Настройка firewall MikroTik RouterOS для личного VPS в 2026 году

Межсетевой экран MikroTik RouterOS позволяет гибко управлять сетевым трафиком между интернетом и вашим личным VPS. С помощью SANSARA вы получаете готовый выделенный узел в одной из 9+ стран, импортируете профиль в клиентское ПО и настраиваете MikroTik так, чтобы весь нужный трафик шёл через защищённый канал. Это даёт вам полный контроль над маршрутизацией и безопасностью без необходимости разбираться в терминале или панелях хостинга.

Коротко:

• MikroTik RouterOS — это операционная система для маршрутизаторов с мощным встроенным firewall и NAT.
• SANSARA предоставляет личный VPS с готовым подключением: регистрация → данные в кабинете → импорт в клиент.
• Настройка firewall MikroTik сводится к созданию правил filter и nat для пропуска нужного трафика через защищённый канал.
• Работает на iPhone, Android, Windows, macOS через стандартные клиенты.
• Проверка — через публичные сервисы проверки IP и трассировку маршрута.
• Telegram-бот SANSARA помогает быстро получить данные профиля и проверить статус узла.

Что это такое и зачем нужно

MikroTik RouterOS — это операционная система для сетевого оборудования (роутеры, точки доступа, коммутаторы), которая включает в себя полнофункциональный межсетевой экран (firewall), таблицы маршрутизации, NAT, QoS и другие сетевые службы. Её часто используют в домашних сетях, малых офисах и на периметре корпоративных сетей.

Firewall MikroTik работает на основе цепочек правил:

• chain input — для входящего трафика на сам роутер;
• chain forward — для трафика, проходящего через роутер между сетями;
• chain output — для исходящего трафика с роутера.

Каждое правило содержит условия (src-address, dst-address, protocol, port, in-interface, out-interface) и действие (accept, drop, reject, log). Правила обрабатываются последовательно, первое подходящее — применяется.

NAT (masquerade) используется, чтобы «спрятать» внутренние IP-адреса за внешним адресом роутера. В контексте работы с личным VPS NAT позволяет направить весь исходящий интернет-трафик через защищённый канал, при этом локальная сеть остаётся работоспособной.

Зачем это нужно с личным VPS SANSARA:

• Получить выделенный узел вместо общего перегруженного пула.
• Настроить роутер так, чтобы определённые устройства или весь трафик шли через защищённый канал.
• Контролировать, какие приложения и сервисы используют туннель, а какие работают напрямую.
• Организовать централизованную точку управления трафиком для всей домашней или офисной сети.

Как настроить с SANSARA (пошагово)

Регистрация и получение личного VPS

• Зарегистрируйтесь в SANSARA и выберите тариф с личным VPS.
• Укажите желаемую локацию из доступных 9+ стран.
• После активации в личном кабинете появятся данные для подключения: адрес сервера, логин, пароль, метод шифрования, профиль для импорта.

Telegram-бот SANSARA позволяет быстро получить эти данные и проверить статус узла без долгого поиска в интерфейсе.

Подготовка MikroTik RouterOS

• Убедитесь, что на устройстве MikroTik установлена актуальная версия RouterOS (проверьте через System → Packages).
• Настройте базовое подключение к интернету (IP → DHCP Client на WAN-интерфейсе или статический IP).
• Проверьте, что локальная сеть работает (IP → Addresses для LAN, IP → DHCP Server если нужен автоматический разадресации).

Настройка защищённого канала на MikroTik

В RouterOS поддерживаются разные типы туннелей; для совместимости с SANSARA обычно используется протокол на основе UDP с предустановленными ключами или сертификатами.

Пример настройки интерфейса туннеля (общий вид, детали зависят от протокола):

• Перейдите в PPP → Interfaces → + → соответствующий тип туннеля.
• Укажите:
• Name — например sansara-tunnel;
• Remote Address — адрес сервера SANSARA из кабинета;
• User/Password — данные аутентификации;
• Crypto settings — алгоритм и ключ/сертификат согласно инструкции SANSARA.
• Сохраните интерфейс и включите его.

После этого в списке интерфейсов должен появиться новый туннельный интерфейс с присвоенным IP-адресом.

