WireGuard в Mikrotik

В видео рассмотрим VPN-протокол WireGuard и его настройку на оборудовании Mikrotik.
Mikrotik User Online Meeting в Москве! mum-russia.ru/?...
28 июля 2023 года
Ссылка на статью: mikrotik-training.ru/kb/wireg...

[@tjmanPapagaio]

Роман, благодарю вас за ваш труд! По долгу службы часто приходится пользоваться вашими роликами!

[@vlasker]

Благодарю, Роман! Кратко и по сути.

[@SarevokLord]

Рома, спасибо тебе большое. Как всегда топ. Все по полочкам с конкретными кейсами. Ждем новых образовательных роликов.

[@3JlOU_BoJlK]

Черт, как вовремя то!)))

[@mistertwister1015]

Спасибо тебе хороший человек. Единственное место, где я наконец-то нашел причину почему у меня больше одного пира на одном интерфейсе не работало. Получается, что в настройках пира на сервере Allowed addresses это не адреса, на которые можно ходить клиенту, а именно адрес его интерфейса.

[@ZakroyGlaza]

Спасибо! Интересно, даже не думал, что все так просто...

[@user-jr2sw9fq9x]

CapsMan на Wi-Fi Wave2 не получилось настроить. вроде все так же но что то не так) Расскажите пожалуйста! Спасибо за Ваши видео и за Ваш труд!!!

[@xkirox100]

Красавчик. Ставлю царский лайк!

[@JohnWick-tr6js]

Роман, моё почтение!

[@bellotunde6596]

Can u do English version please

[@user-ei9jy7td3d]

Спасибо огромное за Ваш труд, хотелось бы в дальнейшем увидеть про технологию romon!

[@steelfactor9461]

спасибо за пояснение, а я не понимал почему маршруты указанные в ip routes не работают, оказывается wireguard не пропускает пакеты если они проходят не из сети раздела allowed addresses

[@rivasltd]

Спасибо за пример настройки

[@antoniomax3163]

Расскажите, пожалуйста , об harpin nat

[@ftudfededdr]

Кто не может раздуплить настройку сервера линуксового: прописываете интерфейс и в настройках интерфейса указываются пиры, которым разрешено когтиццо! Проверка пиров идет по "паспорту", то есть по публичному ключу. Значит, в интерфейсе пишем: вот с этим паспортом можно и цеплять с таким-то ip. Это по сути весь серверный конфиг (без настройки ip tables, я лишь поясняю пиры\ключи) В конфигах пиров мы прописываем по какому адресу сидит интерфейс, указываем его ip\port и указываем свой закрытый ключ, на основании которого будет делаться ваш "паспорт" для авторизации. Тот же принцип и у микрота: создаете интерфейс вг, а к нему пир на соседней вкладке. Пир может быть не один, но allowed адрес указываете с маской \32, то есть один, чтоб микрот его легко маршрутизировал. Параметр allowed addres в интерфейсе указывает куда маршрутизировать клиента, а в пире - с каким адресом цепляться к интерфейсу. Если пир собирается принять кучку виндовых клиентов, то в виндовом клиенте создаете пустой конфиг, этот конфиг сгенерит вам закрытый ключ и сверху покажет открытый. Вот тот открытый и суете в настройку пира на микрот. Если цеплять два микрота, то с белым IP создаете интерфейс, к нему пира и в пире - публичный ключ другого микрота. Надеюсь, прояснил )) У меня долго каша стояла, пока не разложил подобным образом для себя и тогда стало понятно!

[@vanell0]

Добрый день.Уважаемый,Вы не подскажете на wg нужно ставить mtu тот же что и у провайдера?Провайдер 1500,wg 1420.

[@mahamat1]

Спасибо большое!

[@user-kl3wv3yn4p]

объединил два офиса по wireguard, в обоих - микротики. все классно инет у каждого свой, если надо адреса в сетях доступны. Но в первой сети есть сервера и сервисы, к которым удобнее обращаться по имени. Внутри первой сети все нормуль, а вот как быть во второй сети? как туда пробросить dns из первой сети?

