MikroTik: настройка роутера и подключение WireGuard-конфигурации

«Mikrotik настройка» — запрос на 19 тысяч показов в месяц, и подавляющее большинство людей хотят одного и того же: настроить роутер так, чтобы он работал стабильно, а потом, возможно, подключить к нему защищённое соединение. Здесь мы разберём только подключение WireGuard и будем опираться на документацию MikroTik. Всё, чего мы там не нашли, помечено как «не подтверждено», чтобы вы не принимали догадку за инструкцию.

Важное предупреждение сразу: RouterOS даёт много свободы, и ошибка в правилах файрвола или маршрутах может оставить вас без доступа к роутеру. Перед любыми изменениями сохраните резервную копию настроек и убедитесь, что у вас есть доступ к роутеру кабелем.

С чем работаем и где смотреть документацию

Роутеры MikroTik работают на системе RouterOS. По данным официальной страницы, раздел про WireGuard находится в справке MikroTik: WireGuard в RouterOS. На странице указано, что этот сайт документации заморожен и новые правки там не вносятся, а новая документация размещена на manual.mikrotik.com. Поэтому конкретные пункты меню и номера версий сверяйте с тем, что стоит у вас: мы опираемся на содержимое страницы на момент написания (обновлена в апреле 2026).

Версия RouterOS важна. В документации, например, параметр config-string для импорта отмечен как появившийся начиная с 7.19_ab41, а некоторые параметры клиентской части указаны для 7.21 и новее. Какая версия нужна минимально для самого WireGuard, на этой странице мы не нашли: не подтверждено. Проще всего обновить RouterOS до актуальной стабильной версии и проверять поддержку на ней.

Как зайти в роутер

Обычно заходят через WinBox (приложение MikroTik), веб-интерфейс WebFig или консоль по SSH (способы доступа мы по документации отдельно не сверяли). Адрес, логин и пароль по умолчанию зависят от модели и версии, поэтому смотрите наклейку на корпусе и справку вашей модели: в этой статье конкретные значения не приводятся, так как мы не подтверждали их для всех моделей. Первым делом смените пароль администратора, если этого не сделали.

Что нужно для подключения WireGuard

Если у вас есть конфигурация WireGuard, то есть файл .conf, в нём лежат такие блоки:

[Interface] — ваш закрытый ключ (PrivateKey) и внутренний адрес (Address);
[Peer] — открытый ключ сервера (PublicKey), его адрес и порт (Endpoint), список разрешённых адресов (AllowedIPs) и, как правило, интервал PersistentKeepalive.

Файл содержит закрытый ключ, поэтому обращайтесь с ним как с паролем и не отправляйте в мессенджеры.

Откуда взять такой файл? От владельца сервера. Для подписки MEDOED подключение построено на VLESS (о нём здесь), и выдаёт ли бот файл WireGuard для роутера, мы здесь не утверждаем: не подтверждено, уточняйте в боте. Для роутера подойдёт только тот вариант, который реально предоставлен.

Импорт конфигурации в RouterOS

В документации описана команда импорта конфигурации WireGuard:

Консольная команда /interface wireguard wg-import принимает файл (file=). В документации отмечено, что при ошибке «Could not parse», если файл начинается с символа #, его нужно использовать без этих строк-комментариев, то есть начинать прямо с [Interface].
Начиная с 7.19_ab41 появился параметр config-string: в нём можно передать содержимое конфигурации текстом.
После импорта в разделе WireGuard появится интерфейс, а его пиры будут видны в списке пиров.

Пример из документации приведён с адресами-заглушками, поэтому свои значения подставляйте только из вашего файла. Мы не публикуем готовые команды с чужими ключами, чтобы вы не скопировали их по ошибке.

Как это же сделать в графическом интерфейсе? В WinBox есть раздел WireGuard, но точный путь, названия кнопок и возможность загрузки файла мышью на этой странице документации не описаны: не подтверждено. Если не уверены, пользуйтесь консолью.

Альтернатива импорту — создать интерфейс и пира вручную. По документации, это команды /interface wireguard add (с указанием порта и имени) и /interface wireguard peers add (с открытым ключом пира, разрешёнными адресами, адресом и портом сервера). Закрытый ключ интерфейса, если его не задать, генерируется автоматически. Параметр persistent-keepalive нужен, чтобы соединение за NAT не «засыпало»: в документации в качестве примера упомянуто значение 25 секунд.

