Настройка VPN-клиента WireGuard на MikroTik (RouterOS 7)

MAATRIX · Обновлено 7 октября 2026

MikroTik с RouterOS 7 может подключить домашнюю сеть к WireGuard-серверу: телефон, ноутбук и телевизор будут пользоваться туннелем через роутер без отдельного приложения на каждом устройстве. Настройка состоит из интерфейса, peer, адреса, NAT и маршрутов. Ниже — последовательность для готового сервера MAATRIX, с отдельной проверкой соединения до изменения маршрутов всего интернета.

Зачем нужен сервер для WireGuard на MikroTik

MikroTik в этой инструкции работает как VPN-клиент: он подключается к WireGuard-серверу, через который устройства в вашей сети выходят в интернет. Поэтому помимо роутера вам нужен ещё и сервер с уже настроенным WireGuard.

Если своего сервера ещё нет — арендуйте VPS в MAATRIX с автоматической установкой WireGuard: сервер развернётся после завершения создания VPS и автоустановки WireGuard, WireGuard установится и настроится сам, а в личном кабинете появится готовый файл конфигурации .conf для первого устройства. Этот файл и есть тот самый «ключ», который мы будем переносить на MikroTik. Если сервер и конфиг у вас уже есть — используйте их и переходите сразу к разделу про настройку роутера.

Что получится в итоге и что для этого нужно

Результат, к которому идём: роутер MikroTik держит постоянный зашифрованный туннель к вашему серверу MAATRIX, и весь (или выборочно — часть) трафик из вашей сети выходит в интернет уже с адреса сервера, а не с адреса, который выдал вам провайдер. На самих устройствах дома ничего не устанавливается — телевизор, ноутбук, телефон просто видят интернет, а каким путём он идёт — решает роутер.

Прежде чем открывать Winbox, соберите три вещи:

• MikroTik с установленной RouterOS версии 7.0 или новее. WireGuard встроен в RouterOS начиная именно с седьмой версии — в ветке 6.x этой функции нет вообще, и никакой пакет её не добавит. Если у вас RouterOS 6.x, сначала обновитесь (раздел 2).
• Аккаунт и арендованный VPS в MAATRIX с установленным WireGuard — если его ещё нет, оформите заказ, выберите автоматическую установку WireGuard при создании сервера, дождитесь готовности (обычно пара минут) и зайдите в личный кабинет за файлом конфигурации.
• Доступ к роутеру через Winbox, WebFig или SSH с правами администратора. Настраивайте из локальной сети; перед изменением маршрутов сохраните резервную копию и включите Safe Mode в Winbox / терминале.

Проверяем версию RouterOS и обновляемся при необходимости

Посмотрите версию RouterOS в System → Resources или выполните:

/system resource print

System → RouterBOARD показывает также загрузчик RouterBOOT — не путайте его версию с RouterOS. Для WireGuard нужна ветка 7.

Если используется RouterOS 6, сохраните backup и текстовый экспорт на компьютер. Сначала обновите ветку 6 по рекомендациям производителя, затем используйте канал Upgrade для перехода к предложенной промежуточной версии 7; после этого обновитесь на поддерживаемый стабильный выпуск 7. Выбор Stable внутри ветки 6 сам по себе не означает переход на 7.

Перед переходом проверьте ресурсы и совместимость устройства; не обновляйте рабочий удалённый роутер без возможности восстановить доступ. Процедура обновления MikroTik и переход на v7.

Получаем конфигурацию в личном кабинете MAATRIX

Зайдите в личный кабинет MAATRIX, откройте карточку вашего сервера с WireGuard. Там будет готовый файл .conf для первого устройства — скачайте его на компьютер. Откройте файл любым текстовым редактором (Блокнот, TextEdit) — он выглядит примерно так:

[Interface]
PrivateKey = <приватный_ключ_вашего_устройства>
Address = 10.66.66.2/32
DNS = 1.1.1.1

[Peer]
PublicKey = <публичный_ключ_сервера_MAATRIX>
Endpoint = 203.0.113.10:51820
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

В актуальных выпусках RouterOS есть /interface/wireguard/wg-import для импорта конфигурации; параметр config-string добавлен в 7.19. Набор поддерживаемых полей проверяйте в документации своей версии. Ниже показан ручной способ, чтобы можно было проверить каждое значение отдельно. Импорт WireGuard в RouterOS.

Держите этот файл открытым — все четыре значения (PrivateKey, Address, PublicKey сервера, Endpoint) понадобятся в следующих двух разделах.

Создаём WireGuard-интерфейс на MikroTik

Через Winbox: откройте раздел WireGuard в левом меню (если пункта меню нет — значит версия RouterOS ниже 7, вернитесь к разделу 2).

