http://mikrotik.moscow Новое в теме VPN — маршрутизация устройства форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 04:58:14 +0300 VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Зависит от пропускной способности вашего провайдера. Если у вас 1 гигабит, HEX для такого не подходит — он слабоват, лучше оставаться на USG. Если вы можете перенаправлять порты и задавать ручные маршруты на USG, то всё должно работать! Я могу дать вам конфигурацию для использования HEX в качестве роутера, но не как базовый коммутатор. Ваш IP-адрес на HEX для Wireguard на Fritz указан в настройках неправильно — он должен быть 192.168.178.X, а не 0. Предположим, что это 2.

Что касается source NAT, кажется, вы хотите применять source NAT ко всему трафику, идущему через туннель к WORK или FRITZ, назначая этому трафику IP-адрес HEX на соответствующем интерфейсе Wireguard. Это нормально, так как упрощает возврат трафика на этих устройствах без создания дополнительных маршрутов. Но сделано это неправильно.

model = RB760iGS

/interface list  
add name=WAN  
add name=LAN  
add name=MANAGE  

/routing table  
add fib name=thr_WG  

/interface bridge port  
add bridge=bridge1 interface=ether1 disabled=yes  
add bridge=bridge1 interface=ether3 disabled=yes  
add bridge=bridge1 interface=ether4 disabled=yes  
add bridge=bridge1 interface=sfp1 disabled=yes  

/ip neighbor discovery-settings  
set discover-interface-list=MANAGE  

/interface list member  
add interface=ether2 list=WAN  
add interface=bridge1 list=LAN  
add interface=ether5 list=LAN  
add interface=WG-PRV-SERVER list=LAN  
add interface=ether2 list=MANAGE comment="чтобы можно было получить доступ к настройкам из подсети USG"  
add interface=ether5 list=MANAGE comment="чтобы получить доступ к настройкам через ether5"  
add interface=WG-PRV-SERVER list=MANAGE comment="чтобы получить доступ к настройкам через Wireguard"  

/interface wireguard peers  
add allowed-address=192.168.5.2/32 comment="MacMini" interface=WG-PRV-SERVER public-key="xxxxxxxxx"  
add allowed-address=192.168.5.3/32 comment="DS Phone" interface=WG-PRV-SERVER public-key="xxxxxxxx"  
add allowed-address=192.168.5.4/32 comment="MacBook" interface=WG-PRV-SERVER public-key="xxxxxxxx"  
add allowed-address=192.168.111.0/24 comment=WG-COMP endpoint-address=11.11.11.11 endpoint-port=13231 interface=WG-COMP persistent-keepalive=25s public-key="xxxxxxxxxxx"  
add allowed-address=0.0.0.0/0 client-dns=192.168.178.1 comment="WG PL Fritz!Box" endpoint-address=homffff.ddns.net endpoint-port=55014 interface=WG-PL-FritzBox persistent-keepalive=25s preshared-key="xxxxxxxx" private-key="xxxxxxxxx=" public-key="r/eX/xxxxxxxxxxxxx"  

/ip address  
add address=192.168.2.5/24 interface=ether2 network=192.168.2.0 comment="WAN PORT"  
add address=192.168.5.1/24 interface=WG-PRV-SERVER network=192.168.5.0  
add address=192.168.113.60/24 interface=WG-COMP network=192.168.113.0  
add address=192.168.178.2/24 interface=WG-PL-FritzBox network=192.168.178.0  
add address=192.168.88.1/24 interface=bridge1 network=192.168.88.0 comment="неиспользуемая LAN на HEX"  
add address=192.168.55.1/24 interface=ether5 network=192.168.55.0 comment="локальный доступ вне моста к роутеру"  

/ip dns  
set servers=192.168.2.1  

/ip firewall address-list  
add address=192.168.5.0/24 list=Authorized comment="удалённый приватный доступ wg"  
add address=192.168.2.X list=Authorized comment="админский ПК в USG LAN"  
add address=192.168.55.0/24 list=Authorized comment="локальный доступ вне моста"  

/ip firewall filter  
{стандартные правила для безопасности}  
add action=accept chain=input connection-state=established,related,untracked  
add action=drop chain=input connection-state=invalid  
add action=accept chain=input protocol=icmp {правила для админа}  
add action=accept chain=input dst-port=13232 protocol=udp comment="приватный серверный handshake"  
add action=accept chain=input comment="админский доступ" in-interface-list=MANAGE src-address=Authorized  
add action=accept chain=input dst-port=53 protocol=udp in-interface-list=LAN  
add action=accept chain=input dst-port=53 protocol=tcp in-interface-list=LAN  
add action=drop chain=input comment="отбросить всё остальное" {убедитесь, что это правило последнее}  

+++++++++++++++++++++++++++++++++++++++++++  
{стандартные правила для безопасности}  
add action=fasttrack-connection chain=forward connection-state=established,related  
add action=accept chain=forward connection-state=established,related,untracked  
add action=drop chain=forward connection-state=invalid  

{правила для админа}  
add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN  
add action=accept chain=forward src-address=192.168.2.115 out-interface=WG-PL-FritzBox  

/ip firewall nat  
add action=masquerade chain=srcnat out-interface=ether2  
add action=masquerade chain=srcnat out-interface=WG-COMP  
add action=masquerade chain=srcnat out-interface=WG-PL-FritzBox  

