Как настроить WireGuard VPN на MikroTik для удалённых сотрудников

Коротко: чтобы дать сотрудникам доступ к офису из дома, на MikroTik с RouterOS 7 создайте интерфейс WireGuard, разрешите его UDP-порт в firewall, добавьте клиента по открытому ключу и проверьте last-handshake. Нужен белый IP или DDNS.

WireGuard — самый простой способ дать сотрудникам доступ к офисной сети из дома: он быстрый, работает на Windows, macOS, Android и iPhone и есть в MikroTik начиная с RouterOS 7. Ниже — настройка с нуля. Команды вводятся в терминале Winbox (New Terminal).

Что понадобится

• MikroTik с RouterOS 7 (проверьте: /system resource print, строка version).
• Белый (статический) IP-адрес офиса или настроенный DDNS (/ip cloud set ddns-enabled=yes).
• Свободная подсеть для VPN, которая не пересекается с офисной и домашними. В примере — 10.10.10.0/24, офисная сеть — 192.168.88.0/24.

Шаг 1. Создаём интерфейс WireGuard

/interface wireguard add name=wg-office listen-port=13231
/ip address add address=10.10.10.1/24 interface=wg-office
/interface wireguard print

Последняя команда покажет public-key роутера — он понадобится для настройки клиента.

Шаг 2. Разрешаем подключение в firewall

/ip firewall filter add chain=input protocol=udp dst-port=13231 action=accept comment="WireGuard" place-before=0
/interface list member add list=LAN interface=wg-office

Добавление интерфейса в список LAN разрешает VPN-клиентам доступ к офисной сети и DNS роутера по стандартным правилам MikroTik. Если у вас свои правила firewall — разрешите трафик с интерфейса wg-office в цепочке forward вручную.

Шаг 3. Создаём клиента

Установите приложение WireGuard на компьютер сотрудника, нажмите «Добавить пустой туннель» — программа сама создаст пару ключей. Скопируйте открытый ключ клиента и добавьте его на роутере:

/interface wireguard peers add interface=wg-office public-key="ОТКРЫТЫЙ_КЛЮЧ_КЛИЕНТА" allowed-address=10.10.10.2/32 comment="Иванов, ноутбук"

Каждому устройству — свой адрес (10.10.10.2, 10.10.10.3…) и своя запись peer. Так при увольнении сотрудника вы отключите только его.

Шаг 4. Конфигурация на стороне сотрудника

[Interface]
PrivateKey = (создан программой, не трогаем)
Address = 10.10.10.2/32
DNS = 192.168.88.1

[Peer]
PublicKey = ОТКРЫТЫЙ_КЛЮЧ_РОУТЕРА
Endpoint = ВНЕШНИЙ_IP_ОФИСА:13231
AllowedIPs = 192.168.88.0/24, 10.10.10.0/24
PersistentKeepalive = 25

В AllowedIPs указаны только офисные сети — интернет сотрудника пойдёт напрямую, через VPN — только офисный трафик. Если нужно пускать весь трафик через офис, укажите 0.0.0.0/0.

Шаг 5. Проверка

• Включите туннель на клиенте и выполните ping 192.168.88.1.
• На роутере в /interface wireguard peers print у клиента должно появиться время last-handshake.
• Нет handshake — проверьте внешний IP, порт и правило firewall. Handshake есть, а офисная сеть не открывается — проверьте AllowedIPs и правила forward.

Что ещё сделать

• Закрыть из интернета RDP (3389), Winbox (8291) и общие папки — теперь всё это доступно через VPN. Проверить, что видно снаружи, можно нашей бесплатной проверкой портов.
• Записать, какой ключ у какого сотрудника, и удалять peer в день увольнения.

Частые вопросы

Какая версия RouterOS нужна для WireGuard? RouterOS 7 и новее. Версию покажет команда /system resource print.

Что делать, если handshake есть, а офисная сеть не открывается? Проверьте AllowedIPs на клиенте и правила forward в firewall: трафик с интерфейса wg-office должен быть разрешён.

Как отключить уволенного сотрудника? Удалите его peer на роутере в день увольнения. Поэтому каждому устройству выдают свой ключ и адрес, а соответствие записывают.

Настройку VPN и учёт ключей сотрудников можно передать нам: это часть администрирования сети и серверов и ИТ-аутсорсинга в Москве.