1. Нажмите + (добавить) на вкладке Interface.
2. В поле Name впишите понятное имя, например wg-maatrix.
3. В поле Private Key вставьте значение PrivateKey из вашего файла .conf (строка после PrivateKey =, без пробелов по краям).
4. Поле Listen Port задаёт локальный порт MikroTik. Его не нужно приравнивать к порту Endpoint сервера; в примере используется 13231. Ответный трафик должен проходить через существующий firewall.
5. Нажмите OK.

То же самое через терминал (вкладка New Terminal), если вам удобнее команды, а не окна:

/interface wireguard
add name=wg-maatrix private-key="ВАШ_PRIVATEKEY_ИЗ_ФАЙЛА" listen-port=13231

Дальше нужно присвоить интерфейсу IP-адрес внутри VPN-сети — то самое значение из поля Address в файле конфигурации:

/ip address
add address=10.66.66.2/32 interface=wg-maatrix

Используйте IPv4-адрес из своего конфига. В ручных командах ниже показана IPv4-схема; наличие IPv6 в исходном файле не настраивает IPv6 на MikroTik автоматически. Для полного IPv6-туннеля нужны отдельные адреса, маршруты и firewall; иначе для охватываемых VPN устройств отключите IPv6 или настройте его отдельно, чтобы трафик не шёл напрямую.

Вводим данные пира (подключение к серверу)

«Пир» (peer) — это сторона, с которой роутер устанавливает туннель, в нашем случае — сервер MAATRIX. Через Winbox: в разделе WireGuard перейдите на вкладку Peers, нажмите +.

1. Interface — выберите созданный ранее wg-maatrix.
2. Public Key — вставьте значение PublicKey из блока [Peer] вашего файла (это публичный ключ сервера, не ваш собственный).
3. Endpoint — впишите IP-адрес сервера из поля Endpoint файла, без порта (например 203.0.113.10).
4. Endpoint Port — впишите порт из того же поля Endpoint, после двоеточия (обычно 51820).
5. Allowed Address — впишите 0.0.0.0/0 (это то же самое, что AllowedIPs в файле — «пускать в туннель весь трафик»).
6. Persistent Keepalive — впишите 25s.
7. Нажмите OK.

Через терминал то же самое одной командой:

/interface wireguard peers
add interface=wg-maatrix public-key="ВАШ_PUBLICKEY_СЕРВЕРА_ИЗ_ФАЙЛА" \
    endpoint-address=203.0.113.10 endpoint-port=51820 \
    allowed-address=0.0.0.0/0 persistent-keepalive=25s

Важно про Persistent Keepalive. Без этого параметра туннель за NAT-ом вашего провайдера может «засыпать»: соединение простаивает несколько минут без трафика, и промежуточное оборудование провайдера тихо забывает про него. Внешне это выглядит так, будто «интернет сам починился» только после перезагрузки роутера. Значение 25 секунд — стандартная рекомендация, которая снимает эту проблему почти полностью.

Включаем NAT, чтобы трафик реально ходил в интернет

Это тот шаг, который чаще всего забывают — и тогда туннель вроде бы «подключен», но интернета через него нет ни у одного устройства. Причина: пакеты от устройств вашей локальной сети должны быть «замаскированы» под адрес туннеля перед тем, как уйти на сервер, иначе сервер не будет знать, куда отправлять ответ.

Через терминал (в Winbox для правил firewall удобнее команды, чем окна — проще не ошибиться с порядком полей):

/ip firewall nat
add action=masquerade chain=srcnat out-interface=wg-maatrix

Эта команда говорит роутеру: «весь трафик, выходящий через интерфейс wg-maatrix, подменяй обратным адресом автоматически». Выберите только один вариант NAT, не добавляйте оба правила подряд. Если у вас в сети несколько подсетей и нужно ограничить NAT только определённой подсетью (например, только домашней Wi-Fi сетью 192.168.88.0/24, а не гостевой), уточните правило:

/ip firewall nat
add action=masquerade chain=srcnat out-interface=wg-maatrix src-address=192.168.88.0/24

Настраиваем маршрут по умолчанию через туннель

Сначала проверьте handshake и найдите действующий выход к провайдеру:

/ip route print detail where dst-address=0.0.0.0/0

Нужен отдельный маршрут к публичному IPv4 VPS через WAN. Добавьте его до маршрутов общего трафика. В следующем примере 203.0.113.10 — адрес-заглушка: замените его реальным IPv4 из Endpoint, а 192.168.1.1 — реальным шлюзом провайдера. Для PPPoE выходом может быть имя PPPoE-интерфейса; при динамическом шлюзе маршрут должен обновляться вместе с WAN, поэтому статический пример нельзя переносить вслепую.

