Базовые правила firewall MikroTik: настройка безопасности сети через личный VPS (2026)

Брандмауэр MikroTik позволяет управлять доступом к сети и защищать устройства от нежелательного трафика. С помощью личного VPS SANSARA можно быстро поднять защищённый канал и настроить правила firewall на роутере MikroTik для безопасного подключения клиентов с iPhone, Android, Windows и macOS. Всё делается через веб-кабинет SANSARA и импорт конфигурации в клиентское ПО без терминала.

Коротко:

• Firewall MikroTik — это набор правил в RouterOS, которые фильтруют входящий и исходящий трафик по IP, портам, протоколам и интерфейсам.
• Основные цели: защита локальной сети от внешних атак, ограничение доступа к сервисам, маркировка трафика для QoS.
• С SANSARA вы получаете личный VPS в одной из 9+ стран, настраиваете туннель через кабинет и импортируете конфиг в клиент на устройстве.
• Поддерживаемые устройства: iPhone, Android, Windows, macOS с популярными клиентами (WireGuard, OpenVPN-совместимые).
• Типовые правила: блокировка входящих соединений по умолчанию, разрешение только нужных сервисов, защита от сканирования портов.
• Проверка: после настройки проверяете статус подключения в клиенте и доступность нужных ресурсов.

Что это такое и зачем нужно

Firewall в MikroTik — это встроенный межсетевой экран, который работает на уровне маршрутизатора. Он анализирует пакеты по нескольким параметрам:

• цепочки (chains): input, forward, output;
• источник и назначение (IP-адреса, подсети);
• порты и протоколы (TCP, UDP, ICMP);
• интерфейсы (WAN, LAN, туннельные интерфейсы);
• дополнительные параметры (connection state, пакеты в секунду и др.).

Основные задачи базовых правил:

1. 01Защита роутера и локальной сети от внешних атак и сканирования.
2. 02Контроль доступа к сервисам на роутере (веб-конфигуратор, SSH) и во внутренней сети.
3. 03Маркировка трафика для приоритизации (QoS) — например, выделение голосового трафика.
4. 04Ограничение нежелательного трафика (например, блокировка исходящих подключений на подозрительные порты).

При использовании личного VPS SANSARA firewall MikroTik помогает:

• ограничить доступ к роутеру только с доверенных сетей или через туннель;
• разрешить только необходимый трафик через защищённый канал;
• защитить локальные устройства от прямого доступа из интернета.

Как настроить с SANSARA (пошагово)

Ниже — общая последовательность для настройки защищённого канала через личный VPS SANSARA и базовых правил firewall на MikroTik.

Шаг 1: Регистрация и выбор узла

1. 01Зарегистрируйтесь в сервисе SANSARA.
2. 02В кабинете выберите страну размещения узла из доступных локаций (9+ стран, Европа и другие регионы).
3. 03Активируйте личный VPS. На почту или в кабинете появятся данные для подключения: ключи, адрес сервера, порт, DNS.

На этом этапе вы получаете выделенный узел, а не общий пул сессий.

Шаг 2: Настройка туннеля на MikroTik

1. 01Войдите в RouterOS через WinBox или веб-интерфейс.
2. 02Создайте новый интерфейс туннеля (например, WireGuard или другой поддерживаемый протокол).
3. 03Укажите:

• Public Key и Private Key (если используется асимметричное шифрование);
• Endpoint — адрес сервера SANSARA и порт;
• Allowed IPs — диапазон, который будет маршрутизироваться через туннель.

1. 01Назначьте туннельному интерфейсу IP-адрес из подсети вашего личного VPS.

Шаг 3: Базовые правила firewall

Примерный минимальный набор правил для защиты:

1. 01Блокировка всего входящего трафика по умолчанию

В цепочке input добавьте правило в конец:

• chain=input action=drop

Это запретит все входящие соединения, кроме явно разрешённых.

1. 01Разрешение SSH/веб-конфигуратора только из локальной сети или туннеля

Например, разрешить веб-конфигуратор только с интерфейса туннеля:

• chain=input protocol=tcp dst-port=8291 in-interface=<tunnel-interface> action=accept

1. 01Разрешение необходимых сервисов через туннель

Если вы хотите, чтобы часть трафика шла через защищённый канал, создайте правило в forward:

• chain=forward out-interface=<tunnel-interface> action=accept

И настройте маршрутизацию для нужных подсетей через этот интерфейс.

1. 01Защита от сканирования портов

Добавьте правило, которое сбрасывает или отклоняет пакеты с высокой частотой на неиспользуемые порты:

• chain=input protocol=tcp dst-port=!<разрешённые_порты> limit=10/sec action=drop

1. 01Логирование для отладки (опционально)

Можно добавить правило с action=log, чтобы видеть, какие пакеты блокируются.

