Настройка WireGuard на MikroTik через личный VPS SANSARA (2026)

Если у вас есть MikroTik и вы хотите организовать защищённый туннель через личный VPS, WireGuard на RouterOS — один из самых быстрых и простых вариантов. С помощью личного VPS SANSARA вы получите готовый удалённый узел в одной из 9+ стран и сможете подключить к нему MikroTik и свои устройства за несколько минут.

Что делать:

1. 01Заказать личный VPS в кабинете SANSARA и получить данные подключения.
2. 02Настроить WireGuard на MikroTik как клиент с выходом через этот личный сервер.
3. 03Импортировать конфигурации на iPhone, Android, Windows, macOS через Telegram-бот SANSARA или вручную.

Коротко:

• WireGuard — современный протокол для защищённых туннелей с минимальной задержкой.
• MikroTik RouterOS поддерживает WireGuard начиная с версии 7.x.
• SANSARA предоставляет личный VPS с готовыми конфигурациями для WireGuard.
• Доступны локации в Европе и других регионах.
• Подключение работает на iPhone, Android, Windows, macOS.
• Telegram-бот SANSARA упрощает импорт конфигураций на мобильные устройства.

Что это и кому подходит

WireGuard — это лёгкий протокол для создания зашифрованных туннелей между узлами. Он использует современную криптографию, быстро поднимает соединение и потребляет мало ресурсов. На MikroTik WireGuard работает как интерфейс, который можно маршрутизировать, фильтровать и использовать в политиках.

Такое решение подойдёт:

• Для объединения удалённых сетей через публичный интернет.
• Для организации защищённого доступа к домашней или офисной сети через выделенный узел.
• Для подключения к личному VPS с фиксированным IP и стабильным каналом.
• Для пользователей, которые хотят избежать общих перегруженных пулов и получить личный шлюз.

Сравнение подходов:

Как настроить по шагам (с личным VPS SANSARA)

1. Подготовка личного VPS

• Зарегистрируйтесь в кабинете SANSARA и закажите личный VPS в нужной локации.
• После активации в кабинете появятся данные для WireGuard: публичный ключ, IP-адрес сервера, порт, внутренняя подсеть.
• Если вы используете Telegram-бот SANSARA, он может сразу предложить готовые конфигурации для ваших устройств.

2. Настройка WireGuard на MikroTik

Предполагается, что у вас RouterOS версии 7.x или новее.

Шаг 1. Создание интерфейса WireGuard

В терминале MikroTik (или WinBox):

`bash /interface wireguard add name=wg-sansara listen-port=51820 private-key="ваш_приватный_ключ" `

Приватный ключ можно сгенерировать на MikroTik:

`bash /interface wireguard generate-key `

Шаг 2. Назначение IP-адреса интерфейсу

`bash /ip address add address=10.0.0.2/24 interface=wg-sansara `

Здесь 10.0.0.2 — пример адреса из подсети, которую вам выдал SANSARA.

Шаг 3. Добавление пира (сервера SANSARA)

`bash /interface wireguard peers add \ interface=wg-sansara \ public-key="публичный_ключ_сервера_SANSARA" \ endpoint-address=IP_сервера_SANSARA \ endpoint-port=51820 \ allowed-address=0.0.0.0/0 `

• public-key — публичный ключ сервера SANSARA из кабинета.
• endpoint-address — IP-адрес вашего личного VPS.
• allowed-address=0.0.0.0/0 означает, что через этот пир можно отправлять трафик в любые сети.

Шаг 4. Маршрутизация

Чтобы весь трафик с MikroTik шёл через туннель:

`bash /ip route add dst-address=0.0.0.0/0 gateway=10.0.0.1 `

Здесь 10.0.0.1 — IP-адрес сервера SANSARA внутри туннеля (обычно это шлюз подсети).

Если нужно маршрутизировать только часть трафика, укажите конкретные сети в dst-address.

Шаг 5. Firewall и NAT (опционально)

Если вы хотите, чтобы устройства в вашей локальной сети тоже использовали туннель:

• Настройте masquerade на интерфейсе, смотрящем в интернет (обычно это уже есть).
• Убедитесь, что трафик от локальных устройств направляется через MikroTik и попадает в маршрут через WireGuard.

