как настроить vpn на mikrotik

как настроить vpn на mikrotik

Как настроить VPN на MikroTik без ошибок и утечек

Подробный гайд: как настроить vpn на mikrotik — с защитой от DNS-утечек, kill switch и выбором протокола. Настрой за 20 минут!

как настроить vpn на mikrotik — задача, с которой сталкиваются администраторы, фрилансеры и даже продвинутые домашние пользователи в России. Но большинство руководств сводятся к «скопируй эти строки» без объяснения, почему они работают — и где подводные камни. В этом материале разберём не только шаги конфигурации, но и то, что скрывают другие гайды: реальные риски логирования, поддельные kill switch, уязвимости протоколов и способы обхода DPI провайдеров вроде Ростелекома или МТС.

Почему ваш «безопасный» трафик всё ещё виден провайдеру

Даже после настройки VPN на MikroTik вы можете оставлять следы. Причины — не в самом роутере, а в том, как вы его настраиваете.

Утечки DNS
Если DNS-запросы уходят напрямую через WAN-интерфейс, провайдер видит, какие сайты вы открываете. Это происходит, когда:
- Вы не перенаправили DNS через туннель.
- Используете сторонний DNS (например, 8.8.8.8) без принудительного маршрута.
- Не отключили «Allow remote requests» в настройках DNS MikroTik.

Решение: задайте use-peer-dns=no в PPP-профиле и укажите DNS-сервер внутри туннеля (например, от Cloudflare или вашего корпоративного резолвера).

Утечки WebRTC
Это браузерная проблема, но она актуальна при использовании MikroTik как шлюза для всех устройств. WebRTC может раскрыть ваш реальный IP даже при активном VPN. Проверьте это на browserleaks.com/webrtc. Защита — отключение WebRTC в браузере или блокировка STUN-трафика на уровне роутера через Layer7-фильтры.

Отсутствие kill switch
Если соединение с VPN-сервером обрывается, MikroTik по умолчанию вернёт весь трафик в интернет через основной канал. Это особенно опасно при работе с торрентами или в публичных Wi-Fi сетях. Настоящий kill switch требует строгих правил в firewall:

/ip firewall filter
add chain=forward out-interface=ether1 action=drop comment="Kill switch: block internet if VPN down"

Но это правило должно активироваться только при отсутствии активного туннеля — иначе вы сами себя заблокируете.

Чего вам НЕ говорят в других гайдах

Большинство инструкций «как настроить vpn на mikrotik» замалчивают ключевые риски:

Бесплатные VPN — это сбор данных
Сервер стоит минимум $5/мес в облаке. Если сервис бесплатный — он монетизирует вас. Например, Hola VPN в 2019 году превратила пользователей в прокси-ботнет. Другие «бесплатники» продают историю посещений рекламным сетям.

Логи могут быть обязательными по закону
Даже если провайдер заявляет «no logs», в юрисдикциях типа США, Великобритании или стран «14 Eyes» он обязан хранить метаданные по запросу суда. В России — аналогично: ФСБ может потребовать данные по статье 10.1 закона №149-ФЗ. Поэтому выбирайте юрисдикцию вне этих зон (Швейцария, Панама, Сейшельские острова).

Поддельный kill switch
Некоторые клиенты эмулируют kill switch, но на деле просто показывают уведомление. Реальная защита — это блокировка всего исходящего трафика, кроме туннеля. На MikroTik это делается через firewall, а не через GUI.

Отсутствие независимых аудитов
Многие провайдеры пишут «аудировано», но не публикуют отчёты. Ищите проверенных: ProtonVPN (аудит Quarkslab), Mullvad (Cure53), IVPN. Без открытого отчёта — нет доверия.

Fake-утечки на тестовых сайтах
Сайты вроде ipleak.net иногда показывают IPv6-адрес, даже если он не используется. Это не утечка, а особенность браузера. Отключите IPv6 на MikroTik, если не используете:

/ipv6 settings set disable-running=yes

WireGuard vs OpenVPN vs IPsec: что выбрать для MikroTik

MikroTik поддерживает все три протокола, но с разной степенью зрелости.

WireGuard — самый быстрый и простой, но не поддерживает динамические IP на сервере без дополнительных скриптов.
OpenVPN — универсальный, отлично работает через порт 443/TCP, маскируясь под HTTPS.
IPsec — стандарт для корпоративных сетей, но сложен в отладке и часто ломается при NAT.