Порядок правил важен: они обрабатываются сверху вниз, первое совпадение определяет действие.

Шаг 4: Импорт конфигурации в клиентское ПО

1. 01В кабинете SANSARA экспортируйте конфигурацию для вашего устройства (формат зависит от клиента: .conf для WireGuard, .ovpn для OpenVPN и т.п.).
2. 02На устройстве:

• iPhone / Android: установите приложение (например, WireGuard), откройте конфиг из почты или файлового менеджера, импортируйте профиль.
• Windows / macOS: установите клиент, импортируйте файл конфигурации или вставьте конфиг вручную.

1. 01Активируйте туннель. Статус должен показывать активное подключение к личному VPS.

Шаг 5: Проверка работы

1. 01Убедитесь, что клиент показывает подключение к узлу SANSARA.
2. 02Проверьте, что трафик идёт через туннель: например, зайдите на сайт, который показывает ваш IP-адрес, и убедитесь, что отображается IP вашего личного VPS.
3. 03Проверьте доступность нужных сервисов и отсутствие блокировок со стороны локального провайдера.

Если что-то не работает, проверьте:

• правильность ключей и адреса сервера в конфигурации;
• правила firewall на MikroTik (нет ли блокировки нужного порта или протокола);
• маршрутизацию (трафик должен уходить через туннельный интерфейс).

Устройства: iPhone, Android, Windows, macOS

Настройка защищённого канала через личный VPS SANSARA поддерживается на основных платформах.

Во всех случаях вы используете один и тот же личный VPS из кабинета SANSARA, но можете создавать отдельные конфиги для каждого устройства (с разными ключами или настройками) или использовать один профиль на нескольких устройствах, если протокол это позволяет.

Telegram-бот SANSARA может помочь с быстрым доступом к данным подключения и статусом узлов, но сама настройка клиентов выполняется в соответствующих приложениях.

Практический чек-лист на 7–10 пунктов

1. 01Определите, какой трафик должен идти через защищённый канал — весь или выборочно (например, только браузер).
2. 02Проверьте поддержку протоколов на вашем MikroTik (версия RouterOS, доступные туннельные интерфейсы).
3. 03Подготовьте личный VPS в SANSARA: выберите страну узла, активируйте сервер, сохраните ключи и адрес.
4. 04Настройте туннельный интерфейс на MikroTik: укажите ключи, endpoint, allowed IPs.
5. 05Настройте маршрутизацию: для выбранных подсетей пропишите шлюз через туннельный интерфейс.
6. 06Добавьте базовые правила firewall:

• блокировка входящего трафика по умолчанию;
• разрешение управления роутером только из доверенных сетей/интерфейсов;
• разрешение forward через туннель для нужного трафика.

1. 01Экспортируйте конфигурацию из кабинета SANSARA в формате для вашего клиента.
2. 02Установите и настройте клиент на устройстве (iPhone, Android, Windows, macOS).
3. 03Проверьте подключение: статус в клиенте, IP-адрес через проверочный сайт, доступность сервисов.
4. 04При необходимости донастройте правила firewall на MikroTik, если какой-то трафик блокируется или идёт не туда.

FAQ

• назначить этим устройствам статические IP или выделить их в отдельную подсеть;
• настроить маршрутизацию так, чтобы трафик этой подсети шёл через туннельный интерфейс;
• в правилах firewall разрешить forward только для этой подсети через туннель.

Вопрос: Что делать, если после настройки пропал доступ к роутеру? Ответ: Скорее всего, правило блокировки входящего трафика стоит до правила разрешения управления. Подключитесь к роутеру с доверенного устройства через локальную сеть, проверьте порядок правил в цепочке input и убедитесь, что правило разрешения управления (веб, SSH) расположено выше правила action=drop.

Вопрос: Нужно ли каждый раз заходить в кабинет SANSARA, чтобы подключиться с нового устройства? Ответ: Нет, если вы один раз экспортировали конфигурацию, её можно использовать на нескольких устройствах (если протокол это позволяет). Для дополнительного удобства можно запросить новый конфиг через Telegram-бот SANSARA, если нужны отдельные ключи для каждого устройства.

Итог

1. 01Используйте личный VPS SANSARA как выделенный узел для защищённого канала — это даёт стабильность и контроль над трафиком.
2. 02Настройте туннельный интерфейс на MikroTik и маршрутизацию для нужного трафика.
3. 03Добавьте базовые правила firewall: блокировку входящего трафика по умолчанию, разрешение управления только из доверенных сетей, разрешение forward через туннель.
4. 04Импортируйте конфигурацию из кабинета SANSARA в клиенты на iPhone, Android, Windows, macOS.
5. 05Проверяйте работу через статус подключения в клиенте и доступность ресурсов, при необходимости корректируйте правила firewall на MikroTik.