Настройка firewall на MikroTik RouterOS в 2026 году

MikroTik RouterOS — это операционная система для маршрутизаторов и шлюзов с гибким встроенным firewall. Настроив правила фильтрации трафика на MikroTik, вы можете управлять доступом к своему личному VPS и организовать защищённый канал для устройств. С SANSARA вы получаете готовый личный VPS в одной из 9+ стран, импортируете конфигурацию в клиентское ПО и настраиваете firewall на MikroTik через веб-интерфейс или WinBox, не используя терминал.

Коротко:

• MikroTik firewall — это встроенная система фильтрации пакетов в RouterOS, которая позволяет разрешать или блокировать трафик по IP, портам, протоколам и цепочкам.
• С SANSARA вы арендуете личный VPS, получаете данные в кабинете и импортируете конфигурацию в клиентское ПО для быстрого старта.
• Firewall настраивается через WinBox или веб-интерфейс MikroTik в виде правил в цепочках input, forward, output.
• Поддерживаются устройства на iPhone, Android, Windows, macOS с совместимыми клиентами для работы через защищённый канал.
• В статье — пошаговая настройка базового firewall и чек-лист для самостоятельной проверки.

Что это такое и зачем нужно

Firewall в MikroTik RouterOS — это набор правил фильтрации, которые применяются к пакетам на трёх основных цепочках:

• input — трафик, который приходит на сам маршрутизатор (например, SSH, веб-интерфейс).
• forward — транзитный трафик, который проходит через маршрутизатор между сетями.
• output — трафик, который исходит от маршрутизатора.

Каждое правило содержит условия (источник, назначение, порт, протокол) и действие (accept, drop, reject). Типичные задачи:

• Ограничить доступ к управлению — разрешить SSH или веб-интерфейс только с определённых IP.
• Защитить внутреннюю сеть — запретить входящие соединения извне на внутренние сервисы.
• Организовать доступ к личному VPS — разрешить только нужные протоколы и порты для работы через защищённый канал.

Если вы используете личный VPS SANSARA как шлюз, firewall на MikroTik помогает контролировать, кто и как подключается к вашему выделенному узлу.

Как настроить с SANSARA (пошагово)

SANSARA предоставляет личный VPS с готовым подключением. Вы не устанавливаете панели вручную и не работаете с терминалом для базовой настройки — всё делается через кабинет и клиентское ПО.

Шаг 1. Регистрация и аренда личного VPS

• Зарегистрируйтесь в сервисе SANSARA и выберите тариф с личным VPS.
• Укажите желаемую локацию из доступных 9+ стран (Европа и другие узлы).
• После оплаты в кабинете появятся данные для подключения: адрес сервера, логин, пароль, конфигурационный файл или параметры для импорта.

Шаг 2. Получение данных в кабинете

• В личном кабинете SANSARA вы увидите статус вашего VPS и список доступных подключений.
• Для работы с MikroTik вам понадобится IP-адрес сервера, порт управления (обычно 8291 для WinBox) и учётные данные.
• Если используется предустановленный MikroTik на VPS, данные для входа будут указаны в кабинете или отправлены через Telegram-бот SANSARA.

Шаг 3. Подключение к MikroTik

• На компьютере с Windows скачайте WinBox с официального сайта MikroTik.
• В поле Connect To введите IP-адрес вашего VPS, укажите логин и пароль, порт (по умолчанию 8291).
• Нажмите Connect. Если подключение успешно, откроется интерфейс RouterOS.

Шаг 4. Базовая настройка firewall

В WinBox перейдите в раздел IP → Firewall. Здесь вы работаете с тремя вкладками: Filter Rules, NAT, Mangle. Для базовой защиты сосредоточьтесь на Filter Rules.

Пример настройки простого firewall:

1. 01Запретить всё по умолчанию (опционально, но рекомендуется для строгой политики)

• Цепочка: input
• Action: drop
• Comment: block all input

Это правило отбрасывает весь входящий трафик на маршрутизатор, если он не разрешён явно.

