wireguard между mikrotik

wireguard между mikrotik

WireGuard между MikroTik: настройка без подводных камней

Настройка wireguard между mikrotik — задача, с которой сталкиваются администраторы, желающие построить защищённый канал между офисами, филиалами или удалёнными сотрудниками. В отличие от устаревших решений вроде IPsec или OpenVPN, WireGuard предлагает минимальную задержку, простую конфигурацию и современное шифрование. Но именно эта «простота» часто становится ловушкой: неправильная настройка маршрутизации, отсутствие защиты от утечек DNS или WebRTC, игнорирование особенностей RouterOS — всё это делает туннель уязвимым. В этом материале разберём не только базовую настройку, но и скрытые риски, которые молчат большинство гайдов.

Почему WireGuard на MikroTik — не просто «ещё один VPN»

WireGuard работает на уровне ядра Linux и использует криптографический стек на основе Curve25519 для обмена ключами, ChaCha20 для шифрования и Poly1305 для аутентификации. Это даёт ему три ключевых преимущества:

• Скорость: добавляет всего 3–7 мс к пингу и сохраняет до 98% пропускной способности канала даже на слабых устройствах (например, hAP lite).
• Минимализм: кодовая база протокола — около 4000 строк против сотен тысяч у IPsec. Меньше кода = меньше уязвимостей.
• Современная криптография: Perfect Forward Secrecy реализован «из коробки» — каждый сеанс использует уникальные ключи.

RouterOS начиная с версии 7.1 официально поддерживает WireGuard. Это означает, что вы можете создавать интерфейсы, управлять маршрутами и применять правила firewall без сторонних пакетов или прошивок.

Но есть нюанс: MikroTik не поддерживает все фичи, доступные в Linux-реализации. Например, нет встроенного kill switch или split tunneling по доменам. Эти функции придётся эмулировать через правила маршрутизации и firewall.

Чего вам НЕ говорят в других гайдах

Большинство инструкций заканчиваются на этапе «ping проходит — значит, всё работает». Это опасное заблуждение. Вот что упускают:

1. Утечки DNS при переподключении
   Если туннель падает (например, из-за потери связи), MikroTik по умолчанию продолжает отправлять DNS-запросы через основной интерфейс. Это легко проверить на ipleak.net. Решение — принудительно направлять весь трафик через WireGuard с помощью правила маршрутизации по таблице и блокировать fallback через firewall.

2. Отсутствие true kill switch
   В отличие от клиентских VPN-приложений, RouterOS не имеет механизма, который бы полностью блокировал весь интернет при обрыве туннеля. Чтобы имитировать kill switch, нужно:

3. Создать отдельную таблицу маршрутизации.
4. Привязать её к интерфейсу WireGuard.

5. Добавить правило firewall, запрещающее исходящий трафик с LAN, если он не идёт через эту таблицу.

   🛠️Инструмент для работы

6. Логирование на стороне провайдера
   Даже идеально настроенный WireGuard не скрывает факт использования VPN от вашего ISP. Провайдеры вроде «Ростелеком» или «МТС» могут видеть объём трафика, его регулярность и порты. Если вы используете стандартный порт 51820/UDP, это сразу сигнализирует о WireGuard. Решение — смена порта на 443/UDP (под маской HTTPS) или использование obfs4 для обхода DPI.

7. Подделка «no-log policy»
   Если вы подключаетесь к коммерческому VPN-сервису через MikroTik, помните: политика «без логов» — это маркетинг. Юрисдикция имеет значение. Сервисы из стран 14 Eyes (включая США, Великобританию, Германию) обязаны хранить метаданные по запросу спецслужб. Проверяйте независимые аудиты (например, от Cure53), а не верьте заявлениям на сайте.

8. Фрод с бесплатными решениями
   Бесплатные «облачные» WireGuard-серверы часто работают на арендованных VPS за $5/мес. Чтобы окупиться, они внедряют:

   Открой мир без границ🌍
9. Сбор трафика для аналитики.
10. Подмену рекламы через MITM-атаки.
11. Использование устройств в ботнетах.

Пример: в 2023 году исследователи обнаружили, что некоторые бесплатные сервисы логировали IP-адреса и передавали их третьим лицам. Не экономьте на безопасности.

Пошаговая настройка: от генерации ключей до защиты от утечек

Важно: Все команды выполняются в терминале WinBox или через SSH. Версия RouterOS — 7.12+.

Открой мир без границ🌍

Шаг 1. Генерация ключей на обоих роутерах

/interface wireguard
add name=wg0 listen-port=51820 private-key="$(/interface wireguard generate-key)"

После выполнения получите private-key и соответствующий public-key. Сохраните их — они понадобятся для конфигурации.

Шаг 2. Настройка интерфейса и пира

На роутере A (офис):

/interface wireguard peers
add interface=wg0 public-key="<публичный_ключ_B>" allowed-addresses=10.200.200.2/32 endpoint=ip_роутера_B:51820
/ip address
add address=10.200.200.1/24 interface=wg0

На роутере B (филиал):

/interface wireguard peers
add interface=wg0 public-key="<публичный_ключ_A>" allowed-addresses=10.200.200.1/32 endpoint=ip_роутера_A:51820
/ip address
add address=10.200.200.2/24 interface=wg0

Шаг 3. Маршрутизация между сетями

Предположим, сеть офиса — 192.168.10.0/24, филиала — 192.168.20.0/24.

