MikroTik как VPN‑сервер: WireGuard на RouterOS 7.16 — пошаговый гайд для дома

Введение

В этом руководстве вы настроите домашний VPN‑сервер на роутере MikroTik с помощью WireGuard в RouterOS 7.16. В результате вы получите безопасное шифрованное соединение из любой точки мира к вашей домашней сети и интернету через свой дом. Вы сможете подключать телефоны, ноутбуки и планшеты, открыть доступ к NAS, камерам и принтерам, а также включать сплит‑туннель (только доступ к дому) или полный туннель (весь интернет через ваш дом).

Гайд написан для начинающих: мы разберем базовые принципы, пошагово создадим интерфейс WireGuard, настроим адреса, правила файрвола и NAT, откроем нужный порт, подключим клиентов на iOS, Android, Windows и macOS. Для продвинутых будет блок об оптимизации MTU, исключениях из FastTrack, работе с IPv6 и сценарии «сайт‑к‑сайту».

Перед стартом полезно понимать основы адресации в локальной сети и что такое порт на роутере, но мы все равно объясним критичные моменты простым языком. Время на выполнение — от 60 до 120 минут, включая тесты и устранение возможных проблем. Если у вас динамический внешний IP, мы подключим DDNS MikroTik, чтобы обращаться к дому по стабильному имени.

После прохождения инструкции вы будете уметь: поднять WireGuard‑сервер на MikroTik, открыть доступ через файрвол безопасно, выдать VPN‑адреса девайсам, выбрать режим маршрутизации трафика, проверить, что все работает, и быстро добавить новых пользователей.

Совет: Держите этот гайд открыт на ноутбуке, а WinBox или WebFig — в соседнем окне, чтобы повторять шаги без переключения контекста.

Предварительная подготовка

Прежде чем начать, убедимся, что у вас все готово и под рукой. Это сэкономит время и снизит риск ошибок.

Необходимые инструменты, программы и доступы

• Роутер MikroTik с поддержкой RouterOS 7.16 (подойдут hAP ac2/ac3, hAP ax2/ax3, RB4011, Chateau и т. п.).
• Доступ к админке: WinBox (Windows), WebFig (через браузер) или CLI (терминал/SSH).
• Смартфон и/или ноутбук для тестового клиента WireGuard.
• Права администратора на роутере (full). Пароль вы знаете и можете войти.
• Интернет‑подключение (DHCP/PPPoE/оптика), желательно белый IP. Если провайдер дает серый NAT (CGNAT), понадобится проброс портов с внешнего маршрутизатора или альтернативный доступ (например, через другой канал).

Системные требования и условия

• RouterOS 7.16 или новее. WireGuard полноценно поддерживается в ветке v7, поэтому обновитесь, если вы на 6.x.
• Достаточно свободной оперативной памяти (обычно 128 МБ и выше подходит для домашних сценариев).
• Свободный UDP‑порт на внешнем интерфейсе (по умолчанию используем 51820/UDP, но можно любой другой).

Что скачать и установить заранее

• WinBox — удобный инструмент от MikroTik для Windows; на macOS и Linux можно использовать WebFig в браузере.
• Приложение WireGuard для клиентов: iOS (App Store), Android (Google Play), Windows и macOS (официальные приложения WireGuard). Установка займет пару минут на каждом устройстве.

Резервное копирование конфигурации

Перед настройкой создадим резервную копию. Это позволит откатиться в один клик, если что-то пойдет не так.

1. Откройте WinBox и подключитесь к роутеру.
2. Перейдите в Files и нажмите кнопку Backup.
3. Задайте имя файла, например backup_before_wireguard.
4. Поставьте галочку Encryption и задайте пароль, чтобы защитить бэкап.
5. Сохраните файл на локальный компьютер через кнопку Download.

⚠️ Внимание: Держите бэкап и пароль в надежном месте. Резервная копия с паролем позволит восстановить роутер до рабочего состояния в случае ошибки.

Совет: Параллельно сохраните текущую конфигурацию через экспорт: откройте New Terminal и выполните команду /export file=pre_wg_config, затем скачайте файл pre_wg_config.rsc из Files.

Базовые понятия

Коротко разберем термины, чтобы вы уверенно читали шаги инструкции.

