MikroTik: как связать два офиса через WireGuard
Планируем адреса, маршруты и доступ к ресурсам двух офисов. Объединяем рабочую сеть без растягивания одного Ethernet-сегмента через интернет.
- Офис AСвоя LAN, шлюз и DHCP
- WireGuardЗашифрованная связь и маршруты между LAN
- Офис BДоступ только к согласованным ресурсам
Общая сеть компании не обязательно означает одну подсеть. Сотруднику важно открыть нужный сервер или принтер, а администратору — понимать, откуда пришёл запрос. Для двух офисов удобно оставить отдельные локальные сети и связать их маршрутизацией через WireGuard. Так меньше скрытых зависимостей: DHCP каждого офиса обслуживает своих клиентов, а интернет не приходится отправлять через соседнюю площадку.
Сначала записываем, что должно работать
В учебном примере офис A использует 10.60.10.0/24, офис B — 10.60.20.0/24. Для туннеля выделим 10.254.60.0/30. Это условные адреса: перед настройкой нужно проверить пересечения со всеми рабочими сетями и VPN удалённых сотрудников. Два одинаковых диапазона по разные стороны туннеля обычный маршрут не различит.
Составьте короткий список разрешённых связей: какие компьютеры обращаются к какому серверу, по какому протоколу и кто должен иметь доступ к самому маршрутизатору. Из задачи «видеть общую папку» не следует разрешение на любое соединение между офисами. Адреса серверов лучше закрепить, чтобы правила не зависели от очередной выдачи DHCP.
Туннель и маршрут отвечают за разное
Пример рассчитан на RouterOS 7. Сначала на обеих сторонах создают интерфейсы WireGuard и peers, обмениваются публичными ключами и проверяют достижимость UDP endpoint. Приватный ключ остаётся на своём маршрутизаторе. Если оба офиса находятся за NAT без доступного входящего endpoint, сначала потребуется решить вопрос соединения, например через доступный узел-посредник.
У peer на стороне A в allowed-address входят удалённая LAN 10.60.20.0/24 и адрес туннеля B 10.254.60.2/32. На стороне B — LAN 10.60.10.0/24 и адрес A 10.254.60.1/32. Эти параметры не заменяют записи в таблице маршрутов. Для уже созданного интерфейса wg-office фрагмент адресации выглядит так:
# Офис A
/ip/address/add address=10.254.60.1/30 interface=wg-office
/ip/route/add dst-address=10.60.20.0/24 gateway=wg-office
# Офис B — выполняется на другом маршрутизаторе
/ip/address/add address=10.254.60.2/30 interface=wg-office
/ip/route/add dst-address=10.60.10.0/24 gateway=wg-officeЭто только часть конфигурации, а не готовый скрипт для рабочего роутера. Проверьте существующие адреса и маршруты перед добавлением. Если шлюзом серверов служит другое устройство, обратный маршрут к соседнему офису нужен и на нём.
Приёмка — с рабочего компьютера
После настройки фильтрации проверьте доступ с компьютера A к разрешённому сервису B, затем обратное направление, если оно предусмотрено. Интернет в обоих офисах должен продолжать работать по согласованной схеме. Проверьте и запреты: гостевой компьютер не должен получать доступ к управлению роутером только потому, что появился VPN.
Если handshake есть, но ресурс недоступен, переходите к разбору пути пакета: маршрут, forward, обратный путь и firewall сервера. Успешное соединение двух VPN-узлов ещё не проверяет всю рабочую сеть.