Настройка MikroTik как WireGuard‑клиента в 2026 году

Чтобы подключить MikroTik к личному VPS SANSARA через WireGuard, создайте на роутере клиентский интерфейс, добавьте пир с данными сервера, настройте маршрутизацию и DNS. С SANSARA всё проще: зарегистрируйтесь, получите конфигурацию в кабинете и импортируйте её в MikroTik — терминал не нужен.

Коротко:

• MikroTik работает как WireGuard‑клиент на RouterOS 7.1 и новее.
• Вы получаете выделенный узел SANSARA в одной из 9+ стран.
• Подключение «в один клик» через кабинет и Telegram‑бота SANSARA.
• Совместимость с iPhone, Android, Windows, macOS через стандартные клиенты WireGuard.

Что это и кому подходит

Настройка MikroTik в режиме WireGuard‑клиента означает, что роутер сам подключается к удалённому серверу по протоколу WireGuard и пропускает через этот туннель трафик локальной сети. Все устройства за MikroTik (компьютеры, телефоны, Smart TV) автоматически используют защищённый канал.

Этот подход подходит:

• если вы хотите, чтобы весь домашний интернет шёл через личный VPS SANSARA;
• для объединения удалённых сетей (офис–дом, дача–город);
• когда нужно единоразово настроить роутер, а не каждое устройство отдельно.

С SANSARA вы получаете личный VPS с готовым WireGuard‑сервером: регистрация → данные в кабинете → импорт в MikroTik. Не нужно устанавливать панели или работать в терминале.

Как настроить по шагам (с личным VPS SANSARA)

Ниже — универсальная схема для RouterOS 7.1+. Конкретные IP‑адреса, ключи и порты вы берёте из конфигурации SANSARA.

1. Получите конфигурацию от SANSARA

После регистрации в кабинете SANSARA вы увидите:

• Endpoint (адрес сервера, например nl3.sansara.example или IP);
• Порт WireGuard (например 51820);
• Публичный ключ сервера;
• Присвоенный IP клиента в туннеле (например 10.8.0.2/32);
• DNS‑серверы (например 1.1.1.1, 8.8.8.8).

Если удобнее, используйте Telegram‑бота SANSARA: он пришлёт те же данные в виде текста или файла конфигурации.

2. Создайте интерфейс WireGuard на MikroTik

В WinBox или WebFig перейдите в Interfaces → WireGuard и добавьте новый интерфейс:

• Name: например wg-sansara;
• Listen Port: оставьте пустым или укажите случайный порт (например 51821);
• Private Key: сгенерируйте автоматически (кнопка Generate New) или вставьте свой приватный ключ, если хотите использовать существующий.

Командой это выглядит так:

`text /interface wireguard add name=wg-sansara private-key="ваш_приватный_ключ" `

Запишите публичный ключ этого интерфейса — он понадобится для настройки пира на стороне сервера (если SANSARA позволяет добавлять пиры вручную).

3. Добавьте пир (peer) к серверу SANSARA

В разделе WireGuard → Peers создайте новый пир:

• Interface: выберите созданный wg-sansara;
• Public Key: публичный ключ сервера SANSARA (берётся из кабинета);
• Endpoint Address: адрес сервера SANSARA (домен или IP);
• Endpoint Port: порт WireGuard сервера (например 51820);
• Allowed Addresses: 0.0.0.0/0 (если хотите весь трафик через туннель) или конкретные подсети;
• Persistent Keepalive: например 15m — помогает поддерживать соединение через NAT.

Пример команды:

`text /interface wireguard peers add \ interface=wg-sansara \ public-key="публичный_ключ_сервера" \ endpoint-address=сервер.sansara.example \ endpoint-port=51820 \ allowed-address=0.0.0.0/0 \ persistent-keepalive=15m `

4. Назначьте IP‑адрес туннелю

Перейдите в IP → Addresses и добавьте адрес, который SANSARA выделила вашему клиенту:

• Address: например 10.8.0.2/32;
• Interface: wg-sansara.

Команда:

`text /ip address add address=10.8.0.2/32 interface=wg-sansara `

5. Настройте маршрутизацию

Чтобы весь исходящий трафик шёл через туннель, добавьте маршрут по умолчанию через интерфейс WireGuard.

В IP → Routes создайте новый маршрут:

• Dst. Address: 0.0.0.0/0;
• Gateway: выберите интерфейс wg-sansara (вместо IP‑шлюза).

