настройка vpn туннеля mikrotik

На обоих роутерах:

/ip ipsec peer
add address=ПУБЛИЧНЫЙ_IP_ВТОРОГО address-type=unicast exchange-mode=ike2 \
    local-address=ПУБЛИЧНЫЙ_IP_ЭТОГО passive=no secret=strongPSK123!

Не используйте слабые PSK! Длина — минимум 20 символов, смесь букв, цифр, спецсимволов.

Шаг 2. Создание proposal

/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha256 enc-algorithms=aes-256-cbc pfs-group=modp2048

Здесь мы явно указываем AES-256 и PFS через Diffie-Hellman group 14 (modp2048). Это соответствует стандарту NIST и защищает от downgrade-атак.

Шаг 3. Policy для трафика

/ip ipsec policy
add dst-address=192.168.2.0/24 src-address=192.168.1.0/24 tunnel=yes

Это правило шифрует весь трафик между локальными сетями.

Открой мир без границ🌍

Шаг 4. Проверка

/tool flood-ping 192.168.2.1 count=10 interval=0.1
/ip ipsec remote-peers print

Если в remote-peers появился активный SA (Security Association) — туннель работает.

WireGuard: настройка с нуля на RouterOS v7
WireGuard проще и быстрее. Вот как поднять клиент-серверную связку.

На сервере (публичный IP):

/interface wireguard
add listen-port=51820 name=wg0 private-key="SERVER_PRIVATE_KEY"

/ip address
add address=10.100.0.1/24 interface=wg0

/ip route
add dst-address=10.100.0.2/32 gateway=wg0

/interface wireguard peers
add allowed-address=10.100.0.2/32 endpoint-address=CLIENT_PUBLIC_IP endpoint-port=51820 \
    interface=wg0 public-key="CLIENT_PUBLIC_KEY"

На клиенте (домашний MikroTik):

/interface wireguard
add name=wg-client private-key="CLIENT_PRIVATE_KEY"

/ip address
add address=10.100.0.2/24 interface=wg-client

/ip route
add dst-address=0.0.0.0/0 gateway=wg-client routing-table=main

/interface wireguard peers
add allowed-address=0.0.0.0/0 endpoint-address=SERVER_PUBLIC_IP endpoint-port=51820 \
    interface=wg-client public-key="SERVER_PUBLIC_KEY"

Обратите внимание: allowed-address=0.0.0.0/0 на клиенте означает full tunnel. Для split tunneling укажите только нужные подсети (например, 192.168.10.0/24,8.8.8.8/32).
⚙️Технология доступа

Split tunneling: отправляй только нужное через VPN
Полный туннель — не всегда лучший выбор. Например, стриминг YouTube через зарубежный сервер замедлит загрузку. А торренты — наоборот, должны идти только через VPN.

На MikroTik это делается через маркировку соединений и отдельную таблицу маршрутизации.

Пример: торренты через VPN, остальное — напрямую.

/ip firewall mangle
add chain=prerouting dst-port=6881-6999 protocol=tcp action=mark-connection new-connection-mark=torrent_conn
add chain=prerouting connection-mark=torrent_conn action=mark-routing new-routing-mark=vpn_route

/ip route
add dst-address=0.0.0.0/0 gateway=wg0 routing-mark=vpn_route

Теперь только торрент-трафик пойдёт через WireGuard.

Чего вам НЕ говорят в других гайдах
Большинство инструкций заканчиваются на «туннель поднят — всё работает». Но реальные риски начинаются после этого.

DNS-утечки через DHCP

MikroTik по умолчанию раздаёт клиентам DNS-сервер провайдера (например, 8.8.8.8 от Google или 77.88.8.8 от Яндекса). Если вы не перенаправляете DNS-запросы через VPN, сайт узнает ваш реальный регион.

Открой мир без границ🌍

Решение: настройте локальный DNS-резолвер и форвард через туннель:

/ip dns
set servers=1.1.1.1 allow-remote-requests=yes

/ip firewall nat
add chain=dstnat dst-port=53 protocol=udp action=dst-nat to-addresses=1.1.1.1 to-ports=53
add chain=dstnat dst-port=53 protocol=tcp action=dst-nat to-addresses=1.1.1.1 to-ports=53

Или используйте DoH/DoT через внешний прокси.

WebRTC-утечки в браузере

Даже при идеальном туннеле браузер может раскрыть ваш локальный IP через WebRTC. Это особенно актуально для Chrome и Firefox на Windows/Linux.

Проверка: зайдите на browserleaks.com/webrtc. Если отображается ваш реальный IP — нужно отключать WebRTC или использовать расширения (uBlock Origin с правилами).

Kill switch — не всегда работает

Многие думают: «если VPN отвалится, интернет пропадёт». Но на MikroTik это требует ручной настройки firewall:

/ip firewall filter
add chain=forward out-interface=WAN action=drop comment="Kill switch: block if no VPN"

И только если трафик не помечен как «разрешённый через туннель». Без этого правило — бесполезно.

Бесплатные «облачные» VPN-сервисы — ловушка

Сервисы вроде «бесплатный WireGuard от неизвестной компании» часто:
- Собирают логи (даже если заявляют обратное);
- Продают трафик рекламодателям;
- Используют устаревшие ключи шифрования.

