Настройка IPsec‑туннеля на MikroTik с личным VPS SANSARA в 2026 году

IPsec‑туннель на MikroTik позволяет создать защищённый канал между роутером и вашим личным VPS, чтобы весь трафик с локальной сети шёл через удалённый узел. Это полезно, если вы хотите централизованно управлять подключением с домашнего или офисного роутера, не настраивая каждый клиент отдельно. С SANSARA вы получаете готовый личный VPS в одной из 9+ стран, импортируете конфигурацию в клиентское ПО и затем настраиваете MikroTik как шлюз для всей сети.

Коротко:

• IPsec — стандартный протокол для шифрования трафика между двумя точками, встроен в MikroTik RouterOS.
• MikroTik выступает шлюзом: весь трафик из локальной сети идёт через защищённый туннель к вашему личному VPS.
• SANSARA предоставляет личный VPS с готовым подключением: регистрация → данные в кабинете → импорт в клиент → проверка.
• Совместимость: iPhone, Android, Windows, macOS.
• Telegram‑бот SANSARA помогает быстро получить данные подключения и статус узлов.
• Настройка на MikroTik занимает 10–15 минут при наличии базовых знаний RouterOS.

Что это такое и зачем нужно

IPsec (Internet Protocol Security) — семейство протоколов, которое шифрует IP‑трафик между двумя узлами. В MikroTik он реализован в модуле IPsec, поддерживающем режимы tunnel (туннелирование всего трафика) и transport (шифрование между хостами). Чаще всего для подключения к личному VPS используется IKEv2 или IPsec/XAuth поверх ESP с предварительным ключом или сертификатами.

Зачем это нужно:

• Централизованное управление: вместо настройки каждого телефона, ноутбука и планшета вы настраиваете один роутер MikroTik, и вся локальная сеть получает единый защищённый канал.
• Стабильность: MikroTik работает как шлюз, поддерживая туннель постоянно, без разрывов при переходе между Wi‑Fi и мобильной сетью на клиентах.
• Совместимость: IPsec поддерживается большинством ОС и устройств, включая iOS, Android, Windows и macOS, что позволяет подключать любые клиенты после настройки роутера.

SANSARA даёт готовый личный VPS с уже настроенным сервером IPsec/IKEv2, поэтому вам остаётся только импортировать профиль в клиентское ПО и прописать соответствующие параметры в MikroTik.

Как настроить с SANSARA (пошагово)

Ниже — универсальная последовательность для создания IPsec‑туннеля между MikroTik и вашим личным VPS SANSARA. Точные названия полей могут незначительно отличаться в зависимости от версии RouterOS, но логика шагов сохраняется.

1. 01Регистрация и получение VPS

• Зарегистрируйтесь в SANSARA и выберите тариф с личным VPS.
• В кабинете вам будут доступны: IP‑адрес сервера, логин, пароль, предварительный ключ (PSK) и, при необходимости, CA‑сертификат.
• Если используется Telegram‑бот SANSARA, запросите данные подключения через него — бот вернёт те же параметры в удобном формате.

1. 01Подготовка MikroTik

• Убедитесь, что на MikroTik включён пакет security (в System → Packages).
• Проверьте, что у роутера есть стабильный выход в интернет и корректно настроены DNS.
• Запомните или запишите WAN‑интерфейс, через который роутер выходит в интернет (например, ether1).

1. 01Создание IPsec‑политики и профиля

В WinBox или веб‑конфигураторе перейдите в IP → IPsec.

• Профиль (Profile):
• Создайте новый профиль, например sansara_profile.
• Укажите:
• Encryption Algorithm: aes-256 (или тот, который использует сервер SANSARA).
• Hash Algorithm: sha256 или sha1 в зависимости от сервера.
• DH Group: например, modp2048.
• Lifetime: можно оставить по умолчанию (например, 30m).
• Сохраните профиль.

• Пиры (Peers):
• Создайте пир с адресом вашего личного VPS SANSARA.
• Address: IP‑адрес сервера SANSARA.
• Port: обычно 500 для IKE.
• Auth. Method: pre shared key.
• Secret: предварительный ключ из кабинета SANSARA.
• Exchange Mode: main или aggressive (чаще main).
• Profile: выберите созданный sansara_profile.