На роутере A:

/ip route
add dst-address=192.168.20.0/24 gateway=wg0

На роутере B:

/ip route
add dst-address=192.168.10.0/24 gateway=wg0

Шаг 4. Защита от утечек (DNS + kill switch)

Создайте таблицу маршрутизации:

/routing table
add name=wg-only fib

Привяжите её к интерфейсу:

/ip route rule
add table=wg-only src-address=192.168.10.0/24

Добавьте маршрут по умолчанию в эту таблицу:

/ip route
add dst-address=0.0.0.0/0 gateway=wg0 routing-table=wg-only

Заблокируйте fallback-трафик:

/ip firewall filter
add chain=forward out-interface=!wg0 src-address=192.168.10.0/24 action=drop

Теперь, если туннель упадёт, весь трафик с LAN будет отброшен.

Шаг 5. Проверка на утечки

1. Перейдите на browserleaks.com/webrtc — должен отображаться IP WireGuard-сервера.
2. Запустите тест на ipleak.net — проверьте DNS и WebRTC.
3. Отключите кабель WAN на одном роутере — интернет в LAN должен пропасть полностью.

Сравнение протоколов: почему WireGuard побеждает (но не всегда)

WireGuard выигрывает по скорости и простоте, но проигрывает в обходе цензуры. В России, где Роскомнадзор активно использует DPI для блокировки, чистый WireGuard может быть заблокирован по сигнатуре. Решение — обфускация через Shadowsocks или использование нестандартного порта.

Сценарии использования в реальных условиях

1. Корпоративная связь между офисами
   Вы подключаете филиал в Казани к головному офису в Москве. WireGuard обеспечивает:
2. Шифрование всех передаваемых данных (включая файловые шары и RDP).
3. Минимальную задержку для видеоконференций.

4. Простоту масштабирования: добавление нового филиала — это 5 команд.

5. Обход блокировок в публичных Wi-Fi
   Вы в кафе с сетью «MTS Wi-Fi». Без VPN ваш трафик виден провайдеру и возможным злоумышленникам. Настроив WireGuard на домашнем MikroTik, вы туннелируете весь трафик через свой сервер. Telegram, YouTube и другие заблокированные сервисы работают без ограничений.

   Открой мир без границ🌍

6. Защита торрент-трафика
   Провайдеры в РФ активно отслеживают торрент-активность и отправляют предупреждения. WireGuard скрывает ваш реальный IP от трекеров и пиеров. Но помните: если вы используете торрент-клиент на ПК, а не на роутере, убедитесь, что он не использует DHT или PEX вне туннеля.

7. Журналист в командировке
   Вы находитесь в регионе с высоким уровнем слежки. WireGuard между вашим ноутбуком и MikroTik дома создаёт защищённый канал. Все ваши запросы выглядят как трафик с вашего домашнего IP. Это снижает риск перехвата сообщений или геолокации.

8. Удалённый доступ к домашней сети
   Вы хотите получить доступ к NAS или IP-камерам из отпуска. Вместо открытия портов (что опасно), вы подключаетесь через WireGuard. Весь трафик шифруется, а доступ возможен только с авторизованного устройства (по публичному ключу).

   🔐Защити свои данные

FAQ

VPN замедляет интернет на сколько реально?

На MikroTik с процессором ARM (например, hAP ac²) WireGuard снижает скорость на 5–8%. При канале 500 Мбит/с вы получите 460–475 Мбит/с. OpenVPN — на 40–60%. Разница заметна при стриминге 4K или торрент-загрузках.

Меня найдёт спецслужба при использовании VPN?

Если вы используете собственный WireGuard-сервер на MikroTik, то ваш трафик не проходит через третьи лица. Спецслужбы могут запросить данные у вашего хостинг-провайдера (если сервер в облаке), но не у «VPN-сервиса», потому что его нет. Однако сам факт использования шифрования может привлечь внимание в некоторых юрисдикциях.

🛠️Инструмент для работы

WireGuard или OpenVPN — что безопаснее?

С точки зрения криптографии — WireGuard. Он использует более современные алгоритмы и прошёл независимый аудит. OpenVPN уязвим к атакам типа POODLE при неправильной конфигурации. Но OpenVPN лучше обходит DPI благодаря поддержке TCP/443. Выбор зависит от цели: скорость и простота — WireGuard; обход цензуры — OpenVPN.

Можно ли использовать WireGuard для обхода блокировок в РФ?

Да, но с оговорками. Чистый WireGuard на порту 51820 может быть заблокирован по сигнатуре. Рекомендуется: 1) сменить порт на 443/UDP, 2) использовать обфускацию (например, через v2ray или Shadowsocks), 3) размещать сервер за пределами РФ. Сама технология не нарушает закон, но её использование для доступа к запрещённым ресурсам — да.

Как проверить, что kill switch работает?

Отключите WAN-кабель на MikroTik. Через 10–15 секунд попробуйте открыть любой сайт. Если страница не загружается — kill switch работает. Дополнительно проверьте на ipleak.net: если появился ваш реальный IP — настройка некорректна.

🔐Защити свои данные

Нужно ли обновлять ключи WireGuard?

WireGuard автоматически меняет сессионные ключи каждые 2 минуты (rekeying). Постоянные ключи (private/public) можно не менять годами, если они не скомпрометированы. Однако для максимальной безопасности рекомендуется генерировать новые ключи раз в 6–12 месяцев.

Вывод

Настройка wireguard между mikrotik — это не просто «создал интерфейс и забыл». Это комплексная задача, требующая понимания маршрутизации, firewall и особенностей криптографии. WireGuard действительно быстр и надёжен, но только при условии правильной конфигурации. Главные ошибки — игнорирование утечек DNS, отсутствие защиты от fallback-трафика и слепое доверие «безопасности по умолчанию». Если вы следуете приведённым шагам, проверяете работу через ipleak.net и тестируете отказоустойчивость, ваш туннель будет защищён от большинства реальных угроз: от перехвата в публичном Wi-Fi до DPI-блокировок. Помните: безопасность — это процесс, а не разовое действие.