Como configurar rota estática no MikroTik usando VPN (PPTP, L2TP e SSTP) e garantir comunicação segura entre redes remotas

 

🎯 Cenário

Você tem uma VPN (L2TP, PPTP ou OpenVPN) já conectada no MikroTik (ex: l2tp-out1) e quer acessar uma rede remota:

• Rede remota: 10.10.10.0/24
• Interface VPN: l2tp-out1

---

🧠 Conceito rápido

A rota estática serve pra dizer ao MikroTik:

"Se quiser chegar nessa rede, mande o tráfego pela VPN"

---

⚙️ Comando básico

/ip route add dst-address=10.10.10.0/24 gateway=l2tp-out1

---

📌 Explicando o comando

• dst-address=10.10.10.0/24 → rede que você quer acessar remotamente
• gateway=l2tp-out1 → interface da VPN (túnel)

---

🔍 Verificando se a VPN está conectada

Antes de tudo, confira:

/interface l2tp-client print

Tem que estar connected: yes

---

🧪 Testando a rota

Após criar a rota:

ping 10.10.10.1

Se responder → rota funcionando ✅

---

🚨 Problemas comuns (muito importante)

1. ❌ VPN conecta mas não passa tráfego

Pode ser firewall bloqueando:

/ip firewall filter print

Garanta que não tem regra bloqueando forward.

---

2. ❌ Falta rota de retorno

No lado remoto (outro MikroTik ou servidor), precisa existir rota de volta:

/ip route add dst-address=SEU_IP_LOCAL gateway=VPN

ex: ip route add dst-address=10.10.10.0/24 gateway=l2tp-out1

Senão o tráfego vai mas não volta.

---

3. ❌ NAT atrapalhando

Se você tiver masquerade ativo:

/ip firewall nat print

Adicione exceção pra VPN:

/ip firewall nat add chain=srcnat dst-address=10.10.10.0/24 action=accept

---

4. ❌ Interface errada

Confirme o nome correto da interface:

/interface print

---

💡 Dica avançada (melhor prática)

Se quiser evitar problemas com interface dinâmica, pode usar o IP da VPN:

/ip route add dst-address=10.10.10.0/24 gateway=IP_DA_VPN

---

📊 Cenário típico completo

• Matriz: 192.168.1.0/24
• Filial: 10.10.10.0/24
• VPN: L2TP

Na matriz:

/ip route add dst-address=10.10.10.0/24 gateway=l2tp-out1

Na filial:

/ip route add dst-address=192.168.1.0/24 gateway=l2tp-in1

---

✅ Resultado esperado

• Você acessa máquinas da rede 10.10.10.0/24
• Comunicação bidirecional funcionando
• Sem precisar expor IP público

---

Se quiser, posso montar um cenário completo pra você (matriz ↔ filial com NAT, firewall e tudo certinho), ou até adaptar pra tua realidade com Zabbix / provedores 👍