MikroTiki ruuteri ühendamiseks VPSneti privaatvõrguga WireGuardi kaudu lisage VPSneti juhtpaneelis haru ja laadige alla selle .conf-fail, seejärel looge RouterOS 7-s selle faili privaatvõtmega WireGuardi liides, lisage VPN selle peer’ina, andke liidesele tunneliaadress ja suunake iga VPSneti võrk sellesse. Igas sammus on WebFigi aken (WinBoxis on samad menüüd) ja sama seade Terminali käsuna. Testitud RouterOS 7.25 ja püsiva avaliku IPv4-aadressiga, ühendust alustas ruuter.
Enne alustamist
- Avage VPSneti juhtpaneelis oma VPN, valige Ühenda haru (ruuter), märkige MikroTik, jätke jaotises Ühenda üle valikuks WireGuard ja klõpsake Edasi. Sisestage haru võrgud. Jätke väli Ruuteri avalik aadress tunneli jaoks (valikuline) tühjaks, kui ruuter on NAT-i taga või selle aadress muutub: siis alustab ühendust ruuter – nii on see juhend ka testitud.
- Laadige .conf-fail kohe alla: selles on ruuteri privaatvõti ja seda näidatakse üks kord.
- Hiljem leiate väärtused haru realt nupu Ruuteri seadistus alt: VPN-i aadress ja port, VPN-i avalik võti, tunneliaadress, tunnelisse saadetavad aadressid (AllowedIPs), keepalive ja samad käsud nupuga Kopeeri kõik käsud; koos kleebituna ei muuda need midagi, kui ruuteris on juba sama nimega liides.
Piltidel on näidisväärtused dokumentatsiooniks mõeldud aadressidest. Sisestage väärtused oma juhendist.
1. Looge WireGuardi liides
WireGuard > WireGuard > New
Pange nimeks haru nimi, nagu paneeli käsud seda teevad (siin vilnius-branch; piltidel vpsnet-vpn), ja kleepige .conf-failist privaatvõti; avalik võti täitub ise. Listen Porti määrake ainult siis, kui paneel seda näitab (kui sisestasite ruuteri aadressi).
| Väli | Väärtus |
|---|---|
| Name | vilnius-branch |
| MTU | 1420 |
| Private Key | privaatvõti .conf-failist |
| Listen Port | ainult paneeli näidatud port, kui see on |
Sama Terminalis:
/interface wireguard add name=vilnius-branch private-key="PRIVATE_KEY_FROM_THE_CONF_FILE"
2. Lisage VPN peer’ina
WireGuard > Peers > New
Sisestage kõik paneeli AllowedIPs-i aadressid väljale Allowed Address. Keepalive hoiab ühenduse avatuna, ka NAT-i taga.
| Väli | Väärtus |
|---|---|
| Interface | vilnius-branch |
| Public Key | VPN-i avalik võti |
| Endpoint | VPN-i aadress |
| Endpoint Port | VPN-i port (51820) |
| Allowed Address | AllowedIPs-i aadressid |
| Persistent Keepalive | 00:00:25 |
Sama Terminalis:
/interface wireguard peers add interface=vilnius-branch public-key="VPN_PUBLIC_KEY" endpoint-address=198.51.100.7 endpoint-port=51820 allowed-address=172.31.250.0/24,10.255.0.0/24 persistent-keepalive=25s
3. Andke liidesele tunneliaadress
IP > Addresses > New
Ruuteri tunneliaadress paneelist, koos /32-ga.
| Väli | Väärtus |
|---|---|
| Address | ruuteri tunneliaadress (/32) |
| Interface | vilnius-branch |
Sama Terminalis:
/ip address add address=10.255.0.5/32 interface=vilnius-branch
4. Suunake VPSneti võrgud
IP > Routes > New
Iga AllowedIPs-i aadressi jaoks üks marsruut, lüüsiks WireGuardi liides.
| Väli | Väärtus |
|---|---|
| Dst. Address | iga AllowedIPs-i aadress |
| Gateway | vilnius-branch |
Sama Terminalis:
/ip route add dst-address=172.31.250.0/24 gateway=vilnius-branch
/ip route add dst-address=10.255.0.0/24 gateway=vilnius-branch
5. Kontrollige ühendust
WireGuard > Peers
Last Handshake on alla 2 minuti ning Rx ja Tx kasvavad. Seejärel pingige kontoriarvutist VPSneti serveri privaataadressi.
| Väli | Väärtus |
|---|---|
| Last Handshake | alla 2 minuti |
Sama Terminalis:
/interface wireguard peers print detail where interface=vilnius-branch
Kontroll ja vead
- Avage paneelis haru ja klõpsake Kontrolli tunnelit: kontrollitakse, kas ruuter vastab, kas võtmed klapivad ja kas liiklus liigub.
- Handshake’i pole: kontrollige endpoint’i aadressi ja porti, VPN-i avalikku võtit ning seda, et privaatvõti on .conf-failist. Kui määrasite listen porti, lubage see IP > Firewall > Filter Rules (input) all.
- Handshake on, aga ping ei läbi: kontrollige peer’i Allowed Addressi ja marsruute ning seda, et vilnius-branch-i minevale liiklusele ei rakendata masquerade’i.
KKK
Milliseid RouterOS-i versioone see juhend katab?
See on seadistatud ja testitud RouterOS 7.25 (CHR) ja püsiva avaliku IPv4-aadressiga, ühendust alustas ruuter. WireGuard on RouterOS 7 osa; RouterOS 6-s seda pole.
Kust saan privaatvõtme?
Ainult .conf-failis, mille paneel harule annab. Seda näidatakse üks kord.
Minu ruuter on NAT-i taga. Kas see töötab?
Jah. Ühenduse avab ruuter ja keepalive hoiab seda avatuna.
Kas mitu haru jõuavad üksteiseni?
Jah, kui VPN-i seadetes on sees „Harud jõuavad üksteiseni”. Siis lisatakse teiste harude võrgud AllowedIPs-i: avage uuesti „Ruuteri seadistus” ja lisage need ruuterisse.
Kas tunnel vajab NAT-i?
Ei. VPSneti serverid näevad kontori arvutite enda aadresse.