• WireGuard — современный VPN‑протокол с сильной криптографией и простыми настройками. Работает поверх UDP, строит туннель между «пирами» с парами ключей.
• Пир (peer) — участник туннеля WireGuard: сервер или клиент. Каждый пир имеет пару ключей (приватный и публичный), а также список AllowedIPs — какие адреса через этот пир допустимы.
• Интерфейс WireGuard — виртуальный сетевой интерфейс на MikroTik (например, wg-home). На нем мы назначаем адрес, по нему пойдет трафик клиентов.
• Listen Port — UDP‑порт, на котором WireGuard‑сервер ждет входящих подключений.
• AllowedIPs — «белый список» адресов, которые может анонсировать пир и которые через него маршрутизируются. На сервере это часто VPN‑адрес клиента, например 10.10.10.2/32. На клиенте это или целевые сети (сплит‑туннель), или весь трафик 0.0.0.0/0 (полный туннель).
• Сплит‑туннель — в туннель идет только трафик к домашним сетям и сервисам, а остальное в интернет — напрямую через мобильного провайдера или Wi‑Fi.
• Полный туннель — весь трафик клиента идет в интернет через ваш дом (на сервере включаем NAT для VPN‑подсети).
• DDNS — динамический DNS. На MikroTik есть встроенная служба, которая дает вам имя вида something.sn.mynetname.net и автоматически обновляет его при смене внешнего IP.
• FastTrack — ускорение соединений в MikroTik. Иногда его нужно корректно обойти для трафика через туннель, чтобы не терять управление сессиями.

Важно: в WireGuard нет «серверной сессии» в классическом смысле. Клиент отправляет первый пакет (инициирует), сервер принимает и запоминает «откуда пришло». Поэтому для клиентов за NAT полезен параметр Persistent Keepalive, чтобы поддерживать маршрут к ним активным.

Шаг 1: Обновляем RouterOS и готовим устройство

Цель этапа

Убедиться, что у нас RouterOS 7.16, правильное время на роутере и создан бэкап. Это база для стабильной работы WireGuard.

Пошаговая инструкция

1. Откройте WinBox или WebFig и выполните логин под администратором.
2. Перейдите в System → Packages и проверьте версию RouterOS.
3. Если версия ниже 7.16, перейдите в System → Packages → Check for Updates.
4. Выберите канал stable и обновитесь до 7.16 или новее.
5. После обновления дождитесь перезагрузки устройства и снова войдите.
6. Перейдите в System → Identity и задайте понятное имя роутера, например MT‑Home.
7. Перейдите в System → Clock и задайте правильный часовой пояс и время.
8. Откройте System → SNTP Client или System → NTP Client (в 7.16 используется NTP Client) и включите синхронизацию времени с публичными серверами.
9. Проверьте, что в IP → Addresses ваш интерфейс WAN получает внешний адрес (DHCP, PPPoE, статический — по ситуации).
10. Убедитесь, что в IP → Firewall → Filter есть базовые правила: разрешение established,related; запрет invalid; дроп всего лишнего на вход с WAN.

⚠️ Внимание: Не отключайте питание и не прерывайте обновление RouterOS. Если вы не уверены в стабильности электричества, подключите ИБП.

Совет: После обновления проверьте System → Routerboard → Upgrade (для обновления прошивки RB), затем перезагрузитесь, чтобы версии RouterOS и Routerboard совпали.

Ожидаемый результат

Роутер работает на RouterOS 7.16, время корректное, доступ к интернету есть, базовый файрвол активен, бэкап на руках.

Возможные проблемы и их решения

• Нет интернета после обновления → Проверьте, не сбрасывалась ли настройка PPPoE или VLAN на WAN, восстановите параметры из бэкапа.
• Часы не синхронизируются → Уточните DNS в IP → DNS; если пусто, пропишите 1.1.1.1 и 9.9.9.9 и снова включите NTP.
• WinBox не подключается → Включите MAC‑WinBox в Neighbors или используйте WebFig через браузер по IP LAN.

✅ Проверка: В System → Packages вы видите версию 7.16 или новее, в System → Clock правильное время, в IP → Firewall активны базовые правила защиты.

Шаг 2: Планируем адресацию и режим доступа

Цель этапа

Определить подсеть для WireGuard, режим маршрутизации (сплит или полный туннель), адрес DNS, порт и доменное имя для подключения извне.

Пошаговая инструкция

1. Выберите подсеть для VPN, отличную от вашей домашней LAN. Рекомендуем 10.10.10.0/24.
2. Задайте адрес сервера в этой подсети — 10.10.10.1/24 (интерфейс wg-home).
3. Определите, нужен ли сплит‑туннель (доступ только к домашним сетям) или полный туннель (весь трафик через дом).
4. Если сплит‑туннель, выпишите домашние сети, к которым нужен доступ, например 192.168.88.0/24 и 192.168.10.0/24.
5. Если полный туннель, учтите, что на роутере понадобится NAT для 10.10.10.0/24.
6. Выберите Listen Port для WireGuard, например 51820/UDP; можно использовать нестандартный порт, чтобы снизить шум от сканеров.
7. Проверьте, есть ли у вас белый внешний IP или серый CGNAT. Если серый, уточните у провайдера возможность публичного IP или организуйте проброс с внешнего маршрутизатора.
8. Включите DDNS MikroTik: IP → Cloud → Enable DDNS; запомните показанное имя, например abcd1234.sn.mynetname.net.
9. Определите DNS для клиентов: используйте 10.10.10.1 (сам роутер как резолвер) или внешние 1.1.1.1, 9.9.9.9; для доступа к домашним именам удобнее 10.10.10.1.

