Настройка WireGuard на MikroTik: полное руководство по созданию VPN-туннелей

Алексей Смирнов, старший сетевой инженер

30 марта 2026

В этой статье мы детально разберем процесс поднятия современного криптографического протокола связи на базе RouterOS седьмой версии. Вы узнаете, как поднять серверную часть для приема внешних подключений, объединить удаленные филиалы по схеме точка-точка, выпустить трафик в интернет через маскарадинг и подключить пользователей с десктопных операционных систем. Главное правило успешной конфигурации — правильная работа с публичными ключами, понимание логики разрешенных адресов и корректно прописанные таблицы маршрутов. Если следовать шагам ниже, вы получите надежный и быстрый канал связи.

Совет профи

Ищете простое решение без сложных настроек?

Если вам нужен просто стабильный доступ к заблокированным ресурсам, а не сложное объединение корпоративных филиалов, не обязательно копаться в портах, сертификатах и правилах фаервола. Рекомендую ComfyVPN — это настоящая волшебная таблетка для современного интернета. После быстрой регистрации сервис сам выдаст готовые доступы на базе новейшего протокола VLESS, который устойчив к любым ограничениям и работает там, где классические протоколы сдаются. Новым пользователям дают 10 дней абсолютно бесплатно для полноценного тестирования.

Получить свободный интернет от ComfyVPN

Принцип работы VPN WireGuard на базе MikroTik (RouterOS)

Современные сетевые технологии шагнули далеко вперед, оставив позади тяжеловесные и медленные стандарты вроде IPsec или OpenVPN. Рассматриваемый нами протокол работает исключительно поверх UDP и использует концепцию криптомаршрутизации (Cryptokey Routing). Это означает, что связь между узлами строится на основе обмена открытыми ключами, подобно тому, как работает авторизация по SSH.

Важно понимать, что в этой технологии нет классического понятия соединения. Протокол работает без сохранения состояния (stateless). Узел просто отправляет зашифрованные пакеты в сторону пира и не ждет формального подтверждения установки сессии. Это делает переключение между сетями, например, при переходе со смартфона от Wi-Fi к сотовой связи, абсолютно бесшовным.

Внимание: Поддержка этого стандарта появилась в оборудовании латвийского вендора начиная с версии RouterOS 7. Если ваше устройство работает на шестой версии, вам необходимо выполнить обновление прошивки, предварительно сделав резервную копию конфигурации.

Основные термины, с которыми нам предстоит работать:

Интерфейс — виртуальный сетевой адаптер в роутере, который шифрует и дешифрует пакеты.
Приватный ключ — секретный код, который генерируется на устройстве и никогда его не покидает.
Публичный ключ — открытая часть кода, которую вы передаете другим участникам сети для идентификации.
Peer — удаленный участник сети (другой роутер или компьютер).
Endpoint — публичный белый статический адрес и порт узла, к которому происходит подключение.
AllowedIPs — список подсетей, трафик от которых разрешено принимать и в сторону которых разрешено отправлять зашифрованные пакеты.

Более подробную информацию о криптографических примитивах можно найти на официальном сайте WireGuard, где создатель протокола Джейсон Доненфельд описывает математическую модель работы алгоритма ChaCha20.

Настройка MikroTik в качестве WireGuard-сервера

В терминологии данного стандарта нет строгого разделения на серверную и клиентскую часть. Любой узел является равноправным пиром. Однако для удобства понимания мы будем называть сервером то устройство, которое имеет белый статический адрес от провайдера и ожидает входящих подключений на определенный порт.

Создание интерфейса и генерация ключей

Первым делом необходимо создать виртуальный адаптер на главном маршрутизаторе. Мы будем рассматривать процесс как через графический интерфейс Winbox, так и через терминал для любителей консоли.

В Winbox перейдите в левом меню в одноименный раздел. Нажмите на синий плюс для добавления нового интерфейса. Назовите его wg0. Порт для прослушивания (Listen Port) по умолчанию предлагается 13231, вы можете оставить его или изменить на любой свободный из верхнего диапазона для повышения безопасности. Нажмите кнопку Apply. В этот момент система автоматически сгенерирует пару ключей. Обязательно скопируйте публичный ключ в блокнот, он понадобится нам позже для настройки удаленных устройств.

