как настроить опен впн на роутере микротик

как настроить опен впн на роутере микротик

OpenVPN на MikroTik: как не утонуть в настройках

Как настроить опен впн на роутере микротик — и не пожалеть об этом через неделю

Как настроить опен впн на роутере микротик — вопрос, который кажется простым до первого отвала соединения или странной утечки трафика. Ты хочешь защитить всю сеть за один раз, а не настраивать каждый телефон и ноутбук отдельно. Это логично. Но MikroTik — не TP-Link из «Пятёрочки». Здесь каждая строчка конфигурации имеет вес. Одна ошибка в маршрутизации — и вместо шифрования получаешь прозрачный туннель для провайдера. Другая — и DNS-запросы уходят мимо VPN, выдавая реальный IP. В этом гайде разберём всё: от импорта .ovpn до защиты от DPI «Ростелекома», утечек WebRTC и подводных камней бесплатных серверов.

Почему «просто включить» не работает (и что ломается первым)

Большинство пользователей MikroTik считают, что если они загрузили конфиг OpenVPN и указали учётные данные — всё готово. На деле 80% проблем возникают после успешного подключения:

• DNS-утечки: роутер продолжает использовать DNS провайдера (например, 8.8.8.8 или 195.19.202.2), даже когда весь трафик идёт через туннель.
• Отсутствие kill switch: при перезагрузке роутера или потере связи с сервером трафик начинает идти напрямую — без шифрования.
• Неправильная маршрутизация: только часть устройств в локальной сети использует VPN, остальные — нет.
• Блокировка DPI: современные провайдеры (в том числе МТС и «Дом.ru») умеют распознавать OpenVPN по сигнатурам и искусственно замедлять его.

Эти проблемы не видны в интерфейсе WinBox. Они проявляются только при тестировании на ipleak.net или browserleaks.com/webrtc.

Чего вам НЕ говорят в других гайдах

Большинство инструкций в Рунете — копипаста старых форумов. Вот то, что умалчивают:

Бесплатные OpenVPN-серверы — это ловушка

Ты думаешь: «Зачем платить, если есть бесплатный сервер в Германии?» А потом удивляешься, почему реклама в браузере стала персонализированной. Бесплатные сервисы:

• Собирают и продают твой трафик (историю сайтов, cookies, даже содержимое HTTP-трафика).
• Используют устаревшие сертификаты и слабые шифры (DES, RC4).
• Не имеют политики no-log — и передают данные по первому запросу от правоохранительных органов.
• Часто работают на арендованных VPS, которые легко компрометировать.

Пример: в 2023 году исследователи обнаружили, что Hola Free VPN использовала пользовательские устройства как прокси-серверы для третьих лиц — включая мошенников.

«Kill switch» в MikroTik — не волшебная кнопка

В отличие от клиентских приложений (NordVPN, ProtonVPN), в RouterOS нет встроенного kill switch. Его нужно собирать вручную через firewall-правила и скрипты. Если этого не сделать — при любом обрыве соединения трафик пойдёт в обход туннеля. Это особенно опасно при работе с торрентами или в публичных сетях.

Юрисдикция 14 Eyes — не миф

Даже если ты используешь OpenVPN, важно, где физически расположен сервер. Страны «14 Eyes» (включая США, Великобританию, Германию, Францию) обязаны обмениваться данными разведслужб. Если провайдер VPN зарегистрирован там — он может быть вынужден хранить логи, даже если заявляет обратное.

Поддельные аудиты безопасности

Многие провайдеры публикуют «независимые аудиты», но на деле это маркетинговые отчёты без доступа к исходному коду или серверам. Настоящие аудиты (например, от Cure53 или Quarkslab) публикуются полностью и включают описание методологии. Проверяй — не верь на слово.

Выбор протокола: OpenVPN против WireGuard и IPsec на MikroTik

MikroTik поддерживает все три протокола, но с разной степенью зрелости:

OpenVPN — проверенный выбор, но медленный на слабых CPU (например, hAP lite).
WireGuard — быстрее в 2–3 раза, меньше задержки, но требует RouterOS v7.
IPsec — хорош для корпоративных решений, но легко блокируется DPI.

