Remote Access

Удалённое управление MikroTik с Tailscale

Управляйте роутерами MikroTik удалённо через Tailscale: WireGuard-mesh, автоматический NAT traversal, доступ по идентификации, без публичных IP.

MKController19 февраля 2025 г.5 min read

Резюме Tailscale надстраивает плоскость управления поверх WireGuard, автоматизируя распределение ключей, NAT traversal и доступ на основе идентификации. MikroTik поддерживает его нативно в RouterOS 7.11+ через официальный пакет, что позволяет включить роутер в Tailnet, объявить его подсеть LAN и достичь каждого устройства за ним с любого другого peer-узла Tailnet — без публичного IP, без проброса портов, без ручного управления ключами. В этом руководстве описаны установка на серверах и MikroTik, объявление маршрутов подсети и ACL безопасности, которые стоит настроить до масштабирования.

Как Tailscale управляет роутерами MikroTik удалённо?

Tailscale — это плоскость управления, построенная поверх WireGuard. Она автоматизирует те части WireGuard, которые становятся обременительными при масштабировании, — распределение ключей, NAT traversal, обнаружение узлов — и добавляет сверху слой идентификации, чтобы доступ предоставлялся людям, а не IP-адресам. Вы входите через знакомого провайдера (Google, Microsoft, GitHub или свой SSO), устройства подключаются к вашей частной mesh-сети (вашему Tailnet) и получают Tailnet-адреса 100.x.x.x, а ретрансляторы DERP подключаются только тогда, когда прямые peer-to-peer-соединения не удаётся согласовать через CGNAT или строгие межсетевые экраны. Плоскость управления аутентифицирует устройства, но не расшифровывает трафик — шифрование полезной нагрузки остаётся сквозным через криптографию WireGuard (ChaCha20-Poly1305).

Что касается MikroTik, RouterOS 7.11+ поставляется с официальным пакетом Tailscale. Установите его, аутентифицируйте роутер в своей Tailnet, объявите подсеть LAN — и с любого другого peer-узла Tailnet вы сможете достучаться до каждого устройства этой LAN так, как если бы оно было в вашей локальной сети. Такая связка необычайно чистая для удалённого управления: нет публичного IP, нет проброса портов, нет ручной настройки peer-узлов, а отзыв украденного устройства — это один клик в консоли администратора.

Ключевые понятия

Tailnet — ваша частная mesh-сеть из авторизованных устройств.
Плоскость управления — обрабатывает аутентификацию, обмен ключами и административные операции.
DERP — сеть зашифрованных ретрансляторов Tailscale, используемая только при отказе прямого peer-to-peer.
Peer-узлы — каждое устройство в Tailnet (сервер, ноутбук, MikroTik, телефон).
Маршруты подсети — peer-узел может объявить целый CIDR через себя, и устройства не-Tailscale за ним становятся доступными.

Всё вместе делает Tailscale устойчивым к CGNAT, двойному NAT и большинству корпоративных политик межсетевых экранов.

Модель безопасности

Транспортная безопасность Tailscale — это безопасность WireGuard: современная криптография и узкая поверхность атаки. Контроль доступа основан на идентификации: ACL разрешают или запрещают доступ по пользователю, группе или тегу устройства, а не по IP. Утерянные или скомпрометированные устройства мгновенно отзываются из консоли администратора, а логи и аудит дают видимость, необходимую для аудитов соответствия. Включите MFA у провайдера идентификации и определите ACL до того, как добавите много устройств; и то и другое значительно проще настроить заранее, чем переделывать потом.

Шаг 1: Установить Tailscale на сервере или рабочей станции

На сервере Linux или VPS:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --authkey <AUTHKEY>
tailscale status

Клиенты для рабочего стола и мобильных устройств устанавливаются со страницы загрузок Tailscale и входят интерактивно. Как только хотя бы один peer-узел поднят, у вас уже есть Tailnet, к которой можно подключить MikroTik.