Совет: Если у вас уже есть Pi‑hole или Unbound в доме, укажите его адрес в поле DNS на клиентах, чтобы пользоваться локальными именами и фильтрацией рекламы.

Ожидаемый результат

У вас есть план: адрес wg‑сервера 10.10.10.1/24, список локальных сетей, выбран режим (сплит или полный), порт 51820/UDP, DDNS‑имя для подключения.

Возможные проблемы и их решения

• LAN и VPN совпали по подсети → Возьмите другую VPN‑подсеть, например 10.20.30.0/24, чтобы избежать конфликтов маршрутизации.
• DDNS не выдает имя → Проверьте доступ роутера к интернету и DNS, перезапустите IP → Cloud, убедитесь, что нет блокировок исходящего трафика.
• Серый IP → Попросите у провайдера белый IP, используйте другой канал или проброс порта с внешнего устройства, где есть публичный адрес.

✅ Проверка: В IP → Cloud вы видите активное DDNS‑имя, вы определились с подсетью VPN и режимом маршрутизации, выбран порт.

Шаг 3: Создаем интерфейс WireGuard и базовую маршрутизацию

Цель этапа

Поднять интерфейс WireGuard на MikroTik, сгенерировать ключи, назначить адрес, включить DNS‑резолвер и подготовить NAT для VPN‑подсети.

Пошаговая инструкция

1. Откройте Interfaces → WireGuard и нажмите плюс для добавления нового интерфейса.
2. Задайте Name: wg-home.
3. В поле Listen Port укажите 51820.
4. Оставьте MTU по умолчанию (обычно 1420) или задайте 1412, если WAN — PPPoE с MTU 1492.
5. Сохраните интерфейс и посмотрите поле Public Key; запишите его — этот ключ понадобится клиентам как ключ сервера.
6. Перейдите в IP → Addresses и нажмите плюс.
7. В поле Address укажите 10.10.10.1/24.
8. В поле Interface выберите wg-home и сохраните.
9. Перейдите в IP → DNS и поставьте галочку Allow Remote Requests.
10. В поле Servers укажите 1.1.1.1 и 9.9.9.9 или ваш локальный резолвер.
11. Перейдите в IP → Firewall → NAT и нажмите плюс.
12. Выберите chain=srcnat.
13. В поле Src. Address укажите 10.10.10.0/24.
14. В поле Out. Interface List выберите WAN.
15. В поле Action выберите masquerade и сохраните правило.

Если вы предпочитаете терминал, используйте команды: /interface/wireguard add name=wg-home listen-port=51820, затем /ip address add address=10.10.10.1/24 interface=wg-home, затем /ip dns set allow-remote-requests=yes servers=1.1.1.1,9.9.9.9, и /ip firewall nat add chain=srcnat action=masquerade src-address=10.10.10.0/24 out-interface-list=WAN comment="WG clients to internet".

Совет: Добавляйте в каждое правило комментарий по смыслу, чтобы потом быстрее ориентироваться: в MikroTik это экономит часы на сопровождении.

Ожидаемый результат

Интерфейс wg-home поднят, у него есть публичный ключ, адрес 10.10.10.1/24 назначен, роутер резолвит DNS‑запросы клиентов, NAT для VPN‑подсети готов.

Возможные проблемы и их решения

• Public Key пустой → Убедитесь, что интерфейс сохранен; при создании пара ключей генерируется автоматически.
• DNS не работает для VPN → Проверьте, включен ли Allow Remote Requests и есть ли внешние DNS‑серверы в списке.
• Интернет не идет у клиентов через полный туннель → Проверьте наличие правила masquerade для 10.10.10.0/24 и его позицию над более общими srcnat‑правилами.

✅ Проверка: В Interfaces → WireGuard видно wg-home с Listen Port 51820 и Public Key, в IP → Addresses присутствует 10.10.10.1/24 на wg-home, в IP → DNS стоит Allow Remote Requests.

Шаг 4: Настраиваем файрвол, открываем порт и DDNS

Цель этапа

Безопасно разрешить вход по UDP‑порту WireGuard из интернета, разрешить трафик между VPN и вашими LAN, и убедиться, что извне вы «видны» по DDNS.