Если твой роутер — hAP ac² или выше, и стоит RouterOS v7 — бери WireGuard. Если нет — OpenVPN остаётся единственным надёжным вариантом.

Пошаговая настройка OpenVPN на MikroTik (RouterOS v6/v7)

Важно: инструкция подходит для моделей с достаточной производительностью (hAP ac, RB951Ui, CCR и выше). На hAP lite возможны просадки скорости до 10–15 Мбит/с.

📖Свобода информации

Шаг 1. Подготовка конфигурационного файла

Ты должен получить от провайдера:
- .ovpn файл
- ca.crt, client.crt, client.key
- (опционально) ta.key для TLS-auth

Убедись, что в .ovpn нет строк:

redirect-gateway def1
dhcp-option DNS ...

Их нужно обрабатывать отдельно в MikroTik.

Шаг 2. Импорт сертификатов

1. Открой WinBox → Files.
2. Загрузи ca.crt, client.crt, client.key.
3. Перейди в System → Certificates.
4. Импортируй каждый файл:
5. ca.crt → тип CA
6. client.crt + client.key → тип Client

Убедись, что статус сертификата — R (ready).

Шаг 3. Создание клиента OpenVPN

/interface ovpn-client
add connect-to=vpn.example.com port=1194 \
    user=myuser password=mypass \
    certificate=client \
    ca=ca \
    mode=ip \
    add-default-route=no \
    use-peer-dns=no \
    routing-table=main

Обязательно:
- add-default-route=no — чтобы не ломать маршрутизацию
- use-peer-dns=no — DNS будем задавать вручную

Шаг 4. Настройка маршрутизации через туннель

Создай отдельную таблицу маршрутов:

/routing table
add name=vpn_table

/ip route
add dst-address=0.0.0.0/0 gateway=ovpn-out1 routing-table=vpn_table

Теперь определи, какие устройства должны использовать VPN:

/ip firewall mangle
add chain=prerouting src-address=192.168.88.50 action=mark-routing new-routing-mark=to_vpn

/ip firewall route
add routing-mark=to_vpn routing-table=vpn_table

Здесь 192.168.88.50 — IP устройства (например, твоего ПК). Для всей сети замени на 192.168.88.0/24.

Шаг 5. Защита от DNS-утечек

Запрети внешние DNS:

/ip firewall filter
add chain=forward dst-port=53 protocol=udp action=drop comment="Block external DNS"
add chain=forward dst-port=53 protocol=tcp action=drop

Настрой внутренний DNS-кэш:

/ip dns
set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

Теперь все устройства будут использовать DNS через MikroTik, а тот — через зашифрованный туннель.

Шаг 6. Kill switch (аварийное отключение)

Создай скрипт, который блокирует весь трафик, если туннель падает:

/system script
add name=killswitch_up source={
    /ip firewall filter set [find comment="KILL SWITCH"] disabled=yes
}
add name=killswitch_down source={
    /ip firewall filter set [find comment="KILL SWITCH"] disabled=no
}

/ip firewall filter
add chain=forward action=drop comment="KILL SWITCH" disabled=yes

/interface ovpn-client
set ovpn-out1 up-script=killswitch_up down-script=killswitch_down

Теперь при обрыве соединения весь интернет в локальной сети отключится — пока туннель не восстановится.

Тестирование: как убедиться, что всё работает

1. Зайди на ipleak.net с любого устройства в сети.
2. IP должен совпадать с IP VPN-сервера.
3. DNS — только те, что ты указал (например, 1.1.1.1).
4. Проверь WebRTC на browserleaks.com/webrtc.
5. Реальный IP не должен отображаться.
6. Отключи кабель от WAN-порта на 10 секунд.
7. Интернет должен пропасть (работает kill switch).
8. Включи торрент-клиент.
9. Убедись, что пиринг идёт через IP VPN.

Если всё зелёное — ты в безопасности.

Сценарии использования: кому это реально нужно

Журналист в командировке

Подключается к Wi-Fi в аэропорту Домодедово. Без VPN его трафик виден провайдеру и возможно — ФСБ. С MikroTik + OpenVPN — весь трафик шифруется, включая мессенджеры и почту.

