Настраиваем WireGuard на MikroTik RouterOS

Настройка WireGuard на MikroTik сводится к четырём вещам: создать интерфейс wireguard, сгенерировать пару ключей, прописать пира (peer) с его публичным ключом и адресом, добавить маршрут и правило фаервола. Делается это в RouterOS через меню WinBox или несколькими командами в терминале, и весь туннель поднимается за пять шагов без сторонних программ.

Свой VPN я держу на сервере Beget, поставил на него связку через Amnezia, и роутер MikroTik цепляю к этому же серверу по WireGuard, чтобы весь дом ходил в сеть через один туннель. В этой статье показываю весь путь от создания интерфейса до рабочего соединения на RouterOS, вместе с граблями, на которых застревает новичок. Без воды, только то, что можно повторить сегодня вечером.

Что такое настройка WireGuard на MikroTik и зачем она нужна

WireGuard на MikroTik, это встроенный в RouterOS VPN-протокол, который шифрует трафик между роутером и удалённым сервером или другим роутером. Появился он в RouterOS начиная с седьмой версии, поэтому если у вас RouterOS 6, протокола в меню просто не будет, и первым делом придётся обновить прошивку.

Зачем городить wireguard mikrotik, если есть готовые приложения на телефон. Затем, что туннель на роутере поднимает в сеть сразу весь дом: телевизор, консоль, умные розетки, ноутбук жены. Каждое устройство по отдельности настраивать не нужно, роутер заворачивает их трафик автоматически.

Второй сценарий, это связать две точки: домашний роутер и сервер на VPS, или два офиса между собой. WireGuard тут выигрывает у старых протоколов простотой и скоростью, кода в нём в разы меньше, чем в OpenVPN, а значит меньше мест, где можно сломаться.

Подготовка к настройке: что нужно проверить заранее

Перед настройкой WireGuard на MikroTik убедитесь в трёх вещах: версия RouterOS не ниже седьмой, у вас есть доступ в роутер по WinBox или SSH, и есть вторая сторона туннеля, к которой будете подключаться. Без второй стороны интерфейс поднимется, но соединяться ему будет не с кем.

Что подготовить заранее:

• Прошивку RouterOS 7 или новее, иначе протокола WireGuard в меню нет вообще.
• Доступ к роутеру: программа WinBox под Windows, либо SSH-клиент, либо веб-морда WebFig.
• Данные второй стороны: публичный ключ (public key), адрес сервера и порт, на котором он слушает.
• Свободную подсеть под туннель, например из диапазона от 10.0.0.0 до 10.0.0.255, чтобы адреса не пересекались с домашней сетью.

Вторая сторона, это обычно ваш сервер на VPS. Именно на нём живёт точка, к которой подключается роутер. Если сервера ещё нет, разберитесь сначала, как создать свой VPN-сервер на VPS, а уже потом возвращайтесь к роутеру.

Скрипт для быстрой настройки WireGuard на MikroTik

Если хочется поднять туннель одним заходом через терминал, весь wireguard mikrotik собирается несколькими командами в консоли RouterOS. Скрипт ниже создаёт интерфейс, назначает ему адрес, добавляет пира и открывает порт в фаерволе.

/interface/wireguard/add name=wg-client listen-port=13231
/ip/address/add address=10.0.0.2/24 interface=wg-client
/interface/wireguard/peers/add interface=wg-client public-key="ПУБЛИЧНЫЙ_КЛЮЧ_СЕРВЕРА" endpoint-address=АДРЕС_СЕРВЕРА endpoint-port=13231 allowed-address=0.0.0.0/0 persistent-keepalive=25s
/ip/firewall/filter/add chain=input protocol=udp dst-port=13231 action=accept

Эти четыре строки делают то же, что десяток кликов в меню. Подставьте публичный ключ сервера, его адрес и порт, а свой публичный ключ роутера возьмите из созданного интерфейса командой /interface/wireguard/print и отдайте на сервер. Без обмена ключами туннель не поднимется, это не баг, а суть протокола.

Основные преимущества настройки WireGuard на MikroTik

Главное преимущество WireGuard на MikroTik, это скорость при минимуме настроек: протокол встроен в ядро RouterOS, не тянет лишних служб и грузит процессор роутера слабее старых VPN. На бюджетных моделях это разница между плавным видео и постоянными подвисаниями.

Что вы получаете на роутере:

• Скорость и лёгкость. Кода в протоколе мало, поэтому даже недорогой MikroTik держит туннель без перегрева процессора.
• Один туннель на весь дом. Роутер заворачивает в VPN все устройства разом, по отдельности их настраивать не нужно.
• Постоянное соединение. Роутер держит туннель круглосуточно, в отличие от приложения на телефоне, которое отключается со сном экрана.
• Связка с вашим сервером. Подключаете роутер к своему VPS, и весь дом ходит в сеть через канал, который никто кроме вас не делит.

Минус честный тоже один: настройка идёт через WinBox или терминал, и человеку без опыта первый туннель даётся не с первого раза. Это не телефонное приложение с одной кнопкой, тут придётся вникать в ключи, адреса и фаервол.

Настройка сервера WireGuard: что на нём должно быть

Сторона сервера, это та точка, к которой подключается роутер, и без неё MikroTik соединяться не с кем. Сервером выступает либо ваш VPS, либо второй роутер MikroTik, на котором тоже поднят интерфейс wireguard со своей парой ключей и открытым портом.