Пошаговая инструкция

1. Перейдите в IP → Firewall → Filter и найдите блок правил chain=input.
2. Убедитесь, что первым правилом идет accept connection-state=established,related,untracked.
3. Проверьте, что invalid дропается.
4. Добавьте правило: chain=input, protocol=udp, dst-port=51820, in-interface-list=WAN, action=accept, comment "Allow WireGuard".
5. Добавьте правило: chain=input, in-interface=wg-home, action=accept, comment "Allow input from WG".
6. Убедитесь, что после этих правил есть дроп всего лишнего c WAN, например chain=input, in-interface-list=WAN, action=drop.
7. Перейдите в IP → Firewall → Filter и добавьте правила chain=forward.
8. Добавьте: in-interface=wg-home, out-interface-list=LAN, action=accept, comment "WG → LAN".
9. Добавьте: in-interface=wg-home, out-interface-list=WAN, action=accept, comment "WG → Internet".
10. Добавьте (опционально): in-interface-list=LAN, out-interface=wg-home, action=accept, comment "LAN → WG".
11. Перейдите в IP → Firewall → Filter и проверьте FastTrack правило (обычно accept fasttrack connection-state=established,related).
12. Переместите правила WireGuard выше fasttrack или добавьте исключение, чтобы трафик управления туннелем не пропадал.
13. Перейдите в IP → Cloud и убедитесь, что DDNS Enabled и показано DNS Name.
14. Если роутер за другим маршрутизатором, настройте на внешнем устройстве проброс UDP 51820 на IP вашего MikroTik.
15. С внешней сети выполните проверку порта с помощью любого инструмента UDP сканирования (например, nmap с другого сервера), чтобы убедиться, что порт доступен.

CLI для фильтра и NAT может выглядеть так: /ip firewall filter add chain=input action=accept connection-state=established,related,untracked comment="accept established", /ip firewall filter add chain=input action=drop connection-state=invalid comment="drop invalid", /ip firewall filter add chain=input action=accept protocol=udp dst-port=51820 in-interface-list=WAN comment="allow WG", /ip firewall filter add chain=input action=accept in-interface=wg-home comment="allow input from wg", /ip firewall filter add chain=input action=drop in-interface-list=WAN comment="drop rest from WAN", /ip firewall filter add chain=forward action=accept in-interface=wg-home out-interface-list=LAN comment="WG to LAN", /ip firewall filter add chain=forward action=accept in-interface=wg-home out-interface-list=WAN comment="WG to Internet".

⚠️ Внимание: Никогда не открывайте входящий доступ ко всем портам из интернета. Разрешайте только конкретные нужные протоколы и порты, а остальное явно блокируйте.

Совет: В IP → Firewall используйте Interface Lists: включите WAN‑интерфейсы в список WAN, а LAN‑порты и Wi‑Fi — в список LAN. Это упростит правила и уменьшит риски ошибок при изменениях.

Ожидаемый результат

Порт UDP 51820 открыт с WAN на вход, трафик между wg-home и LAN/интернет разрешен, DDNS‑имя активно, проброс порта (если нужен) настроен.

Возможные проблемы и их решения

• Порт снаружи недоступен → Проверьте, что правило input allow WG стоит выше общего дропа, убедитесь, что провайдер не блокирует UDP, проверьте проброс на внешнем маршрутизаторе.
• Нет доступа из WG к LAN → Убедитесь, что есть forward‑правило WG → LAN и что нет более строгого deny выше.
• Сессии через WG обрываются → Проверьте FastTrack, исключите трафик WG или разместите нужные правила выше fasttrack.

✅ Проверка: При UDP‑сканировании с внешней сети порт 51820 виден как открытый или откликающийся, правила файрвола упорядочены, DDNS показывает актуальный IP.

Шаг 5: Добавляем первого клиента (смартфон) и настраиваем сплит/полный туннель

Цель этапа

Создать peer на сервере для телефона, сгенерировать ключи на клиенте, выбрать режим маршрутизации и подключиться.

