Remote Access

Віддалене керування MikroTik з Tailscale

Керуйте маршрутизаторами MikroTik віддалено через Tailscale: WireGuard-mesh, автоматичний NAT traversal, доступ за ідентичністю, без публічних IP.

MKController19 лютого 2025 р.5 min read

Резюме Tailscale накладає площину керування поверх WireGuard, автоматизуючи розподіл ключів, NAT traversal і доступ за ідентичністю. MikroTik підтримує його нативно в RouterOS 7.11+ через офіційний пакет, що дозволяє додати маршрутизатор до Tailnet, оголосити його підмережу LAN і дістатися кожного пристрою за ним з будь-якого іншого peer-вузла Tailnet — без публічного IP, без перенаправлення портів, без ручного керування ключами. Цей посібник охоплює встановлення на серверах і на MikroTik, оголошення маршрутів підмережі та ACL безпеки, які слід налаштувати до масштабування.

Як Tailscale керує маршрутизаторами MikroTik віддалено?

Tailscale — це площина керування, побудована поверх WireGuard. Вона автоматизує ті частини WireGuard, які стають обтяжливими у великих масштабах, — розподіл ключів, NAT traversal, виявлення peer-вузлів — і додає поверх шар ідентичності, щоб доступ надавався людям, а не IP-адресам. Ви входите через провайдера, яким уже користуєтеся (Google, Microsoft, GitHub або ваш SSO), пристрої приєднуються до вашої приватної mesh-мережі (вашої Tailnet) і отримують Tailnet-адреси 100.x.x.x, а ретранслятори DERP залучаються лише тоді, коли прямі peer-to-peer-з’єднання не вдається узгодити через CGNAT або суворі міжмережеві екрани. Площина керування автентифікує пристрої, але не розшифровує трафік — шифрування корисного навантаження залишається наскрізним через криптографію WireGuard (ChaCha20-Poly1305).

Стосовно MikroTik, RouterOS 7.11+ постачається з офіційним пакетом Tailscale. Встановіть його, автентифікуйте маршрутизатор у своїй Tailnet, оголосіть підмережу LAN — і з будь-якого іншого peer-вузла Tailnet ви зможете дістатися кожного пристрою цієї LAN, ніби він у вашій локальній мережі. Поєднання надзвичайно чисте для віддаленого керування: жодного публічного IP, жодного перенаправлення портів, жодного ручного налаштування peer-вузлів, а відкликання вкраденого пристрою — це один клік у консолі адміністратора.

Ключові поняття

Tailnet — ваша приватна mesh-мережа авторизованих пристроїв.
Площина керування — обробляє автентифікацію, обмін ключами та адміністративні операції.
DERP — мережа зашифрованих ретрансляторів Tailscale, що використовується лише за збою прямого peer-to-peer.
Peer-вузли — кожен пристрій у Tailnet (сервер, ноутбук, MikroTik, телефон).
Маршрути підмережі — peer-вузол може оголосити через себе цілий CIDR, і пристрої не-Tailscale за ним стають доступними.

Все це разом робить Tailscale стійким до CGNAT, подвійного NAT і більшості корпоративних політик міжмережевих екранів.

Модель безпеки

Безпека транспорту Tailscale — це безпека WireGuard: сучасна криптографія і вузька поверхня атаки. Контроль доступу базується на ідентичності — ACL надають або забороняють доступ за користувачем, групою чи тегом пристрою, а не за IP. Загублені або скомпрометовані пристрої відкликаються миттєво з консолі адміністратора, а логи й аудиторські журнали забезпечують видимість, необхідну для перевірок відповідності. Увімкніть MFA у провайдера ідентичності та визначте ACL до того, як додавати багато пристроїв; обидва значно простіше зробити правильно з самого початку, ніж переробляти пізніше.

Крок 1: Встановити Tailscale на сервері або робочій станції

На сервері Linux або VPS:

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up --authkey <AUTHKEY>
tailscale status

Клієнти для робочого столу та мобільних пристроїв встановлюються зі сторінки завантажень Tailscale і входять інтерактивно. Щойно хоча б один peer-вузол піднято, у вас вже є Tailnet, до якої можна додати MikroTik.

