Настройка WireGuard сервера на MikroTik в 2026 году

Чтобы поднять защищённый туннель между MikroTik и личным VPS, достаточно настроить MikroTik как клиент и подключить его к готовому серверу SANSARA. Регистрируетесь в SANSARA, получаете данные подключения в кабинете, импортируете профиль в WireGuard-клиент на роутере и активируете туннель. Всё работает без ручной установки панелей и без терминала.

Коротко:

• MikroTik подключается к личному VPS SANSARA как WireGuard-клиент.
• Вы получаете готовый профиль в кабинете SANSARA и импортируете его в RouterOS.
• Доступны локации в 9+ странах (Европа и другие узлы).
• Канал личный: выделенный узел, а не общий перегруженный пул.
• Совместимость: iPhone, Android, Windows, macOS.
• Telegram-бот SANSARA помогает быстро получить данные подключения.

Что это и кому подходит

WireGuard — это современный протокол для создания защищённых туннелей. Он легче и быстрее старых решений, проще в настройке и безопаснее за счёт минимального кода и криптографии на основе Noise.

Настройка MikroTik как WireGuard-клиента к личному VPS подходит:

• Если нужно объединить домашнюю сеть с удалённым сервером (например, для доступа к локальным ресурсам извне).
• Для создания стабильного шлюза между офисом/домом и облаком.
• Если вы хотите использовать быстрый и надёжный канал без общего пула и ограничений провайдера.

С SANSARA вы получаете готовый серверный конец: регистрация → данные в кабинете → импорт в клиент. Остаётся только настроить MikroTik.

Как настроить по шагам (с личным VPS SANSARA)

1. 01Получите данные подключения от SANSARA

Зарегистрируйтесь в SANSARA, выберите локацию (доступны узлы в 9+ странах) и создайте подключение. В кабинете появятся:

• Endpoint (адрес и порт сервера).
• Public Key сервера.
• Allowed IPs (обычно 0.0.0.0/0 или более узкий диапазон).
• DNS-серверы.

Эти данные можно также запросить через Telegram-бот SANSARA.

1. 01Создайте интерфейс WireGuard на MikroTik

В RouterOS (WinBox или веб-конфигуратор) перейдите в Interfaces → WireGuard → Add (+).

Заполните:

• Name: например wg-sansara.
• Listen Port: оставьте пустым или укажите любой свободный порт (например, 51820).
• Private Key: сгенерируйте автоматически (оставьте поле пустым и нажмите Apply, ключ создастся сам).

Запомните или скопируйте появившийся Public Key — он понадобится на стороне сервера.

1. 01Настройте пир (peer) на MikroTik

В интерфейсе WireGuard перейдите на вкладку Peers → Add (+).

Укажите:

• Public Key: публичный ключ сервера SANSARA (из кабинета).
• Endpoint Address: IP или домен сервера SANSARA.
• Endpoint Port: порт, указанный в данных подключения.
• Allowed Address: 0.0.0.0/0 (если хотите весь трафик через туннель) или нужную подсеть.

Остальные параметры можно оставить по умолчанию.

1. 01Назначьте IP-адрес интерфейсу WireGuard

В IP → Addresses добавьте новый адрес для интерфейса wg-sansara, например:

• Address: 10.0.0.2/24 (или другой из диапазона, который использует сервер SANSARA).
• Network: 10.0.0.0.
• Interface: wg-sansara.

Этот адрес должен быть в той же подсети, что и серверный IP туннеля.

1. 01Настройте маршрутизацию

Чтобы трафик шёл через туннель, добавьте маршрут:

• IP → Routes → Add (+).
• Dst. Address: 0.0.0.0/0 (весь интернет) или нужные сети.
• Gateway: IP-адрес сервера в туннеле (например, 10.0.0.1).
• Distance: 1.

Если хотите только часть трафика, укажите конкретные сети в Dst. Address.

