Настройка WireGuard на MikroTik с личным VPS SANSARA (2026)

Чтобы организовать защищённый туннель между MikroTik и личным VPS, достаточно заказать сервер в кабинете SANSARA, получить конфигурацию WireGuard и импортировать её в RouterOS. Всё делается через веб-интерфейс и Winbox, без терминала и ручной сборки конфигов.

Коротко:

• WireGuard работает в RouterOS 7.1 и новее, это быстрый и простой протокол для защищённых туннелей.
• В MikroTik создаётся интерфейс WireGuard, назначается IP, добавляется пир с публичным ключом сервера.
• SANSARA предоставляет готовую конфигурацию WireGuard для импорта в MikroTik или клиенты устройств.
• Поддерживаются iPhone, Android, Windows, macOS через официальные приложения WireGuard.
• Личный VPS означает выделенный узел, а не общий перегруженный пул.

Что это и кому подходит

WireGuard — это современный протокол для создания защищённых туннелей между устройствами. Он проще и быстрее классических решений, работает с минимальной нагрузкой на процессор MikroTik.

Настройка WireGuard на MikroTik с личным VPS подойдёт:

• Для безопасного доступа к домашней или офисной сети извне через MikroTik.
• Для объединения удалённых сетей в единое защищённое пространство.
• Для маршрутизации всего или части трафика через личный сервер в другой стране.
• Для замены старых протоколов на более быстрый и стабильный туннель.

Если у вас MikroTik с RouterOS 7.1 или новее, вы можете использовать WireGuard как сервер или клиент. В этой инструкции MikroTik выступает клиентом, подключаясь к личному VPS SANSARA.

Как настроить по шагам (с личным VPS SANSARA)

Шаг 1. Получить личный VPS и конфигурацию WireGuard

1. 01Зарегистрируйтесь в SANSARA и закажите личный VPS в нужной локации (доступно 9+ стран).
2. 02В кабинете найдите раздел с настройками подключения — там будет готовая конфигурация WireGuard.
3. 03Скопируйте данные: Endpoint (IP или домен сервера), порт, публичный ключ сервера, IP-адрес клиента (например, 10.0.0.2/32) и, если есть, preshared-key.

Telegram-бот SANSARA тоже может отправить конфигурацию для быстрого копирования.

Шаг 2. Проверить RouterOS и открыть Winbox

1. 01Убедитесь, что на MikroTik установлен RouterOS версии 7.1 или новее. WireGuard не поддерживается в версии 6.
2. 02Подключитесь к роутеру через Winbox или WebFig.

Шаг 3. Создать интерфейс WireGuard

1. 01Перейдите в раздел Interfaces → WireGuard.
2. 02Нажмите Add (+).
3. 03Задайте имя интерфейса, например wg-sansara.
4. 04Порт прослушивания можно оставить по умолчанию или выбрать свой (например, 51820).
5. 05Нажмите Apply.

Шаг 4. Назначить IP-адрес интерфейсу

1. 01Перейдите в IP → Addresses.
2. 02Добавьте новый адрес:

• Address: IP из конфигурации SANSARA, например 10.0.0.2/32.
• Interface: выберите созданный wg-sansara.

1. 01Сохраните.

Шаг 5. Добавить пир (peer) для сервера SANSARA

1. 01В разделе WireGuard откройте вкладку Peers.
2. 02Нажмите Add (+).
3. 03Заполните поля:

• Interface: wg-sansara.
• Public Key: публичный ключ сервера из конфигурации SANSARA.
• Endpoint Address: IP или домен сервера SANSARA.
• Endpoint Port: порт WireGuard (обычно 51820 или другой, указанный в конфиге).
• Allowed Address: 0.0.0.0/0 (если весь трафик идёт через туннель) или нужные подсети.
• Если есть preshared-key, укажите его.

1. 01Включите опцию Persistent Keepalive (например, 25 секунд), чтобы туннель не «засыпал».

