Настройка GRE+IPsec на MikroTik через личный VPS SANSARA (2026)

GRE+IPsec на MikroTik — это способ соединить две сети через интернет как единый защищённый канал. GRE создаёт логический туннель поверх IP, а IPsec шифрует и аутентифицирует трафик между узлами. С личным VPS SANSARA вы получаете стабильный внешний IP в одной из 9+ стран, настраиваете MikroTik как клиентский шлюз и подключаете устройства через клиентские приложения без терминала.

Коротко:

• GRE — логический туннель поверх IP, IPsec — шифрование и аутентификация.
• SANSARA выдаёт личный VPS с внешним IP, данными в кабинете и импортом в клиент.
• Настройка на MikroTik: интерфейс GRE, политики и пиры IPsec, маршруты.
• Совместимость: iPhone, Android, Windows, macOS через клиентские приложения.
• Диагностика: логи IPsec, пинг, трассировка, проверка маршрутов.
• Типовые проблемы: NAT, MTU, несовпадение ключей, блокировка портов.

Что это такое и зачем нужно

GRE (Generic Routing Encapsulation) — протокол туннелирования, который упаковывает пакеты одного протокола (например, Ethernet) внутрь другого (IP). На MikroTik вы создаёте интерфейс gre-tunnel, указываете локальный и удалённый IP — и получаете виртуальный канал между двумя точками.

IPsec (Internet Protocol Security) — набор протоколов для шифрования и аутентификации IP-трафика. В связке GRE+IPsec GRE отвечает за создание туннеля, а IPsec — за защиту его содержимого от прослушивания и подмены.

Зачем это нужно:

• Объединение сетей — соединить офисную сеть и удалённый сегмент как одну подсеть.
• Защита трафика — шифровать данные между филиалами или облачными ресурсами.
• Работа поверх NAT — многие реализации IPsec поверх GRE корректно проходят через трансляцию адресов.

С личным VPS SANSARA вы используете сервер как один из узлов туннеля: получаете стабильный внешний IP, настраиваете на нём GRE и IPsec (если ОС позволяет) или используете его как шлюз для клиентских устройств.

Как настроить с SANSARA (пошагово)

Шаг 1. Регистрация и получение личного VPS

1. 01Зарегистрируйтесь в SANSARA.
2. 02Выберите локацию (одна из 9+ стран) и тариф.
3. 03После активации в кабинете появятся:

• IP-адрес сервера,
• логин и пароль,
• инструкция по импорту конфигурации в клиент.

SANSARA предоставляет личный VPS — выделенный узел, а не общий пул сессий. Это даёт предсказуемую производительность и изоляцию от других пользователей.

Шаг 2. Подготовка MikroTik

1. 01Убедитесь, что на роутере установлена актуальная версия RouterOS (2026 год — рекомендуется 7.x).
2. 02Подключитесь к MikroTik через WinBox или WebFig.
3. 03Запишите внешний IP роутера (например, из /ip address на интерфейсе к провайдеру).
4. 04Запишите внутреннюю подсеть, которую нужно соединить с VPS (например, 192.168.88.0/24).

Шаг 3. Настройка GRE-туннеля на MikroTik

1. 01Создайте интерфейс GRE:

• Перейдите в IP → Tunnel.
• Нажмите +, выберите GRE.
• Укажите:
• Local Address — внешний IP MikroTik.
• Remote Address — внешний IP вашего VPS SANSARA.
• Назовите интерфейс, например gre-to-sansara.

1. 01Назначьте IP-адрес туннелю:

• IP → Addresses → +.
• Адрес: например, 10.0.0.1/30 для стороны MikroTik.
• Интерфейс: gre-to-sansara.

На стороне VPS (если это Linux-сервер) настройте аналогичный GRE-интерфейс с обратными local/remote адресами и IP из той же подсети, например 10.0.0.2/30.

Шаг 4. Настройка IPsec на MikroTik

1. 01Создайте профиль IPsec:

• IP → IPsec → Profiles → +.
• Название: gre-profile.
• Encryption Algorithms: aes-256-cbc (или aes-128-cbc).
• Hash Algorithms: sha256.
• DH Group: modp2048.
• Lifetime: 30m (или стандартное значение).

1. 01Создайте предложение (proposal):

• IP → IPsec → Proposals → +.
• Укажите те же алгоритмы, что в профиле.