• Политики (Policies):
• Создайте политику для туннелирования всего трафика:
• Src. Address: ваша локальная сеть (например, 192.168.88.0/24).
• Dst. Address: 0.0.0.0/0 (весь внешний трафик).
• Protocol: all.
• Template: отметьте галочкой.
• Tunnel: yes.
• Src. Address (туннель): локальная сеть.
• Dst. Address (туннель): 0.0.0.0/0.
• SA Src. Address: WAN‑IP MikroTik.
• SA Dst. Address: IP сервера SANSARA.
• Action: encrypt.
• IPsec Protocol: esp.
• Level: require.

1. 01Настройка маршрутов

• В IP → Routes убедитесь, что есть маршрут по умолчанию через WAN‑интерфейс.
• Добавьте маршрут для туннеля:
• Dst. Address: 0.0.0.0/0.
• Gateway: IP‑адрес туннельного интерфейса IPsec (он появится после установки соединения).
• Distance: например, 1 (главный) или больше, если у вас несколько шлюзов.

1. 01Проверка соединения

• В IP → IPsec → Installed SAs должны появиться установленные Security Associations.
• На клиентском устройстве (телефон или ноутбук) подключитесь к сети за MikroTik и проверьте внешний IP — он должен совпадать с IP вашего личного VPS SANSARA.
• Проверьте доступность сайтов и стабильность туннеля.

Если туннель не поднимается, проверьте:

• совпадение алгоритмов и DH‑групп на MikroTik и сервере SANSARA;
• корректность предварительного ключа;
• отсутствие блокировки портов 500 и 4500 у вашего интернет‑провайдера.

Устройства: iPhone, Android, Windows, macOS

После настройки MikroTik как шлюза все устройства в локальной сети автоматически используют защищённый канал через ваш личный VPS. Но вы также можете настроить прямое подключение с этих устройств, если, например, работаете вне дома или офиса.

Во всех случаях SANSARA предоставляет готовые параметры для импорта: вы либо загружаете профиль из кабинета, либо вручную вводите данные в поля клиента. Telegram‑бот SANSARA позволяет быстро получить эти настройки в текстовом виде для копирования.

Практический чек‑лист на 7–10 пунктов

1. 01Убедитесь, что MikroTik обновлён и установлен пакет security.
2. 02Получите данные от SANSARA: IP сервера, логин, пароль, PSK, алгоритмы шифрования и хеширования.
3. 03Создайте IPsec‑профиль на MikroTik с правильными алгоритмами и DH‑группой.
4. 04Настройте пир с адресом сервера SANSARA и предварительным ключом.
5. 05Создайте политику для туннелирования всего трафика из локальной сети.
6. 06Проверьте маршруты: должен быть дефолтный маршрут через WAN и маршрут через туннель.
7. 07Запустите туннель и проверьте Installed SAs.
8. 08Подключите клиентское устройство к сети за MikroTik и проверьте внешний IP.
9. 09Протестируйте доступность сайтов и стабильность соединения.
10. 10Сохраните конфигурацию MikroTik, чтобы настройки не сбросились при перезагрузке.

FAQ

• совпадение алгоритмов и DH‑групп на MikroTik и сервере;
• стабильность интернет‑соединения на стороне MikroTik;
• настройки Lifetime в профиле IPsec;
• логи IPsec в MikroTik (Log) — там часто видны причины сбоев.

Вопрос: Подойдёт ли эта схема, если у меня динамический IP у провайдера? Ответ: Да, MikroTik отлично работает с динамическими адресами. Сервер SANSARA всегда имеет статический IP, а клиентская сторона (MikroTik) может менять WAN‑IP без потери совместимости, если правильно настроены политики и пиры.

Итог

• Настройте IPsec‑туннель на MikroTik, чтобы весь трафик локальной сети шёл через ваш личный VPS SANSARA.
• Используйте готовые параметры из кабинета SANSARA или Telegram‑бота SANSARA для быстрой настройки пиров и профилей.
• Проверяйте Installed SAs и маршруты после включения туннеля.
• Подключайте любые устройства — iPhone, Android, Windows, macOS — либо через роутер, либо напрямую с помощью встроенных клиентов IPsec/IKEv2.
• Сохраняйте конфигурацию MikroTik и периодически обновляйте RouterOS для стабильной работы.