Совет: для обхода блокировок РКН используйте OpenVPN на TCP 443 с TLS-auth и cert-аутентификацией. Это снижает шансы на детектирование DPI.

Пошаговая настройка OpenVPN на MikroTik (RouterOS v7)

Этот сценарий подходит для подключения к внешнему VPN-провайдеру (например, Mullvad или IVPN) или к своему серверу.

Шаг 1. Подготовка сертификатов
Если ваш провайдер даёт .ovpn-файл:
- Извлеките CA, клиентский сертификат и ключ.
- Загрузите их в MikroTik через WinBox: Files → Upload.

Имена файлов:
- ca.crt
- client.crt
- client.key

Шаг 2. Создание OpenVPN-клиента

/interface ovpn-client
add name=ovpn-out \
    connect-to=your.vpn.server \
    port=443 \
    protocol=tcp \
    certificate=client \
    auth=sha1 \
    cipher=aes256 \
    add-default-route=yes \
    use-peer-dns=no \
    user=your_username \
    password=your_password

Важно: add-default-route=yes перенаправит весь трафик через VPN. Для split tunneling уберите этот параметр и настройте маршруты вручную.

Шаг 3. Защита от утечек
Запретите любой трафик, кроме туннеля:

/ip firewall filter
add chain=forward out-interface=ether1-gateway action=drop comment="Block non-VPN traffic"
add chain=forward out-interface=ovpn-out action=accept comment="Allow VPN traffic"

Замените ether1-gateway на ваш WAN-интерфейс.

Шаг 4. DNS через туннель
Укажите DNS-сервер внутри туннеля:

/ip dns
set servers=10.8.0.1 allow-remote-requests=no

(10.8.0.1 — пример IP DNS на стороне сервера)

Шаг 5. Автоматический перезапуск при обрыве
RouterOS автоматически пытается переподключиться, но можно добавить скрипт-монитор:

/system script
add name=check-vpn owner=admin policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon source={
    :if ([/interface ovpn-client get ovpn-out running] = false) do={
        /interface ovpn-client disable ovpn-out;
        :delay 3s;
        /interface ovpn-client enable ovpn-out;
    }
}
/system scheduler
add name=monitor-vpn interval=1m on-event=check-vpn

Сценарии использования в реальных условиях

Журналист в командировке
Подключается к кафе с публичным Wi-Fi. Без VPN — любой в сети может перехватить трафик (MITM). С MikroTik в роли точки доступа и OpenVPN на TCP 443 — трафик зашифрован и выглядит как обычный HTTPS.

IT-специалист на кофе
Работает с корпоративной инфраструктурой через IPsec-туннель. MikroTik настраивается как L2TP/IPsec-клиент с предварительным общим ключом (PSK). Все RDP/SSH-сессии идут через защищённый канал.

Пользователь торрентов
Включает kill switch и направляет только торрент-трафик через VPN (split tunneling по портам):

/ip firewall mangle
add chain=prerouting protocol=tcp dst-port=6881-6999 action=mark-routing new-routing-mark=torrent-vpn
/ip route
add routing-mark=torrent-vpn gateway=ovpn-out

Обход блокировки Telegram
Провайдеры РКН блокируют IP Telegram через DPI. OpenVPN на порту 443 обходит это, так как трафик неотличим от обычного HTTPS. MikroTik перенаправляет весь трафик в туннель — мессенджер работает без прокси.

Защита от WebRTC-утечек в умном доме
Устройства (камеры, колонки) не умеют отключать WebRTC, но MikroTik может блокировать STUN-запросы:

/ip firewall layer7-protocol
add name=stun regexp="^.{0,100}(STUN|stun)"
/ip firewall filter
add chain=forward layer7-protocol=stun action=drop

Бесплатный VPN — почему это ловушка

Рассмотрим цифры:
- Аренда VPS с 1 Гбит/с — от $5/мес.
- Трафик 1 ТБ — ещё $10–20.
- Поддержка, лицензии, безопасность — минимум $50/мес на инфраструктуру.

Бесплатный сервис не может покрыть расходы без монетизации пользователя. Способы:
- Продажа истории посещений.
- Вставка рекламы через MITM (подмена JS).
- Использование устройства в P2P-прокси (как Hola).
- Сбор паролей через фишинговые страницы.

