MikroTik: настройка firewall и NAT для защищённого канала через личный VPS (2026)

Firewall и NAT на MikroTik RouterOS позволяют управлять доступом к сети и перенаправлять трафик через личный VPS. Это полезно для безопасного выхода в интернет с любых устройств через выделенный узел SANSARA. Начать можно с регистрации в кабинете SANSARA, получения данных подключения и импорта профиля в клиентское приложение без терминала.

Коротко:

• Firewall фильтрует входящий и исходящий трафик по правилам.
• NAT меняет IP-адреса пакетов при переходе между сетями.
• В MikroTik это настраивается через IP → Firewall и IP → Firewall → NAT.
• С SANSARA можно быстро получить личный VPS и готовый профиль для клиента.
• Поддерживаются iPhone, Android, Windows, macOS.
• Для проверки работы используют ping, traceroute и онлайн-сервисы проверки IP.

Что это такое и зачем нужно

Firewall (брандмауэр) на MikroTik — это набор правил, которые разрешают или блокируют сетевой трафик. Правила работают на основе IP-адресов, портов, протоколов и состояний соединений. Например, можно запретить доступ извне к порту 22 (SSH) или разрешить только определённым устройствам подключаться к внутренней сети.

NAT (Network Address Translation) изменяет IP-адреса пакетов при переходе между сетями. В MikroTik чаще всего используется masquerade — форма NAT, которая «прячет» внутренние IP-адреса за внешним адресом роутера. Это позволяет нескольким устройствам в локальной сети выходить в интернет через один внешний IP.

Основные задачи:

• Ограничить доступ к роутеру и внутренним сервисам.
• Перенаправить трафик через личный VPS для защиты соединения.
• Скрыть внутреннюю сеть от внешнего интернета.
• Разрешить доступ к определённым портам извне (например, для веб-сервера).

В контексте SANSARA это позволяет настроить MikroTik как шлюз, который направляет трафик через защищённый канал на личный VPS, а не напрямую в интернет.

Как настроить с SANSARA (пошагово)

Настройка состоит из двух частей: получение личного VPS в SANSARA и конфигурация MikroTik для работы через этот канал.

Регистрация и получение личного VPS

1. 01Зарегистрируйтесь в кабинете SANSARA.
2. 02Выберите нужную локацию из списка доступных узлов (9+ стран).
3. 03Оформите личный VPS. После активации в кабинете появятся данные подключения: адрес сервера, логин, пароль, тип протокола и т.д.
4. 04При необходимости используйте Telegram-бот SANSARA для быстрого управления сервером и получения статуса.

Подготовка MikroTik

1. 01Подключитесь к MikroTik через WinBox или веб-интерфейс.
2. 02Убедитесь, что у роутера есть доступ в интернет через WAN-интерфейс (например, ether1).
3. 03Настройте LAN-интерфейс (например, ether2) с DHCP-сервером для локальных устройств.

Настройка защищённого канала на MikroTik

Здесь используется пример с туннелем через личный VPS. Конкретные команды зависят от протокола, но логика одинакова.

1. 01Создайте интерфейс туннеля

В MikroTik это может быть интерфейс для подключения к серверу SANSARA. Пример для общего понимания (без конкретного протокола):

• Перейдите в Interfaces → Add New → выберите соответствующий тип туннеля.
• Укажите Remote Address — адрес вашего личного VPS из кабинета SANSARA.
• Настройте аутентификацию (логин/пароль или ключи).

1. 01Настройте маршрутизацию

• В IP → Routes добавьте маршрут по умолчанию через туннельный интерфейс.
• Убедитесь, что приоритет этого маршрута выше, чем у прямого выхода в интернет.

1. 01Настройте NAT (masquerade)

• Перейдите в IP → Firewall → NAT.
• Добавьте правило:
• Chain: srcnat
• Src. Address: ваша локальная сеть (например, 192.168.88.0/24)
• Out. Interface: туннельный интерфейс к SANSARA
• Action: masquerade

Это заставит весь исходящий трафик из локальной сети «выходить» через личный VPS.

1. 01Настройте firewall для безопасности

В IP → Firewall → Filter Rules рекомендуются минимум такие правила:

• Разрешить установленные и связанные соединения:
• Chain: forward
• Connection State: established,related
• Action: accept
• Заблокировать весь остальной входящий трафик из интернета в LAN:
• Chain: forward
• In. Interface: туннельный интерфейс или WAN
• Dst. Address: локальная сеть
• Action: drop
• При необходимости разрешить доступ к роутеру только из локальной сети.

1. 01Проверьте настройки

• Сохраните конфигурацию (File → Save в WinBox).
• Перезагрузите роутер или переподключите туннель.
• Убедитесь, что интернет на локальных устройствах работает через личный VPS (проверьте IP через онлайн-сервисы).

Импорт профиля в клиентское ПО

Если вы хотите использовать защищённый канал не только через MikroTik, но и напрямую с устройств:

1. 01В кабинете SANSARA экспортируйте профиль подключения для нужного клиента (формат зависит от приложения).
2. 02На устройстве импортируйте профиль:

• Windows/macOS: откройте клиент, выберите импорт конфигурации, укажите файл.
• iPhone/Android: установите приложение, откройте профиль из почты или мессенджера.

1. 01Подключитесь к серверу и проверьте IP.

Устройства: iPhone, Android, Windows, macOS

MikroTik с настроенным firewall и NAT работает как шлюз для всех устройств в сети. Если роутер правильно перенаправляет трафик через личный VPS, то любое устройство, подключённое к его Wi‑Fi или LAN, будет использовать защищённый канал.

Если настройка MikroTik выполнена правильно, все устройства будут показывать внешний IP вашего личного VPS SANSARA, а не локального провайдера.

Практический чек-лист на 7–10 пунктов

1. 01Проверьте базовый интернет на MikroTik до настройки туннеля.
2. 02Сохраните резервную копию конфигурации MikroTik перед изменениями.
3. 03Настройте туннельный интерфейс к личному VPS SANSARA с правильным адресом и аутентификацией.
4. 04Добавьте маршрут по умолчанию через туннель с высоким приоритетом.
5. 05Включите NAT (masquerade) для локальной сети через туннельный интерфейс.
6. 06Настройте firewall:

• разрешите established,related;
• заблокируйте нежелательный входящий трафик.

1. 01Сохраните конфигурацию и перезагрузите роутер или интерфейсы.
2. 02Проверьте IP на локальном устройстве через браузер.
3. 03Проверьте маршрут с помощью traceroute или tracert.
4. 04При проблемах сверьте логи MikroTik и статус сервера в кабинете SANSARA или через Telegram-бот SANSARA.

FAQ

Итог

• Используйте firewall на MikroTik для контроля доступа, а NAT — для скрытия внутренней сети и перенаправления трафика через личный VPS.
• Настройте туннель к личному VPS SANSARA, маршрут по умолчанию через него и masquerade для локальной сети.
• Проверяйте работу на устройствах iPhone, Android, Windows, macOS через браузер и traceroute.
• Сохраняйте резервные копии конфигурации MikroTik перед изменениями.
• Для быстрого старта используйте готовый профиль из кабинета SANSARA и импортируйте его в клиентское приложение.