Например, в 2023 году Hola VPN (бывший «бесплатный прокси») был пойман на продаже пользовательского трафика третьим лицам. Аренда одного сервера в Германии стоит от $5/мес. Если сервис бесплатный — вы и есть товар.

Юрисдикция и «no-log policy»

Даже если вы сами разворачиваете сервер, выбирайте страну вне 14 Eyes (США, Великобритания, Канада и др.). В России действует закон о хранении данных — ваш VPS-провайдер может быть обязан передавать информацию по запросу.

Провайдер VPS	Юрисдикция	Требует ли хранение логов по закону?	Поддержка IPv6	Цена (от, $/мес)
Hetzner	Германия	Да (по запросу суда)	Да	4.50
OVH	Франция	Да	Да	3.99
DigitalOcean	США	Да (FISA 702)	Да	4.00
RamNode	США	Да	Ограничено	3.50
LeaseWeb	Нидерланды	Нет (при условии no-log политики)	Да	5.20

Вывод: даже технически идеальный туннель может быть скомпрометирован юридически.

Сценарии использования в реальной жизни
Журналист в командировке

Подключается к Wi-Fi в аэропорту Домодедово. Через MikroTik (в роли travel router) весь трафик идёт через WireGuard-сервер в Нидерландах. DNS и WebRTC заблокированы. Split tunneling отключён — безопасность важнее скорости.

IT-специалист в кофейне

Работает с корпоративной базой данных. Использует IPsec с сертификатами и двухфакторной аутентификацией. Только трафик к внутреннему IP (10.0.0.0/24) идёт через туннель. Остальное — напрямую.

Пользователь торрентов

Раздаёт Linux-дистрибутивы. На MikroTik настроен kill switch и принудительный маршрут для портов 6881–6999 через зарубежный WireGuard-сервер. Проверяет утечки раз в неделю через ipleak.net.

Обход блокировок мессенджеров

Когда Роскомнадзор блокирует Telegram, обычный HTTPS-прокси не спасает — сработает DPI. Но WireGuard на нестандартном порту (например, 443/UDP) часто проходит незамеченным. Особенно если трафик маскируется под QUIC.

Защита от MITM в публичных сетях

В кафе «Кофемания» злоумышленник запускает Evil Twin. Без VPN ваш трафик перехватывается. С MikroTik и IPsec + сертификатами — даже при подключении к фальшивой точке данные остаются зашифрованы.

FAQ

VPN замедляет интернет на сколько реально?

Зависит от протокола и железа. На MikroTik hAP ac² (CPU 880 МГц):
— IPsec: ~400 Мбит/с;
— OpenVPN: ~80 Мбит/с;
— WireGuard: ~480 Мбит/с.
Потери пинга: 3–10 мс при хорошем сервере. При выборе удалённого сервера (США из Москвы) — до 150 мс.

Меня найдёт спецслужба при использовании VPN?

Если вы используете коммерческий VPN без аудита и с логами — да, по запросу суда. Если вы сами управляете сервером в дружественной юрисдикции и не оставляете цифровых следов (логины, оплата картой) — шансы стремятся к нулю. Но помните: VPN скрывает IP, а не действия. Если вы авторизованы в аккаунте — вас найдут по нему.

WireGuard или OpenVPN — что безопаснее?

WireGuard безопаснее с точки зрения криптографии: современные алгоритмы, меньше кода = меньше багов. OpenVPN безопасен, если правильно настроен (TLS 1.3, AES-256-GCM, PFS). Но он уязвим к утечкам через OpenSSL и медленнее. Для большинства пользователей WireGuard — лучший выбор.

Как проверить, не утекает ли мой IP?

Используйте:
— ipleak.net — проверка IP, DNS, WebRTC;
— browserleaks.com/ip — детекция реального IP через JavaScript;
— curl ifconfig.me в терминале — покажет внешний IP туннеля.

📖Свобода информации

Можно ли настроить VPN на старом MikroTik (RouterOS v6)?

Да, но с ограничениями. WireGuard недоступен официально. OpenVPN работает, но без аппаратного ускорения. IPsec возможен, но без поддержки IKEv2 на некоторых моделях. Рекомендуется обновиться до v7, если оборудование позволяет.

Что делать, если туннель постоянно рвётся?

Проверьте:
— NAT keepalive (для IPsec: /ip ipsec peer set [find] dpd-interval=10s);
— MTU/MSS (часто помогает /ip firewall mangle add chain=forward protocol=tcp tcp-flags=syn action=change-mss new-mss=1300);
— стабильность интернета на клиенте (особенно на LTE).

Вывод

настройка vpn туннеля mikrotik — это не просто активация функции в веб-интерфейсе. Это комплекс мер: выбор протокола с учётом угроз, настройка split tunneling, защита от DNS/WebRTC-утечек, реализация kill switch и осознанный выбор юрисдикции сервера. MikroTik даёт инструменты для всего этого, но требует глубокого понимания сетевой безопасности. Если вы просто «поднимете туннель», не проверив логику маршрутизации и поведение при обрыве — вы получите иллюзию защиты. Настоящая безопасность рождается в деталях: в правильном proposal IPsec, в запрете локального DNS, в тестировании через ipleak.net. Только так настройка vpn туннеля mikrotik станет реальным щитом, а не декорацией.