На сервере должно быть готово вот что:

• Интерфейс WireGuard со своей парой ключей, публичный ключ из которой вы отдадите роутеру.
• Открытый порт UDP, на котором сервер слушает входящие подключения, обычно это 13231 или ваш собственный.
• Прописанный пир с публичным ключом вашего роутера и его адресом в туннеле.
• Включённая пересылка пакетов и маскарадинг (masquerade), если через сервер должен идти весь интернет-трафик дома.

Удобнее всего, когда сервером выступает VPS, на котором туннель развёрнут готовым инструментом. Я держу свой на Beget и ставил его через Amnezia: программа сама сгенерировала ключи и подняла WireGuard, а мне осталось только связать с этим сервером роутер. Так не приходится руками собирать серверную часть в консоли, а это самое муторное место для новичка.

Настройка клиента WireGuard на MikroTik: пошагово

Настройка клиентской стороны на MikroTik занимает от 10 до 15 минут и состоит из шести шагов, если серверная сторона уже готова. Через WinBox это делается мышкой, через терминал теми же командами из скрипта выше.

1. Откройте раздел WireGuard в WinBox и создайте новый интерфейс, задав ему имя, например wg-client.
2. Скопируйте публичный ключ нового интерфейса, он понадобится для серверной стороны, и отдайте его на сервер.
3. Назначьте интерфейсу адрес из подсети туннеля в разделе IP, Addresses, например 10.0.0.2/24.
4. Добавьте пира (Peer): впишите публичный ключ сервера, его адрес и порт, а в поле Allowed Address укажите 0.0.0.0/0, если хотите гнать через туннель весь трафик.
5. Поставьте Persistent Keepalive около 25 секунд, чтобы соединение не засыпало за фаерволом провайдера.
6. Откройте в фаерволе порт WireGuard и добавьте правило маршрутизации, чтобы трафик дома уходил в туннель.

После шестого шага туннель поднимается, и в разделе пиров напротив сервера появится свежее время последнего рукопожатия (handshake). Это и есть признак живого соединения.

Проверка работы WireGuard на MikroTik

Проверить, что WireGuard на MikroTik работает, проще всего по полю последнего рукопожатия в списке пиров: если там свежее время в пределах пары минут, туннель живой. Если стоит прочерк или старое время, соединение не установилось, и надо искать причину в ключах, порте или фаерволе.

Что проверить по шагам:

• Откройте список пиров и посмотрите Last Handshake, свежее время значит, что стороны договорились.
• Проверьте счётчики трафика на интерфейсе: если байты идут в обе стороны, данные ходят.
• С устройства за роутером откройте сервис, который показывает ваш адрес в сети, там должен светиться адрес сервера, а не вашего провайдера.
• Запустите пинг до адреса сервера внутри туннеля, например до 10.0.0.1, ответ значит, что маршрут поднят.

Если адрес в сети не сменился, а рукопожатие есть, дело почти всегда в маршрутизации или маскарадинге на сервере, а не в самом роутере.

Решение проблем с низкой скоростью WireGuard на MikroTik

Низкая скорость WireGuard на MikroTik чаще всего упирается в три причины: слабый процессор роутера, далёкий или перегруженный сервер и неподходящий размер пакета (MTU). Перебирать их стоит именно в этом порядке, от самого частого к редкому.

Из таблицы видно главное: половина проблем со скоростью живёт не на роутере, а на той стороне. Возьмёте далёкий или общий сервер, и самый мощный MikroTik не вытянет канал. Свой VPS рядом с вами эту боль закрывает, потому что узел вы выбираете сами.

Как настроить WireGuard на MikroTik без терминала

Настроить WireGuard на MikroTik без единой команды можно полностью через WinBox: все те же интерфейс, ключи, пир и фаервол делаются мышкой в графическом меню. Для новичка это спокойнее, чем терминал, потому что роутер сам подставляет половину значений, а ошибиться в синтаксисе негде.

Логика в WinBox та же, что в скрипте. Раздел WireGuard создаёт интерфейс и сразу показывает его ключи. Раздел Peers добавляет вторую сторону, куда вы вставляете публичный ключ сервера и его адрес. Раздел IP отвечает за адрес туннеля, а раздел Firewall за открытый порт и правило маршрута.

Разница только в способе ввода. Кто-то любит набрать четыре строки в консоли и забыть, кому-то спокойнее видеть поля и галочки. Результат одинаковый, выбирайте, что ближе.

Выводы

Настройка WireGuard на MikroTik, это вопрос пяти шагов: интерфейс, ключи, пир, маршрут и порт в фаерволе. Сложность не в самом протоколе, он как раз простой и быстрый, а в том, что туннелю нужна вторая сторона, сервер, к которому подключается роутер.

Если вам нужен один стабильный канал на весь дом, который не делят чужие люди и который не отключат по чужому решению, MikroTik плюс свой сервер на VPS закрывают эту задачу за вечер. Если же VPN нужен раз в месяц на пять минут с телефона, проще остаться на готовом приложении, тут честно.

А дальше, по желанию, можно идти вглубь: разобрать настройку Amnezia под свои блокировки, а если туннель однажды отвалится, заранее знать, что делать, когда VPN перестал работать.

Опубликовано в 2026 году. Проверено на актуальность: способ работает на текущих версиях RouterOS 7.