Крок 2: Встановити пакет Tailscale на MikroTik (RouterOS 7.11+)

MikroTik публікує офіційний пакет Tailscale як надбудову .npk:

Завантажте відповідний tailscale-7.x-<arch>.npk зі сторінки завантажень MikroTik для вашої конкретної версії та архітектури RouterOS.
Передайте .npk на маршрутизатор (перетягніть у вікно Files у Winbox).
Перезавантажте маршрутизатор, щоб пакет завантажився.

Крок 3: Автентифікувати маршрутизатор

У терміналі Winbox:

/tailscale up

Маршрутизатор виведе URL автентифікації. Відкрийте його у браузері, увійдіть через свого провайдера ідентичності та схваліть пристрій у консолі адміністратора Tailscale. Перевірте:

/tailscale status

Коли статус показує connected, MikroTik у Tailnet і має адресу 100.x.x.x, на яку можна надсилати ping з будь-якого іншого peer-вузла Tailnet.

Крок 4: Оголосити підмережу LAN

Щоб зробити пристрої в LAN маршрутизатора (наприклад, 192.168.88.0/24) досяжними з Tailnet:

/ip route add dst-address=192.168.88.0/24 gateway=tailscale0
/tailscale up --advertise-routes=192.168.88.0/24

Далі відкрийте консоль адміністратора Tailscale і схваліть оголошений маршрут — це навмисний двокроковий процес, щоб маршрутизатор не міг тихо почати оголошувати публічну підмережу без перегляду оператором. Після схвалення кожен peer-вузол Tailnet зможе маршрутизувати до 192.168.88.x напряму через MikroTik.

Оголошуйте лише ті мережі, якими ви дійсно керуєте. Розкриття великих або публічних підмереж через маршрути підмережі може створити несподівану поверхню атаки.

Крок 5: Використовувати Tailnet

SSH на хост за MikroTik:

ssh admin@100.x.x.x

Або використайте MagicDNS, щоб взагалі пропустити пошук IP:

ping mikrotik.yourtailnet.ts.net

Маршрути підмережі роблять IP-камери, NAS, керівні VLAN та будь-який інший пристрій LAN досяжними без перенаправлення портів за кожним сервісом.

Порівняння з іншими VPN-опціями

Рішення	Основа	Простота налаштування	Продуктивність	Найкраще для
Tailscale	WireGuard + площина керування	Дуже легко	Висока	Команди, провайдери, мішана інфраструктура
WireGuard (вручну)	WireGuard	Середня	Дуже висока	Мінімалістичні розгортання, DIY-контроль
OpenVPN / IPsec	TLS / IPsec	Складно	Середня	Застарілі пристрої, гранульований PKI
ZeroTier	Власний mesh-протокол	Легко	Висока	Mesh-мережі без ідентичності

Для ручного варіанту WireGuard з тією ж метою див. наш туторіал з віддаленого керування MikroTik з WireGuard. Для схеми на основі VPS без WireGuard взагалі див. посібник з віддаленого керування через VPS.

Найкращі практики

Вмикайте ACL з самого початку з правилами найменших привілеїв. Теги та групи спрощують політику в міру зростання Tailnet.
Використовуйте MagicDNS, щоб не розпорошувати IP по документації. Імена простіше відкликати й перевизначити.
Примусово використовуйте MFA у провайдера ідентичності — безпека вашої Tailnet не вища за безпеку шару ідентичності під нею.
Підтримуйте маршрутизатор і пакет Tailscale в актуальному стані. Обидва оновлюються за незалежними графіками, і відставання за будь-яким — це обґрунтоване порушення конфігурації.
Аудитуйте список пристроїв щомісяця і відкликайте обладнання, яке вже не в парку.

Зробіть наступний крок

Tailscale модернізує віддалений доступ, поєднуючи продуктивність WireGuard з площиною керування, яка прибирає більшу частину ручного налаштування. Для парків MikroTik це практичний і високопродуктивний спосіб керувати маршрутизаторами та їхніми LAN без публічних IP і саморобних тунелів.

Якщо ви воліли б повністю обійти встановлення агентів на кожен пристрій і схвалення маршрутів, NATCloud від MKController забезпечує централізовано керований віддалений доступ, моніторинг та онбордінг без потреби встановлювати сторонній VPN-пакет на кожен маршрутизатор чи вести адміністрування Tailscale окремо від решти керування парком.

Розпочніть безкоштовну пробну версію MKController