MikroTik

Нужен конфиг из кабинета — если его ещё нет, получите здесь.

Только RouterOS 7

В RouterOS 6 поддержки WireGuard нет. Проверьте версию: System → Packages.

Настройка

Откройте New Terminal и выполните, подставив значения из файла .conf:

/interface/wireguard/add name=rsec private-key="ВАШ_PrivateKey"
/ip/address/add address=ВАШ_Address interface=rsec
/interface/wireguard/peers/add interface=rsec \
    public-key="PublicKey_из_файла" \
    endpoint-address=АДРЕС_ИЗ_Endpoint endpoint-port=ПОРТ \
    allowed-address=0.0.0.0/0 persistent-keepalive=25

Затем маршрут и подмена адреса:

/ip/route/add dst-address=0.0.0.0/0 gateway=rsec
/ip/firewall/nat/add chain=srcnat out-interface=rsec action=masquerade

Проверка

/interface/wireguard/peers/print

В строке должно быть свежее время последнего рукопожатия.

Если не заработало

• Проверьте время на роутере: System → Clock. При сбитых часах туннель не поднимется
• allowed-address берите из файла целиком: там всё, кроме сетей Ozon и Авито — они намеренно идут мимо VPN, с вашего домашнего адреса

Российские сайты напрямую

Готового дополнения, как podkop для OpenWrt, у MikroTik нет — разделение делается штатными средствами RouterOS: список адресов (IP → Firewall → Address Lists) плюс правило маршрутизации, отправляющее эти адреса мимо туннеля. Список придётся поддерживать самому, автоматического обновления не будет.

Если возиться не хочется — оставьте банки и Госуслуги на отдельной сети роутера, без VPN.

Настройка через веб-панель

Если консоль неудобна, те же шаги есть в WinBox и WebFig:

1. WireGuard → + — создать интерфейс, вставить PrivateKey из файла
2. WireGuard → Peers → + — PublicKey, Endpoint и порт, Allowed Address — из файла целиком, Persistent Keepalive = 25
3. IP → Addresses → + — адрес из строки Address, интерфейс — созданный
4. IP → Firewall → NAT — правило masquerade с выходным интерфейсом туннеля
5. IP → Routes — маршрут по умолчанию через интерфейс туннеля

Частые ошибки

• Нет рукопожатия. Проверьте порт в Endpoint и время на роутере.
• Интернет пропал. Уберите маршрут по умолчанию через туннель — доступ вернётся, после этого проверьте правило NAT.
• Работает только сам роутер, устройства нет. Не создано правило masquerade.
• Сайты не грузятся при живом рукопожатии. Задайте mtu интерфейса равным значению MTU из файла.