Адрес и правило файрвола

Чтобы пакеты шли через интерфейс, ему нужен IP-адрес. В примерах из документации интерфейсу назначается адрес командой /ip address add с указанием интерфейса WireGuard, а адрес должен быть из той же подсети, что и у второй стороны. Берите адрес из строки Address вашего файла.

Про файрвол в документации сказано: правила по умолчанию могут блокировать установку соединения, и трафик нужно разрешить в цепочке input до правил запрета. Это описано для сценария, когда соединение принимает сам роутер. Для случая, когда роутер сам подключается к внешнему серверу как клиент, подробной отдельной инструкции мы на странице не нашли: не подтверждено. Если соединение не поднимается, посмотрите журнал и счётчики правил файрвола.

Как проверить, что соединение работает

В документации у пира есть поле last-handshake: время с момента последнего успешного рукопожатия. Если оно обновляется, роутер и сервер обмениваются данными. Там же можно увидеть счётчики принятых и переданных байт (rx, tx). Если счётчик tx растёт, а rx стоит на нуле, обычно проблема в ключах, адресе сервера, порте или закрытом UDP.

Проверьте и время на роутере: при сильном расхождении шифрованные соединения могут не устанавливаться. Эту причину мы указываем как общую рекомендацию, прямого подтверждения в документации RouterOS для WireGuard не нашли.

Какие устройства пойдут через подключение

Этот пункт самый сложный, и документация MikroTik на странице WireGuard его почти не раскрывает. Что подтверждается: в примерах для клиента используется AllowedIPs = 0.0.0.0/0, что означает «весь трафик через это соединение». Остальное:

Отправка в соединение только части устройств (маршрутизация по адресу источника, таблицы маршрутов, списки адресов): не подтверждено на этой странице, ищите в разделах про маршрутизацию RouterOS.
NAT (маскарадинг) на исходящем интерфейсе WireGuard: в документации есть лишь пример маскарада для другого сценария (несколько WAN-каналов), так что для вашего случая не подтверждено.
Настройка DNS и защита от утечек: не подтверждено.

Здесь не стоит действовать наугад: неверный маршрут по умолчанию может отключить интернет всем устройствам дома. Если не уверены, подключите приложение на отдельное устройство. Для телефона и компьютера есть Happ, V2RayTun и INCY, а для ПК отдельная статья подключение на ПК.

А если нужен VLESS на роутере

В документации WireGuard про VLESS ничего нет, и подтверждённого пошагового способа для MikroTik в этой статье мы не приводим. На некоторых моделях RouterOS поддерживает контейнеры, но подходит ли такой путь для вашей модели и стоит ли он усилий, мы не проверяли: не подтверждено. Другие роутеры разобраны в статьях Keenetic и OpenWrt.

Частые ошибки

Нет рукопожатия. Сверьте Endpoint, порт и открытый ключ сервера с исходным файлом, проверьте, что UDP-порт доступен и интерфейс включён.
Рукопожатие есть, но сайты не открываются. Проверьте маршруты, правила файрвола и AllowedIPs.
Ошибка при импорте. Уберите строки-комментарии в начале файла и проверьте, что скопировано целиком.
Пропал доступ к роутеру. Подключитесь кабелем и откатитесь на резервную копию.

Общий порядок диагностики: Не подключается: 8 причин.

Про MEDOED

В боте MEDOED вы получаете ссылку-подписку и добавляете её в Happ, V2RayTun или INCY, первый день бесплатно. Для роутера MikroTik мы ничего не обещаем: сначала проверьте, что вам действительно выдают нужную конфигурацию, и начните с одного устройства.

Частые вопросы

Поддерживает ли MikroTik WireGuard? Да, в документации RouterOS есть отдельный раздел WireGuard. Какая именно версия RouterOS минимально нужна, на этой странице не указано: не подтверждено.

Как импортировать файл конфигурации? Командой /interface wireguard wg-import с файлом или, начиная с 7.19_ab41, через параметр config-string.

Как понять, что соединение поднялось? Посмотрите у пира время последнего рукопожатия last-handshake и счётчики rx и tx.

Можно ли пустить через соединение только телевизор? Теоретически да, через маршрутизацию по адресу источника, но подтверждения в документации WireGuard нет: не подтверждено, смотрите разделы про маршрутизацию RouterOS.

Подойдёт ли подписка MEDOED для MikroTik? Не подтверждено. Подписка рассчитана на приложения Happ, V2RayTun или INCY, а выдаются ли файлы WireGuard, уточняйте в боте.