Mikrotik.moscow [тема: GrooveA в роли клиента Wireguard] http://mikrotik.moscow Новое в теме GrooveA в роли клиента Wireguard форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 15 Jul 2026 00:47:37 -0400 GrooveA в роли клиента Wireguard GrooveA в роли клиента Wireguard RouterOS в форуме RouterOS.
(1) Allowed IPs для GROOVE: подсеть wireguard и локальная сеть UDM.  
/interface wireguard peers add allowed-address=192.168.4.0/24, 192.168.1.0/24 endpoint-address=my.wan.ip.address endpoint-port=51820 interface=wireguard1 public-key="publicKeyObfuscated="  

(2) Отсутствует IP-адрес Wireguard!!  
/ip address add address=192.168.0.1/24 comment=defconf interface=ether1 network=192.168.0.0  
add address=192.168.4.4/24 interface=wireguard1 network=192.168.8.0  

(3) Что мне непонятно… Есть ли пользователи на GROOVE, которым нужен доступ к LAN UDM, и есть ли пользователи в LAN UDM, которым нужен доступ к LAN GROOVE? Кроме АДМИНА, разумеется…  
/ip firewall filter  
add action=accept chain=input comment="defconf: accept established, related, untracked" connection-state=established,related,untracked  
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1  
add action=accept chain=input comment="wireguard admin access" in-interface=wireguard1  
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec  
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec  
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes  
add action=accept chain=forward comment="defconf: accept established, related, untracked" connection-state=established,related,untracked  
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid  
add action=accept chain=forward comment="internet traffic" in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward comment="wireguard access" in-interface=wireguard1 out-interface-list=LAN  
add action=accept chain=forward comment="port forwarding" connection-nat-state=dstnat disabled=yes {включить или убрать, если не нужно}  
add action=drop chain=forward comment="drop all else"  

/ip route add dst-address=192.168.1.0/24 gateway=wireguard1 routing-table=main
20.05.2024 22:44:00, anav.]]> http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398758 http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398758 Mon, 20 May 2024 22:44:00 -0400 RouterOS GrooveA в роли клиента Wireguard GrooveA в роли клиента Wireguard RouterOS в форуме RouterOS.
Опечатки, извиняюсь. Сеть GrooveGA — 192.168.0.0/24, сеть UDM — 192.168.1.0/24. Какой у тебя IP-адрес для Wireguard? Ты имеешь в виду IP этого клиента, настроенный на сервере Wireguard? Это 192.168.4.8. Allowed IPs указаны неверно, нужно точнее объяснить, как именно используется Wireguard:  
а. ты просто используешь его для настройки Groove?  
б. ты хочешь подключаться к LAN сети Groove?  
в. хочешь подключаться к LAN сети UDM роутера?  
г. используешь для выхода в интернет через UDM роутер?  
д. хочешь получить доступ к настройкам UDM?  

Мне нужны варианты (б) и (в), чтобы сети Groove и UDM могли видеть друг друга, при этом соединение по Wireguard должно устанавливать исходящим из Groove — который стоит за NAT. У UDM статический публичный IP. Если это сложно, то хотя бы (д) — чтобы я мог заходить в панель управления Groove, когда тот за NAT. По поводу mYWANIP — ты имел в виду публичный IP UDM? Да, я просто его замаскировал.
20.05.2024 00:14:00, randomrouter.]]> http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398757 http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398757 Mon, 20 May 2024 00:14:00 -0400 RouterOS GrooveA в роли клиента Wireguard GrooveA в роли клиента Wireguard RouterOS в форуме RouterOS.
Где у тебя IP-адрес для Wireguard? Allowed IPs указаны неправильно, нужно получше объяснить назначение Wireguard:  
a. Ты используешь его только для настройки Groove?  
b. Подключаешься к LAN Groove?  
c. Подключаешься к LAN роутера UDM?  
d. Идёшь в интернет через UDM?  
e. Получаешь доступ к конфигу UDM?  

Если под mYWANIP ты имел в виду публичный IP UDM, то в Allowed IPs отсутствует настройка persistent keep alive.
19.05.2024 11:13:00, anav.]]> http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398756 http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398756 Sun, 19 May 2024 11:13:00 -0400 RouterOS GrooveA в роли клиента Wireguard GrooveA в роли клиента Wireguard RouterOS в форуме RouterOS.
Эммм, ??? Во-первых, две сети, которые вы указали, одинаковы, сеть UDM, которую вы указали, на самом деле — это IP-адрес, сама сеть действительно будет 192.168.1.0/24, такая же, как вы указали для Groove, но, подозреваю, для Groove должна быть сеть 192.168.0.0/24.
19.05.2024 11:08:00, anav.]]> http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398755 http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398755 Sun, 19 May 2024 11:08:00 -0400 RouterOS GrooveA в роли клиента Wireguard GrooveA в роли клиента Wireguard RouterOS в форуме RouterOS.
Рад, что тебе кажется это хорошей идеей. Вот конфигурация.  
# may/19/2024 16:50:20 by RouterOS 7.4  
# software id = 8E98-BRCA  
#  
# model = RBGrooveGA-52HPacn  
# serial number = serialnumber  

