Перейти к содержимому
Blog

Управление MikroTik с помощью WireGuard

Резюме
Практическое руководство по WireGuard: настройка сервера VPS, конфигурация клиента MikroTik, объявление маршрутов подсети и рекомендации по безопасности для надежного удаленного доступа.

Удаленное управление MikroTik с помощью WireGuard

WireGuard — современный и минималистичный VPN с впечатляющей производительностью.

Он компактный. Быстрый. Безопасный.

Идеален для соединения VPS с MikroTik, а также для объединения сетей через интернет.

Это руководство содержит команды для копирования, примеры конфигураций и ценные советы.

Что такое WireGuard?

WireGuard — это легковесный VPN третьего уровня, созданный Джейсоном Доненфельдом.

Использует современную криптографию: Curve25519 для согласования ключей и ChaCha20-Poly1305 для шифрования.

Без сертификатов. Простые пары ключей. Небольшой код.

Эта простота уменьшает неожиданные ошибки и повышает пропускную способность.

Как работает WireGuard — основы

У каждого участника есть приватный и публичный ключ.

Публичные ключи сопоставляются с разрешёнными IP-адресами и конечными точками (IP:порт).

Трафик основан на UDP и изначально одноранговый.

Центральный сервер не обязателен — но VPS часто служит стабильной точкой встречи.

Основные преимущества

  • Высокая пропускная способность и низкая нагрузка на CPU.
  • Минимальный, проверяемый код.
  • Простые конфигурационные файлы для каждого узла.
  • Хорошо работает с NAT и CGNAT.
  • Кроссплатформенный: Linux, Windows, macOS, Android, iOS, MikroTik.

Сервер: WireGuard на VPS (Ubuntu)

Эти шаги создадут базовый сервер, к которому смогут подключаться участники.

1) Установка WireGuard

Terminal window
apt update && apt install -y wireguard

2) Генерация ключей сервера

Terminal window
wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

3) Создание /etc/wireguard/wg0.conf

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <server_private_key>
SaveConfig = true


# пример участника (MikroTik)
[Peer]
PublicKey = <mikrotik_public_key>
AllowedIPs = 10.8.0.2/32

4) Включение и запуск

Terminal window
systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0

5) Брандмауэр

Terminal window
ufw allow 51820/udp
# или настройте nftables/iptables по необходимости

Совет: Используйте нестандартный UDP-порт, если нужно избежать автоматизированных сканирований.

MikroTik: настройка в качестве узла WireGuard

В RouterOS 7.x+ есть встроенная поддержка WireGuard.

1) Добавление интерфейса WireGuard

/interface wireguard add name=wg-vps listen-port=51820 private-key="<mikrotik_private_key>"

2) Добавление сервера как участника

/interface wireguard peers add interface=wg-vps public-key="<server_public_key>" endpoint-address=<VPS_IP> endpoint-port=51820 allowed-address=10.8.0.2/32 persistent-keepalive=25


/ip address add address=10.8.0.2/24 interface=wg-vps

3) Проверка состояния

/interface/wireguard/print
/interface/wireguard/peers/print

Если у пира есть активность handshake и последний рукопожатие недавнее, туннель установлен.

Маршрутизация и доступ к устройствам LAN за MikroTik

На VPS: маршрут к LAN MikroTik

Если нужно, чтобы VPS (или другие узлы) имели доступ к 192.168.88.0/24 за MikroTik:

Добавьте маршрут на VPS:

Terminal window
ip route add 192.168.88.0/24 via 10.8.0.2

Для MikroTik включите IP-перенаправление и при необходимости src-NAT для удобства:

/ip firewall nat add chain=srcnat src-address=192.168.88.0/24 out-interface=wg-vps action=masquerade

Теперь сервисы в LAN роутера доступны из VPS через туннель WireGuard.

Внимание: Открывайте только контролируемые сети. Используйте правила брандмауэра для ограничения доступа по хостам и портам.

Рекомендации по безопасности

  • Используйте уникальные пары ключей для каждого устройства.
  • Ограничивайте AllowedIPs только необходимыми адресами.
  • Защитите WireGuard порт брандмауэром и мониторингом.
  • Отключайте утерянные устройства, удаляя их записи.
  • Следите за рукопожатиями и состоянием подключения.

Совет: persistent keepalive помогает поддерживать NAT-маппинг на потребительских каналах.

Управление ключами и автоматизация

Периодически обновляйте ключи.

Автоматизируйте добавление пиров скриптами при большом парке роутеров.

Храните приватные ключи надежно — как пароли.

Для больших сетей рассмотрите отдельный план управления или распределения ключей.

Краткое сравнение

РешениеОсноваПроизводительностьПростотаЛучше всего для
WireGuardVPN на уровне ядраОчень высокаяПростоеСовременные, производительные каналы
OpenVPNTLS/OpenSSLСредняяСложноеУстаревшие устройства и PKI-среды
TailscaleWireGuard + контрольВысокаяОчень простоКоманды, доступ по идентичности
ZeroTierСобственная mesh-сетьВысокаяПростоГибкие mesh-сети

Интеграции и применение

WireGuard хорошо сочетается с мониторингом (SNMP), TR-069, TR-369 и системами оркестрации.

Используйте для удаленного управления, бекхолов провайдера или безопасных туннелей к облачным сервисам.

Где помогает MKController:

NATCloud от MKController избавляет от ручной настройки туннелей. Централизованный доступ, мониторинг и упрощенный ввод в эксплуатацию — без постоянного контроля ключей.

Заключение

WireGuard убирает сложности VPN, сохраняя безопасность.

Он быстрый, переносимый и отлично подходит для связки MikroTik с VPS.

Стройте надежный удаленный доступ с правильной маршрутизацией и безопасными практиками.

О MKController

Надеемся, представленные сведения помогут вам лучше управлять MikroTik и вашим интернет-пространством! 🚀
Будь то тонкая настройка конфигураций или наведение порядка в сетевом хаосе, MKController сделает вашу жизнь проще.

С централизованным облачным управлением, автоматическими обновлениями безопасности и удобной панелью, у нас есть всё необходимое для вашего улучшения.

👉 Начните бесплатный 3-дневный пробный период на mkcontroller.com — и узнайте, как просто управлять сетью.