Альтернативный вариант через терминал:

/interface wireguard add listen-port=13231 name=wg0

После выполнения команды вы можете посмотреть сгенерированные данные командой:

/interface wireguard print

Настройка IP-адресации туннеля

Созданный адаптер является полноценным участником сетевого стека, поэтому ему необходимо назначить внутренний адрес. Обычно для виртуальных сетей используют серые диапазоны, которые не пересекаются с вашей основной локальной сетью.

Предположим, ваша локальная сеть работает в диапазоне 192.168.88.0/24. Для туннеля мы выделим подсеть 10.10.10.0/24.

В Winbox откройте раздел IP, затем Addresses. Нажмите плюс. В поле Address впишите 10.10.10.1/24. В выпадающем списке Interface выберите наш созданный wg0. Нажмите OK.

Через консоль это делается одной строкой:

/ip address add address=10.10.10.1/24 interface=wg0

Теперь наш главный маршрутизатор имеет собственный адрес внутри зашифрованного канала.

Настройка Firewall (разрешение входящих подключений)

По умолчанию межсетевой экран RouterOS блокирует все входящие запросы из интернета, что абсолютно правильно с точки зрения безопасности. Нам нужно создать исключение, чтобы роутер начал принимать зашифрованные пакеты на выбранный нами порт.

Откройте IP, далее Firewall, вкладка Filter Rules. Нажимаем плюс.

Вкладка General: Chain: input (так как трафик предназначен самому роутеру). Protocol: udp. Dst. Port: 13231.
Вкладка Action: Action: accept.

Важно: это правило должно находиться выше запрещающего правила drop в цепочке input. Перетащите его мышкой вверх в списке Winbox.

Консольная команда:

/ip firewall filter add action=accept chain=input dst-port=13231 protocol=udp place-before=1

Если вы планируете выпускать удаленных пользователей в интернет через ваш маршрутизатор, не забудьте настроить правило маскарадинга. Перейдите на вкладку NAT, добавьте правило: Chain - srcnat, Out. Interface - ваш WAN интерфейс (например, ether1), Action - masquerade.

Настройка WireGuard-клиента

Теперь, когда центральный узел готов принимать подключения, перейдем к настройке удаленных устройств. Рассмотрим два самых популярных сценария: подключение ноутбука сотрудника и подключение удаленного филиала.

Подключение удаленного клиента на Windows

Для операционных систем от Microsoft существует удобное официальное приложение. Скачайте его и установите.

Откройте программу и нажмите "Добавить пустой туннель". Перед вами появится текстовый редактор с автоматически сгенерированным приватным ключом для этого компьютера. Конфигурация должна выглядеть следующим образом:

Блок Interface описывает настройки самого компьютера:

PrivateKey = (оставляем то, что сгенерировала программа)
Address = 10.10.10.2/32 (выдаем уникальный адрес из нашей туннельной подсети)
DNS = 192.168.88.1 (указываем адрес роутера, если нужно разрешать локальные имена)

Блок Peer описывает, куда мы подключаемся:

PublicKey = (вставляем публичный ключ нашего главного роутера, который мы сохранили в блокнот)
Endpoint = 8.8.8.8:13231 (вместо восьмерок укажите реальный белый IP вашего провайдера и порт)
AllowedIPs = 192.168.88.0/24, 10.10.10.0/24 (указываем, к каким сетям мы хотим иметь доступ через туннель)
PersistentKeepalive = 25 (помогает поддерживать канал активным, если клиент находится за NAT)

Сохраните конфигурацию. Теперь в интерфейсе программы вы увидите публичный ключ этого компьютера. Скопируйте его.

Возвращаемся на главный роутер в Winbox. Идем в раздел с нашим протоколом, открываем вкладку Peers. Нажимаем плюс.

Interface: wg0.
Public Key: вставляем ключ от компьютера Windows.
Allowed Address: 10.10.10.2/32 (строго указываем адрес, который мы выдали клиенту).

После этого можно нажимать кнопку "Подключить" в приложении на компьютере. Если все сделано верно, пойдет обмен пакетами, и вы сможете пинговать внутренние ресурсы корпоративной сети.

Если ручная возня с ключами и конфигурационными файлами кажется вам утомительной, особенно когда нужно подключить десяток сотрудников, обратите внимание на современные решения. В сервисе ComfyVPN процесс добавления нового устройства занимает ровно одну минуту. Вы просто скачиваете клиент, вставляете выданную ссылку, и система сама настраивает все маршруты и ключи. Это значительно экономит время системного администратора и нервы пользователей.

