Remote Access

Удалённое управление MikroTik по WireGuard

Настройте сервер WireGuard на VPS, подключите MikroTik как peer, маршрутизируйте LAN и укрепите туннель для надёжного удалённого доступа.

MKController12 февраля 2025 г.5 min read

Сводка WireGuard связывает Linux-VPS как точку встречи с одним или несколькими маршрутизаторами MikroTik в роли пиров, обеспечивая стабильное удалённое управление через UDP-туннель, который переживает CGNAT, динамические IP и большинство причуд провайдера. Это руководство настраивает сервер на VPS, клиент MikroTik (RouterOS v7), маршрутизацию, позволяющую достучаться до LAN за маршрутизатором со стороны VPS, и усиление безопасности, поддерживающее туннель защищённым в долгосрочной перспективе.

Как WireGuard обеспечивает удалённое управление MikroTik?

WireGuard — это современная VPN уровня L3, построенная на актуальной криптографии (Curve25519 для согласования ключей, ChaCha20-Poly1305 для шифрования) и небольшой аудируемой кодовой базе. Для удалённого управления MikroTik типичная топология — это компактный Linux-VPS в роли всегда онлайн точки встречи, к которой исходящим соединением как пиры подключаются один или несколько маршрутизаторов MikroTik (на RouterOS v7). Поскольку WireGuard работает по UDP, а маршрутизаторы инициируют туннель наружу, топология ведёт себя одинаково, находится ли роутер на реальном публичном IP, за NAT или за CGNAT.

Когда туннель поднят, VPS держит маршруты, позволяющие достичь LAN каждого роутера через его WireGuard-адрес. С административного ноутбука, подключённого к VPS (или к самой сети WireGuard), каждая площадка доступна так, будто находится в частной локальной сети — и при этом на клиентском маршрутизаторе нет открытого порта Winbox или WebFig, который мог бы найти злоумышленник.

Почему стоит выбрать WireGuard для удалённого доступа к MikroTik?

WireGuard выигрывает по пяти практическим параметрам, важным для управления парком: высокая пропускная способность при низкой загрузке CPU даже на маленьких роутерах; минимальная аудируемая кодовая база с многократно меньшим числом CVE по сравнению с OpenVPN; простые конфигурационные файлы по пирам, чисто ложащиеся в систему контроля версий; нативная кроссплатформенная поддержка (Linux, Windows, macOS, Android, iOS, RouterOS v7+); корректное поведение под NAT и CGNAT благодаря дизайну handshake, терпимому к смене адресов. Минус — у WireGuard нет инфраструктуры отзыва сертификатов в духе OpenVPN: доверием управляют, добавляя и удаляя записи пиров напрямую, поэтому управление пирами в масштабе требует небольшого control plane или сценариев автоматизации.

Шаг 1: Установите WireGuard на VPS (Ubuntu)

apt update && apt install -y wireguard

Шаг 2: Сгенерируйте серверные ключи

wg genkey | tee /etc/wireguard/privatekey | wg pubkey > /etc/wireguard/publickey

Приватный ключ остаётся на VPS. Публичный ключ вставляется в конфигурацию пира на MikroTik.

Шаг 3: Создайте конфигурацию сервера

/etc/wireguard/wg0.conf:

[Interface]
Address = 10.8.0.1/24
ListenPort = 51820
PrivateKey = <server_private_key>
SaveConfig = true

[Peer]
PublicKey = <mikrotik_public_key>
AllowedIPs = 10.8.0.2/32

Добавьте по одному блоку [Peer] на каждый MikroTik, каждый со своим уникальным IP туннеля в AllowedIPs.

Шаг 4: Поднимите туннель и откройте фаервол

systemctl enable wg-quick@wg0
systemctl start wg-quick@wg0
ufw allow 51820/udp

(Адаптируйте команду фаервола под nftables или iptables в зависимости от дистрибутива VPS.) Используйте нестандартный UDP-порт, если хотите уклониться от автоматических сетевых сканов.

