adguard vpn mikrotik настройка ipsec

adguard vpn mikrotik настройка ipsec

AdGuard + MikroTik: как настроить IPsec без утечек и ловушек

adguard vpn mikrotik настройка ipsec — технически правильно или ловушка?

adguard vpn mikrotik настройка ipsec — это не просто набор слов из поискового запроса. Это попытка совместить три разных слоя защиты: DNS-фильтрацию от AdGuard, маршрутизацию через роутер MikroTik и шифрование трафика по протоколу IPsec. На бумаге звучит идеально. На практике — куча подводных камней: от неправильного NAT-Traversal до DNS-утечек через системные службы Windows. В этом гайде разберём всё: от выбора протокола до проверки kill switch после перезагрузки роутера.

Почему IPsec на MikroTik — не всегда лучший выбор для AdGuard

IPsec — старый, но надёжный протокол. Он встроен в большинство корпоративных сетей и поддерживается MikroTik «из коробки». Однако у него есть особенности, которые делают его неудобным для домашнего использования с AdGuard:

• IKEv2/IPsec требует статического IP или правильной настройки Dynamic DNS. Если ваш провайдер (например, Ростелеком) выдаёт динамический адрес, соединение будет рваться при смене IP.
• Фрагментация пакетов. IPsec плохо дружит с MTU ниже 1400 байт. В мобильных сетях (МТС, Билайн) это вызывает постоянные обрывы.
• Нет встроенного split tunneling по доменам. Всё или ничего — весь трафик идёт через туннель. А если вы хотите фильтровать только рекламу через AdGuard, а остальное — напрямую? IPsec не поможет.

AdGuard Home работает на уровне DNS. Он не шифрует трафик, а лишь блокирует домены. Совмещать его с IPsec имеет смысл только если вы используете AdGuard VPN как клиент, а не только AdGuard Home как локальный резолвер.

Важно: AdGuard VPN и AdGuard Home — разные продукты. Первый — полноценный VPN-клиент с шифрованием. Второй — DNS-фильтр без шифрования. Не путайте!

Чего вам НЕ говорят в других гайдах

Большинство инструкций молчат о трёх вещах:

1. Бесплатные «AdGuard-совместимые» конфиги — это ловушка

Вы найдёте десятки сайтов с «готовыми .ovpn для AdGuard». Многие из них — поддельные. Они подменяют DNS на свои серверы и собирают логи. В 2023 году исследователи обнаружили, что такие сервисы передавали историю посещений рекламным сетям. Стоимость аренды одного сервера — от $5/мес. Если вам предлагают «бесплатный премиум-доступ», знайте: вы — товар.

1. Kill switch на MikroTik легко обходит система

Даже если вы настроили правила в /ip firewall filter, они не сработают при:
- Перезагрузке роутера (пока IPsec не поднимется, весь трафик идёт в обход).
- Ошибке сертификата (MikroTik продолжает отправлять пакеты в открытый интернет).
- Использовании IPv6 (если он включён, но не защищён правилами).

Проверить можно так: отключите питание VPN-сервера и запустите curl ifconfig.me с любого устройства в сети. Если IP внешний — kill switch не работает.

1. Юрисдикция и реальные логи

AdGuard зарегистрирован на Кипре. Это вне 14 Eyes, но не вне досягаемости российских судов, если компания ведёт бизнес в РФ. В 2024 году Роскомнадзор потребовал от нескольких VPN-провайдеров установить DPI-модули. AdGuard отказался, но... их инфраструктура частично размещена в Германии и Нидерландах — странах ЕС, где действуют директивы о хранении метаданных.

AdGuard заявляет no-log policy, но:
- Логирует время подключения и объём трафика (для борьбы с DDoS).
- Не проходил независимый аудит с 2022 года (последний — от Cure53).
- Использует собственные серверы, а не арендует у третьих лиц — это плюс, но снижает прозрачность.

Как правильно связать AdGuard и MikroTik: три сценария

Сценарий 1. AdGuard Home + IPsec-туннель к доверенному серверу

Вы хотите:
- Фильтровать рекламу локально (AdGuard Home на Raspberry Pi или Docker).
- Шифровать весь исходящий трафик через IPsec к своему VPS.

Настройка:
1. Установите AdGuard Home на отдельное устройство в сети (например, 192.168.88.10).
2. На MikroTik настройте IPsec-пир к вашему VPS (лучше использовать strongSwan на стороне сервера).
3. В DHCP-сервере MikroTik укажите DNS-сервер = 192.168.88.10.
4. Создайте маршрут: весь трафик → IPsec-интерфейс.
5. Добавьте правило в firewall: DROP всех пакетов, не прошедших через IPsec.

Плюсы: полный контроль, нет зависимости от сторонних VPN.
Минусы: нужно администрировать свой сервер, нет geo-разблокировки.

Сценарий 2. AdGuard VPN как клиент на MikroTik (через WireGuard)

AdGuard VPN официально поддерживает WireGuard. Это быстрее и современнее IPsec.

Почему WireGuard лучше IPsec здесь:
- Меньше задержка: +5–10 мс против +20–50 мс у IPsec.
- Автоматическое восстановление соединения.
- Проще настраивать split tunneling через политики маршрутизации.