[@Darth_Vader_ru]

добрый день Роман так получилось разобрался с вирегуард до того как увидел ролик но не совсем можно рассмотреть случай когда по данному впн подключается еденичный клиент и его траффик полностью идет через инет доступ сети к которой он подключился

[@alexeydavtyan4653]

Круто, спасибо! Подскажите, может кто-то делал настройку Mikrotik для работы с внешним VPN сервером? Хочется через VPN ходить только на заблокированные сайты, т.е. как-то фильтровать трафик нужно

[@Goldman5800]

делал так

[@Artem.Bashev]

У меня без указания заначения persistent keepalive тунель не поднимается

[@vitaliy.kopach]

Я настроил сервер, подключил к нему два других микрота, прописал роуты, линк поднялся но.. пингуется только одна сеть (как я понял, та что была подключена первой). Сталкивались с таким?

[@titsadmin]

Есть ли клиент работающий без прав администратора(или как служба) и способный перенаправить отельные приложения? Windows. Спасибо.

[@MrNYBlin]

Приветствую господа и дамы. Подскажите, а как правильно реализовывать на wirefuard связь нескольких пиров между собой, при наличии одного сервера и нескольких пиров? Или это невозможно?

[@FM-db2fy]

а на этот вопрос ответ всё таки нет да?

[@Masyanich]

самое стремное тут, про что не рассказывает Роман - это траблшутинг всего этого, если оно не работает - то вообще не понятно почему, ни тебе инфы в логах чтотнапример ключ не верный, ничего

[@litromobil51]

У меня весь траблшутинг свелся в втыкамию минут 15 почему пакеты идут только в одну сторону, все ключи верные, адреса верные, пока не вспомнил, что неплохо бы в iptables правило создать на инпут. И сразу всё поехало.

[@andreykalyadin5331]

немного не понял про такое - возможен ли мультипир на одном серверном интерфейсе? В разделе peers добавляю первого клиента - все работает нормально. По аналогии добавляю второго клиента - и глухо. Показывает, что соединение есть, но через него ничего не ходит. Или же лучше на каждого клиента делать отдельный интерфейс на сервере? Еще такой вопрос - а как настроить логгирование? В стандартном логе нет инфы про коннект/дисконнект.

[@siblds]

Столкнулся с такой же ситуацией - больше одного пира с одним серверным интерфейсом не работает.

[@user-bw3xr6zy7o]

А что мешает каждому клиенту свой интерфейс сделать? Гордость и предупреждение?

[@andreykalyadin5331]

@@user-bw3xr6zy7o ничего не мешает. Пока их мало, это не вызывает затруднений. Но как-то невесело представлять настройку нескольких десятков клиентов.

[@helby255]

Нашел свою ошибку: на стороне сервера указал маску 24. Не нужно ничего указывать. Микрот сам подставляет /32 (ставить только на стороне сервера). Сейчас 6 пиров работает - проблем нет. Пересмотрите видео, этот момент, к сожалению, не комментируется

[@siblds]

@@helby255 Действительно, пересмотрел ролик и пронял свою ошибку - я в Peers Allowed Address вписывал неверные адреса (указывал разрешённые сети вместо адреса, выданного клиенту). Спасибо за направление, теперь тоже работает.

[@zrazhev]

Роман но там же 443 udp а не tcp поэтому оператора всеравно его могут отлавливать 5:30 время

[@vadym.masiuk]

Я думаю, выбор 443 порта имел ввиду не избежание WireGuard детектирования (к слову с этим проблем вообще нет), а именно целесообразность анализа трафика на данном порту в плане "стоимости" и создаваемых оверхедов на стороне isp

[@polo1645]

как для клиента настроить доступ чисто чтоб было ip адрес логин и пароль?

[@KORODREY]

Когда все это добро будет нормально ходить через фасттрэк? На стареньком rb2011 скорость режется до 40мбит с нагрузкой CPU под 100. От микротика слышно что? Решат эту проблему? Никакого смысла нет использовать WG сеть-сеть, если один клиент железку положит.

[@MrAndrk83]

Привет. а как подключить микротик к серверу на ubuntu через wireguard/ на сервере поднят wireguard и находится этот сервер за бугром.

