MikroTik: WireGuard-клиент к коммерческому VPN-профилю

Коммерческие VPN-сервисы всё чаще предлагают поддержку WireGuard — современного протокола, который сочетает высокую скорость и простоту настройки. Если вы используете роутер MikroTik, то можете подключить его к такому VPN-сервису и обеспечить защищённый доступ для всех устройств в вашей локальной сети. В этой статье мы разберём, как правильно импортировать выданный провайдером профиль WireGuard в RouterOS, настроить интерфейс, маршруты, DNS и правила firewall, чтобы VPN работал стабильно и безопасно.

В отличие от site-to-site сценариев, когда соединяются две сети, здесь мы настраиваем клиентское подключение к удалённому серверу. Это означает, что весь трафик с вашего MikroTik (или только определённые подсети) будет направляться через VPN-туннель. Важно понимать разницу: в режиме клиента вы не управляете серверной частью, а лишь используете предоставленные параметры. Поэтому особое внимание нужно уделить корректному импорту конфигурации и настройке маршрутизации, чтобы не потерять доступ к роутеру и не нарушить работу локальной сети.

Подготовка к настройке

Прежде чем приступить к настройке, убедитесь, что ваш MikroTik работает под управлением RouterOS версии 7.1 или новее, так как именно в этой версии появилась полноценная поддержка WireGuard. Также вам понадобится доступ к интерфейсу управления роутером — через WinBox, WebFig или SSH. Получите от вашего VPN-провайдера файл конфигурации WireGuard (обычно это файл с расширением .conf), в котором содержатся необходимые параметры: приватный ключ, адрес клиента, адрес сервера, публичный ключ сервера, порт и, возможно, DNS-серверы.

Импорт профиля WireGuard

В RouterOS нет прямой команды импорта .conf файла, поэтому нам нужно вручную перенести параметры. Для этого откройте терминал роутера и выполните следующие шаги:

1. Создайте интерфейс WireGuard:

   /interface wireguard add name=wg1 private-key="ВАШ_ПРИВАТНЫЙ_КЛЮЧ" listen-port=13231

   Вместо ВАШ_ПРИВАТНЫЙ_КЛЮЧ подставьте значение из файла конфигурации (поле PrivateKey). Порт прослушивания можно оставить любой свободный, но обычно используется порт из конфигурации (ListenPort).
2. Добавьте адрес интерфейса:

   /ip address add address=10.0.0.2/24 interface=wg1

   Адрес и маска должны соответствовать полю Address из конфигурации. Обычно это адрес внутри VPN-подсети.
3. Добавьте пир (сервер):

   /interface wireguard peers add interface=wg1 public-key="ПУБЛИЧНЫЙ_КЛЮЧ_СЕРВЕРА" endpoint-address=VPN_SERVER_IP endpoint-port=51820 allowed-address=0.0.0.0/0

   Замените ПУБЛИЧНЫЙ_КЛЮЧ_СЕРВЕРА на значение из конфигурации (поле PublicKey), VPN_SERVER_IP — на IP-адрес сервера (Endpoint), 51820 — на порт (EndpointPort). Параметр allowed-address определяет, какие подсети маршрутизировать через туннель. Если вы хотите направлять весь трафик через VPN, укажите 0.0.0.0/0. Если только определённые подсети — перечислите их через запятую.

Настройка маршрутов

После создания интерфейса и пира необходимо настроить маршрутизацию. Если вы указали allowed-address=0.0.0.0/0, RouterOS автоматически создаст маршрут по умолчанию через WireGuard. Однако в некоторых случаях, особенно при использовании нескольких WAN-подключений, может потребоваться ручная настройка. Для этого выполните:

/ip route add dst-address=0.0.0.0/0 gateway=wg1

Если вы хотите маршрутизировать только определённые подсети, создайте маршруты для них, указав gateway=wg1. Например:

/ip route add dst-address=10.0.0.0/8 gateway=wg1

Проверьте таблицу маршрутов командой /ip route print. Убедитесь, что маршрут через wg1 активен (флаг A).

Настройка DNS

Чтобы устройства в локальной сети использовали DNS-серверы VPN, укажите их в настройках DHCP-сервера или вручную на клиентах. Если ваш провайдер VPN предоставляет свои DNS-серверы, добавьте их в настройки MikroTik:

/ip dns set servers=1.1.1.1,8.8.8.8

Замените адреса на те, что указаны в конфигурации WireGuard (поле DNS). Также не забудьте настроить DHCP-сервер, чтобы раздавать эти DNS клиентам:

/ip dhcp-server network set [find] dns-server=1.1.1.1,8.8.8.8

Если вы хотите, чтобы локальные устройства использовали DNS только через VPN, можно включить параметр allow-remote-requests в DNS-сервере роутера.

Настройка firewall

Для корректной работы VPN и обеспечения безопасности необходимо настроить правила firewall. В первую очередь разрешите входящие подключения к интерфейсу WireGuard, если это необходимо (например, для входящих запросов). Однако в режиме клиента обычно не требуется разрешать входящие подключения. Основное внимание уделите NAT: если вы хотите, чтобы устройства локальной сети могли выходить в интернет через VPN, добавьте правило masquerade для интерфейса wg1:

/ip firewall nat add chain=srcnat out-interface=wg1 action=masquerade

Также убедитесь, что в правилах input разрешены пакеты на интерфейсе wg1, если это необходимо для работы VPN. Обычно достаточно разрешить входящие на сам интерфейс, но не на все порты. Например:

/ip firewall filter add chain=input interface=wg1 action=accept

Однако будьте осторожны: это откроет доступ к роутеру из VPN-сети. Лучше ограничить доступ только к необходимым портам и сервисам.

Проверка подключения

После выполнения всех шагов проверьте статус интерфейса WireGuard:

/interface wireguard print

Убедитесь, что состояние интерфейса — running, а у пира — established. Если пир не устанавливает соединение, проверьте правильность введённых ключей и адресов. Также проверьте, что маршрут по умолчанию активен:

/ip route print

Попробуйте пропинговать адрес внутри VPN-сети, например, 10.0.0.1. Если пинг проходит, значит, туннель работает. Затем проверьте доступ в интернет с роутера:

/ping 8.8.8.8

Если интернет работает, значит, NAT и маршрутизация настроены правильно.

Ограничения и безопасность

При использовании коммерческого VPN-профиля на MikroTik учитывайте следующие ограничения:

• Некоторые VPN-провайдеры разрешают подключение только одного устройства одновременно. Если вы подключаете роутер, то другие устройства (например, смартфоны) не смогут использовать тот же профиль одновременно.
• Скорость VPN-соединения может быть ниже, чем прямое подключение, из-за шифрования и оверхеда.
• Убедитесь, что ваш роутер имеет достаточную производительность для обработки WireGuard-трафика. На слабых моделях MikroTik скорость может быть ограничена.
• Не используйте бесплатные конфигурации из непроверенных источников — они могут содержать вредоносные настройки или собирать ваш трафик. Подробнее об этом читайте в статье Бесплатные конфиги и генераторы.
• Храните приватные ключи в безопасности: не передавайте их третьим лицам и не публикуйте в открытом доступе.

Если у вас возникают проблемы с подключением, проверьте, не блокирует ли ваш интернет-провайдер порты, используемые WireGuard (обычно UDP 51820). Также убедитесь, что на роутере не настроены конфликтующие правила firewall или маршрутизации. В случае сложностей обратитесь к документации RouterOS или к поддержке вашего VPN-провайдера.