Как настроить WireGuard VPN на MikroTik для удалённых сотрудников
Безопасный доступ сотрудников к офисным файлам и 1С из дома — без открытия RDP и Winbox в интернет.
Читать статьюРоутеры MikroTik мощные и недорогие, поэтому стоят во многих офисах. Но роутер с заводскими настройками и открытым управлением — лёгкая цель: в 2026 году несколько уязвимостей RouterOS активно эксплуатировались. В этом руководстве — безопасная базовая настройка для типичного офиса: один интернет-канал, офисная сеть и гостевой Wi-Fi.
Перед началом: команды приведены для RouterOS v7 со стандартной конфигурацией (списки интерфейсов
LAN и WAN, офисная сеть 192.168.88.0/24). Измените адреса под свою сеть. Работайте из офисной сети и включайте Safe Mode (Ctrl+X в терминале или кнопка Safe Mode в Winbox) перед изменением firewall — если доступ пропадёт, изменения откатятся автоматически. Сначала сделайте резервную копию.Шаг 1. Обновите RouterOS и прошивку
Установите последнюю версию из канала stable или long-term, затем обновите прошивку RouterBOOT.
/system package update check-for-updates
/system package update install
# after the router restarts:
/system routerboard upgrade
/system rebootШаг 2. Замените стандартного пользователя admin
Создайте своего администратора с длинным уникальным паролем, войдите под ним и отключите admin.
/user add name=netadmin group=full password="Long-Unique-Password"
# log in again as netadmin, then:
/user disable adminШаг 3. Закройте лишние службы и ограничьте управление
Отключите неиспользуемые службы и разрешите Winbox и SSH только из офисной сети. Также ограничьте MAC-доступ и обнаружение соседей интерфейсами LAN.
/ip service disable telnet,ftp,www,api,api-ssl
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN
/tool bandwidth-server set enabled=no
/ip proxy set enabled=no
/ip socks set enabled=no
/ip upnp set enabled=noШаг 4. Firewall: защита роутера и сети
Если стандартный firewall был удалён, восстановите эти правила. Роутер принимает управление только из LAN, а новые подключения из интернета отбрасываются, если для них нет проброса портов.
/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="accept established"
add chain=input action=drop connection-state=invalid comment="drop invalid"
add chain=input action=accept protocol=icmp comment="accept ICMP"
add chain=input action=drop in-interface-list=!LAN comment="drop everything not from LAN"
add chain=forward action=fasttrack-connection connection-state=established,related hw-offload=yes
add chain=forward action=accept connection-state=established,related,untracked
add chain=forward action=drop connection-state=invalid
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="drop new from WAN not port-forwarded"Шаг 5. Отдельный гостевой Wi-Fi
Создайте отдельный мост (здесь bridge-guest) со своей подсетью и DHCP-сервером для гостевого Wi-Fi (помогут Quick Set или /ip dhcp-server setup). Затем запретите гостям доступ в офисную сеть:
/ip firewall filter add chain=forward in-interface=bridge-guest out-interface-list=LAN action=drop comment="guests cannot reach office LAN" place-before=0Шаг 6. Время, резервная копия и журналы
Точное время нужно для журналов и сертификатов. Сохраните зашифрованную резервную копию и читаемый экспорт и храните их вне роутера. Если есть сервер журналов, отправляйте логи туда через /system logging.
/system clock set time-zone-name=Asia/Yerevan
/system ntp client set enabled=yes
/system ntp client servers add address=pool.ntp.org
/system backup save name=office-router password="Backup-Password"
/export file=office-router-configЧего не делать
- Не пробрасывайте Winbox (8291), SSH или WebFig в интернет. Для удалённого управления используйте VPN — см. наше руководство по WireGuard.
- Не открывайте порты через UPnP.
- Не оставляйте старые версии RouterOS «потому что работает».
Роутер настраивают один раз, а обслуживают постоянно: обновления, резервные копии и взгляд на журналы.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Частые вопросы
Какую версию RouterOS использовать в небольшом офисе?
Последний выпуск канала stable или long-term. Long-term меняется реже и подходит тем, кто ценит стабильность; stable быстрее получает новые функции и исправления. Никогда не оставайтесь на версии с известными эксплуатируемыми уязвимостями.
Безопасно ли управлять MikroTik через Winbox из интернета?
Нет. Winbox, SSH и WebFig должны быть доступны только из офисной сети или через VPN. Несколько уязвимостей RouterOS эксплуатировались именно через открытые службы управления.
Нужно ли сбрасывать роутер, чтобы применить эту настройку?
Обычно нет. Если на роутере стандартная конфигурация, вы в основном ужесточаете службы и пользователей. Если история настройки неизвестна или роутер мог быть взломан, безопаснее чистый сброс и настройка заново.
Как часто делать резервную копию конфигурации MikroTik?
После каждого изменения и минимум раз в месяц. Храните зашифрованную копию и текстовый экспорт вне роутера — например, в менеджере паролей или системе документации.