Пошаговая инструкция

1. Установите приложение WireGuard на смартфон (iOS или Android).
2. Откройте приложение и создайте новый туннель, выбрав «Создать из нового ключа».
3. Приложение сгенерирует PrivateKey и PublicKey; оставьте его открытым.
4. На MikroTik в Interfaces → WireGuard → Peers нажмите плюс для добавления пира.
5. Выберите Interface: wg-home.
6. Вставьте Public Key из приложения смартфона в поле Public Key.
7. В поле Allowed Address укажите 10.10.10.2/32 (VPN‑адрес клиента).
8. В поле Preshared Key (опционально) сгенерируйте случайный ключ в приложении на телефоне и вставьте здесь и у клиента для усиления защиты.
9. В поле Persistent Keepalive укажите 25, чтобы поддерживать связь за NAT мобильного оператора.
10. Сохраните пира на MikroTik.
11. На телефоне в созданном туннеле откройте редактирование конфигурации и впишите параметры сервера.
12. В секции Interface укажите Address: 10.10.10.2/32, DNS: 10.10.10.1 (или 1.1.1.1 — по вашему плану).
13. В секции Peer вставьте PublicKey сервера (из интерфейса wg-home на MikroTik).
14. Если вы используете Preshared Key, вставьте его в поле PresharedKey.
15. В поле Endpoint укажите ваше DDNS‑имя и порт, например abcd1234.sn.mynetname.net:51820.
16. В поле AllowedIPs задайте режим: для сплит‑туннеля пропишите 10.10.10.0/24 и ваши домашние сети (например 192.168.88.0/24); для полного туннеля укажите 0.0.0.0/0, ::/0.
17. Сохраните конфигурацию на телефоне и включите туннель переключателем.
18. В WinBox откройте Interfaces → WireGuard → Peers и проверьте, появился ли последний Handshake и текущий RX/TX.
19. Проверьте доступ: откройте локальный ресурс по IP, например 192.168.88.1 (ваш роутер) или NAS.
20. Если выбрали полный туннель, откройте сайт «показать мой IP» и убедитесь, что показывается ваш домашний IP, а не мобильный.

Эквивалентные команды CLI для пира: /interface/wireguard peers add interface=wg-home public-key="ВАШ_PUBLIC_KEY_КЛИЕНТА" allowed-address=10.10.10.2/32 persistent-keepalive=25 comment="phone".

Совет: Присваивайте каждому клиенту фиксированный /32 из вашей VPN‑подсети и заносите их в таблицу. Это упростит аудит и быстрое отключение отдельно взятого устройства.

Ожидаемый результат

Смартфон подключается к вашему WireGuard на MikroTik, виден в списке пиров, доступ к домашней сети работает, а в режиме полного туннеля весь трафик идет через дом.

Возможные проблемы и их решения

• Handshake не появляется → Проверьте корректность PublicKey и Endpoint на клиенте, убедитесь, что порт открыт и DDNS свежий, проверьте файрвол input.
• Есть handshake, но нет доступа к LAN → Проверьте forward‑правила WG → LAN и ваши AllowedIPs на клиенте (в сплит‑режиме добавьте нужные подсети).
• В полном туннеле нет интернета → Проверьте NAT для 10.10.10.0/24 и правило forward WG → WAN.
• DNS не резолвит → Убедитесь в Allow Remote Requests на MikroTik и что на клиенте указан DNS 10.10.10.1 или внешний.

✅ Проверка: В приложении WireGuard статус подключен, в MikroTik виден последний Handshake, пингуется 10.10.10.1 и IP устройств в вашей LAN, а в полном туннеле внешний IP совпадает с домашним.

Шаг 6: Подключаем ноутбук или ПК (Windows/macOS/Linux)

Цель этапа

Добавить второго клиента с отдельным ключом, показать конфигурацию для Windows и macOS, проверить доступ и варианты автозапуска.

Пошаговая инструкция

1. Установите приложение WireGuard для вашей ОС и запустите его.
2. Создайте новый туннель с генерацией ключей («Add Tunnel» → «Add empty tunnel»).
3. Сохраните сгенерированные PrivateKey и PublicKey для данного устройства.
4. На MikroTik откройте Interfaces → WireGuard → Peers и добавьте нового пира.
5. Выберите Interface: wg-home.
6. Вставьте Public Key ноутбука в поле Public Key.
7. В Allowed Address укажите 10.10.10.3/32 (следующий свободный адрес).
8. В Persistent Keepalive поставьте 25, если ноутбук часто за NAT (например, в кафе или отеле).
9. Сохраните пира.
10. На ноутбуке в конфигурации туннеля в секции Interface задайте Address: 10.10.10.3/32, DNS: 10.10.10.1.
11. В секции Peer вставьте PublicKey сервера.
12. Задайте Endpoint: abcd1234.sn.mynetname.net:51820.
13. В AllowedIPs выберите режим: сплит (10.10.10.0/24 и ваши LAN‑подсети) или полный (0.0.0.0/0, ::/0).
14. Если используете PresharedKey, укажите его и на сервере, и на клиенте.
15. Сохраните и активируйте туннель.
16. Проверьте пинги: 10.10.10.1, затем 192.168.88.1, затем любой локальный хост.
17. Если включен полный туннель, проверьте, что внешние сайты открываются и показывают ваш домашний внешний IP.
18. Включите опцию «Автозапуск» у клиента (Windows: «Activate on boot», macOS: добавить в элементы входа) при необходимости.

Совет: Для рабочих ноутбуков удобен сплит‑туннель, чтобы не гонять весь трафик компании через ваш дом, а только доступ к домашним ресурсам.