1. 01Создайте политику:

• IP → IPsec → Policies → +.
• Src. Address: внутренняя подсеть MikroTik, например 192.168.88.0/24.
• Dst. Address: подсеть на стороне VPS (например, 172.16.0.0/24).
• Protocol: all.
• Template: галочка.
• Tunnel: yes.
• Src. Address: внешний IP MikroTik.
• Dst. Address: внешний IP VPS SANSARA.
• SA Src. Address: IP туннеля MikroTik (10.0.0.1).
• SA Dst. Address: IP туннеля VPS (10.0.0.2).
• Proposal: выбранное предложение.

1. 01Создайте пир (peer):

• IP → IPsec → Peers → +.
• Address: внешний IP VPS SANSARA.
• Exchange Mode: main или aggressive (второй быстрее, но менее безопасен).
• Profile: gre-profile.
• Укажите PSK (Pre-Shared Key) — одинаковый длинный ключ на обеих сторонах.

На стороне VPS настройте аналогичные политики и пир с обратными адресами.

Шаг 5. Маршрутизация и фаервол

1. 01Добавьте статический маршрут на MikroTik:

• IP → Routes → +.
• Dst. Address: подсеть за VPS (например, 172.16.0.0/24).
• Gateway: IP туннеля VPS (10.0.0.2).

1. 01На VPS добавьте маршрут в подсеть MikroTik через 10.0.0.1.
2. 02Проверьте фаервол:

• На MikroTik разрешите ESP (протокол 50) и IKE (UDP 500, иногда 4500) на внешнем интерфейсе.
• На стороне VPS откройте те же порты и протоколы.

Шаг 6. Импорт в клиент и проверка

1. 01В кабинете SANSARA выберите вариант конфигурации для вашего клиента (WireGuard, OpenVPN или другой).
2. 02Скачайте файл конфигурации или получите QR-код.
3. 03Импортируйте конфиг в клиентское приложение на устройстве.
4. 04Подключитесь и проверьте:

• Ping между устройствами в разных подсетях.
• Работу нужных сервисов через туннель.

Telegram-бот SANSARA может уведомлять о статусе сервера и помогать с быстрым переключением между локациями.

Устройства: iPhone, Android, Windows, macOS

• iPhone: используйте официальные клиенты из App Store (WireGuard, OpenVPN Connect). Импортируйте конфигурацию из кабинета SANSARA через QR-код или файл.
• Android: аналогично — установите клиент, импортируйте конфиг. MikroTik предоставляет мобильное приложение для управления роутером, но для туннеля к VPS лучше использовать специализированные клиенты.
• Windows: настройте встроенный клиент или стороннее приложение (например, WireGuard). Импортируйте конфиг из кабинета SANSARA.
• macOS: используйте клиент из Mac App Store или с официального сайта. Импорт конфигурации — через файл или ручной ввод ключей.

Во всех случаях SANSARA предоставляет готовые профили для импорта — вам не нужно вручную генерировать ключи или править конфиги в терминале.

Практический чек-лист на 7–10 пунктов

1. 01Запишите внешние IP MikroTik и VPS SANSARA перед настройкой.
2. 02Согласуйте подсети — избегайте конфликтующих диапазонов (например, не используйте одинаковые 192.168.1.0/24 на обеих сторонах).
3. 03Выберите стойкие алгоритмы для IPsec: AES-256 + SHA256 + MODP2048.
4. 04Используйте длинный PSK и храните его безопасно.
5. 05Проверьте NAT и фаервол — разрешите ESP и IKE на обоих концах.
6. 06Убедитесь, что GRE-интерфейсы подняты и имеют корректные local/remote адреса.
7. 07Добавьте маршруты в обе стороны — без них трафик не пойдёт через туннель.
8. 08Проверьте MTU — уменьшите его, если есть обрывы больших пакетов (например, установите 1400 на туннеле).
9. 09Смотрите логи IPsec (/log print) при проблемах с установкой фазы.
10. 10Протестируйте с разных устройств — ноутбук, телефон, чтобы убедиться, что туннель работает для всех.

FAQ

Итог

1. 01GRE+IPsec на MikroTik — мощный способ создать защищённый туннель между сетями с гибкостью GRE и криптографией IPsec.
2. 02С личным VPS SANSARA вы получаете стабильный внешний IP в одной из 9+ стран, данные в кабинете и готовые конфиги для клиентов.
3. 03Настройка включает: создание GRE-интерфейса, настройку профилей, политик и пиров IPsec, добавление маршрутов и проверку фаервола.
4. 04Устройства подключаются через клиентские приложения на iPhone, Android, Windows, macOS с импортом конфигурации из кабинета SANSARA.
5. 05Для стабильной работы используйте чек-лист: согласование подсетей, стойкие алгоритмы, проверку NAT/MTU и диагностику через логи.