1. 01Добавьте правило NAT (если нужно)

Если требуется маскировать исходящий трафил через туннель:

• IP → Firewall → NAT → Add (+).
• Chain: srcnat.
• Src. Address: ваша локальная сеть (например, 192.168.88.0/24).
• Out. Interface: wg-sansara.
• Action: masquerade.

1. 01Разрешите трафик в фаерволе

Убедитесь, что для интерфейса wg-sansara разрешён входящий и исходящий трафик в IP → Firewall → Filter Rules. Обычно достаточно правил по умолчанию, но если туннель не поднимается, проверьте, что порт WireGuard не блокируется.

1. 01Сообщите ваш публичный ключ в SANSARA

Передайте публичный ключ MikroTik в кабинет SANSARA или через Telegram-бот SANSARA, чтобы сервер добавил ваш роутер в список разрешённых пиров.

После этого интерфейс должен подняться, и трафик пойдёт через личный VPS.

Устройства: iPhone, Android, Windows, macOS

SANSARA совместим с основными платформами, но для MikroTik вы настраиваете роутер как клиент. Это даёт преимущество: все устройства в локальной сети автоматически используют защищённый канал без отдельной настройки на каждом.

• iPhone / Android: если нужно подключать мобильные устройства напрямую к SANSARA, используйте официальные клиенты WireGuard. В кабинете SANSARA есть готовые профили для импорта.
• Windows / macOS: аналогично — скачайте WireGuard-клиент, импортируйте конфигурацию из кабинета SANSARA и активируйте туннель.

Когда MikroTik работает как шлюз, дополнительная настройка на телефонах и компьютерах не требуется: они просто подключаются к роутеру как обычно.

Частые ошибки и как их избежать

1. 01Неправильный публичный ключ пира

• Симптом: туннель не поднимается, в логах MikroTik ошибки handshake.
• Решение: убедитесь, что Public Key пира на MikroTik точно совпадает с ключом сервера SANSARA. Копируйте целиком, без лишних пробелов.

1. 01Заблокированный порт на стороне провайдера

• Симптом: туннель не устанавливается, хотя настройки верные.
• Решение: попробуйте сменить Listen Port на MikroTik на другой (например, 51821) и обновите endpoint в SANSARA. Иногда помогает переход на стандартный порт 51820.

1. 01Неправильные Allowed IPs

• Симптом: часть трафика идёт мимо туннеля или нет доступа к некоторым сетям.
• Решение: если хотите весь трафик через SANSARA, используйте 0.0.0.0/0 в Allowed Address пира и в маршруте. Если только определённые сети — укажите их явно.

1. 01Конфликт маршрутов

• Симптом: трафик идёт через основной шлюз провайдера, а не через туннель.
• Решение: проверьте таблицу маршрутов (IP → Routes). Убедитесь, что маршрут через wg-sansara имеет меньшую Distance, чем основной шлюз.

1. 01Отсутствие NAT или блокировка фаерволом

• Симптом: внутри туннеля есть связь, но нет выхода в интернет.
• Решение: добавьте правило masquerade для исходящего трафика через wg-sansara и проверьте, что фаервол не блокирует нужные порты.

1. 01Несовпадение подсетей

• Симптом: нет пинга между MikroTik и сервером SANSARA внутри туннеля.
• Решение: убедитесь, что IP-адреса интерфейса WireGuard на MikroTik и сервере находятся в одной подсети (например, 10.0.0.2/24 и 10.0.0.1/24).

FAQ

Итог

• Зарегистрируйтесь в SANSARA, получите готовый профиль в кабинете или через Telegram-бот SANSARA.
• Настройте MikroTik как WireGuard-клиент: интерфейс, пир, IP, маршрут и NAT.
• Проверьте, что публичный ключ и endpoint точно соответствуют данным от SANSARA.
• Используйте маршрут с 0.0.0.0/0 через туннель, если нужен весь трафик через личный VPS.
• Все устройства в локальной сети автоматически получат защищённый канал без отдельной настройки.