Как подключить VPN на MikroTik

Инструкция подходит для роутера с RouterOS 7, одним подключением к провайдеру и обычной домашней сетью. Сначала направьте через VPN трафик одного устройства по IPv4. Остальные устройства продолжат пользоваться обычным подключением к интернету.

Для настройки нужно уметь работать с маршрутами и межсетевым экраном RouterOS. Если уже настроены подключения к нескольким провайдерам, VRF или правила mangle, схему ниже потребуется адаптировать к существующим настройкам. Если сеть обслуживает другой человек, согласуйте изменения с ним.

Подготовьте роутер

Подготовьте роутер и сохраните резервную копию. Скачайте архив настроек пользователя из личного кабинета и извлеките из него файл .conf. Войдите в WinBox или WebFig из локальной сети и включите Safe Mode.

Запишите адрес домашней подсети, IP-адрес устройства, на котором будете проверять VPN, и адреса его DNS-серверов. Закрепите IP-адрес устройства в DHCP. В правилах ниже адрес с маской /32 обозначает только это устройство.

Настройте VPN: создайте интерфейс и peer

Peer — это удалённый узел WireGuard, в данном случае VPN-сервер. Если ваша версия поддерживает импорт /interface/wireguard/wg-import, импортируйте файл .conf и сверьте параметры интерфейса и peer с исходным файлом. Если импорт недоступен, перенесите параметры вручную:

1. Создайте интерфейс WireGuard с именем alfavpn и значением PrivateKey из файла.
2. В IP → Addresses назначьте этому интерфейсу адрес из параметра Address вместе с префиксом.
3. Добавьте peer для интерфейса. Укажите PublicKey, адрес и порт Endpoint, а также AllowedIPs.
4. Перенесите PresharedKey и PersistentKeepalive, если они есть в файле.

Не подставляйте ключи и адреса из чужих примеров. Чтобы весь IPv4-трафик выбранного устройства шёл через VPN, в AllowedIPs должен быть диапазон 0.0.0.0/0. Если его нет в файле, полученном из личного кабинета, сообщите об этом поддержке AlfaVPN. Настройку маршрутов на роутере выполните самостоятельно по инструкции ниже.

Настройте маршруты

1. В Routing → Tables создайте таблицу alfavpn с включённым FIB.
2. Добавьте маршрут 0.0.0.0/0 через интерфейс alfavpn в эту таблицу. Основной маршрут в таблице main оставьте через провайдера: он нужен для связи с VPN-сервером.
3. В Routing → Rules сначала добавьте исключения для домашних подсетей с действием lookup-only-in-table и таблицей main.
4. Ниже добавьте правило для исходного IP устройства с маской /32: действие lookup-only-in-table, таблица alfavpn.

При сбое VPN последнее правило не позволит устройству переключиться на обычный интернет. Чтобы вернуть обычное подключение, отключите это правило.

Настройте межсетевой экран и DNS

1. Добавьте правило NAT: цепочка srcnat, исходный адрес устройства /32, выходной интерфейс alfavpn, действие masquerade. Разместите его до правил, которые могут перехватить этот трафик.
2. Разрешите пересылку трафика выбранного устройства из LAN в alfavpn. Сохраните обработку ответных соединений established,related. Не открывайте доступ к управлению роутером со стороны VPN.
3. Исключите соединения выбранного устройства из FastTrack. Для этого перед правилом FastTrack добавьте разрешающие правила established,related: одно с IP-адресом устройства в качестве адреса источника, другое — в качестве адреса назначения. Эти правила относятся к установленным и связанным соединениям; они не разрешают произвольные новые подключения.
4. Перезапустите приложения, которые используют сеть, чтобы при проверке они установили новые соединения.
5. На устройстве укажите IPv4-адреса DNS-серверов из файла настроек. Перед этим запишите прежние значения.

Если устройство обращается к DNS-серверу на самом роутере, дальнейшие DNS-запросы роутера могут идти через провайдера. Их маршрут нужно настроить отдельно.

Проверьте подключение

На проверяемом устройстве выключите профиль в VPN-приложении, если он включён. Откройте страницу проверки IP-адреса. В сведениях о peer должны обновляться время последнего обмена и счётчики данных. Затем сравните IP-адрес до и после включения VPN и убедитесь, что роутер по-прежнему доступен из домашней сети.

Эта схема направляет через VPN только IPv4-трафик. Дополнительно проверьте IPv6, чтобы убедиться, что часть трафика не идёт в обход VPN.

Если проверки прошли успешно, сохраните изменения и выйдите из Safe Mode. Для каждого дополнительного устройства создайте отдельные правила с его адресом.

Как отключить VPN

1. Отключите правило маршрутизации для выбранного устройства.
2. Восстановите исходные адреса DNS-серверов на устройстве и проверьте, открываются ли сайты.
3. Отключите добавленные для этой схемы правила NAT и фильтрации, затем интерфейс alfavpn.

Существующие правила провайдера и домашней сети оставьте на месте. Если интернет не заработал, начните с проверки роутера.

Справка производителя: WireGuard, маршрутизация по правилам, FastTrack.