настройка сервера wireguard на mikrotik

настройка сервера wireguard на mikrotik

Настройка сервера WireGuard на MikroTik: как не остаться без защиты

настройка сервера wireguard на mikrotik — это не просто «включил и забыл». Это точная настройка криптографии, firewall и маршрутизации на устройстве, которое часто стоит у вас дома или в офисе. Если сделать всё правильно, вы получите быстрый, современный и безопасный туннель. Если ошибиться — трафик пойдёт мимо, логи останутся, а анонимность исчезнет.

Почему ваш домашний MikroTik — идеальный WireGuard-сервер

MikroTik давно перестал быть «железом для провайдеров». Сегодня hAP, RB, Chateau и другие модели стоят в квартирах миллионов россиян. Они надёжны, энергоэффективны и с RouterOS v7+ поддерживают WireGuard «из коробки».

Преимущества собственного сервера:

• Нет логов — вы контролируете всё. Никаких «мы храним IP 30 дней по закону».
• Скорость ближе к провайдерской — нет перегрузки чужих серверов.
• Полный контроль над split tunneling — решайте сами, что идёт через VPN, а что — напрямую.
• Защита всех устройств — от смартфона до умного чайника.

Но есть нюанс: настройка требует понимания не только WireGuard, но и особенностей RouterOS.

Чего вам НЕ говорят в других гайдах

Большинство инструкций в рунете сводятся к трём командам в терминале. Это опасно. Вот что упускают:

Бесплатные «альтернативы» — это бизнес на ваших данных

Многие советуют использовать Hola, Betternet или «бесплатные серверы в облаке». Помните: если вы не платите — вы товар. Hola в 2019 году продавала пользовательский трафик как прокси-сеть. Бесплатные сервисы собирают:

• Историю посещений
• DNS-запросы
• MAC-адреса устройств
• Данные аккаунтов (если вы авторизованы)

Стоимость реального сервера — от $5/мес (Hetzner, DigitalOcean). Если сервис «бесплатный» — спросите, на чём он живёт.

Kill switch — не волшебная кнопка

WireGuard сам по себе не блокирует трафик при обрыве. Без правильных правил firewall весь ваш трафик пойдёт в обход туннеля. Особенно критично для торрентов или при работе в публичном Wi-Fi.

На MikroTik kill switch реализуется через цепочку forward:

/ip firewall filter
add chain=forward out-interface=!wg0 action=drop

Это запрещает любой трафик, кроме идущего через интерфейс wg0.

Юрисдикция 14 Eyes — даже у «приватных» провайдеров

Если вы арендуете VPS для своего сервера, проверьте юрисдикцию хостинга. Сервисы в США, Великобритании, Нидерландах обязаны передавать данные по запросу спецслужб. Выбирайте Швейцарию, Румынию, Сингапур — там законы строже к запросам.

Fake-утечки через WebRTC и DNS

Даже при работающем WireGuard браузер может раскрыть ваш реальный IP через WebRTC. Проверяйте на browserleaks.com. Аналогично — DNS-запросы могут уходить к провайдеру, если не настроить DNS-over-HTTPS или форвардинг через туннель.

Отсутствие аудитов у «самописных» решений

WireGuard прошёл независимые аудиты (Cure53, Quarkslab). Но если вы используете сторонний скрипт для генерации конфигов — проверьте его код. Многие «удобные генераторы» добавляют backdoor или отправляют ключи на удалённый сервер.

Пошаговая настройка: от ключей до интернета

Шаг 1. Генерация ключей

На MikroTik выполните:

/interface/wireguard
generate-key

Скопируйте public-key и private-key. Не показывайте private-key никому.

Шаг 2. Создание интерфейса

/interface/wireguard
add name=wg0 listen-port=51820 private-key="ваш_private_key"

Шаг 3. Настройка адреса туннеля

/ip address
add address=10.200.200.1/24 interface=wg0

Шаг 4. Правила firewall

Разрешите входящие подключения:

/ip firewall filter
add chain=input protocol=udp dst-port=51820 action=accept comment="Allow WireGuard"

Включите NAT для выхода в интернет:

/ip firewall nat
add chain=srcnat out-interface=ether1 src-address=10.200.200.0/24 action=masquerade

Шаг 5. Peer (клиент)

Добавьте клиента:

/interface/wireguard peers
add interface=wg0 public-key="публичный_ключ_клиента" allowed-address=10.200.200.2/32

Шаг 6. Конфигурация клиента

На клиенте (Windows, Android, Linux) создайте файл wg0.conf:

[Interface]
PrivateKey = ваш_приватный_ключ_клиента
Address = 10.200.200.2/24
DNS = 8.8.8.8

[Peer]
PublicKey = публичный_ключ_сервера
Endpoint = ваш_IP_или_DNS:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

PersistentKeepalive = 25 обязателен, если клиент за NAT (например, мобильный интернет).