[@xflwl1921]

Я пытался сделать впн платный на микрот через вайргард, есть все конфиги, но у меня утекает ДНС и потому не открываются сайты заблокированные, хотя айпишник внешний меняется и трафик идет. Если с Вами как-то можно связаться, то буду признателен за помощь

[@sssergey83]

не работает у меня. пингуется , но трафик не идет. Даже не знаю что исправлять

[@amethystiumDOTeu]

Режется на уровне провайдера. Использую OpenVPN.

[@TheDominik8602]

а если порт поменять на 443 как в видосе ?

[@amethystiumDOTeu]

@@TheDominik8602 Не помогает. Рвется соединение. Wireguard очень легко прикрыть.

[@kalobyte]

с каких пор провайдеры стали резать впн? после ковида куча работяг отправилась на домашние офисы, а там всегда по впн доступ

[@JohnWick-tr6js]

на нормальном проверенном провайдерах надо сидеть, а не каком-то Ростелекоме...

[@amethystiumDOTeu]

@@kalobyte Я живу в ЕС .. тут сейчас многое режут идущее с РФ. Внутри страны то явно не блокируют соединения, а международку .....

[@Vkusnashki]

А как сделать.. допустим виртуальную вайфай.. назовем ее впн.. и законектиться с WireGuard .. для доступа к запрещенке! инста и.т..д

[@svdip]

Добрый день! Спасибо за видео! Вопрос - можно ли оставить сервер l2tp/ipsec, и на нем поднять wireguard сервер (для постепенного перехода на wireguard)? Спасибо!

[@tr0jan4ik]

конечно можно.

[@user-vb8or3xp8n]

А как со скоростью тоннеля?

[@litromobil51]

Присоединяюсь к вопросу. Что по итогу выйдет скоростнее, легковесный вг или аппаратно ускоренный ипсек на каком нибудь ас2 например

[@loskiq]

не имеет смысла менять порт на 443, надеясь на лучшее прохождение через фаерволы. у каждого оператора стоит тспу, которому по барабану на destination порт, потому что он может блокировать тупо сам протокол

[@steelfactor9461]

​@@PepperCookiesпока самый надёжный в плане прохождения протокол - это sstp

[@steelfactor9461]

@@PepperCookies почему палевный? шифрование ведь происходит через сертификат

[@ilgamgalimov1243]

А обфускацию пакетов поверх WireGuard'а можно настроить?

[@loskiq]

@@ilgamgalimov1243 есть форк wireguard, называется amnezia-wg. этот форк как раз и обфусцирует трафик wireguard. но между микротиками такое не заведешь, к сожалению...

[@litromobil51]

Настроил на телефон вг, очень доволен. Раньше ходил домой через опенвпн, который было лень разбираться с сертификатами, между адресами на микротиках был сделан в упрощённом виде без сертификатов. А для телефона отдельный вход на линукс машинке. Всё работает как то медленно, смотрю через них видеонаблюдение, открывается с задержкой. Сейчас за вечер разобрался с вг, устроил вход с телефона прям на мт. Камеры открываются мгновенно, без задержек. Очень понравилось. Буду переводить на вг так же и все свои межмикротиковские стыки

[@dmitriyelesin]

Хм, я что-то не видел, чтобы по 443/UDP ходил https, как об этом говорит Роман...

[@Dustisfy]

Quic сидит на 443udp

[@fengnothern7174]

Смотри протокол HTTP/3

[@loskiq]

в смысле "сейчас современная версия ros - 7.4"? может быть уже 7.10?

[@pavelrudnitskiy8143]

Это видео 2022 года

[@cuctemko]

7.10.1

[@loskiq]

@@cuctemko 7.10.2

[@barabucho]

Подскажите,возможно ли активировать (временно) полную лицензию RouterOS с поддержкой реальных DDNS,мне необходимо обкатать 3 маршрутизатора (проверить задачу/подготовится)?

[@tr0jan4ik]

демо версия полная только на 24 часа. настраивайте и каждый день импорт\експорт конфигов

[@barabucho]

@@tr0jan4ik Как ее включить? Там DDNS-адрес будет (в cloud)?