1. 01Разрешить управление с вашего IP

• Цепочка: input
• Protocol: tcp
• Dst. Port: 22,8291 (SSH и WinBox)
• Source Address: ваш статический IP или подсеть
• Action: accept
• Comment: allow admin from trusted IP

Это правило разрешает подключение к управлению только с доверенных адресов.

1. 01Разрешить нужный трафик для защищённого канала

• Цепочка: forward
• Protocol: udp (или tcp, в зависимости от используемого протокола)
• Dst. Port: порт, который использует ваше клиентское ПО
• Action: accept
• Comment: allow tunnel traffic

Это правило разрешает транзитный трафик для работы через защищённый канал.

1. 01Разрешить ответы на установленные соединения

• Цепочка: input и forward
• Connection State: established, related
• Action: accept
• Comment: allow established/related

Это стандартное правило, чтобы ответы на ваши запросы не блокировались.

Правила обрабатываются сверху вниз. Размещайте разрешающие правила выше запрещающих.

Шаг 5. Проверка работы

• Сохраните конфигурацию через Files → Save Configuration.
• Попробуйте подключиться к вашему личному VPS с клиентского устройства (телефон или компьютер).
• В разделе IP → Firewall → Connections можно посмотреть активные соединения.
• Если что-то не работает, проверьте порядок правил и логи через Log.

Устройства: iPhone, Android, Windows, macOS

SANSARA совместим с основными платформами. После настройки firewall на MikroTik вы можете использовать защищённый канал на следующих устройствах:

• iPhone

Установите совместимое клиентское приложение из App Store. Импортируйте конфигурацию из кабинета SANSARA или используйте данные, полученные через Telegram-бот SANSARA. После импорта подключитесь к своему личному VPS.

• Android

Аналогично: установите клиент из Google Play, импортируйте конфигурацию SANSARA и активируйте подключение. Firewall на MikroTik уже настроен пропускать трафик на нужный порт.

• Windows

Используйте десктопный клиент для Windows. Импортируйте конфигурацию SANSARA или введите параметры вручную. Одновременно можно работать с WinBox для управления MikroTik.

• macOS

На macOS также доступны клиенты для работы с защищённым каналом. Импортируйте профиль SANSARA и подключитесь к своему выделенному узлу.

На всех устройствах вы используете один и тот же личный VPS SANSARA, но можете настроить отдельные правила firewall для разных портов или протоколов, если это требуется.

Практический чек-лист

Чек-лист поможет вам самостоятельно настроить и проверить firewall на MikroTik:

1. 01Получите данные VPS

• Убедитесь, что в кабинете SANSARA есть IP-адрес, логин, пароль и параметры для клиента.

1. 01Подключитесь к MikroTik

• Используйте WinBox или веб-интерфейс по указанному порту.

1. 01Настройте базовые правила input

• Заблокируйте весь input, затем разрешите управление только с доверенных IP.

1. 01Настройте forward для защищённого канала

• Разрешите трафик на порт, который использует ваше клиентское ПО.

1. 01Разрешите established/related соединения

• Добавьте правило с connection state established,related в input и forward.

1. 01Проверьте порядок правил

• Убедитесь, что разрешающие правила стоят выше запрещающих.

1. 01Сохраните конфигурацию

• Выполните Save Configuration в WinBox.

1. 01Подключитесь с клиентского устройства

• Используйте iPhone, Android, Windows или macOS для тестового подключения.

1. 01Проверьте логи и соединения

• В IP → Firewall → Connections и логах убедитесь, что трафик проходит как ожидается.

1. 01При необходимости донастройте правила

• Если какой-то сервис не работает, добавьте правило для конкретного порта или протокола.

FAQ

Итог

• MikroTik firewall позволяет гибко управлять доступом к вашему личному VPS и организовывать защищённый канал для устройств.
• С SANSARA вы арендуете личный VPS в одной из 9+ стран, получаете данные в кабинете и импортируете конфигурацию в клиентское ПО без использования терминала.
• Настройте базовые правила в цепочках input и forward через WinBox, разрешив управление только с доверенных IP и трафик для вашего клиентского ПО.
• Проверьте работу на iPhone, Android, Windows и macOS с помощью чек-листа и при необходимости уточните правила firewall.