Как настроить OpenVPN сервер на MikroTik с нуля

Связка mikrotik openvpn разворачивает свой VPN-сервер прямо на роутере MikroTik: вы создаёте центр сертификации, выпускаете сертификаты сервера и клиента, поднимаете OVPN-сервер и подключаетесь снаружи. Весь путь идёт через консоль RouterOS или Winbox, в среднем от 15 до 30 минут, если адрес роутера статический.

Свой VPN я держу не только на роутере, но и на отдельном сервере: арендовал VPS у Beget, поставил Amnezia, и он работает без обрывов и чужих лимитов. С MikroTik история похожая по логике, только туннель живёт на железке у вас дома или в офисе. В этой статье показываю всю настройку OpenVPN на MikroTik по шагам, вместе с граблями, на которых застревает почти каждый новичок.

Что такое mikrotik openvpn и зачем поднимать его на роутере

OpenVPN на MikroTik, это встроенный в RouterOS сервер защищённого туннеля, который шифрует трафик между удалёнными устройствами и вашей локальной сетью. Роутер выступает и точкой входа, и центром сертификации, поэтому отдельная машина под VPN не нужна, всё работает на самом MikroTik.

Поднимают его обычно по двум причинам. Первая, удалённый доступ: вы из любой точки заходите в домашнюю или офисную сеть так, будто сидите рядом с роутером. Вторая, объединение площадок (site-to-site): два офиса в разных городах сшиваются в одну сеть через защищённый канал.

OpenVPN выбирают за совместимость. Клиент есть почти под всё: Windows, Linux, macOS, Android, iOS, и он работает по TCP-порту 1194, который реже режут провайдеры, чем экзотику. У протокола есть минус по скорости против WireGuard, но про это честно поговорим ниже.

Честно? Я сам долго думал, что VPN на роутере, это для сетевиков с сертификатами Cisco на стене. Оказалось, вся магия прячется за десятком команд, а самое сложное, это не перепутать имена сертификатов.

Настройка центра сертификации на MikroTik

Центр сертификации (Certificate Authority, CA), это корневой сертификат, которым роутер подписывает все остальные: и серверный, и клиентские. Без CA OpenVPN на MikroTik не поднимется, потому что протокол строится на взаимной проверке сертификатов, а не на одном пароле.

Сначала создаём шаблон корневого сертификата и подписываем его сам собой. Делается это в разделе сертификатов RouterOS. Команды ниже вводятся в терминале Winbox или по SSH, по одной строке.

/certificate
add name=ca-template common-name=myCa key-usage=key-cert-sign,crl-sign
sign ca-template name=myCa

После подписи в списке сертификатов появится строка myCa с флагами KAT, где буква T означает, что это доверенный корень (trusted). Этот сертификат, ваша печать: всё, что им подписано, роутер будет считать своим.

Как выпустить сертификаты сервера и клиента?

Сертификат сервера выпускается из того же CA с указанием назначения tls-server, а клиентский, с назначением tls-client, после чего оба подписываются корневым myCa. Это второй обязательный шаг: сервер докажет клиенту, кто он, а клиент докажет серверу, что ему разрешён вход.

Сначала серверный сертификат.

/certificate
add name=server-template common-name=server key-usage=digital-signature,key-encipherment,tls-server
sign server-template ca=myCa name=server

Теперь клиентский. Под каждое устройство выпускайте отдельный сертификат, это позволит отзывать доступ точечно.

add name=client-template common-name=client key-usage=tls-client
sign client-template ca=myCa name=client

Клиентский сертификат вместе с ключом и корневым CA нужно выгрузить с роутера, чтобы перенести на устройство. Экспорт делается одной командой с паролем на закрытый ключ.

/certificate
export-certificate client export-passphrase=ВашПарольНаКлюч

После экспорта в файлах роутера появятся три части: корневой сертификат, клиентский сертификат и его ключ. Их забирают через Files в Winbox.