Пример masquerade (если ещё не настроен):

`bash /ip firewall nat add chain=srcnat out-interface=wg-sansara action=masquerade `

3. Проверка соединения

• В WinBox или CLI проверьте состояние интерфейса wg-sansara:

`bash /interface wireguard print `

• Убедитесь, что пир находится в состоянии established.
• Проверьте маршруты:

`bash /ip route print `

• Попробуйте пинговать шлюз туннеля (10.0.0.1) и внешние адреса.

Устройства: iPhone, Android, Windows, macOS

Если MikroTik настроен как шлюз для всей локальной сети, дополнительные настройки на устройствах не требуются — они автоматически будут использовать туннель.

Если вы хотите подключать устройства напрямую к личному VPS SANSARA:

• iPhone / iPad: Установите официальное приложение WireGuard из App Store. В кабинете SANSARA скачайте конфигурацию для iOS или получите её через Telegram-бот SANSARA, затем импортируйте в приложение.
• Android: Установите приложение WireGuard из Google Play. Импортируйте конфигурацию из файла или отсканируйте QR-код из кабинета SANSARA.
• Windows: Установите официальное приложение WireGuard для Windows. Откройте конфигурационный файл от SANSARA или вставьте его содержимое в интерфейс программы.
• macOS: Установите WireGuard из Mac App Store. Импортируйте конфигурацию из файла, полученного в кабинете SANSARA.

Telegram-бот SANSARA позволяет быстро отправить готовую конфигурацию на мобильное устройство без ручного копирования ключей.

Частые ошибки и как их избежать

1. 01Неправильный публичный ключ пира

Убедитесь, что публичный ключ сервера SANSARA скопирован полностью, без лишних пробелов и символов. Лучше копировать из кабинета в текстовом виде.

1. 01Заблокированный порт на стороне VPS

По умолчанию WireGuard использует UDP-порт 51820. Убедитесь, что в настройках личного VPS SANSARA этот порт открыт для входящих соединений (обычно это делается автоматически).

1. 01Конфликт подсетей

Подсеть, которую вы используете внутри туннеля (например, 10.0.0.0/24), не должна пересекаться с вашей локальной сетью. Если дома у вас уже 10.0.0.0/24, выберите другую подсеть в настройках SANSARA или на MikroTik.

1. 01Неправильные маршруты

Если трафик не идёт через туннель, проверьте таблицу маршрутов (/ip route print). Убедитесь, что маршрут через wg-sansara имеет нужный dst-address и приоритет выше, чем у других default-маршрутов.

1. 01Отсутствие разрешающего правила в firewall

На MikroTik по умолчанию может быть включён строгий firewall. Добавьте правило, разрешающее входящие и исходящие соединения через интерфейс wg-sansara.

1. 01Старая версия RouterOS

WireGuard появился в стабильных версиях RouterOS начиная с 7.x. Если у вас версия 6.x, обновите RouterOS до актуальной.

FAQ

• Состояние пира WireGuard на MikroTik.
• Маршруты (/ip route print).
• Firewall и NAT-правила.
• Пинг до шлюза туннеля (10.0.0.1 или аналогичный).

Можно ли настроить WireGuard на MikroTik без командной строки? Ответ: В WinBox начиная с RouterOS 7.x есть графический интерфейс для WireGuard в разделе Interfaces. Вы можете создать интерфейс и пиров через GUI, но команды дают больше контроля.

Как обновить конфигурацию, если я поменял настройки на личном VPS SANSARA? Ответ: В кабинете SANSARA скачайте обновлённую конфигурацию и замените старые настройки на MikroTik: обновите публичный ключ сервера, endpoint-address и allowed-address. На устройствах проще удалить старый профиль и импортировать новый.

Итог

• Закажите личный VPS в кабинете SANSARA, выберите локацию и получите готовые данные для WireGuard.
• На MikroTik создайте интерфейс WireGuard, добавьте пира с публичным ключом сервера SANSARA и настройте маршрутизацию через туннель.
• Проверьте состояние пира и маршрутов, убедитесь, что трафик идёт через выделенный узел.
• На iPhone, Android, Windows, macOS используйте готовые конфигурации из кабинета или Telegram-бота SANSARA для быстрого подключения.
• Избегайте конфликта подсетей, проверяйте firewall и используйте актуальную версию RouterOS.

Такая схема даст вам стабильный защищённый канал через личный сервер без необходимости администрировать VPS вручную.