Как сделать:
1. В личном кабинете AdGuard VPN скачайте конфиг .conf.
2. Импортируйте его в MikroTik: /interface wireguard add ...
3. Назначьте интерфейсу IP-адрес из пула AdGuard.
4. Создайте маршрут по умолчанию через этот интерфейс.
5. Настройте DNS на интерфейсе: 8.8.8.8 или 176.103.130.130 (AdGuard DNS).

Не забудьте отключить IPv6 или добавить для него отдельный маршрут!

Сценарий 3. Только AdGuard Home + защита от утечек

Если вам не нужен VPN, а только фильтрация:
- Установите AdGuard Home.
- Заблокируйте внешние DNS-запросы на MikroTik:
/ip firewall filter add chain=forward dst-port=53 protocol=udp action=drop comment="Block external DNS" add chain=forward dst-port=53 protocol=tcp action=drop
- Разрешите только запросы к локальному AdGuard.

Это защитит от DNS-утечек даже если приложение игнорирует системные настройки.

Таблица: сравнение реальных VPN-решений для MikroTik (2026)

Цены указаны по курсу ЦБ РФ на март 2026 года. Скорость измерялась через iPerf3 между Москвой и Франкфуртом.

Открой мир без границ🌍

Диагностика утечек: что проверять после настройки

1. DNS-утечка: зайдите на ipleak.net. Должен отображаться только IP и DNS вашего VPN.
2. WebRTC-утечка: откройте browserleaks.com/webrtc. Локальный IP не должен светиться.
3. IPv6-утечка: если IPv6 включён, но не маршрутизирован через VPN — весь трафик пойдёт в обход.
4. Kill switch: отключите питание сервера или имитируйте обрыв. Через 10 секунд ни одно устройство не должно иметь доступа в интернет.
5. Split tunneling: если вы настроили исключения (например, торренты напрямую), проверьте, что остальной трафик действительно идёт через туннель.

Вывод

adguard vpn mikrotik настройка ipsec — технически возможна, но часто избыточна. AdGuard VPN не поддерживает IPsec, а значит, вы либо используете сторонний IPsec-сервер (теряя преимущества AdGuard), либо пытаетесь совместить AdGuard Home с IPsec (что требует глубоких знаний MikroTik). Для большинства пользователей в России оптимальнее выбрать WireGuard: он быстрее, современнее и проще в диагностике. Если же вы настаиваете на IPsec — убедитесь, что настроили NAT-T, отключили IPv6 и проверили kill switch после каждой перезагрузки. И помните: никакой VPN не спасёт от фишинга или вредоносного ПО. Защита начинается с осознанного поведения, а не с протокола в настройках.

VPN замедляет интернет на сколько реально?

Зависит от протокола и расстояния до сервера. WireGuard: −3–8%. IPsec/IKEv2: −5–15%. OpenVPN (TCP): −10–30%. На канале 100 Мбит/с потеря 5–10 Мбит/с — норма. Но если скорость падает ниже 50 Мбит/с — проблема в сервере или DPI провайдера (например, МТС может искусственно тормозить туннели).

Меня найдёт спецслужба при использовании VPN?

Если вы не совершаете тяжкие преступления — нет. Но если дело возбуждено, провайдер VPN может быть обязан выдать данные по решению суда. AdGuard заявляет, что не хранит логи, но юридически обязан сотрудничать с властями Кипра. В России использование VPN для обхода блокировок не является уголовным преступлением, но может привести к предупреждению от Роскомнадзора.

WireGuard или OpenVPN — что безопаснее?

Оба используют AES-256 или ChaCha20 — криптографически надёжны. Но WireGuard проще (меньше кода = меньше уязвимостей), поддерживает perfect forward secrecy «из коробки» и быстрее восстанавливает соединение. OpenVPN гибче в настройке, но уязвим к атакам через TCP (например, slowloris). Для MikroTik предпочтителен WireGuard.

Открой мир без границ🌍

Можно ли использовать AdGuard Home вместо платного VPN?

Да, но только для блокировки рекламы и трекеров. AdGuard Home не шифрует трафик и не скрывает ваш IP. Ваш провайдер (Ростелеком, Дом.ru) всё равно видит, какие сайты вы посещаете. Для защиты в публичных Wi-Fi или обхода цензуры нужен именно VPN.

Как проверить, не подделан ли kill switch?

Отключите интернет на стороне сервера (или заблокируйте порт 51820/500 на MikroTik). Через 15 секунд запустите ping 8.8.8.8 с клиента. Если пакеты уходят — kill switch не работает. Настоящий kill switch должен блокировать ВЕСЬ трафик, пока туннель не восстановлен.

Почему мой IPsec-туннель рвётся каждые 30 минут?

Скорее всего, истекает SA (Security Association) или IKE-сеанс. Проверьте параметры lifetime в настройках IPsec на MikroTik и сервере. Установите одинаковые значения: например, `sa-lifetime=1h`, `ike-lifetime=8h`. Также убедитесь, что на обоих концах включён NAT-T (UDP 4500).

Открой мир без границ🌍