Тонкая настройка: MTU, DPI и скорость

Проблема MTU

По умолчанию WireGuard использует MTU 1420. Но если ваш провайдер (например, Ростелеком) использует PPPoE (MTU 1492), возможны фрагментация и обрывы. Лучше установить:

/ip neighbor discovery-settings
set discover-interface-list=!dynamic

/interface/wireguard
set wg0 mtu=1360

Обход DPI

Провайдеры применяют Deep Packet Inspection для блокировки VPN. WireGuard легко маскируется под обычный UDP-трафик. Для большей стойкости:

• Используйте нестандартный порт (например, 443/UDP).
• Настройте obfs4 или Shadowsocks поверх WireGuard (требует внешнего сервера).
• Избегайте известных IP-диапазонов дата-центров.

Реальная скорость

На MikroTik hAP ac² (RouterOS v7.15) WireGuard даёт:

• Задержка: +5–8 мс
• Пропускная способность: 92–97% от исходной
• CPU load: ~15% при 100 Мбит/с

На старых моделях (RB951Ui) — до 40 Мбит/с максимум.

Сравнение протоколов для MikroTik

WireGuard побеждает по скорости и простоте, но требует RouterOS v7+. На старых версиях остаётся только IPsec.

Сценарии использования в России

Журналист в командировке

Подключается к домашнему MikroTik через WireGuard. Все материалы передаются через зашифрованный канал. Провайдер в отеле видит только трафик к вашему IP.

Айтишник в кофейне

Публичный Wi-Fi в «Кофемании» — рассадник снифферов. WireGuard шифрует весь трафик. Даже если кто-то перехватит пакеты — внутри только мусор.

Торренты без риска

Настройте отдельный peer только для торрент-клиента. В правилах firewall разрешите только нужные порты. При обрыве — kill switch блокирует всё.

Обход блокировок

Telegram, YouTube, Twitter — недоступны у многих провайдеров (МТС, Дом.ru). Через WireGuard вы выходите из-под блокировок, так как трафик не фильтруется по содержимому.

Защита IoT-устройств

Умные лампочки, камеры, холодильники часто слушают наружу. Перенаправьте их трафик через WireGuard — и они не смогут отправлять данные напрямую.

Диагностика и тестирование

После настройки обязательно проверьте:

1. Утечка IP: ipleak.net — должен показывать IP вашего сервера.
2. WebRTC leak: browserleaks.com/webrtc — отключите в браузере или используйте Firefox с media.peerconnection.enabled = false.
3. DNS leak: dnsleaktest.com — все запросы должны идти через указанный DNS.
4. Kill switch: отключите интерфейс WireGuard — интернет должен пропасть полностью.

WireGuard или OpenVPN — что безопаснее?

Оба протокола криптографически стойкие. WireGuard проще, быстрее и имеет меньше кода (меньше уязвимостей). OpenVPN проверен временем, но сложнее в настройке и медленнее. Для MikroTik с RouterOS v7+ предпочтителен WireGuard.

📖Свобода информации

Меня найдёт спецслужба при использовании VPN?

Если вы используете собственный сервер WireGuard на MikroTik без логов — шанс минимален. Но если подключаетесь к коммерческому VPN с юрисдикцией в 14 Eyes (например, США), провайдер может передать данные по запросу. Сам WireGuard не скрывает факт подключения.

VPN замедляет интернет на сколько реально?

На MikroTik hAP ac² с WireGuard потеря скорости — 3–8% на гигабитном канале. На старых устройствах (RB951) — до 30%. Всё зависит от CPU и поддержки аппаратного ускорения шифрования.

Нужен ли мне kill switch на роутере?

Да. Без него при обрыве туннеля весь трафик пойдёт в обход VPN. На MikroTik это реализуется через firewall: разрешать исходящий трафик только через интерфейс WireGuard.

⚙️Технология доступа

Можно ли обойти блокировку Telegram через свой WireGuard?

Да, если ваш сервер находится за пределами РФ. Провайдеры (Ростелеком, МТС) блокируют по IP и DPI, но не могут фильтровать зашифрованный UDP-трафик к вашему серверу без расшифровки.

Что делать, если WireGuard не подключается?

Проверьте: 1) открыт ли порт 51820/UDP на MikroTik и в облаке; 2) правильность public/private ключей; 3) правило NAT для выхода в интернет; 4) MTU (попробуйте 1360); 5) firewall input chain — должен разрешать UDP на порт WireGuard.

Вывод

настройка сервера wireguard на mikrotik — это мощный инструмент для тех, кто ценит контроль над своими данными. Вы получаете современное шифрование, минимальную задержку и защиту от слежки провайдера. Но успех зависит от деталей: правильного firewall, проверки утечек, выбора юрисдикции сервера и отказа от «бесплатных» решений. Не экономьте на безопасности — потратьте вечер на настройку, и ваши данные останутся вашими.