IT-специалист в кофейне

Работает с корпоративной базой данных через RDP. Без защиты — любой в той же сети может перехватить сессию (атака Man-in-the-Middle). С туннелем — трафик недоступен.

Пользователь торрентов

Хочет скачивать контент без риска получения предупреждения от правообладателей. OpenVPN скрывает реальный IP, но только если нет утечек и включён kill switch.

Обход блокировок

Telegram, YouTube или определённые новостные сайты могут быть недоступны через «Ростелеком». Туннель через сервер в Нидерландах обходит эти ограничения.

Важно: в РФ запрещена пропаганда обхода законных блокировок. Мы объясняем технические возможности, а не призываем к нарушению закона.

Бесплатный VPN — почему это дороже, чем кажется

Аренда одного сервера в Европе стоит от $5/мес. Если сервис бесплатный — он зарабатывает на тебе. Способы монетизации:

• Продажа данных: история посещений, cookies, IP-адреса.
• Встраивание рекламы на уровне трафика (подмена HTML).
• Использование твоего канала как выходного узла для других пользователей (как Hola).
• Сбор биометрии через мобильные приложения.

В 2024 году исследователи из Citizen Lab обнаружили, что 7 из 10 бесплатных Android-приложений для VPN отправляли данные в Китай. Реальная безопасность требует инвестиций — и это нормально.

FAQ

VPN замедляет интернет на сколько реально?

На MikroTik с процессором MIPSBE (например, hAP ac) OpenVPN даёт ~80–90 Мбит/с при канале 100 Мбит/с. На ARM-устройствах (CCR) — до 200 Мбит/с. WireGuard почти не снижает скорость: 95–98% от исходной. Задержка (ping) увеличивается на 10–30 мс в зависимости от удалённости сервера.

📖Свобода информации

Меня найдёт спецслужба при использовании VPN?

Если провайдер ведёт логи и находится в юрисдикции, сотрудничающей с РФ (например, Германия), — да, по запросу суда. Если же ты используешь no-log провайдера вне 14 Eyes (например, в Швейцарии или Панаме) и не оставляешь других следов (логин в Google, номер телефона) — шансы минимальны. Но абсолютной анонимности не существует.

WireGuard или OpenVPN — что безопаснее?

Оба протокола криптографически надёжны. WireGuard использует современные алгоритмы (ChaCha20, Curve25519) и меньше кода — значит, меньше уязвимостей. OpenVPN проверен временем, но использует OpenSSL, который исторически имел уязвимости (Heartbleed). При равных условиях WireGuard предпочтительнее.

Можно ли настроить OpenVPN на старом MikroTik с RouterOS v6?

Да, но без поддержки AES-GCM. Будет использоваться AES-CBC, что медленнее и менее эффективно против атак. Также не будет поддержки современных TLS-версий. Обновление до RouterOS v7 настоятельно рекомендуется.

⚙️Технология доступа

Что делать, если провайдер блокирует порт 1194?

Используй OpenVPN на порту 443 (TCP). Это маскирует трафик под HTTPS. Но TCP медленнее UDP. Альтернатива — obfsproxy или Shadowsocks, но их нужно настраивать отдельно на сервере.

Нужно ли отключать IPv6 при использовании VPN на роутере?

Да. Если IPv6 включён, а туннель работает только по IPv4, часть трафика может уйти напрямую через IPv6 — минуя VPN. Лучше отключить IPv6 полностью: /ipv6 settings set disable-ipv6=yes.

Вывод

Как настроить опен впн на роутере микротик — задача не для новичков, но выполнимая при внимательном подходе. Главное — не останавливаться на моменте «соединение установлено». Настоящая защита начинается после: правильная маршрутизация, блокировка внешних DNS, аварийное отключение при обрыве и регулярные тесты на утечки. MikroTik даёт полный контроль, но требует понимания сетевых принципов. Если ты готов потратить час на настройку — получишь защиту для всех устройств в доме: от смарт-холодильника до игровой приставки. И помни: лучший VPN — тот, который не только работает, но и не лжёт о своей безопасности.