/ip route
add dst-address=203.0.113.10/32 gateway=192.168.1.1 comment="MAATRIX endpoint via WAN"

Убедитесь, что этот маршрут активен и соединение с peer сохраняется. Затем, в Safe Mode и из локальной сети, направьте IPv4-интернет в туннель:

/ip route
add dst-address=0.0.0.0/1 gateway=wg-maatrix comment="MAATRIX IPv4 lower half"
add dst-address=128.0.0.0/1 gateway=wg-maatrix comment="MAATRIX IPv4 upper half"

Два маршрута /1 вместе покрывают весь IPv4-интернет и имеют приоритет над обычным /0. Именно отдельный /32 оставляет доступ к серверу через провайдера. Сами по себе маршруты /1 это исключение не создают. Правила policy routing / mangle в существующей сети могут менять выбор таблицы — проверьте их перед применением.

Если проверка не проходит, удалите добавленные маршруты с соответствующими комментариями или вернитесь через Safe Mode. Эта схема не является универсальным kill switch: защиту при отказе VPN и маршрутизацию IPv6 проверяют отдельно.

MTU: когда сайты открываются наполовину

Сначала оставьте MTU из выданного конфигурационного файла: MAATRIX сейчас использует 1380. Если туннель работает, но крупные страницы зависают, попробуйте 1280 и сравните результат. Значение 1240 можно проверить только для IPv4-туннеля; это диагностический вариант, а не общая рекомендация для всех российских провайдеров. Для IPv6 MTU должен быть не ниже 1280. Требование IPv6 — RFC 8200.

Для проверки 1280 на созданном интерфейсе:

/interface wireguard set [find where name="wg-maatrix"] mtu=1280

Сравните загрузку тех же сайтов до и после изменения. Если улучшения нет, верните исходный MTU: проблема может быть в DNS, firewall, маршрутах или ограничении UDP, а не в размере пакета.

Частичная маршрутизация вместо полного туннеля

Если VPN нужен только для части устройств, используйте отдельную таблицу маршрутизации и правила для реальных адресов LAN. В RouterOS 7 учитывайте существующие routing rules, mangle и FastTrack; не заменяйте все маршруты примерной подсетью из чужой инструкции.

Для диагностики FastTrack найдите действующие правила:

/ip firewall filter print where action=fasttrack-connection

Трафик, для которого нужна особая VPN-маршрутизация, должен быть исключён из FastTrack. Менять правило следует с учётом своей сети; изменение влияет на существующие соединения и нагрузку CPU. Также проверьте правила forward: после NAT домашний трафик всё равно должен быть разрешён между LAN и WireGuard.

Для DNS используйте доступный через туннель сервер и отдельно проверьте фактические запросы устройств. Если текущие DNS провайдера недоступны через VPN, после сохранения исходных настроек можно задать публичные IPv4 DNS:

/ip dns set servers=1.1.1.1,1.0.0.1

Это меняет DNS самого роутера; настройки DNS / DoH на домашних устройствах проверяются отдельно. FastTrack и таблицы маршрутизации. Не включайте обслуживание DNS на WAN ради этого: при использовании роутера как DNS-реле доступ должен оставаться ограничен LAN.

Проверяем, что туннель реально работает

Проверка по шагам, от простого к сложному.

Шаг 1 — туннель установлен. В Winbox откройте WireGuard → Peers и посмотрите на столбец Last Handshake. Значение должно обновляться каждые 1–3 минуты (handshake — это момент, когда роутер и сервер обменялись ключами и подтвердили друг друга). Через терминал то же самое:

/interface wireguard peers print detail

Если last-handshake показывает «никогда» или застывшее давнее время — связи с сервером нет, проверьте правильность публичного ключа сервера и порта.

Шаг 2 — трафик действительно идёт через сервер. С любого устройства за роутером откройте в браузере 2ip.ru или whoer.net. Должен показаться IP-адрес и страна вашего сервера MAATRIX, а не адрес вашего обычного провайдера. Если видно домашний IP — скорее всего, не применились маршруты из раздела 7.

Шаг 3 — растут оба счётчика трафика. В том же окне Peers смотрите на колонки TX (отправлено) и RX (получено) — оба значения должны расти при использовании интернета. Если растёт только TX, а RX стоит на нуле — пакеты от вас уходят, но ответы не возвращаются: типичная причина — неверный публичный ключ сервера либо закрытый порт на стороне сервера (в личном кабинете MAATRIX порт WireGuard открыт по умолчанию, но если меняли фаервол вручную — проверьте).

Частые вопросы