Saltearse al contenido
Blog

Gestiona tu MikroTik con WireGuard fácilmente

Resumen
Una guía práctica de WireGuard: configura un servidor VPS, un cliente MikroTik, anuncia rutas de subred, y sigue prácticas de seguridad para acceso remoto confiable.

Gestión remota de MikroTik con WireGuard

WireGuard es una VPN moderna y minimalista que parece magia en rendimiento.

Es ligera. Rápida. Segura.

Perfecta para conectar un VPS y MikroTik, o enlazar redes a través de internet.

Esta guía ofrece comandos para copiar y pegar, ejemplos de configuración, y consejos adquiridos con experiencia.

¿Qué es WireGuard?

WireGuard es una VPN ligera de Capa 3 creada por Jason Donenfeld.

Usa criptografía moderna: Curve25519 para acuerdo de claves y ChaCha20-Poly1305 para cifrado.

Sin certificados. Pares de claves simples. Base de código pequeña.

Esa simplicidad significa menos sorpresas y mejor rendimiento.

Cómo funciona WireGuard — lo esencial

Cada par tiene una clave privada y una clave pública.

Los pares asocian claves públicas a IPs permitidas y endpoints (IP:puerto).

El tráfico es UDP y peer-to-peer por diseño.

No es obligatorio un servidor central, pero un VPS suele actuar como punto estable de encuentro.

Beneficios rápidos

  • Alto rendimiento y bajo uso de CPU.
  • Base de código minimalista y auditable.
  • Configuraciones simples por par.
  • Funciona bien con NAT y CGNAT.
  • Multiplataforma: Linux, Windows, macOS, Android, iOS, MikroTik.

Servidor: WireGuard en un VPS (Ubuntu)

Estos pasos configuran un servidor básico al que los pares pueden conectarse.

1) Instalar WireGuard

Terminal window
apt update && apt install -y wireguard

2) Generar claves del servidor

Terminal window
wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

3) Crear /etc/wireguard/wg0.conf

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <server_private_key>
SaveConfig = true


# ejemplo de par (MikroTik)
[Peer]
PublicKey = <mikrotik_public_key>
AllowedIPs = 10.8.0.2/32

4) Activar e iniciar

Terminal window
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

5) Firewall

Terminal window
ufw allow 51820/udp
# o usa nftables/iptables según corresponda

Consejo: Usa un puerto UDP no estándar si necesitas evitar escaneos automáticos.

MikroTik: configurar como par WireGuard

RouterOS tiene soporte integrado para WireGuard (RouterOS 7.x+).

1) Añadir interfaz WireGuard

/interface wireguard add name=wg-vps listen-port=51820 private-key="<mikrotik_private_key>"

2) Añadir el servidor como par

/interface wireguard peers add interface=wg-vps public-key="<server_public_key>" endpoint-address=<VPS_IP> endpoint-port=51820 allowed-address=10.8.0.2/32 persistent-keepalive=25


/ip address add address=10.8.0.2/24 interface=wg-vps

3) Verificar estado

/interface/wireguard/print
/interface/wireguard/peers/print

Cuando el par muestre actividad de handshake y latest-handshake sea reciente, el túnel está activo.

Rutas y acceso a dispositivos LAN detrás del MikroTik

Desde el VPS: ruta hacia la LAN MikroTik

Si quieres que el VPS (u otros pares) accedan a 192.168.88.0/24 detrás de MikroTik:

En el VPS, añade una ruta:

Terminal window
ip route add 192.168.88.0/24 via 10.8.0.2

En el MikroTik, habilita reenvío IP y opcionalmente src‑NAT para simplificar:

/ip firewall nat add chain=srcnat src-address=192.168.88.0/24 out-interface=wg-vps action=masquerade

Ahora los servicios en la LAN del router serán accesibles desde el VPS vía el túnel WireGuard.

Advertencia: Expón sólo redes bajo tu control. Usa reglas de firewall para limitar qué hosts o puertos son accesibles.

Buenas prácticas de seguridad

  • Usa pares de claves únicos para cada dispositivo.
  • Limita AllowedIPs solo a lo necesario.
  • Mantén el puerto WireGuard protegido y supervisado.
  • Revoca dispositivos perdidos eliminando su entrada de par.
  • Monitoriza handshakes y salud de conexión.

Consejo: El keepalive persistente mantiene mapeos NAT en enlaces domésticos.

Gestión de claves y automatización

Rota claves periódicamente.

Automatiza la creación de pares con scripts si manejas muchos routers.

Guarda las claves privadas seguro, como contraseñas.

Para flotas, considera un plano de control o flujo de distribución de claves.

Comparación rápida

SoluciónBaseRendimientoFacilidadIdeal para
WireGuardVPN KernelMuy altoSimpleEnlaces modernos y performantes
OpenVPNTLS/OpenSSLMedioComplejoDispositivos legacy y setups PKI
TailscaleWireGuard + control planeAltoMuy fácilEquipos, acceso basado en identidad
ZeroTierMalla personalizableAltoFácilRedes malla flexibles

Integraciones y usos

WireGuard funciona bien con monitoreo (SNMP), TR‑069, TR‑369 y sistemas de orquestación.

Úsalo para gestión remota, backhauls proveedor, o túneles seguros a servicios en la nube.

Donde MKController ayuda:

NATCloud de MKController elimina la configuración manual de túneles. Ofrece acceso centralizado, monitoreo y onboarding sencillo — sin cuidar claves por dispositivo.

Conclusión

WireGuard elimina la complejidad VPN sin sacrificar seguridad.

Es rápido, portable y perfecto para combinar MikroTik y VPS.

Úsalo para construir acceso remoto confiable, con rutas sensatas y buena higiene.

Acerca de MKController

¡Esperamos que estas ideas te hayan ayudado a entender mejor tu universo MikroTik e Internet! 🚀
Ya sea ajustando configuraciones o poniendo orden en el caos de red, MKController está aquí para simplificar tu vida.

Con gestión cloud centralizada, actualizaciones de seguridad automáticas, y un panel fácil de dominar, tenemos lo que necesitas para elevar tu operación.

👉 Comienza tu prueba gratuita de 3 días en mkcontroller.com — y descubre lo que es controlar redes sin complicaciones.