/interface wireguard  
add listen-port=13231 mtu=1420 name=wireguard1  
/interface list  
add comment=defconf name=WAN  
add comment=defconf name=LAN  
/interface lte apn  
set [ find default=yes ] ip-type=ipv4 use-network-apn=no
/interface wireless security-profiles  
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa2-psk management-protection=allowed mode=dynamic-keys name=Home supplicant-identity=MikroTik  
add authentication-types=wpa2-psk mode=dynamic-keys name="WAN wifi" supplicant-identity=MikroTik  
/interface wireless  
set [ find default-name=wlan1 ] band=5ghz-a/n/ac country="new zealand" disabled=no frequency=5260 installation=outdoor security-profile="WAN wifi" ssid="ssid of WAN wifi"
/ip pool  
add name=dhcp ranges=192.168.0.10-192.168.0.254  
/ip dhcp-server  
add address-pool=dhcp interface=ether1 name=defconf  
/ip neighbor discovery-settings  
set discover-interface-list=LAN  
/ip settings  
set max-neighbor-entries=8192  
/ipv6 settings  
set disable-ipv6=yes max-neighbor-entries=8192  
/interface list member  
add comment=defconf interface=ether1 list=LAN  
add comment=defconf interface=wlan1 list=WAN  
add list=LAN  
/interface ovpn-server server  
set auth=sha1,md5  
/interface wireguard peers  
add allowed-address=192.168.4.1/32,192.168.4.8/32,0.0.0.0/0 endpoint-address=my.wan.ip.address endpoint-port=51820 interface=wireguard1 public-key="publicKeyObfuscated="  
/ip address  
add address=192.168.0.1/24 comment=defconf interface=ether1 network=192.168.0.0  
/ip dhcp-client  
add comment=defconf interface=wlan1  
/ip dhcp-server lease  
add address=192.168.0.50 client-id=1:b8:27:eb:ab:43:a7 mac-address=B8:27:EB:AB:43:A7 server=defconf  
add address=192.168.0.51 client-id=1:e4:5f:1:8b:7a:76 mac-address=E4:5F:01:8B:7A:76 server=defconf  
add address=192.168.0.52 client-id=1:e4:5f:1:f8:56:e9 mac-address=E4:5F:01:F8:56:E9 server=defconf  
/ip dhcp-server network  
add address=192.168.0.0/24 comment=defconf gateway=192.168.0.1 netmask=24  
/ip dns  
set allow-remote-requests=yes  
/ip dns static  
add address=192.168.0.1 comment=defconf name=router.lan  
/ip firewall filter  
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1  
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec  
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec  
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes  
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked  
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid  
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN  
/ip firewall nat  
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN  
/tool mac-server  
set allowed-interface-list=LAN  
/tool mac-server mac-winbox  
set allowed-interface-list=LAN  

Unifi UDM Pro настроен с сервером Wireguard, который отлично работает с другими клиентами (устройствами за этим роутером Mikrotik и с других локаций). В идеале я бы хотел, чтобы GrooveGA поддерживал VPN site-to-site с сетью Unifi, чтобы не нужно было держать прямые VPN-подключения с устройств на стороне Mikrotik. Если это невозможно, то хотя бы чтобы GrooveGA мог подключаться к VPN, чтоб я мог удалённо заходить в конфигурацию — и это было бы нормально. Я не контролирую wifi-WAN, к которому подключён GrooveGA, поэтому не могу настроить удалённый доступ без VPN — и предпочёл бы не проксировать трафик через одно из устройств, подключённых к VPN.  

Сеть GrooveGA — 192.168.1.0/24  
Сеть UDM — 192.168.1.1/24  

Если чего-то не хватает — буду очень признателен за советы.
19.05.2024 06:45:00, randomrouter.]]> http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398754 http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398754 Sun, 19 May 2024 06:45:00 -0400 RouterOS GrooveA в роли клиента Wireguard GrooveA в роли клиента Wireguard RouterOS в форуме RouterOS.
Всем привет! У меня два офиса. На площадке А стоит Unifi UDM Pro с фиксированным WAN IP и настроенным Wireguard VPN. На площадке B — GrooveA с последней версией Router OS. Этот роутер находится за NAT. Я хочу, чтобы площадка B, то есть Mikrotik, подключалась к сети Wireguard. Подключение должно быть исходящим, так как он за NAT. На площадке B всего два клиента. Они могут сами подключаться к Wireguard, или, если возможно сделать site-to-site, это было бы здорово! Если site-to-site не получится, единственная причина использовать Mikrotik как клиента Wireguard — чтобы управлять им удалённо, не заходя через клиентов на площадке. Буду благодарен за любые советы!
29.04.2024 02:41:00, randomrouter.]]> http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398753 http://mikrotik.moscow/forum/forum57/85666-groovea-v-roli-klienta-wireguard/message398753 Mon, 29 Apr 2024 02:41:00 -0400 RouterOS