP-adresseringen fra pool ikke overlapper eksisterende netværk.
  • Tilføj korrekt routing eller tillad forwarding i firewall.
  • Sørg for at NAT-regler ikke forhindrer trafikken.

Problem: Forbindelsen falder ved inaktivitet

  • Juster keepalive/timeout-indstillinger i IPsec/PPP.
  • Nogle NAT-enheder dropper mappings; brug DPD (Dead Peer Detection) og reducer lifetimes.

Problem: Klient får IP men ingen DNS

  • Test med ping 8.8.8.8 for at isolere om det er DNS.
  • Tilføj DNS-server i PPP-profile: /ppp profile set l2tp-profile dns-server=8.8.8.8,1.1.1.1

Ydeevneoptimering

  • Hardware acceleration: nyere MikroTik‑modeller har CPU/sikkerhedsacceleratorer. Tjek RouterOS og modeldokumentation.
  • Vælg AES-NI-kompatible algoritmer og undgå CPU-intense 3DES.
  • Hvis throughput er kritisk: overvej IPsec SAs med mindre overhead (IKEv2 + AES-GCM).

Når L2TP ikke er nok — alternative løsninger L2TP/IPsec er praktisk men kan være mere komplekst at skalerere end moderne VPN‑løsninger:

  • WireGuard: Enklere og ofte hurtigere; dog begrænset klientkompatibilitet i ældre OS.
  • OpenVPN: Fleksibel, kan køre over TCP/UDP og er velegnet til obfuscation. Valg afhænger af krav til kompatibilitet, ydeevne og sikkerhed.

Praktiske scenarier og eksempler

  • Fjernadgang for 10–50 medarbejdere: L2TP/IPsec med PSK kan være OK, men overvej certifikater eller en RADIUS-backend for central brugeradministration.
  • Site-to-site mellem to MikroTik: Overvej fuld IPsec tunnel (routing på netværksniveau) fremfor PPP-baseret L2TP hvis du har komplekse subnet.
  • Offentlige Wi‑Fi klientforbindelser: Tving klienttrafik gennem VPN for at beskytte mod snooping.

Compliance og brug i Danmark I Danmark er VPN‑brug almindeligt for beskyttelse af virksomheders trafik og privatliv. Vær dog opmærksom på særlige regler inden for din branche (fx logningskrav, databeskyttelse). Denne guide giver teknisk opsætning, ikke juridisk rådgivning.

Hvad nyhederne viser: øget VPN‑interesse globalt Seneste dages nyheder viser en markant stigning i downloads og interesse for VPN-tjenester, som reaktion på nye online‑regler og blokeringer. Det understreger, at både privatpersoner og virksomheder i stigende grad søger tekniske løsninger til at bevare adgang og privatliv. I denne sammenhæng er det vigtigt at vælge en sikker, vedligeholdt opsætning på din MikroTik for at undgå fejl og eksponering.

Checklist før ibrugtagning

  • Test fra en ekstern placering (mobil data) for at verificere adgang.
  • Overvåg forbindelser i første uge for at fange autentifikationsfejl.
  • Dokumentér PSK, brugerkonti og rutiner for nøglerotation.
  • Tag backup af RouterOS‑konfiguration efter succesfuld opsætning.

Afsluttende råd L2TP/IPsec på MikroTik er en robust løsning til mange brugstilfælde, men sikkerhed afhænger af konfiguration og vedligehold. For produktionsmiljøer anbefales certifikater og centraliseret brugeradministration. Hold RouterOS opdateret og test regelmæssigt.

📚 Videre læsning og kilder

Her er nogle relevante artikler og nyhedsreferencer, der kontekstualiserer øget VPN‑brug og tilbud i markedet.

🔸 VPN-downloads stiger efter nye online-restriktioner
🗞️ Kilde: Reuters – 📅 2026-03-09
🔗 Læs artiklen

🔸 VPN-tilbud: global prisnedgang og kampagner
🗞️ Kilde: Punto Informatico – 📅 2026-03-09
🔗 Læs artiklen

🔸 Australiere tager VPN i brug efter aldersbegrænsninger online
🗞️ Kilde: CNBCTV18 – 📅 2026-03-09
🔗 Læs artiklen

📌 Ansvarsfraskrivelse

Dette indlæg kombinerer offentligt tilgængelig information med en smule AI-assistance.
Det er ment som vejledning og diskussionsgrundlag — ikke som en fuldstændig officiel verifikation.
Hvis du opdager fejl eller mangler, så kontakt os, så retter vi det.