Skip to content
Blog

Upravljanje Mikrotik uređajem putem WireGuarda

Sažetak
Praktični vodič za WireGuard: postavljanje VPS servera, konfiguracija MikroTik klijenta, objava ruta podmreža i sigurnosne preporuke za pouzdan udaljeni pristup.

Udaljeno upravljanje MikroTik uređajem preko WireGuarda

WireGuard je moderan, minimalistički VPN koji izgleda kao čarolija performansi.

Tanak je. Brz. Siguran.

Savršen za povezivanje VPS i MikroTik uređaja ili spajanje mreža preko interneta.

Ovaj vodič sadrži naredbe za kopiranje, primjere konfiguracija i savjete stečene praksom.

Što je WireGuard?

WireGuard je lagani VPN na sloju 3 koji je razvio Jason Donenfeld.

Koristi modernu kriptografiju: Curve25519 za dogovor ključeva i ChaCha20-Poly1305 za enkripciju.

Bez certifikata. Jednostavni parovi ključeva. Mali kodni bazen.

Ta jednostavnost znači manje iznenađenja i bolju propusnost.

Kako WireGuard radi — osnove

Svaki sudionik ima privatni i javni ključ.

Sudionici mapiraju javne ključeve na dopuštene IP adrese i krajnje točke (IP:port).

Promet je baziran na UDP-u i vrši se peer-to-peer.

Centralni server nije obavezan — ali VPS često služi kao stabilna točka susreta.

Pregled prednosti

  • Visoka propusnost i nizak CPU zahtjev.
  • Minimalan i pregledan kodni bazen.
  • Jednostavne konfiguracijske datoteke za svakog sudionika.
  • Dobro radi s NAT i CGNAT.
  • Višenamjenski: Linux, Windows, macOS, Android, iOS, MikroTik.

Server: WireGuard na VPS-u (Ubuntu)

Ovi koraci postavljaju osnovni server na koji se sudionici mogu spojiti.

1) Instalirajte WireGuard

Terminal window
apt update && apt install -y wireguard

2) Generirajte ključeve servera

Terminal window
wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

3) Kreirajte /etc/wireguard/wg0.conf

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <server_private_key>
SaveConfig = true


# primjer sudionika (MikroTik)
[Peer]
PublicKey = <mikrotik_public_key>
AllowedIPs = 10.8.0.2/32

4) Omogućite i pokrenite

Terminal window
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

5) Vatrozid

Terminal window
ufw allow 51820/udp
# ili koristite nftables/iptables prema potrebi

Savjet: Koristite nestandardni UDP port ako želite izbjeći automatske skenove.

MikroTik: konfiguracija kao WireGuard sudionika

RouterOS ima ugrađenu podršku za WireGuard (RouterOS 7.x+).

1) Dodajte WireGuard sučelje

/interface wireguard add name=wg-vps listen-port=51820 private-key="<mikrotik_private_key>"

2) Dodajte server kao sudionika

/interface wireguard peers add interface=wg-vps public-key="<server_public_key>" endpoint-address=<VPS_IP> endpoint-port=51820 allowed-address=10.8.0.2/32 persistent-keepalive=25


/ip address add address=10.8.0.2/24 interface=wg-vps

3) Provjerite status

/interface/wireguard/print
/interface/wireguard/peers/print

Kad sudionik pokazuje aktivnost ‘handshake’ i ‘latest-handshake’ je nedavno, tunel je uspostavljen.

Rutiranje i pristup LAN uređajima iza MikroTika

S VPS-a: usmjeravanje prema MikroTik LAN-u

Ako želite da VPS (ili drugi sudionici) dođu do mreže 192.168.88.0/24 iza MikroTika:

Na VPS-u dodajte rutu:

Terminal window
ip route add 192.168.88.0/24 via 10.8.0.2

Na MikroTiku omogućite IP prosljeđivanje i po želji src-NAT radi jednostavnosti:

/ip firewall nat add chain=srcnat src-address=192.168.88.0/24 out-interface=wg-vps action=masquerade

Sada su servisi na LAN-u routera dostupni s VPS-a preko WireGuard tunela.

Upozorenje: Izlažite samo mreže koje kontrolirate. Koristite pravila vatrozida da ograničite pristup hostovima ili portovima.

Sigurnosne preporuke

  • Koristite jedinstvene parove ključeva za svaki uređaj.
  • Ograničite AllowedIPs samo na ono što je nužno.
  • Držite WireGuard port pod nadzorom i zaštićenim.
  • Oduzmite pristup izgubljenim uređajima uklanjanjem njihovih unosa.
  • Pratite handshakes i zdravlje veze.

Savjet: Persistent keepalive pomaže održavanju NAT mapiranja na kućnim vezama.

Upravljanje ključevima i automatizacija

Periodično rotirajte ključeve.

Automatizirajte kreiranje sudionika skriptama pri upravljanju većim brojem uređaja.

Skladištite privatne ključeve sigurno — tretirajte ih kao lozinke.

Za veće flote razmotrite mali kontrolni sustav ili proces distribucije ključeva.

Brza usporedba

RješenjeOsnovaPerformanseJednostavnostNajbolje za
WireGuardKernel VPNVrlo visokaJednostavnoModerni, brzi linkovi
OpenVPNTLS/OpenSSLSrednjaSloženoNasljedni uređaji i PKI sustavi
TailscaleWireGuard + kontrolaVisokaVrlo jednostavnoTimovi, pristup temeljen na identitetu
ZeroTierPrilagođena mrežaVisokaJednostavnoFleksibilne mreže

Integracije i primjene

WireGuard dobro surađuje s monitoringom (SNMP), TR-069, TR-369 i orkestracijskim sustavima.

Koristite ga za udaljeno upravljanje, providere ili sigurne tunele prema oblačnim servisima.

Gdje MKController pomaže:

MKController-ov NATCloud uklanja ručni posao s tunelima. Omogućava centralizirani pristup, nadzor i jednostavnije uključivanje — bez ručnog upravljanja ključevima po uređaju.

Zaključak

WireGuard uklanja kompleksnost VPN-a bez žrtvovanja sigurnosti.

Brz je, prenosiv i idealan za MikroTik i VPS konfiguracije.

Koristite ga za pouzdan udaljeni pristup, s pravilnim rutiranjem i sigurnim praksama.

O MKControlleru

Nadamo se da su vam ovi savjeti pomogli u boljem razumijevanju vašeg MikroTik i internet okruženja! 🚀
Bilo da fino podešavate konfiguracije ili želite unijeti red u mrežnu kaotičnost, MKController je tu da vam olakša život.

S centraliziranim upravljanjem u oblaku, automatskim sigurnosnim ažuriranjima i sučeljem koje svatko može savladati, imamo sve što je potrebno za unapređenje vašeg poslovanja.

👉 Započnite besplatni trodnevni probni period na mkcontroller.com — i uvjerite se kako izgleda jednostavna kontrola mreže.