В 2023 году исследователи обнаружили, что 6 из 10 бесплатных Android-VPN передавали данные третьим лицам. В России такие сервисы могут быть заблокированы Роскомнадзором, но до этого — уже успеют украсть ваши данные.

Split tunneling: как направить часть трафика через VPN

Не всегда нужно шифровать всё. Например, стриминг Netflix лучше гнать напрямую, а банковские операции — через VPN.

На MikroTik это делается через маркировку трафика и политики маршрутизации.

Пример: только трафик к bank.ru идёт через VPN.

/ip firewall mangle
add chain=prerouting dst-address-list=bank-sites action=mark-routing new-routing-mark=secure-vpn

/ip route
add routing-mark=secure-vpn gateway=ovpn-out

/ip firewall address-list
add list=bank-sites address=195.162.0.0/16   # Пример IP банка
add list=bank-sites address=bank.ru

Для доменных имён используйте DNS-резолвер MikroTik с динамическим обновлением списка адресов.

Диагностика: как проверить, что всё работает

1. Проверка IP: зайдите на ipleak.net. Должен отображаться IP VPN-сервера.
2. DNS-утечки: на том же сайте — раздел DNS. Все серверы должны быть от провайдера VPN.
3. WebRTC: browserleaks.com/webrtc — должен показывать только VPN-IP.
4. Kill switch: отключите кабель от WAN на 10 секунд. Попытка открыть сайт должна завершиться ошибкой, а не переключением на реальный IP.
5. Трафик в Wireshark: запустите сниффер на WAN-порту. При активном VPN вы не должны видеть HTTP/HTTPS-пакеты — только зашифрованный трафик на порт 443 или 51820.

Вывод

как настроить vpn на mikrotik — это не просто «включить клиент». Это комплекс мер: выбор протокола с учётом DPI провайдеров, настройка firewall для предотвращения утечек, реализация настоящего kill switch и регулярная диагностика. MikroTik даёт полный контроль, но требует понимания сетевой безопасности. Если вы просто скопируете конфиг из интернета без проверки DNS, маршрутов и политик — ваш трафик останется уязвимым. Настоящая защита начинается там, где заканчиваются шаблонные гайды.

VPN замедляет интернет на сколько реально?

Зависит от протокола и сервера. WireGuard — +5–15 мс пинга и 90–97% от скорости канала. OpenVPN/TCP — до 30% потерь при высоком ping. На MikroTik RB951 с 100 Мбит/с вы получите ~85 Мбит/с через OpenVPN и ~95 Мбит/с через WireGuard.

Меня найдёт спецслужба при использовании VPN?

Если вы используете надёжного провайдера вне юрисдикции 14 Eyes и не оставляете цифровых следов (логины, оплаты картой), шансы минимальны. Но если вы входите в аккаунты, привязанные к реальному имени, — VPN не спасёт. Также помните: в РФ использование анонимайзеров для доступа к запрещённым ресурсам может повлечь административную ответственность.

WireGuard или OpenVPN — что безопаснее?

Оба используют современное шифрование. WireGuard проще и быстрее, но менее гибок в обходе блокировок. OpenVPN с TLS 1.3 и AES-256-GCM считается «золотым стандартом» для цензуры. Безопасность зависит не от протокола, а от его реализации и конфигурации.

Открой мир без границ🌍

Можно ли использовать MikroTik как VPN-сервер для удалённых сотрудников?

Да. RouterOS поддерживает L2TP/IPsec, OpenVPN и WireGuard в режиме сервера. Для корпоративного доступа рекомендуется IPsec с двухфакторной аутентификацией. Не забудьте ограничить диапазон IP и включить логирование подключений.

Что делать, если VPN постоянно отваливается?

Проверьте стабильность интернета, MTU (установите 1400 для OpenVPN/TCP), наличие keepalive в конфиге. На MikroTik добавьте скрипт переподключения (см. выше). Также убедитесь, что на сервере не включена опция «duplicate-cn» при множественных подключениях.

Нужно ли отключать IPv6 при использовании VPN?

Да. Если IPv6 включён, а VPN его не поддерживает, браузер может отправить запросы через IPv6, минуя туннель. Это классическая утечка. Лучше отключить IPv6 глобально: /ipv6 settings set disable-running=yes.

⚙️Технология доступа