Как настроить MikroTik для малого бизнеса: безопасная базовая конфигурация по шагам
Обновление RouterOS, замена admin, закрытие служб управления, firewall и гостевая сеть — с готовыми командами.
Читать статьюWireGuard — современный и быстрый VPN, встроенный в RouterOS v7. Его гораздо проще настроить, чем старые типы VPN, и он хорошо работает на ноутбуках и телефонах. Сотрудники получают доступ к офисным серверам через зашифрованный туннель, а в интернет открыт только один UDP-порт.
Перед началом: нужны RouterOS v7, публичный IP-адрес (или динамическое DNS-имя, например из
/ip cloud) и бесплатное приложение WireGuard на каждом ноутбуке или телефоне. Офисная сеть в примерах — 192.168.88.0/24, сеть VPN — 10.10.10.0/24.Шаг 1. Создайте интерфейс WireGuard на роутере
Создайте интерфейс, назначьте ему адрес в отдельной VPN-сети и добавьте в список LAN, чтобы пользователи VPN считались офисными. Если нужно ограничить доступ пользователей VPN, используйте отдельный список и правила firewall.
/interface wireguard add name=wg-office listen-port=13231
/ip address add address=10.10.10.1/24 interface=wg-office
/interface list member add interface=wg-office list=LANШаг 2. Разрешите порт WireGuard в firewall
Правило должно стоять выше правила, отбрасывающего всё не из LAN. Выведите список правил, найдите номер этого правила и укажите его в place-before (в стандартной конфигурации — 3).
/ip firewall filter print
/ip firewall filter add chain=input protocol=udp dst-port=13231 action=accept comment="WireGuard" place-before=3Шаг 3. Добавьте каждого сотрудника как peer
В приложении WireGuard на устройстве сотрудника создайте пустой туннель — приложение сгенерирует пару ключей. Скопируйте публичный ключ устройства в роутер. Первая команда показывает публичный ключ роутера — он нужен на следующем шаге. У каждого устройства — свой адрес.
/interface wireguard print
/interface wireguard peers add interface=wg-office public-key="CLIENT_PUBLIC_KEY" allowed-address=10.10.10.2/32 comment="Anna - laptop"Шаг 4. Настройте устройство сотрудника
Заполните туннель в приложении так. AllowedIPs направляет через VPN только офисный трафик, остальной интернет идёт напрямую.
[Interface]
PrivateKey = (created by the WireGuard app)
Address = 10.10.10.2/32
DNS = 192.168.88.1
[Peer]
PublicKey = ROUTER_PUBLIC_KEY
Endpoint = YOUR_PUBLIC_IP:13231
AllowedIPs = 192.168.88.0/24, 10.10.10.0/24
PersistentKeepalive = 25Шаг 5. Управляйте доступом
При потере ноутбука или увольнении сотрудника отключите или удалите его peer — доступ прекратится сразу. Регулярно пересматривайте список.
/interface wireguard peers print
/interface wireguard peers disable [find comment="Anna - laptop"]Хорошие практики
- Один peer на одно устройство, никаких общих ключей.
- Никогда не пересылайте приватные ключи по почте или в мессенджерах — приватный ключ не покидает устройство.
- Сочетайте VPN с надёжными паролями и MFA в системах за ним (1С, RDP, общие папки).
VPN — это дверь для вашей команды. Дайте каждому свой ключ и забирайте его при уходе.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Частые вопросы
Достаточно ли WireGuard безопасен для бизнеса?
Да. WireGuard использует современную криптографию и небольшой код, который легко проверить. Безопасность зависит в основном от работы с ключами: один ключ на устройство и немедленное удаление при потере устройства.
WireGuard или IPsec/L2TP на MikroTik?
Для удалённых сотрудников WireGuard проще в настройке и обычно быстрее. IPsec остаётся полезным для подключения к межсетевым экранам других производителей, не поддерживающим WireGuard.
Смогут ли сотрудники работать с 1С и общими папками через этот VPN?
Да. Если AllowedIPs указывает на офисную сеть, ноутбук видит 1С, файловые серверы и принтеры как в офисе, а обычный интернет идёт напрямую.
Что делать, если у офиса динамический IP?
Используйте DNS-имя, которое следует за IP, — встроенное имя MikroTik /ip cloud или свой динамический DNS — в качестве Endpoint в настройке клиента.