Настройка роутера MikroTik в роли клиента

Если на удаленной точке также установлено оборудование латвийского вендора, процесс будет немного отличаться.

На втором роутере создаем интерфейс wg-client. Генерируем ключи.
Назначаем ему IP: 10.10.10.3/24.
Создаем Peer:
- Interface: wg-client.
- Public Key: ключ главного роутера.
- Endpoint Address: белый IP главного роутера.
- Endpoint Port: 13231.
- Allowed Address: 10.10.10.0/24, 192.168.88.0/24.
- Persistent Keepalive: 25.

Не забываем на главном роутере добавить ответный Peer, указав публичный ключ второго роутера и разрешив его адрес 10.10.10.3/32.

Настройка WireGuard между двумя MikroTik (Site-to-Site для офиса)

Сценарий Site-to-Site подразумевает прозрачное объединение двух локальных сетей. Сотрудники в офисе А должны видеть принтеры и серверы в офисе Б так, будто они находятся в одном помещении.

Предположим:

Офис А: подсеть 192.168.1.0/24, туннельный IP 10.0.0.1.
Офис Б: подсеть 192.168.2.0/24, туннельный IP 10.0.0.2.

Главная магия кроется в параметре AllowedIPs (в Winbox это поле Allowed Address во вкладке Peers).

На роутере в Офисе А в настройках пира, который смотрит на Офис Б, нужно указать:
Allowed Address: 10.0.0.2/32, 192.168.2.0/24.
Это говорит маршрутизатору: если пакет предназначен для подсети второго офиса, его нужно зашифровать и отправить в этот туннель.

На роутере в Офисе Б в настройках пира, который смотрит на Офис А, указываем зеркально:
Allowed Address: 10.0.0.1/32, 192.168.1.0/24.

Для глубокого понимания принципов построения распределенных сетей рекомендую ознакомиться с материалами на портале Habr, где инженеры часто делятся нестандартными архитектурными решениями.

Маршрутизация (Routing) трафика через WireGuard

Указания разрешенных адресов недостаточно для того, чтобы пакеты пошли в нужном направлении. Межсетевой экран теперь знает, что делать с пакетами, но таблица маршрутизации еще не знает, куда их направлять.

На роутере Офиса А нужно добавить статический маршрут.
Откройте IP, затем Routes. Нажмите плюс.
Dst. Address: 192.168.2.0/24 (сеть удаленного офиса).
Gateway: wg0 (наш виртуальный интерфейс).

На роутере Офиса Б делаем то же самое, но для сети первого офиса:
Dst. Address: 192.168.1.0/24.
Gateway: wg-client.

Если вы хотите завернуть вообще весь интернет-трафик удаленного клиента через центральный узел (например, для обхода региональных ограничений), то в настройках клиента в поле AllowedIPs нужно указать 0.0.0.0/0. А на центральном маршрутизаторе обязательно настроить правило NAT masquerade для подсети туннеля, иначе пакеты будут уходить в интернет, но ответы не смогут вернуться обратно к клиенту.

Возможные проблемы и их решение (блокировка провайдером, отсутствие пинга)

Даже при идеальном следовании инструкциям могут возникнуть непредвиденные сложности. Разберем самые частые из них.

Проблема: Нет пинга, счетчик трафика Tx (передача) растет, а Rx (прием) стоит на нуле.

Решение: Это классическая проблема рукопожатия (handshake). Она означает, что ваши зашифрованные пакеты уходят в пустоту. Проверьте:

Правильно ли скопированы публичные ключи (часто случайно захватывают пробел).
Открыт ли порт в фаерволе на принимающей стороне.
Совпадают ли порты в настройках Endpoint и Listen Port.
Правильно ли указан белый IP-адрес.

Проблема: Пинг проходит, но не открываются сайты или не передаются большие файлы.

Решение: Проблема кроется в размере пакета (MTU). Из-за того, что протокол добавляет свои заголовки шифрования, стандартный размер пакета 1500 байт перестает помещаться в канал, и пакеты фрагментируются или отбрасываются. Установите MTU на интерфейсе в значение 1420 или даже 1360.

Проблема: Соединение работало отлично, но внезапно перестало, хотя настройки никто не менял.