Шаг 6. Настроить маршрутизацию

Чтобы трафик шёл через защищённый канал:

1. 01Перейдите в IP → Routes.
2. 02Добавьте маршрут:

• Dst. Address: 0.0.0.0/0 (весь интернет) или выборочные сети.
• Gateway: выберите интерфейс wg-sansara.

1. 01Если нужно оставить часть трафика на прямом подключении, используйте политическую маршрутизацию через Mangle и отдельную таблицу.

Шаг 7. Настроить DNS

1. 01В IP → DNS укажите DNS-серверы, которые предлагает SANSARA, или публичные (например, 1.1.1.1).
2. 02Убедитесь, что в настройках DHCP-сервера эти DNS тоже прописаны.

Шаг 8. Проверить подключение

1. 01В Interfaces убедитесь, что интерфейс wg-sansara имеет статус running.
2. 02В Log посмотрите, нет ли ошибок, связанных с WireGuard.
3. 03Проверьте доступ в интернет с устройства за MikroTik и убедитесь, что внешний IP изменился на IP сервера SANSARA.

Устройства: iPhone, Android, Windows, macOS

Если вы хотите подключать отдельные устройства напрямую к личному VPS, минуя MikroTik, используйте официальные клиенты WireGuard.

iPhone и Android

1. 01Установите приложение WireGuard из App Store или Google Play.
2. 02В кабинете SANSARA найдите конфигурацию для мобильного устройства (обычно в виде QR-кода).
3. 03В приложении нажмите + → Create from QR code и отсканируйте код.
4. 04Сохраните конфигурацию и включите туннель.

Теперь весь мобильный трафик идёт через защищённый канал на личный VPS.

Windows

1. 01Скачайте и установите официальный клиент WireGuard для Windows.
2. 02В кабинете SANSARA скопируйте конфигурацию в формате .conf.
3. 03В клиенте нажмите Import tunnel(s) from file и выберите файл.
4. 04Активируйте туннель.

macOS

1. 01Установите WireGuard из Mac App Store или с официального сайта.
2. 02Импортируйте конфигурацию из файла или вставьте вручную.
3. 03Включите туннель в системном меню.

Во всех случаях SANSARA предоставляет готовые настройки, поэтому ручной ввод ключей и адресов не требуется.

Частые ошибки и как их избежать

Ошибка 1: RouterOS версии 6.x

WireGuard поддерживается только в RouterOS 7.1 и выше. Если у вас старая версия, обновите прошивку через System → Packages.

Ошибка 2: неправильный публичный ключ сервера

Ключ должен быть в точности таким, как в конфигурации SANSARA. Копируйте его целиком, без лишних пробелов. Если туннель не поднимается, сверьте ключи на сервере и в MikroTik.

Ошибка 3: блокировка порта на провайдере

Некоторые провайдеры блокируют нестандартные порты. Если MikroTik за NAT, убедитесь, что порт WireGuard проброшен на роутер или используйте стандартный порт.

Ошибка 4: конфликт маршрутов

Если после настройки пропадает интернет, проверьте таблицу маршрутизации. Убедитесь, что у вас нет двух маршрутов на 0.0.0.0/0 с разными шлюзами. При необходимости настройте политическую маршрутизацию.

Ошибка 5: неправильные Allowed Addresses

В пире на MikroTik поле Allowed Address должно включать IP-адреса, которые могут приходить от сервера. Если сервер назначает клиенту 10.0.0.2/32, в Allowed Address укажите этот адрес или 0.0.0.0/0, если доверяете всему трафику.

FAQ

Итог

• Убедитесь, что MikroTik работает на RouterOS 7.1+.
• Закажите личный VPS в SANSARA, скопируйте готовую конфигурацию WireGuard.
• Создайте интерфейс WireGuard в Winbox, назначьте IP и добавьте пир с публичным ключом сервера.
• Настройте маршруты и DNS, чтобы трафик шёл через защищённый канал.
• Для iPhone, Android, Windows и macOS используйте официальные клиенты WireGuard с конфигурацией из кабинета SANSARA.

Таблица сравнения подходов: