Настройка GRE+IPsec-туннеля на MikroTik RouterOS в 2026 году

GRE+IPsec-туннель на MikroTik RouterOS — это способ объединить две удалённые сети через защищённый канал поверх интернета. GRE создаёт логический туннель между роутерами, а IPsec шифрует трафик внутри него. Такой подход удобен для подключения филиалов, объединения локальных сетей или организации защищённого доступа к личному VPS. С SANSARA вы получаете готовый личный VPS в одной из 9+ стран, регистрируетесь, импортируете профиль в клиентское приложение и проверяете соединение без терминала и ручной установки панелей.

Коротко:

• GRE — логический туннель поверх IP, который «заворачивает» трафик между двумя роутерами.
• IPsec шифрует трафик внутри GRE, обеспечивая конфиденциальность и целостность данных.
• Настройка состоит из трёх этапов: создание GRE-интерфейса, настройка IPsec и добавление правил маршрутизации и фаервола.
• С SANSARA вы получаете личный VPS в 9+ странах, данные для подключения в кабинете и импортируете профиль в клиент на iPhone, Android, Windows или macOS.
• Telegram-бот SANSARA помогает быстро получить статус узла и инструкции по подключению.
• Проверка работоспособности выполняется через ping и трассировку с обеих сторон туннеля.

Что это такое и зачем нужно

GRE (Generic Routing Encapsulation) — это протокол туннелирования, который инкапсулирует пакеты одного протокола внутри другого. На MikroTik он реализован как интерфейс типа gre-tunnel, который создаёт виртуальный канал между двумя IP-адресами. GRE сам по себе не шифрует трафик — он только «упаковывает» его.

IPsec (Internet Protocol Security) — набор протоколов для защиты IP-трафика. Он обеспечивает аутентификацию, шифрование и проверку целостности данных. В связке GRE+IPsec GRE создаёт туннель, а IPsec шифрует всё, что через него проходит.

Такая схема подходит, когда нужно:

• объединить две локальные сети через интернет в единое адресное пространство;
• организовать защищённый канал между филиалами или офисами;
• подключить удалённую сеть к личному VPS для доступа к его ресурсам или для организации шлюза.

С личным VPS SANSARA вы получаете выделенный узел с публичным IP, к которому можно «привязать» GRE-туннель и использовать его как точку входа в вашу сеть или как промежуточный шлюз.

Как настроить с SANSARA (пошагово)

Ниже — общая схема настройки GRE+IPsec на MikroTik RouterOS с подключением к личному VPS SANSARA. Предполагается, что у вас уже есть доступ к MikroTik через WinBox или веб-интерфейс и активирован личный VPS в кабинете SANSARA.

Подготовка на стороне личного VPS SANSARA

• Зарегистрируйтесь в SANSARA и активируйте личный VPS в нужной локации (доступно 9+ стран).
• В кабинете получите данные для подключения: адрес сервера, логин, пароль, тип протокола (например, WireGuard или OpenVPN).
• Импортируйте профиль в клиентское приложение на вашем устройстве (iPhone, Android, Windows, macOS) — это делается в один клик, без терминала.
• Убедитесь, что защищённый канал к личному VPS работает: проверьте статус подключения в клиенте и доступность интернета.

Telegram-бот SANSARA может показать текущий статус узла и подсказать, как импортировать профиль, если вы делаете это впервые.

Настройка GRE-туннеля на MikroTik

На MikroTik создайте GRE-интерфейс, который будет указывать на публичный IP вашего личного VPS SANSARA.

1. 01Откройте WinBox → Interfaces → + → GRE Tunnel.
2. 02Укажите:

• Name: например gre-to-sansara
• Local Address: публичный IP вашего MikroTik (или WAN-интерфейс)
• Remote Address: публичный IP вашего личного VPS SANSARA

1. 01Нажмите Apply и OK.

После этого интерфейс появится в списке. Ему автоматически присвоится IP-адрес из подсети 10.0.0.0/8 (например, 10.10.10.1). На стороне личного VPS, если он тоже на MikroTik или поддерживает GRE, нужно создать зеркальный туннель с обратными local/remote адресами.

Настройка IPsec на MikroTik

IPsec настраивается в три этапа: политика, профиль и пир.

Создание политики IPsec

1. 01IP → IPsec → Policies → +.
2. 02Заполните:

• Src. Address: подсеть вашей локальной сети (например, 192.168.88.0/24)
• Dst. Address: подсеть за личным VPS или удалённой сетью
• Protocol: all
• Template: отметьте галочкой
• SA Src. Address / Dst. Address: укажите публичные IP MikroTik и личного VPS SANSARA
• Tunnel: yes

1. 01OK.

Создание профиля IPsec

1. 01IP → IPsec → Profiles → +.
2. 02Укажите:

• Name: например profile-sansara
• Hash: sha256
• Encryption: aes-256
• DH Group: modp2048

1. 01OK.

Создание пира (peer)

1. 01IP → IPsec → Peers → +.
2. 02Заполните:

• Address: публичный IP личного VPS SANSARA
• Profile: выберите созданный профиль
• Exchange Mode: main или aggressive (чаще main)
• Укажите Pre-Shared Key (пароль) — одинаковый на обеих сторонах.

1. 01OK.

После этого IPsec должен установить фазу 1 и фазу 2. Статус можно проверить в IP → IPsec → Installed SAs.

Маршрутизация и фаервол

Чтобы трафик шёл через туннель, добавьте статический маршрут:

1. 01IP → Routes → +.
2. 02Укажите:

• Dst. Address: подсеть за личным VPS или удалённая сеть
• Gateway: IP-адрес GRE-интерфейса (например, 10.10.10.2)

1. 01OK.

В фаерволе разрешите трафик через GRE и IPsec:

• В цепочке input разрешите протоколы 50 (ESP) и 51 (AH), а также UDP 500 (IKE).
• В цепочке forward разрешите трафик между локальной сетью и подсетью за туннелем.

Проверка работоспособности

• На MikroTik выполните ping до IP-адреса в подсети за личным VPS.
• С устройства в локальной сети проверьте доступность ресурсов за туннелем.
• В клиенте SANSARA убедитесь, что защищённый канал активен и стабилен.

Telegram-бот SANSARA поможет быстро проверить статус узла, если есть подозрения на проблемы с доступностью.

Устройства: iPhone, Android, Windows, macOS

GRE+IPsec настраивается на стороне MikroTik, а клиентские устройства подключаются к личному VPS SANSARA через стандартные приложения.

На всех платформах SANSARA предоставляет готовые профили, которые не требуют ручного редактирования конфигов и работают сразу после импорта.

Практический чек-лист на 7–10 пунктов

1. 01Проверьте личный VPS SANSARA: активирован, выдан публичный IP, канал работает.
2. 02Убедитесь в доступности публичного IP MikroTik из интернета (порт 500/4500 не заблокирован провайдером).
3. 03Создайте GRE-интерфейс на MikroTik с правильными local/remote адресами.
4. 04Настройте IPsec: политика, профиль, пир с Pre-Shared Key.
5. 05Проверьте установленные SAs в IPsec — должны быть активны обе фазы.
6. 06Добавьте статический маршрут через GRE-интерфейс к удалённой подсети.
7. 07Настройте фаервол — разрешите ESP/AH, IKE и трафик между сетями.
8. 08Импортируйте профиль SANSARA в клиент на целевом устройстве (iPhone, Android, Windows, macOS).
9. 09Запустите защищённый канал к личному VPS и убедитесь, что он поднят.
10. 10Выполните ping и трассировку между сетями через туннель для проверки.

Telegram-бот SANSARA удобен для быстрой проверки статуса узла и получения подсказок по настройке клиента.

FAQ

Итог

• GRE+IPsec на MikroTik — это гибкий способ создать защищённый туннель между сетями поверх интернета.
• С личным VPS SANSARA вы получаете выделенный узел в 9+ странах, готовые профили для клиентов и кабинет с данными для подключения.
• Настройка состоит из трёх основных блоков: GRE-интерфейс, IPsec (политика, профиль, пир) и маршрутизация+фаервол.
• Клиентские устройства (iPhone, Android, Windows, macOS) подключаются к SANSARA через стандартные приложения с импортом профиля в один клик.
• Telegram-бот SANSARA помогает проверить статус узла и быстро получить инструкции по настройке клиента.
• После настройки обязательно проверяйте туннель ping’ом и трассировкой с обеих сторон.