Шаг 2: Установить пакет Tailscale на MikroTik (RouterOS 7.11+)

MikroTik публикует официальный пакет Tailscale в виде надстройки .npk:

Скачайте соответствующий tailscale-7.x-<arch>.npk со страницы загрузок MikroTik для вашей конкретной версии и архитектуры RouterOS.
Загрузите .npk на роутер (перетащите в окно Files в Winbox).
Перезагрузите роутер, чтобы пакет подгрузился.

Шаг 3: Аутентифицировать роутер

В терминале Winbox:

/tailscale up

Роутер выведет URL аутентификации. Откройте его в браузере, войдите через своего провайдера идентификации и одобрите устройство в консоли администратора Tailscale. Проверьте:

/tailscale status

Когда статус показывает connected, MikroTik находится в Tailnet и имеет адрес 100.x.x.x, на который можно отправлять ping с любого другого peer-узла Tailnet.

Шаг 4: Объявить подсеть LAN

Чтобы сделать устройства в LAN роутера (например, 192.168.88.0/24) доступными из Tailnet:

/ip route add dst-address=192.168.88.0/24 gateway=tailscale0
/tailscale up --advertise-routes=192.168.88.0/24

Затем откройте консоль администратора Tailscale и одобрите объявленный маршрут — это намеренный двухэтапный процесс, чтобы роутер не мог тихо начать объявлять публичную подсеть без проверки оператора. После одобрения каждый peer-узел Tailnet сможет маршрутизировать в 192.168.88.x напрямую через MikroTik.

Объявляйте только те сети, которыми вы действительно управляете. Раскрытие больших или публичных подсетей через маршруты подсети может создать неожиданную поверхность атаки.

Шаг 5: Использовать Tailnet

SSH на хост за MikroTik:

ssh admin@100.x.x.x

Или используйте MagicDNS, чтобы вовсе пропустить поиск IP:

ping mikrotik.yourtailnet.ts.net

Маршруты подсети делают IP-камеры, NAS, управляющие VLAN и любое другое устройство LAN доступными без отдельного проброса портов под каждый сервис.

Сравнение с другими опциями VPN

Решение	Основа	Простота настройки	Производительность	Лучше всего для
Tailscale	WireGuard + плоскость управл.	Очень просто	Высокая	Команды, провайдеры, смешанная инфраструктура
WireGuard (вручную)	WireGuard	Средняя	Очень высокая	Минималистичные развёртывания, DIY-контроль
OpenVPN / IPsec	TLS / IPsec	Сложно	Средняя	Унаследованные устройства, гранулярный PKI
ZeroTier	Собственный mesh-протокол	Просто	Высокая	Mesh-сети без идентификации

Для ручного WireGuard-варианта той же цели см. наш туториал по удалённому управлению MikroTik с WireGuard. Для схемы на основе VPS без WireGuard см. руководство по удалённому управлению через VPS.

Лучшие практики

Включайте ACL с самого начала с правилами наименьших привилегий. Теги и группы упрощают политику по мере роста Tailnet.
Используйте MagicDNS, чтобы не разбрасывать IP по документации. Имена проще отзывать и переназначать.
Принудительно включайте MFA у провайдера идентификации — безопасность вашей Tailnet не выше безопасности слоя идентификации под ней.
Поддерживайте роутер и пакет Tailscale в актуальном состоянии. У них независимые графики обновлений, и отставание по любому из них — оправданное нарушение конфигурации.
Аудитируйте список устройств ежемесячно и отзывайте оборудование, выбывшее из парка.

Сделайте следующий шаг

Tailscale модернизирует удалённый доступ, сочетая производительность WireGuard с плоскостью управления, которая снимает большую часть ручной настройки. Для парков MikroTik это практичный и высокопроизводительный способ управлять роутерами и их LAN без публичных IP и кустарных туннелей.

Если вы предпочитаете полностью обойтись без агентских установок по устройствам и одобрений маршрутов, NATCloud от MKController обеспечивает централизованно управляемый удалённый доступ, мониторинг и онбординг без необходимости устанавливать сторонний пакет VPN на каждый роутер или вести администрирование Tailscale отдельно от остальной части управления парком.

Начните бесплатную пробную версию MKController