Как настроить openvpn на mikrotik: профиль и сервер

Настройка openvpn на mikrotik после сертификатов сводится к двум вещам: создать профиль с диапазоном адресов для клиентов и включить сам OVPN-сервер, указав ему серверный сертификат. Профиль решает, какие адреса будут раздаваться подключившимся, а сервер связывает всё воедино.

Сначала создаём пул адресов и профиль. Пул, это диапазон, из которого клиенты получат адреса внутри туннеля. Локальный адрес профиля, это адрес самого роутера в этой VPN-сети.

/ip pool
add name=ovpn-pool ranges=10.10.10.10-10.10.10.20
/ppp profile
add name=ovpn-profile local-address=10.10.10.1 remote-address=ovpn-pool dns-server=10.10.10.1

Дальше заводим пользователя с логином и паролем. Даже при сертификатах OpenVPN на MikroTik просит пару логин-пароль как второй слой проверки.

/ppp secret
add name=user1 password=СильныйПароль profile=ovpn-profile service=ovpn

Финальный аккорд, включаем сам сервер и отдаём ему серверный сертификат.

/interface ovpn-server server
set enabled=yes certificate=server auth=sha1 cipher=aes256 require-client-certificate=yes

После этой команды роутер начинает слушать порт 1194 по TCP и ждёт подключений. Осталось открыть порт в фаерволе и настроить клиента.

Пошаговая инструкция: настройка openvpn server mikrotik от и до

Собираю весь путь в один список, чтобы пройти его сверху вниз без возврата наверх. Шаги короткие, каждый, это одно действие. Перед стартом убедитесь, что у роутера есть статический внешний адрес или настроен DDNS, иначе подключиться снаружи не выйдет.

1. Откройте терминал MikroTik через Winbox или SSH.
2. Создайте и подпишите корневой сертификат CA командами из раздела про центр сертификации.
3. Выпустите серверный сертификат с назначением tls-server и подпишите его корнем.
4. Выпустите клиентский сертификат с назначением tls-client и подпишите его корнем.
5. Экспортируйте клиентский сертификат с ключом и корневой CA, задав пароль на ключ.
6. Создайте пул адресов и PPP-профиль с локальным и удалённым адресами.
7. Заведите пользователя командой /ppp secret с логином, паролем и сервисом ovpn.
8. Включите OVPN-сервер и привяжите к нему серверный сертификат.
9. Откройте в фаерволе входящий TCP-порт 1194 для подключений.
10. Соберите файл конфигурации клиента (.ovpn) из выгруженных сертификатов и подключитесь.

После десятого шага клиент поднимет туннель и получит адрес из вашего пула, например 10.10.10.10. Проверить просто: с подключённого устройства пингуйте локальный адрес роутера в VPN-сети, ответ означает, что канал живой.

Что писать в файле конфигурации клиента?

Файл .ovpn для клиента указывает протокол TCP, внешний адрес роутера, порт 1194 и пути к трём файлам: корневому CA, клиентскому сертификату и ключу. Минимальный рабочий конфиг помещается в десяток строк, остальное OpenVPN подставит по умолчанию.

Базовый набор директив выглядит так: client, dev tun, proto tcp, remote ваш-адрес 1194, плюс ссылки на ca.crt, client.crt и client.key. Туда же добавляют auth-user-pass, чтобы клиент спросил логин и пароль при подключении.

Сертификаты можно либо положить рядом отдельными файлами, либо встроить прямо в .ovpn между тегами вроде ca и /ca. Второй вариант удобнее переносить: один файл, и всё подключение внутри.

Преимущества и недостатки OpenVPN на MikroTik

У связки mikrotik openvpn честный набор и сильных, и слабых сторон, и про слабые туториалы обычно молчат. Главный плюс, это нулевая стоимость отдельного сервера: VPN живёт на роутере, который у вас и так есть. Главный минус, это скорость, реализация OVPN в RouterOS заметно медленнее WireGuard.

Сильные стороны, по делу.