/ip route  
add dst-address=0.0.0.0/0 gateway=192.168.2.1 routing-table=main  
add dst-address=0.0.0.0/0 gateway=192.168.178.1 routing-table=thr_WG  

/routing rule  
add action=lookup-only-in-table src-address=192.168.2.115 table=thr_WG  

ЧЕГО НЕ ХВАТАЕТ (пока не ясно из ваших требований):  
- учтен ли весь трафик из USG LAN, который должен идти через корпоративный Wireguard сервер?  
- есть ли трафик, идущий из Wireguard компании в USG LAN?  
- есть ли трафик, идущий из Wireguard Fritzbox в USG LAN?  
- есть ли трафик, идущий из приватного Wireguard в USG LAN? (я уже предположил, что хотя бы для HEX с этой целью)  
- есть ли трафик, идущий из приватного Wireguard в сторону либо компании, либо Fritzbox Wireguard?
18.05.2024 21:04:00, anav.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421944 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421944 Sat, 18 May 2024 21:04:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Привет, спасибо за быстрый ответ. Может, лучше убрать USG и использовать mikrotik как роутер? Возможно, это поможет и сделает всё возможным. Раньше я пользовался USG, пока не получил mikrotik. В будущем хочу использовать только mikrotik, и, думаю, USG больше не нужен.
18.05.2024 19:49:00, darkside9009.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421943 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421943 Sat, 18 May 2024 19:49:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Хорошо, это помогло. По сути, HEX работает как устройство типа коммутатор (не маршрутизатор) и имеет IP-адрес 192.168.2.5 в сети FLAN LAN на устройстве USG. Ты хочешь, чтобы устройство Apple TV игнорировало WAN USG и выходило в сеть только через HEX Wireguard, подключённый к Fritz... Вот в чем проблема — именно USG решает, куда пойдет трафик, а не HEX. Кроме того, если через интерфейсы HEX Wireguard идут какие-то удалённые подсети в сторону подсетей USG, USG должен уметь направлять обратно трафик в HEX. Над этим надо подумать, очень сложная задача. Возможно, решение — воспринимать HEX как маршрутизатор и просто выделить ему отдельную подсеть, которая по сути ничего не делает, но позволит нам направлять трафик как нужно. Для меня так будет проще.
18.05.2024 19:35:00, anav.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421942 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421942 Sat, 18 May 2024 19:35:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Надеюсь, вы видите мою конфигурацию и она более-менее понятна. Я хочу, чтобы устройство Apple-TV прошло через второй WireGuard, чтобы получить IP из интернета именно с той сети (модема FritzBox). Схема сети: https://files.fm/u/2s866hwe3v
18.05.2024 17:28:00, darkside9009.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421941 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421941 Sat, 18 May 2024 17:28:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Привет, я нарисовал схему своей сети, но как здесь загрузить jpeg или png?
18.05.2024 17:23:00, darkside9009.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421940 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421940 Sat, 18 May 2024 17:23:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Ты не ответил на мои вопросы про структуру подсети и так далее...??? Ты должен предоставить схему сети!!
18.05.2024 13:56:00, anav.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421939 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421939 Sat, 18 May 2024 13:56:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Кто-нибудь знает, как мне это сделать?
18.05.2024 11:40:00, darkside9009.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421938 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421938 Sat, 18 May 2024 11:40:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Тебе нужно будет подробнее объяснить запрос: какие пользователи, откуда они идут, куда направляются.
18.05.2024 23:50:00, anav.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421937 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421937 Sat, 18 May 2024 23:50:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Привет, я разобрался: /routing rule set 0 table=main Теперь могу управлять этим через свой умный дом. Я ОБОЖАЮ MIKROTIK, и еще раз спасибо за поддержку!
18.05.2024 23:49:00, darkside9009.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421936 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421936 Sat, 18 May 2024 23:49:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Привет, ОГРОМНОЕ СПАСИБО. Всё работает. Последний вопрос: можно ли изменить таблицу в правиле через команду ssh? (с main на thr_WG) Тогда я смогу решать, когда хочу выходить в интернет через main, а когда через WireGuard.
18.05.2024 23:23:00, darkside9009.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421935 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421935 Sat, 18 May 2024 23:23:00 +0300 RouterOS VPN — маршрутизация устройства RouterOS в форуме RouterOS.
Всем привет, я здесь новичок, да и с MikroTik только начинаю разбираться. Нужна ваша помощь с такой проблемой: я настроил Wireguard между HEX S и fritzbox (site to site). Всё работает отлично. Теперь хочу, чтобы мой Apple TV (192.168.2.115) выходил в интернет через VPN (у моего fritzbox адрес 192.168.178.1, он же и DNS для интернета). Я хотел бы использовать местоположение fritzbox. Как правильно настроить маршрут или шлюз? Пробовал разные варианты, но ничего не сработало. Есть ли возможность менять маршрут/шлюз через SSH? Хотелось бы переключать это через систему умного дома. Спасибо за помощь!
26.04.2024 08:06:00, darkside9009.]]> http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421934 http://mikrotik.moscow/forum/forum57/87948-vpn-_-marshrutizatsiya-ustroystva/message421934 Fri, 26 Apr 2024 08:06:00 +0300 RouterOS