[@tr0jan4ik]

@@barabucho для ваейгарда. Это лучше чем дднс

[@barabucho]

@@tr0jan4ik Так как активировать полную лицензию на 24ч?

[@tr0jan4ik]

@@barabucho да демо и есть полная. Открой микротик Вики там описано лицензирование.

[@alexrihter3494]

WireGuard все! в РФ присутствует DPI, ждать теперь от микротика новых функций shadowsocks

[@gidofina]

Подскажите пожалуйста как настроить маршрутизацию для заворота всего трафика из локальной сети в тоннель.

[@steelfactor9461]

он же описал в 7:39 как добавлять подсеть которой разрешена отправка данных в туннель

[@gidofina]

@@steelfactor9461 мне не нужна одна подсеть, мне нужен основной маршрут для локальной сети, который заворачивает трафик в тоннель и не ломает интернет для роутера.

[@kalobyte]

@@gidofina не прописывать в впн конфиге днс тогда трафик для инторнета будет ходить через провайдера как обычно

[@user-km8tp4zi5q]

Mangle?

[@garrysonallright]

Это многое проясняет.Я имею ввиду обратную маршрутизацию.

[@user-uv2rn5qx8o]

Надо рассказать про настройку Wi-Fi 6 там перелопатили интерфейс

[@kalobyte]

его минус в том, что клиент не получает ип адрес от дхцп возни много с настройкой под каждого если только site2site

[@lunahod2426]

есть софтовый, ставится на комп. ты там настраиваешь только ник сотрудника и он в автоматическом режиме создает все настройки. на выходе получается файл с расширением .conf для приложения на пк и QR код для приложения на телефоне

[@kalobyte]

@@lunahod2426 .я в курсе про скрипт генерации конфига и даже вебморду но это все равно не то малость да и механизм направления инторнетного трафика через впн или через провайдера непонятен должен быть какой-то параметр, чтобы включить полное перенаправление через впн или же выключить его

[@doctor24UA]

микротик как будто с другой планеты. Зачем от версии к версии менять опции настройки. У меня к примеру не генерируеться КЕЙ при создании интерфейса, нужно гдето его генерить отдельно.

[@VX-4777]

Странно, но получить доступ к компьютеру в разрешенной сети через wireguard не получилось. Видать что-то криво работает в микротике.

[@MikrotikTraining]

Mikrotok не уникален в работе с WireGuard. Вам нужно посмотреть настройки firewall на MikroTik и локальном компьютере. Приходите в телегам чат @miktrain - попробуем разобраться почему у вас не получилось настроить доступ к компьютеру.

[@user-dx1dc3tn2b]

Нафига в Allowed IP адрес интерфейса ? :))) Тогда уж и в firewall добавить правило для траффика между интерфейсами wireguard. :)))

[@onx-c]

Wireguard странный какой-то. Брать IPTV натом из туннеля напрочь отказывается. Что на L2TP прекрасно работает. Видно строк кода еще не достаточно :)

[@scrudgik]

У меня настроен dual wan. Не знаю почему, но он работает только с одним провайдером. По какой-то причине он получает пакет со второго интерфейса но всегда отправляет его на первый... Что я только не делал, у меня ни чего не вышло

[@D1abl093]

ip сервера и клиента wg заверните в таблице маршрутизации только через одного провайдера. Вроде работает без проблем, только заворачивать желательно с двух сторон))

[@scrudgik]

@@D1abl093 пробовал. Не работает. Возможно правила не те...

[@PredatorGH]

тоже настроен dualwan. В качестве Allowed IP указал адрес из IP/Cloud. Работает, пока не произойдет смена адреса на резервный. В таком случае приходится отключить/подключить интерфейс на клиенте

[@redrrah]

Мой 751 от седьмой прошивки дохнет, наверное уже слишком стар 🙂

[@modrissalgus8213]

Можно ли использовать ipcloud ареса так как имеется динамические адреса у мобильного оператора?

[@taipovv]

Смогли найти ответ на свой вопрос? Тоже вот озадачился.

[@andreiastafiev]

у меня такой фунцкии нету.. что делать ?

