настройка ovpn mikrotik

настройка ovpn mikrotik

Настройка OpenVPN на MikroTik: ловушки и решения

настройка ovpn mikrotik — задача не для новичков, но выполнимая даже на старом hAP lite. Если вы думаете, что достаточно просто импортировать .ovpn-файл и включить интерфейс — вас ждёт разочарование. В этом материале разберём, как правильно настроить OpenVPN на MikroTik RouterOS, избежать DNS-утечек, обойти DPI и не остаться без интернета при перезагрузке.

Почему ваш MikroTik «видит» OpenVPN, но трафик идёт мимо

MikroTik может показывать интерфейс ovpn-out1 как «running», но весь ваш трафик продолжает идти через провайдера. Причина — отсутствие правил маршрутизации или NAT. Без них пакеты просто не знают, куда двигаться. Это особенно актуально при использовании публичных серверов, где gateway не совпадает с локальной сетью.

Типичные симптомы:
- Сайты загружаются, но IP-адрес на ipleak.net остаётся вашим.
- Ping до 8.8.8.8 проходит, но через внешний интерфейс.
- В логах OpenVPN — «Initialization Sequence Completed», но трафик не шифруется.

Решение — явно указать маршрут по умолчанию через ovpn-out1 и настроить masquerade в firewall.

Когда это действительно нужно?

• Журналист в командировке — подключается к своему VPS через OpenVPN, чтобы избежать MITM-атак в отельном Wi-Fi.
• Айтишник в кофейне — настраивает split tunneling: корпоративный трафик идёт через VPN, остальное — напрямую.
• Пользователь торрентов — использует VPS в Нидерландах с политкой no-logs и включённым kill switch на роутере.
• Обход блокировки Telegram — через UDP-порт 443 и obfs4, чтобы обмануть DPI РКН.
• Защита от WebRTC-утечек — на уровне браузера, но роутер перехватывает все DNS-запросы и направляет их в зашифрованный туннель.

Чего вам НЕ говорят в других гайдах

• Бесплатные VPN-приложения для Android часто содержат SDK, которые собирают IMEI, список приложений и историю звонков — даже если заявлено «no logs».
• Kill switch в некоторых клиентах — просто флаг в GUI. На деле он не блокирует трафик при обрыве соединения, особенно на роутерах без правил firewall.
• Провайдеры из 14 Eyes (США, Великобритания, Канада и др.) обязаны хранить метаданные до 2 лет. Даже «no-logs» компания может быть вынуждена передать данные по запросу.
• Фейковые утечки на тестовых сайтах — некоторые сервисы показывают «утечку», если не видят Cloudflare IP. Это не ошибка конфигурации, а особенность CDN.
• OpenVPN без tls-crypt или tls-auth уязвим к DoS и downgrade-атакам. В RouterOS это настраивается через параметр tls-auth или tls-crypt.

OpenVPN против WireGuard на железе MikroTik: цифры вместо маркетинга

RouterOS начиная с v7 поддерживает WireGuard, но многие всё ещё используют OpenVPN из-за совместимости. Вот реальные замеры на hAP ac² (CPU: ARM Cortex-A9 @800 МГц):

Если ваша цель — максимальная скорость и простота, а RouterOS v7+ доступна — выбирайте WireGuard. Если нужна совместимость с устаревшими серверами или требуется TCP fallback — OpenVPN с tls-crypt и AES-256-GCM.

А что насчёт готовых решений?

