Настройка IPsec-туннеля на MikroTik в 2026 году

IPsec-туннель на MikroTik — это защищённый канал между двумя сетями или узлами, который шифрует трафик и проверяет его целостность. Он нужен для соединения удалённых офисов, подключения к личному VPS или организации защищённого доступа к внутренним ресурсам. С личным VPS SANSARA вы получаете готовый удалённый узел в одной из 9+ стран, настраиваете IPsec на MikroTik и подключаете устройства через клиентские приложения без терминала и ручной установки сервера.

Коротко:

• IPsec — стандартный протокол для шифрования и аутентификации трафика между узлами.
• MikroTik RouterOS позволяет гибко настраивать IPsec-туннели между маршрутизаторами или с удалённым сервером.
• Личный VPS SANSARA — выделенный узел в Европе или других локациях, который вы получаете после регистрации и настройки в кабинете.
• Настройка включает создание политик, предложений и профилей IPsec на MikroTik и согласование параметров с удалённой стороной.
• Клиенты — iPhone, Android, Windows, macOS с поддержкой IPsec/IKEv2 или WireGuard через импорт профиля из кабинета SANSARA.
• Проверка — тест доступности удалённой сети, логи подключения и диагностика через Telegram-бот SANSARA.

Что это такое и зачем нужно

IPsec (Internet Protocol Security) — набор протоколов для защиты IP-трафика. Он обеспечивает:

• Конфиденциальность — шифрование пакетов (обычно AES).
• Целостность — проверка, что данные не изменены (HMAC-SHA).
• Аутентификацию — подтверждение того, что соединение установлено с доверенной стороной (PSK или сертификаты).

На MikroTik IPsec реализован через механизм IPsec policies и profiles. Типичные сценарии:

• Соединение двух филиалов через интернет как через единую локальную сеть.
• Подключение к личному VPS для защищённого доступа к его ресурсам или использования его как шлюза.
• Организация безопасного канала между домашней сетью и облачным сервером.

Личный VPS SANSARA в этом контексте выступает как удалённый узел с фиксированным IP, на котором уже настроен защищённый канал (например, WireGuard или IPsec-сервер). Вы настраиваете MikroTik как клиент или второй конец туннеля, а устройства подключаются через импортированный профиль.

Как настроить с SANSARA (пошагово)

1. 01Регистрация и получение личного VPS

• Зарегистрируйтесь в SANSARA, выберите локацию (например, один из европейских узлов) и оформите личный VPS.
• После активации в кабинете появятся данные сервера: IP-адрес, логин, тип подключения (например, WireGuard или IPsec).

1. 01Подготовка MikroTik

• Убедитесь, что на MikroTik включён IPsec и есть доступ к интернету.
• Проверьте версию RouterOS — для стабильной работы IPsec желательно использовать актуальную прошивку.

1. 01Настройка IPsec на MikroTik (базовый пример с PSK)

• Создайте IPsec proposal (предложение по шифрованию):
• Encryption algorithms: aes-128-cbc или aes-256-cbc.
• Hash algorithms: sha1 или sha256.
• Lifetime: например, 30m (30 минут).

• Создайте IPsec profile, укажите в нём созданное proposal.

• Создайте peer (удалённую сторону):
• Address: IP-адрес вашего личного VPS SANSARA.
• Exchange mode: main или aggressive (обычно main).
• Passphrase: общий ключ, который вы задали при настройке сервера на SANSARA.

• Создайте policy для трафика, который должен идти через туннель:
• Src. address: ваша локальная сеть (например, 192.168.88.0/24).
• Dst. address: сеть на удалённой стороне или 0.0.0.0/0 для всего трафика.
• Tunnel: yes.
• SA src. address и SA dst. address: локальный и удалённый IP.
• IPsec protocol: esp.
• Action: encrypt.

• Настройте NAT, если нужно исключить туннельный трафик из маскарадинга:
• В IP → Firewall → NAT создайте правило с src-address=локальная_сеть и dst-address=удалённая_сеть, action accept и chain=srcnat, с out-interface не равным туннельному интерфейсу.

1. 01Импорт профиля на устройства

• В кабинете SANSARA экспортируйте конфигурацию для вашего клиента (WireGuard / IPsec).
• На iPhone/iPad: установите официальное приложение WireGuard, отсканируйте QR-код или импортируйте конфиг.
• На Android: аналогично через приложение WireGuard.
• На Windows: установите клиент WireGuard, импортируйте файл конфигурации.
• На macOS: используйте приложение из Mac App Store, импортируйте профиль.

1. 01Проверка работы

• На MikroTik проверьте статус IPsec-сессий: /ip ipsec active-sessions print.
• Убедитесь, что трафик проходит через туннель: ping до удалённого IP или ресурса за ним.
• В клиенте на устройстве проверьте статус подключения (активен/неактивен) и счётчики трафика.
• При проблемах используйте Telegram-бот SANSARA для проверки состояния сервера и диагностики.

Устройства: iPhone, Android, Windows, macOS

Все устройства работают с личным VPS SANSARA через единый профиль, который вы получаете после настройки сервера. Разница только в интерфейсе клиента и способе импорта (QR-код, файл, ручной ввод).

Практический чек-лист на 7–10 пунктов

1. 01Проверьте, что личный VPS SANSARA активирован и выдан IP-адрес.
2. 02Убедитесь, что на MikroTik доступен интернет и открыты необходимые порты для IPsec (обычно 500/udp и 4500/udp).
3. 03Согласуйте метод аутентификации с удалённой стороной: PSK или сертификаты.
4. 04Создайте IPsec proposal с одинаковыми алгоритмами шифрования и хеширования на обоих концах.
5. 05Настройте peer на MikroTik с правильным IP удалённого узла и общей passphrase.
6. 06Создайте policy, чётко указав, какой трафик должен идти через туннель.
7. 07Проверьте таблицу маршрутов на MikroTik: для туннельного трафика должен быть правильный маршрут.
8. 08Импортируйте профиль на устройство (iPhone/Android/Windows/macOS) из кабинета SANSARA.
9. 09Запустите туннель на MikroTik и подключите клиент на устройстве.
10. 10Выполните тестовый ping и проверьте логи на MikroTik и в клиенте.

FAQ

• совпадение PSK и algorithms на обоих концах;
• доступность удалённого IP и открытость портов;
• логи IPsec (/log print) на MikroTik;
• статус сервера через Telegram-бот SANSARA.

Вопрос: Поддерживает ли MikroTik мобильные IPsec-клиенты для iPhone и Android? Ответ: Да, MikroTik может работать как IPsec-сервер для мобильных клиентов, но для личного VPS SANSARA обычно проще использовать WireGuard-клиенты — они проще в настройке и стабильнее на мобильных устройствах.

Итог

• Настройте IPsec-туннель на MikroTik по согласованным параметрам (алгоритмы, PSK, политики).
• Используйте личный VPS SANSARA как удалённый узел с фиксированным IP и готовым защищённым каналом.
• Импортируйте профиль из кабинета SANSARA в клиенты на iPhone, Android, Windows, macOS.
• Проверяйте работу туннеля через ping, логи MikroTik и статус в клиентских приложениях.
• При проблемах используйте Telegram-бот SANSARA для быстрой диагностики состояния сервера.