Команда:

`text /ip route add dst-address=0.0.0.0/0 gateway=wg-sansara `

Убедитесь, что у вас нет другого активного маршрута 0.0.0.0/0 с более высоким Distance — он может переопределить туннель.

6. Настройте DNS

Чтобы DNS‑запросы тоже шли через туннель, в IP → DNS укажите серверы, которые дал SANSARA:

• Servers: например 1.1.1.1,8.8.8.8;
• Allow Remote Requests: отметьте, если хотите, чтобы роутер сам резолвил DNS для клиентов.

Команда:

`text /ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes `

Также обновите настройки DHCP‑сервера, чтобы раздавать эти DNS клиентам:

`text /ip dhcp-server network set numbers=0 dns-server=1.1.1.1 `

7. Проверьте интерфейсные списки и NAT

Убедитесь, что интерфейс wg-sansara добавлен в список WAN (или аналогичный), чтобы на него применялось правило masquerade:

`text /interface list member add interface=wg-sansara list=WAN `

Если у вас уже есть правило srcnat с action=masquerade для интерфейсов из списка WAN, оно автоматически замаскирует трафик через WireGuard.

8. Проверьте соединение

• В Interfaces убедитесь, что wg-sansara имеет статус running.
• Из командной строки MikroTik выполните:

`text /ping 1.1.1.1 `

Если пинг проходит, туннель работает. Проверьте внешний IP через веб‑сервисы типа «what is my IP» — он должен совпадать с IP вашего узла SANSARA.

Устройства: iPhone, Android, Windows, macOS

Если вы хотите подключать отдельные устройства напрямую к SANSARA (в обход MikroTik), используйте официальные клиенты WireGuard.

iPhone / iPad

1. 01Установите WireGuard из App Store.
2. 02В кабинете SANSARA скачайте конфигурацию для iOS (файл .conf или QR‑код).
3. 03В приложении нажмите + → Create from file or archive (или Scan QR‑code).
4. 04Импортируйте конфиг, назовите туннель и включите его.

Android

1. 01Установите WireGuard из Google Play.
2. 02Получите конфигурацию от SANSARA (файл или QR).
3. 03Нажмите + → Create from file или отсканируйте QR‑код.
4. 04Сохраните и активируйте туннель.

Windows

1. 01Скачайте клиент WireGuard с официального сайта.
2. 02Импортируйте конфигурацию SANSARA через меню (Add Tunnel → Import from file).
3. 03Выберите туннель и нажмите Activate.

macOS

1. 01Установите WireGuard из Mac App Store.
2. 02Импортируйте конфиг SANSARA через интерфейс приложения.
3. 03Включите туннель в списке.

Во всех случаях SANSARA предоставляет готовые профили под каждую ОС — вам остаётся только импортировать их.

Частые ошибки и как их избежать

1. Туннель не поднимается (status=unknown)

• Проверьте, что Endpoint Address и Endpoint Port указаны верно.
• Убедитесь, что на стороне сервера SANSARA добавлен ваш публичный ключ (если требуется ручное добавление пиров).
• Проверьте, что брандмауэр MikroTik не блокирует исходящий UDP‑трафик на порт сервера.

2. Пинг есть, но сайты не открываются

• Скорее всего, проблема с DNS. Убедитесь, что в IP → DNS указаны корректные серверы и включены Allow Remote Requests.
• Проверьте, что DHCP‑сервер раздаёт правильные DNS клиентам.

3. Трафик идёт мимо туннеля (IP не меняется)

• Убедитесь, что маршрут 0.0.0.0/0 использует gateway wg-sansara и имеет достаточный приоритет (низкое Distance).
• Проверьте, что интерфейс wg-sansara находится в списке WAN и на него действует masquerade.

4. Соединение обрывается через несколько минут

• Установите Persistent Keepalive (например 15m) в настройках пира — это помогает поддерживать туннель через NAT провайдера.

5. Не работает IPv6

• Если SANSARA поддерживает IPv6, добавьте соответствующие адреса и маршруты (например ::/0 через интерфейс WireGuard).

FAQ

Итог

• Зарегистрируйтесь в SANSARA, выберите локацию и получите готовую конфигурацию WireGuard в кабинете или через Telegram‑бота.
• На MikroTik создайте интерфейс WireGuard, добавьте пир с данными сервера SANSARA, настройте маршрут по умолчанию и DNS.
• Убедитесь, что интерфейс туннеля входит в список WAN и на него применяется masquerade.
• Проверьте соединение пингом и проверкой внешнего IP.
• Для отдельных устройств используйте официальные клиенты WireGuard и импортируйте конфигурации SANSARA.