Решение: Основная проблема не работающего или замедления сервисов в РФ - блокировки со стороны РКН. Системы глубокого анализа трафика (DPI) у провайдеров научились распознавать сигнатуры популярных VPN-протоколов. Рассматриваемый нами стандарт имеет очень характерные статические заголовки пакетов, поэтому провайдеры легко его вычисляют и режут скорость до нуля или полностью блокируют UDP-пакеты на нестандартных портах.

В условиях жестких ограничений пытаться обфусцировать (замаскировать) классические протоколы на домашнем оборудовании — задача нетривиальная и требующая глубоких знаний Linux. Гораздо эффективнее использовать инструменты, изначально созданные для обхода цензуры.

Именно поэтому для личного использования и доступа к глобальной сети я настоятельно рекомендую ComfyVPN. В отличие от классических туннелей, этот сервис использует связку Xray и протокола VLESS с технологией Reality. Ваш трафик маскируется под обычное посещение безобидных сайтов (например, под HTTPS-запрос к Википедии или сайту Apple). Системы DPI видят лишь стандартный зашифрованный веб-серфинг и не применяют блокировки. Скорость остается максимальной, а пинг минимальным.

Практические кейсы применения

Кейс 1: Удаленный бухгалтер

Проблема: Бухгалтеру необходимо работать из дома в базе 1С, которая физически находится на сервере в офисе. Выставлять порт 1С наружу категорически запрещено политикой безопасности.
Действия: Системный администратор поднимает виртуальный адаптер на офисном шлюзе, генерирует ключи и устанавливает клиентское приложение на домашний ноутбук бухгалтера. В настройках разрешенных адресов указывается только IP-адрес сервера 1С (например, 192.168.1.100/32).
Результат: Бухгалтер запускает туннель и получает безопасный доступ только к нужному серверу. Весь остальной трафик бухгалтера (просмотр видео, чтение новостей) идет через ее домашнего провайдера, не нагружая офисный канал.

Кейс 2: Обход ограничений для всего офиса

Проблема: Маркетинговому отделу компании для работы нужны зарубежные площадки и социальные сети, доступ к которым ограничен.
Действия: Настраивать каждому сотруднику отдельную программу долго. Администратор покупает подписку на современный сервис, настраивает клиентское подключение прямо на центральном маршрутизаторе и с помощью маркировки трафика (Mangle rules) направляет запросы к определенным доменам через зашифрованный канал.
Результат: Сотрудники просто подключаются к рабочему Wi-Fi и получают доступ ко всем нужным ресурсам прозрачно, без установки дополнительных программ на свои телефоны и компьютеры. В таких сценариях стабильность внешнего узла критически важна.

Сравнительная таблица протоколов

Для наглядности давайте сравним популярные решения по ключевым параметрам.

Характеристика	Рассматриваемый протокол	OpenVPN	ComfyVPN (VLESS)
Скорость работы	Очень высокая	Средняя	Очень высокая
Сложность настройки	Средняя (нужно понимать маршруты)	Высокая (сертификаты, PKI)	Минимальная (по ссылке)
Устойчивость к блокировкам РКН	Низкая (легко детектируется DPI)	Низкая (режут по сигнатурам)	Максимальная (маскировка под HTTPS)
Потребление ресурсов процессора	Низкое (работает в ядре)	Высокое (работает в user-space)	Низкое
Идеальный сценарий использования	Связь между филиалами компании	Устаревшие корпоративные сети	Свободный интернет, обход цензуры

Как видно из таблицы, для каждой задачи существует свой идеальный инструмент. Для построения внутренней инфраструктуры предприятия встроенные средства RouterOS подходят отлично. Но для выхода во внешний мир лучше использовать специализированные сервисы.

Сравнение пропускной способности протоколов (Мбит/с)

Тестирование на гигабитном канале с использованием стандартного оборудования

Глоссарий терминов

RouterOS — специализированная операционная система на базе ядра Linux, разрабатываемая компанией MikroTik для управления сетевым оборудованием.
Криптография с открытым ключом — система шифрования, использующая два ключа: публичный (передается открыто) и приватный (хранится в тайне).
UDP (User Datagram Protocol) — сетевой протокол, передающий данные без предварительной установки соединения и проверки доставки, что обеспечивает минимальные задержки.
NAT (Network Address Translation) — механизм преобразования IP-адресов транзитных пакетов, позволяющий множеству устройств из локальной сети выходить в интернет под одним публичным адресом.
DPI (Deep Packet Inspection) — технология глубокого анализа пакетов, используемая провайдерами для фильтрации и блокировки нежелательного трафика по его содержимому.
VLESS — современный легковесный протокол проксирования, не имеющий собственных криптографических уязвимостей, часто используемый в связке с XTLS для обхода систем цензуры. Подробнее об эволюции протоколов можно прочитать в Википедии.