Шаг 5: Настройте MikroTik как пира WireGuard

RouterOS v7 имеет встроенную поддержку WireGuard — никаких дополнительных пакетов не нужно. Откройте терминал в Winbox:

/interface wireguard add name=wg-vps listen-port=51820 private-key="<mikrotik_private_key>"

/interface wireguard peers add interface=wg-vps \
    public-key="<server_public_key>" \
    endpoint-address=<VPS_IP> \
    endpoint-port=51820 \
    allowed-address=10.8.0.2/32 \
    persistent-keepalive=25

/ip address add address=10.8.0.2/24 interface=wg-vps

persistent-keepalive=25 — небольшая, но критически важная деталь: она удерживает NAT-маппинги живыми на WAN-стороне роутера, чтобы туннель тихо не отвалился после нескольких минут простоя.

Проверьте статус:

/interface/wireguard/print
/interface/wireguard/peers/print

Когда у пира появляется активность handshake и latest-handshake свежий (в пределах интервала keepalive), туннель поднят.

Шаг 6: Маршрутизация к устройствам LAN за MikroTik

Чтобы достучаться до LAN за MikroTik (например, 192.168.88.0/24) со стороны VPS:

На VPS:

ip route add 192.168.88.0/24 via 10.8.0.2

На MikroTik добавьте правило srcnat masquerade, чтобы обратный трафик нашёл путь назад через туннель:

/ip firewall nat add chain=srcnat src-address=192.168.88.0/24 \
    out-interface=wg-vps action=masquerade

Теперь сервисы LAN за MikroTik доступны с VPS и от любого другого пира, известного VPS, через туннель WireGuard. Выставляйте наружу только те сети, которыми вы управляете, и используйте правила фаервола, чтобы ограничить, какие хосты и порты доступны через туннель. Для клиентского варианта этого сценария (MikroTik как VPN-клиент коммерческого провайдера, а не пир собственного VPS) смотрите наш туториал по клиенту WireGuard.

Усиление безопасности

Уникальная пара ключей на каждое устройство. Никогда не переиспользуйте ключи между MikroTik. Генерация новой пары занимает секунды и кардинально упрощает отзыв.
Узкий AllowedIPs. Задавайте AllowedIPs минимально необходимым (10.8.0.2/32 для одного роутера плюс LAN, если идёт маршрутизация). Более широкие диапазоны открывают двери для нежелательного peer-to-peer трафика между площадками.
Фаервол на порту WireGuard. Даже если WireGuard молча отбрасывает невалидный трафик, держать 51820/udp открытым всему интернету необязательно. Ограничьте по IP-источнику, если ваш админский процесс это позволяет.
Отзывайте утерянные устройства. Удалите запись [Peer] из конфигурации VPS и перезапустите туннель. Роутер больше не сможет подключиться.
Следите за handshake. Туннель, не делавший handshake уже сутки, сломан — обычно это рассинхрон ротации ключей или изменение маршрутизации.

Регулярно ротируйте ключи в рамках стандартной ротации учётных данных. Храните приватные ключи с той же дисциплиной, что и SSH host keys. Для парка более 10–20 роутеров запланируйте небольшой workflow control plane для создания пиров вместо ручной правки конфига VPS.

Сравнение с другими опциями VPN

Решение	Основа	Производительность	Простота настройки	Лучше всего для
WireGuard	VPN в ядре	Очень высокая	Просто	Современное высокопроизводительное управление
OpenVPN	TLS/OpenSSL	Средняя	Сложно	Унаследованные устройства, среды с PKI
Tailscale	WireGuard + control plane	Высокая	Очень просто	Команды, доступ по идентичности
ZeroTier	Собственный mesh	Высокая	Просто	Гибкие mesh-топологии

Для более широкого обзора удалённого управления смотрите наши руководства по управлению MikroTik через VPS и удалённому управлению по SSTP.

Сделайте следующий шаг

Один туннель WireGuard между VPS и одним MikroTik — это просто. Управление ключами, записями пиров и таблицами маршрутизации на десятках или сотнях роутеров — с неизбежной ротацией ключей и переездами клиентов — это и есть место, где растут операционные затраты.

NATCloud от MKController полностью устраняет ручную обвязку туннелей. Каждый MikroTik выходит онлайн исходящим туннелем к control plane без присмотра за ключами по устройствам, без правок конфига VPS и без скриптов на поддержке. Вы получаете централизованный мониторинг, безопасный удалённый доступ и гораздо более простой онбординг, чем при разворачивании собственной инфраструктуры WireGuard.

Запустите бесплатный пробный период MKController