Ожидаемый результат

Ноутбук стабильно подключается к WireGuard, имеет доступ к домашним хостам, в полном туннеле — к интернету через дом, и может автоматически подключаться при запуске.

Возможные проблемы и их решения

• Windows не поднимает туннель при старте → Запустите приложение от имени администратора и включите «Activate on boot», проверьте службы WireGuard.
• macOS «забывает» разрешения → Добавьте приложение WireGuard в «Сеть» и «VPN» системных настроек, дайте нужные разрешения.
• Не пингуется роутер по 192.168.88.1 → Проверьте forward WG → LAN, возможно, правило блокируется выше, добавьте исключение.

✅ Проверка: В интерфейсе клиента видно Established, счетчики RX/TX растут, маршруты работают согласно выбранному режиму, доступ к домашним ресурсам есть.

Шаг 7: Полезные политики маршрутизации, исключения и MTU

Цель этапа

Тонко настроить маршруты для сплит‑туннеля, исключить локальные подсети из полного туннеля на клиенте, оптимизировать MTU и обойти ловушки с FastTrack.

Пошаговая инструкция

1. Если используете сплит‑туннель, добавьте в AllowedIPs на клиентах адреса ваших домашних сетей: 10.10.10.0/24, 192.168.88.0/24 и другие подсети, куда нужен доступ.
2. Если используете полный туннель, но хотите исключить локальные Wi‑Fi‑принтеры в отелях, на клиенте добавьте исключающие маршруты в ОС или используйте отдельный профиль сплит‑туннеля.
3. На MikroTik убедитесь, что для 10.10.10.0/24 есть NAT masquerade к WAN; это нужно для интернета у VPN‑клиентов.
4. Проверьте FastTrack: переместите правило fasttrack ниже или настройте мачтинг так, чтобы туннельный трафик учитывался корректно.
5. Для PPPoE на WAN снизьте MTU интерфейса WireGuard до 1412, чтобы избежать фрагментации и снизить потери при больших пакетах.
6. При проблемах с нестабильными сетями увеличьте Persistent Keepalive до 25–30 секунд у клиентов за «жестким» NAT.
7. Если нужно, включите reply‑only в IP → ARP на LAN‑интерфейсах, чтобы снизить ARP‑шум, это не обязательно, но помогает в больших сетях.

Совет: Проверьте показатель MSS на клиентах с полным туннелем: на некоторых платформах полезно уменьшить MTU в клиентском туннеле до 1280–1380 для максимальной совместимости мобильных сетей.

Ожидаемый результат

Маршрутизация через туннель соответствует вашим задачам, потерь и фрагментации нет, FastTrack не мешает управлению сессиями, клиенты стабильно проходят через «проблемные» NAT.

Возможные проблемы и их решения

• Зависания при загрузке страниц → Уменьшите MTU на клиенте и/или на wg-home до 1412 или даже 1380 и проверьте снова.
• Неожиданный обход туннеля → Проверьте AllowedIPs; если указан только 10.10.10.0/24, интернет останется вне туннеля.
• Пропадание связи в простое → Установите Persistent Keepalive 25 на клиенте, это часто решает проблему за сотовыми NAT.

✅ Проверка: Трассировка маршрута с клиента к интернет‑адресам идет через ваш дом в полном туннеле, а в сплит‑режиме только домашние подсети проходят в туннель; сайты грузятся быстро, без «залипаний».

Шаг 8: Добавляем еще пользователей, ведем учет и усиливаем безопасность

Цель этапа

Поставить на поток добавление пиров, сохранить прозрачный учет, включить дополнительные меры защиты и логи, чтобы оперативно диагностировать проблемы.

Пошаговая инструкция

1. Для каждого нового пользователя создавайте отдельного пира с уникальным /32 адресом, например 10.10.10.4/32, 10.10.10.5/32 и так далее.
2. Заполняйте поле Comment у пира (имя пользователя, устройство, дата выдачи).
3. Ведите таблицу в файле или заметке: имя, устройство, адрес, PublicKey, дата, режим (сплит/полный), PresharedKey.
4. Ограничьте доступ некоторых пиров только к нужным подсетям: на клиенте — через AllowedIPs, на сервере — через фильтры forward.
5. Включите системный лог для WireGuard: в System → Logging добавьте правило topics=wireguard action=memory/file для краткого аудита рукопожатий.
6. Периодически проверяйте раздел Peers: поле Last Handshake подскажет, кто подключается и когда, а счетчики RX/TX — объем обмена.
7. Отключайте потерянные устройства: удаляйте соответствующий peer на MikroTik, чтобы немедленно прекратить их доступ.

Совет: Если вы используете правило Drop all input с WAN, всегда держите физический доступ или резервный out‑of‑band канал, чтобы не «отрезать» себя, когда меняете правила.