• Не нужна отдельная машина. Сервер крутится на самом роутере, не надо арендовать VPS и платить за него ежемесячно.
• Совместимость со всем. Клиент OpenVPN есть под любую систему, конфиг переносится между устройствами без переделок.
• Работа по TCP-порту 1194. Этот порт реже блокируют, чем нестандартные, поэтому канал проще поднять из гостиниц и публичных сетей.
• Полный контроль. Сертификаты, пользователи, маршруты, всё у вас на руках, и доступ отзывается за минуту.

Слабые стороны, честно.

• Скорость ниже WireGuard. Реализация OVPN в старых версиях RouterOS работает только по TCP и съедает заметную часть канала на накладные расходы.
• Порог входа выше. Сертификаты, профили, пользователи, фаервол, для первого раза это много новых сущностей сразу.
• Зависимость от внешнего адреса. Без статического IP или DDNS подключиться снаружи не получится, а статический адрес у провайдера часто за деньги.

Вот тут и затык, на котором спотыкаются: люди ждут от OpenVPN на роутере скорости домашнего интернета, а получают канал заметно медленнее. Для удалённого доступа к файлам это не страшно, для тяжёлого видео уже чувствуется.

Сравнение OpenVPN на MikroTik с другими способами поднять VPN

OpenVPN на MikroTik отличается от WireGuard на том же роутере и от своего VPN на арендованном VPS местом, где живёт сервер, и скоростью канала. Ниже сравнение по параметрам, которые волнуют обычного человека: где сервер, скорость, сложность и стоимость.

Из таблицы видно главное. OpenVPN на MikroTik бесплатен по железу, но упирается в скорость и требует внешнего адреса у роутера. WireGuard на том же MikroTik быстрее, но тоже завязан на адрес роутера и хуже проходит сквозь жёсткие блокировки.

Свой VPN на отдельном VPS снимает обе проблемы: внешний адрес даёт сам сервер, а с Amnezia добавляется маскировка трафика. Платить за сервер придётся отдельно, зато роутер дома не становится узким горлышком.

Если коротко, MikroTik, это удобно для удалённого доступа в свою сеть, а отдельный VPS, для стабильного выхода в интернет без чужих лимитов и блокировок.

Типичные ошибки при настройке и как их избежать

Большинство провалов с mikrotik openvpn сводятся к трём вещам: закрытый порт, путаница в сертификатах и забытый внешний адрес. Все три ловятся за минуту, если знать, куда смотреть, поэтому разберём их по порядку.

Первая ошибка, закрытый порт 1194 в фаерволе. Сервер включён, а подключения не идут. Проверьте правила фаервола: входящий TCP на 1194 должен быть разрешён до общего запрета.

Вторая ошибка, неверное назначение сертификата. Серверному нужен флаг tls-server, клиентскому, tls-client. Если перепутать, рукопожатие не пройдёт, и клиент будет отваливаться с ошибкой проверки. Лишний пробел или опечатка в имени сертификата ломают всё так же тихо.

Третья ошибка, попытка подключиться к роутеру по динамическому адресу. Провайдер сменил IP, и конфиг клиента указывает в пустоту. Лечится статическим адресом или настройкой DDNS на роутере, тогда клиент ходит по имени, а не по цифрам.

Выводы

Связка mikrotik openvpn, это рабочий способ поднять свой VPN прямо на роутере без аренды отдельной машины: создаёте центр сертификации, выпускаете сертификаты, включаете OVPN-сервер и открываете порт. Сложность не в одной команде, а в их количестве, поэтому держите шпаргалку под рукой и не путайте имена сертификатов.

Если вам нужен удалённый доступ в домашнюю или офисную сеть, OpenVPN на MikroTik закрывает задачу за вечер и не стоит ни копейки сверх роутера. Если же нужен быстрый и стабильный выход в интернет без оглядки на скорость железки и внешний IP, проще поднять свой VPN на отдельном сервере, тут честно.

Опубликовано в 2026 году. Проверено на актуальность: способ работает на текущих версиях RouterOS.