Пошаговая настройка ovpn mikrotik: от сертификата до split tunneling

1. Подготовьте сертификаты: CA, клиентский cert/key и tls-auth ключ. Используйте EasyRSA или generate-certificate в RouterOS.
2. Импортируйте файлы в MikroTik: через WinBox → Files или командой /certificate import.
3. Создайте ovpn-клиент: /interface ovpn-client add connect-to=your.server port=1194 protocol=tcp|udp ...
4. Настройте NAT: /ip firewall nat add chain=srcnat out-interface=ovpn-out1 action=masquerade.
5. Добавьте маршрут по умолчанию: /ip route add dst-address=0.0.0.0/0 gateway=ovpn-out1 distance=2 (distance >1, чтобы не конфликтовал с основным шлюзом).
6. Включите защиту от утечек: убедитесь, что в /ip dhcp-server network указан DNS-сервер внутри туннеля (например, 10.8.0.1 или 1.1.1.1 через туннель).
7. Тестируйте: перезагрузите роутер, отключите кабель WAN на 10 сек — интернет должен пропасть полностью (работает kill switch).

Как проверить, что kill switch работает — даже если RouterOS «упала»

Kill switch — не опция, а обязательное условие для приватности. На MikroTik его реализуют через firewall:

/ip firewall filter add chain=forward out-interface=!ovpn-out1 src-address=192.168.88.0/24 action=drop

Это правило блокирует весь исходящий трафик из локальной сети, если он не идёт через ovpn-out1. Но есть нюанс: при старте RouterOS правила применяются до поднятия интерфейса. Поэтому добавьте задержку или используйте скрипт, который активирует правило только после успешного подключения:

/system script add name=enable-kill-switch owner=admin policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon source={
    :delay 10s;
    /ip firewall filter enable [find comment="KILL-SWITCH"]
}

И назначьте его в /system scheduler на запуск при старте.

Вывод

настройка ovpn mikrotik — это не просто импорт конфигурации, а комплекс мер по защите от утечек, обходу цензуры и обеспечению отказоустойчивости. Даже опытные администраторы допускают ошибки: забывают про маршруты после перезагрузки, не проверяют DNS или используют слабое шифрование. Правильно настроенный OpenVPN на MikroTik даёт реальную приватность, но только если вы понимаете, как работает каждый параметр. Не доверяйте «одноклик-решениям» — проверяйте всё самостоятельно.

VPN замедляет интернет на сколько реально?

Зависит от протокола и железа. На hAP ac² (ARM Cortex-A9) OpenVPN с AES-128-CBC даёт ~45 Мбит/с, WireGuard — до 300 Мбит/с. На x86 — почти полная скорость канала.

🛠️Инструмент для работы

Меня найдёт спецслужба при использовании VPN?

Если вы используете коммерческий VPN без аудита и с юрисдикцией в 14 Eyes — да, по запросу суда ваши логи могут передать. Самостоятельно развернутый сервер в нейтральной юрисдикции снижает риск, но не даёт 100% анонимности.

WireGuard или OpenVPN — что безопаснее на MikroTik?

OpenVPN проверен годами, но медленнее. WireGuard быстрее и проще в настройке, но на старых версиях RouterOS (до 7.1) его нет. Если у вас RouterOS v7+ — выбирайте WireGuard. Иначе — OpenVPN с TLS-crypt и AES-256-GCM.

Нужен ли мне отдельный сервер для OpenVPN или можно использовать публичный?

Публичные серверы подходят для обхода блокировок, но не для приватности. Для торрентов или защиты корпоративного трафика лучше арендовать VPS (от $3/мес) и поднять свой сервер — так вы контролируете логи и шифрование.

Технологии будущего🤖

Почему после перезагрузки MikroTik пропадает маршрут через VPN?

Потому что маршруты в MikroTik не сохраняются автоматически после перезагрузки, если они не прописаны в /ip route или не назначены через routing-table в интерфейсе OpenVPN. Решение — добавить статический маршрут с gateway=ovpn-out1.

Как обнаружить DNS-утечку на роутере?

Используйте ipleak.net или dnsleaktest.com с устройства за роутером. Если в результатах указан IP вашего провайдера (Ростелеком, МТС и т.п.) — утечка есть. Причина чаще всего — отсутствие правила NAT или неправильный DNS в DHCP.