Ожидаемый результат

Новые пользователи добавляются за минуты, учет прозрачен, вы видите, кто подключается и сколько трафика потребляет, быстро отзываетe доступ потерянным или подозрительным устройствам.

Возможные проблемы и их решения

• Пользователь жалуется на низкую скорость → Проверьте MTU, качество его канала, нагрузку на WAN; протестируйте через iperf внутри туннеля.
• Лог засоряется сообщениями → Отфильтруйте topics или используйте action=disk с ротацией, чтобы не переполнять память.
• Случайные блокировки трафика → Проверьте порядок фильтров; правила допуска для WG должны стоять выше общего дропа.

✅ Проверка: Добавление нового клиента занимает пару минут, handshake появляется сразу после включения туннеля, учет обновляется, отозванные доступы перестают работать мгновенно.

Проверка результата

Чек‑лист работоспособности

• Интерфейс wg-home активен, назначен адрес 10.10.10.1/24.
• Порт UDP 51820 открыт на внешнем интерфейсе, проверяется извне.
• На сервере виден Public Key, у клиентов — корректный Endpoint и ключи.
• Правила файрвола разрешают input на UDP 51820 и forward WG → LAN/WAN.
• DNS на роутере позволяет удаленным клиентам резолвить имена.
• Клиенты получают доступ к домашним сетям (сплит) или интернету (полный туннель).

Как протестировать

1. С телефона включите туннель и пропингуйте 10.10.10.1, затем 192.168.88.1.
2. Откройте NAS или веб‑интерфейс роутера по локальному IP.
3. При полном туннеле проверьте внешний IP, он должен совпадать с домашним.
4. Из внешней сети проверьте доступность UDP 51820 на вашем DDNS.
5. В MikroTik проверьте WireGuard → Peers: Last Handshake обновляется, RX/TX растут.

Показатели успешного выполнения

• Стабильный handshake каждые 20–120 секунд во время активности.
• Низкая задержка и отсутствие фрагментации (страницы грузятся быстро).
• Нет срабатываний общего дропа в логах на трафик WireGuard.

Типичные ошибки и решения

• Проблема: Нет рукопожатия (Handshake) у клиента. Причина: Закрыт порт 51820/UDP или неверный Endpoint/DDNS. Решение: Проверьте input‑правило, проброс порта и свежесть IP у DDNS; убедитесь, что Endpoint у клиента совпадает с вашим именем и портом.
• Проблема: Handshake есть, но нет доступа к LAN. Причина: Нет forward‑правила WG → LAN или AllowedIPs клиента не включают нужные подсети. Решение: Добавьте правило forward, у клиента пропишите 192.168.88.0/24 в AllowedIPs.
• Проблема: В полном туннеле нет интернета. Причина: Отсутствует NAT masquerade для 10.10.10.0/24 или правило ниже другого NAT. Решение: Добавьте srcnat masquerade для VPN‑подсети и поднимите правило выше.
• Проблема: Медленная работа сайтов, «залипания». Причина: Некорректный MTU/фрагментация. Решение: Поставьте MTU 1412 на wg-home и/или уменьшите MTU на клиентах до 1280–1380.
• Проблема: Периодические обрывы у мобильных клиентов. Причина: NAT с коротким таймаутом. Решение: Задайте Persistent Keepalive=25 на клиенте и на сервере в пиру.
• Проблема: Потеряли доступ к админке после ужесточения правил. Причина: Правило drop на input раньше разрешающих. Решение: Подключитесь по MAC‑WinBox с LAN и поправьте порядок, восстановите из бэкапа при необходимости.
• Проблема: Клиент подключается, но не резолвит имена. Причина: Не включен Allow Remote Requests или не задан DNS у клиента. Решение: Включите Allow Remote Requests и укажите DNS 10.10.10.1 или внешний сервер.

Дополнительные возможности

Продвинутые настройки

• IPv6 через WireGuard: Добавьте адресацию ULA для VPN, например fd00:10:10::1/64 на wg-home, и включите ::/0 в AllowedIPs для полного туннеля; настройте NAT66 не требуется, но проверьте провайдера и маршрутизацию.
• Site‑to‑Site (дом‑дача): Поднимите WireGuard на втором MikroTik, обменяйтесь публичными ключами, разрешите взаимные подсети в AllowedIPs и настройте статические маршруты; так вы объедините две локации.
• Доступ только к отдельным сервисам: Вместо добавления всей LAN в AllowedIPs, можно публиковать только нужные IP/порты и фильтровать остальное через firewall forward.
• Exempt FastTrack: Для стабильности управления исключите трафик к/от wg-home из fasttrack или держите правила WireGuard выше fasttrack.