[@user-kl3wv3yn4p]

ну смотря как роутер, если толковый и памяти не меньше 128ГБ - можно апнуть

[@andreiastafiev]

@@user-kl3wv3yn4p mikrotik hap 2ac

[@alikbit]

чет не пашет, пингует только внешку, А ПОЧЕМУ?? а потому что Роман как всегда про правило firewall не говорит /ip firewall filter add action=accept chain=input dst-port=443 in-interface-list=WAN protocol=\udp

[@Igorich44]

Как увидеть покдлючение клиентов в Lease-ах?

[@vx4655]

Ещё одна НЕ рабочая инструкция!!! Пинги между роутерами идут а вот до железок в сети - полная тишина. пакеты пропадают в роутерах. Фаервола для теста НЕТ совсем!!!

[@olegkn7769]

Спасибо, нудно и запутано. Обратился к специалистам официального источника и все понял...

[@ninjasassasin3224]

0:59 В видео приведено сравнение по кодовой базе. Строк кода WireGuard приблизительно в 31 раз меньше чем у OpenVPN. В животном мире, например, такая разница в соотношение нейронов в мозгу позволяет организму выделиться уже в новый тип. Это все равно что сравнивать насекомое (например таракана) с мелкими млекопитающими (бурозубки). У них разница в числе нейронов в мозгу тоже, как раз в 30 раз. Если же сравнить по кодовой базе WireGuard c IPSEC, то это все равно что сравнивать таракана с предствителями мелких птиц (Зебровая амадина).

[@kifchan]

Чем больше строк кода тем лучше? Понял, спасибо

[@ninjasassasin3224]

@@kifchan Скорее этот комментарий про то, что сравнивать лучше насекомых с насекомыми , птиц с птицами, а млекопитающих с млекопитающими.

[@gordon-free-man]

@@ninjasassasin3224 Раньше компьютеры ели в офисе помещались, а теперь в кармане лежит. Время не стоит на месте...

[@keynat3131]

@@gordon-free-man В стародавние времена, когда компьютеры были большими, а программы на них маленькими...))) А если серьезно - меньший код - лучшее быстродействие.

[@georgiysedov1317]

wireguard поикольный, если ничего не нужно от слова совсем. А так примитивный, как полено. ВПН из серии "закат солнца вручную"

[@PredatorGH]

сравнивал скорость передачи файлов на одном и том же оборудовании с разными типами впн-подключения. Скорость копирования через wireguard оказалась в разы выше, чем например L2TP или PPTP. Кроме того, wireguard отлично настраивается на устройствах Windows, iOS, Android из серии настроил и забыл. Скорость, опять же, на высоте

[@georgiysedov1317]

@@PredatorGHПо скорости он отличный, тут вопросов нет. Самый быстрый. Но всё вручную ) вообще всё и на всём. (для телефонов можно настроить выдачу настроек по QR коду). Но тот же Ovpn может натурально чёрта лысого и раздавать клиентам и настраивать. Маршруты, например, индивидуально и всё на уровне сервера. wg не умеет вообще ничего ) просто шифрует траффик и всё. А остальное ручками. Ну и отлаживать wg тяжко. Если что то не работает, то понять что, например по логу - обычно просто нельзя ))) Например добавил клиента (пира) и забыл перегрузить сервер. На клиенте (пире) уже просто измождился, всё перепробовал. Не работает. а что, почему - хз.

[@user-rv9vc3ck4m]

Ещё пока сырая технология.

[@MikrotikTraining]

В ядре Linux. В MikroTik реализация из ядра.

[@gohhinogami7761]

Почему он у тебя вдруг вЕргуард, когда он вАэргард? Ты столько лет работаешь с зарубежными железками, но так и не научился произносить простое слово - Провод + охрана?) Просто немного смущает этот момент.

[@laurencebarnes1337]

Ничего,скоро и это в Сроссии заблочат, не заморачивайтесь

[@OttoLilo]

Вопрос, а как защитить WireGuard от перебора ключей. Меня начали пытаться ломануть, в логах видно, что рандомными ключами пытаются перебрать подключение. Понятно, что вряд ли смогут, но канал то забивают, что не есть хорошо.