Настройка firewall и NAT для работы с личным VPS

Цель — направить нужный трафик через туннель SANSARA и скрыть его за IP-адресом сервера.

Создание правил NAT (masquerade)

• Перейдите в IP → Firewall → NAT.
• Добавьте правило:
• Chain: srcnat
• Src. Address: сеть ваших устройств (например, 192.168.88.0/24)
• Out. Interface: sansara-tunnel (или имя вашего туннеля)
• Action: masquerade
• Это правило заменит исходный IP пакетов на IP туннеля при отправке через защищённый канал.

Настройка маршрутизации

• Перейдите в IP → Routes.
• Убедитесь, что есть маршрут по умолчанию через WAN-интерфейс.
• При необходимости создайте policy routing для определённых сетей или приложений через туннель:
• Dst. Address: целевая сеть или 0.0.0.0/0 для всего трафика;
• Gateway: IP туннельного интерфейса или адрес шлюза SANSARA;
• Routing Mark — если используете маркировку трафика.

Дополнительные правила firewall

Чтобы контролировать, какой трафик идёт через туннель, а какой напрямую, можно добавить правила в цепочку forward:

• Разрешить трафик через туннель:
• Chain: forward
• In. Interface: LAN-интерфейс
• Out. Interface: sansara-tunnel
• Action: accept
• Запретить или ограничить прямой выход в интернет для некоторых устройств или портов:
• Chain: forward
• Src. Address: IP конкретного устройства
• Out. Interface: WAN-интерфейс
• Action: drop или reject

Порядок правил важен: первое подходящее правило определяет судьбу пакета.

Проверка работы

• На любом устройстве в локальной сети откройте сайт проверки IP.
• Убедитесь, что отображается IP-адрес узла SANSARA, а не ваш локальный провайдерский IP.
• Выполните трассировку до внешнего ресурса (traceroute или WinMTR), чтобы увидеть, что маршрут проходит через сервер SANSARA.
• Проверьте, что локальные сервисы (принтеры, NAS, умный дом) продолжают работать.

Устройства: iPhone, Android, Windows, macOS

Настройка на стороне роутера MikroTik позволяет использовать защищённый канал с любыми устройствами без установки отдельного клиента на каждом из них. Тем не менее, SANSARA также поддерживает прямое подключение с мобильных и десктопных ОС.

Если MikroTik настроен как шлюз для всей сети, достаточно подключить устройства к Wi-Fi или LAN — все настройки применяются централизованно.

Практический чек-лист на 7–10 пунктов

1. 01Убедитесь, что MikroTik подключён к интернету и раздаёт сеть на клиентские устройства.
2. 02Получите данные личного VPS SANSARA из кабинета или через Telegram-бот SANSARA.
3. 03Создайте туннельный интерфейс на MikroTik с параметрами от SANSARA.
4. 04Проверьте, что туннель поднялся — интерфейс должен получить IP и быть в статусе connected.
5. 05Добавьте правило NAT masquerade для исходящего трафика через туннель.
6. 06Настройте маршрутизацию — либо весь трафик через туннель, либо выборочно через policy routing.
7. 07Добавьте необходимые правила firewall для контроля трафика (разрешить через туннель, ограничить прямой выход).
8. 08Проверьте IP-адрес на клиентском устройстве — должен отображаться IP узла SANSARA.
9. 09Убедитесь, что локальные сервисы работают — принтеры, умный дом, файловые серверы.
10. 10Сохраните конфигурацию MikroTik (/system backup save) и сделайте резервную копию.

FAQ

Итог

• Настройте MikroTik RouterOS как центральный шлюз, который направляет трафик через личный VPS SANSARA с помощью firewall и NAT.
• Используйте данные из кабинета SANSARA или Telegram-бота SANSARA для создания туннельного интерфейса и проверки статуса узла.
• Проверяйте работу через публичные сервисы проверки IP и трассировку, чтобы убедиться, что трафик идёт через выбранную локацию.
• Сохраняйте конфигурацию MikroTik и делайте резервные копии перед масштабными изменениями.
• При необходимости настройте выборочную маршрутизацию для отдельных устройств или приложений через policy routing и правила firewall.