Оптимизация

• Аппаратные возможности: На современных MikroTik WireGuard работает очень быстро; следите за CPU Load на пиках, чтобы оценить реальную пропускную способность.
• Очереди (Queues): Если вы используете QoS, убедитесь, что трафик wg-home корректно классифицируется.
• Журналы: Включайте логирование временно, чтобы не загружать память; используйте ротацию и фильтрацию по темам.

Что еще можно сделать

• Автоматизация выдачи конфигов: Храните шаблоны .conf для клиентов, подставляйте ключи и адреса; для мобильных можно генерировать QR‑код средствами ПК, а в MikroTik хранить заметки.
• Сегментация VPN‑пула: Разделите адреса, например 10.10.10.2–.50 для семьи, .51–.100 для гостей, и фильтруйте права на доступ к подсетям.

Совет: Держите два пользователя‑админа в WireGuard с разными устройствами, чтобы в случае потери одного у вас оставался запасной доступ в дом.

FAQ

• Какой порт лучше использовать для WireGuard? Стандарт — 51820/UDP, но можно выбрать любой свободный UDP‑порт; нестандартный порт иногда снижает фоновые сканирования.
• Можно ли подключить несколько устройств одновременно? Да, у каждого устройства должен быть свой peer и уникальный /32 адрес в вашей VPN‑подсети.
• Нужен ли статический внешний IP? Нет, достаточно DDNS MikroTik; важно, чтобы порт был доступен извне.
• Как быстро отключить потерянный телефон? Удалите соответствующий peer на MikroTik; доступ пропадет моментально.
• Чем сплит‑туннель отличается от полного? В сплит‑режиме через туннель идут только домашние сети; в полном — весь интернет через ваш дом с NAT на сервере.
• Как выбрать MTU? Начните с 1420; на PPPoE — 1412; при проблемах уменьшайте ступенчато до 1380 и проверяйте.
• Нужно ли включать PresharedKey? Это дополнительное шифрование поверх ключей WireGuard; опционально, но полезно для усиления защиты.
• Можно ли ограничить доступ клиента только к одному серверу в LAN? Да, на клиенте в AllowedIPs укажите IP этого сервера, а на MikroTik добавьте точечные firewall‑разрешения и запреты.
• Почему на графиках трафика пусто, хотя подключение есть? Проверьте, не отфасттрекался ли трафик и правильно ли выбраны интерфейсы в графиках.
• Как проверить доступность порта без внешнего сайта? С любого удаленного сервера выполните UDP‑скан nmap на ваш DDNS и порт 51820; при наличии ответа порт виден.

Заключение

Вы развернули WireGuard‑сервер на MikroTik под управлением RouterOS 7.16, настроили интерфейс wg-home, адресацию 10.10.10.0/24, DNS‑резолвер, корректные правила файрвола и NAT, открыли UDP‑порт 51820 извне, подключили смартфон и ноутбук, выбрали режим маршрутизации (сплит или полный туннель) и проверили работу. Дополнительно вы узнали о настройке MTU, исключениях для FastTrack, расширении на IPv6 и сценариях «сайт‑к‑сайту».

Дальше вы можете добавлять новых пользователей, сегментировать доступ, подключать умный дом и локальные сервисы, а также автоматически выдавать конфиги. Следите за актуальностью RouterOS и бэкапами, чтобы настройки всегда можно было восстановить.

Совет: Раз в квартал просматривайте список пиров, удаляйте неиспользуемые и обновляйте ключи на критичных устройствах — это поддерживает гигиену безопасности.

⚠️ Внимание: Самостоятельный (DIY) VPN — это не только настройка, но и сопровождение: мониторинг доступности порта, резервирование бэкапов и быстрый откат при сбое. Если вам нужно решение «здесь и сейчас» без возни с консолью, разумно рассмотреть готовый персональный VPN‑сервер на vpn.how: там вы получаете отдельный не shared IP, поддержку протоколов WireGuard, OpenVPN, IKEv2, L2TP и SSTP на выбор под задачу, автозапуск сервера за 5 минут после оплаты, отсутствие логов, оплату картами РФ (Tinkoff, Озон), СБП и USDT/BTC, а также площадки в городах Москва, Санкт‑Петербург, Амстердам, Франкфурт, Лондон, Нью‑Йорк, Сан‑Хосе, Чикаго, Сингапур, Сидней, Мадрид, Хельсинки, Стокгольм, Варшава, Копенгаген, Ставангер; тарифы начинаются от 490 ₽ за день и от 2490 ₽ в месяц со скидками на длительные периоды. Такой вариант особенно удобен, когда нет белого IP или нет времени возиться с порт‑форвардингом у провайдера.

Теперь у вас в руках рабочий домашний VPN на MikroTik. Практикуйтесь, документируйте свои изменения и улучшайте конфигурацию по мере роста потребностей. Удачи!