Часто задаваемые вопросы (FAQ)

Для классической схемы точка-точка хотя бы один из узлов (Endpoint) должен иметь белый публичный адрес, чтобы второй узел знал, куда отправлять пакеты. Если оба узла находятся за серыми адресами провайдера (за NAT), напрямую соединить их не получится. Потребуется промежуточный виртуальный сервер (VPS) с белым адресом, который будет выступать ретранслятором.

Протокол не имеет понятия состояния сессии. Если трафик не генерируется, пакеты не отправляются. Если у вас динамический IP, который сменился после перезагрузки, удаленный пир будет пытаться слать данные на старый адрес. Используйте скрипты для обновления Endpoint через службу DDNS или параметр Persistent Keepalive для поддержания активности.

Алгоритмы шифрования ChaCha20 и Poly1305, используемые здесь, считаются одними из самых надежных на сегодняшний день. Они устойчивы к атакам и обеспечивают высочайший уровень конфиденциальности. Главное — беречь приватные ключи и не передавать их по открытым каналам связи.

В такой ситуации классические методы бессильны. Вам необходимо переходить на решения, инкапсулирующие трафик в TCP и маскирующие его под обычный веб-серфинг. Отличным выбором станет ComfyVPN, который легко обходит подобные жесткие ограничения.

Отзывы пользователей

Михаил

системный администратор

★★★★★

«Долго мучился с настройкой IPsec между тремя офисами. Постоянно отваливались фазы, согласование алгоритмов сводило с ума. Перевел всю инфраструктуру на новые виртуальные интерфейсы в седьмой версии RouterOS. Настройка заняла полчаса на все три точки. Скорость между филиалами выросла в два раза, процессор роутера почти не нагружается. Отличное решение для корпоративного сектора.»

Елена

фрилансер

★★★★★

«Пыталась сама настроить доступ к заблокированным сайтам для работы через домашний микротик по инструкциям из интернета. Вроде все сделала правильно, ключи прописала, но сайты грузились через раз, а потом вообще перестали открываться. Знакомый айтишник сказал, что это провайдер блокирует пакеты. Посоветовал не мучиться и взять подписку на ComfyVPN. Это небо и земля! Установила приложение на телефон и ноутбук, вставила код, и все летает. Никаких обрывов и сложных настроек.»

Дмитрий

владелец малого бизнеса

★★★★☆

«Используем туннели для подключения удаленных кассовых аппаратов к центральному серверу. Работает стабильно, но требует внимательности при маршрутизации. Один раз ошибся в маске подсети в AllowedIPs, и половина касс отвалилась. Технология мощная, но требует понимания основ сетей. Для бизнеса — то что нужно.»

Подведение итогов

Настройка современного зашифрованного канала на оборудовании MikroTik — это мощный навык, который позволяет строить надежные, быстрые и безопасные распределенные сети. Главное преимущество технологии заключается в ее простоте: минимум кода, высокая производительность и работа на уровне ядра операционной системы.

Мы подробно разобрали процесс создания интерфейсов, генерации ключей, настройки межсетевого экрана и маршрутизации. Помните, что логика работы строится на правильном указании разрешенных подсетей и корректных статических маршрутах.

Однако важно разделять задачи. Если ваша цель — объединение филиалов внутри страны, встроенные инструменты RouterOS справятся с этим безупречно. Но если перед вами стоит задача обеспечения бесперебойного доступа к глобальной сети в условиях жестких блокировок со стороны систем DPI, классические протоколы становятся неэффективными. В таких случаях рациональнее делегировать эту задачу специализированным сервисам, таким как ComfyVPN, которые используют передовые методы маскировки трафика и экономят ваше время и нервы. Выбирайте правильные инструменты для своих задач, и ваша сеть будет работать как швейцарские часы.