Настройка GRE+IPsec на MikroTik через личный VPS в 2026 году

GRE с IPsec на MikroTik позволяет построить защищённый туннель между двумя роутерами через личный VPS. Это полезно для объединения сетей филиалов, организации защищённого канала между локальными сетями или подключения удалённых устройств через выделенный узел. С SANSARA вы получаете готовый личный VPS в одной из 9+ стран, импортируете конфигурацию в клиентское ПО и используете его как промежуточный шлюз для GRE-туннеля с шифрованием IPsec.

Коротко:

• GRE — это туннельный интерфейс, который инкапсулирует трафик в IP-пакеты; IPsec шифрует эти пакеты между MikroTik и личным VPS.
• SANSARA предоставляет личный VPS с готовым подключением: регистрация → данные в кабинете → импорт в клиент на iPhone, Android, Windows, macOS.
• Настройка состоит из трёх частей: подготовка личного VPS, настройка GRE-туннеля и настройка IPsec на обоих концах.
• После настройки трафик между локальными сетями или устройствами проходит через защищённый канал через выделенный узел SANSARA.
• Для диагностики используйте логи MikroTik и проверку маршрутов (/ip route print, /ip firewall connection print).
• Решение работает на любых устройствах, поддерживающих стандартные IPsec-клиенты или WireGuard-клиенты (если вы используете WireGuard на VPS).

Что это такое и зачем нужно

GRE (Generic Routing Encapsulation) — протокол туннелирования, который «упаковывает» один IP-пакет в другой. На MikroTik вы создаёте виртуальный интерфейс gre-tunnel, который выглядит как обычный интерфейс, но передаёт трафик через другой IP-адрес (например, через личный VPS). GRE сам по себе не шифрует трафик — он только переносит его.

IPsec (IP Security) — набор протоколов для аутентификации и шифрования IP-пакетов. Когда вы настраиваете IPsec между MikroTik и личным VPS, весь трафик, проходящий через GRE-туннель, шифруется. Это защищает данные от просмотра и изменения на промежуточных узлах.

Зачем это нужно:

• Объединение сетей: соединить две локальные сети (офис + удалённый филиал) через защищённый канал.
• Защищённый доступ к сервисам: направлять трафик определённых устройств или подсетей через личный VPS с шифрованием.
• Изоляция трафика: отделить служебный или управляющий трафик от общего интернет-канала.

Если вы используете личный VPS от SANSARA, он выступает как выделенный узел с фиксированным внешним IP-адресом. MikroTik на вашей стороне поднимает GRE-туннель до этого IP и шифрует его с помощью IPsec. Так вы получаете управляемый и защищённый канал без общего перегруженного пула сессий.

Как настроить с SANSARA (пошагово)

Настройка делится на три этапа: получение личного VPS, подготовка MikroTik и настройка GRE+IPsec.

1. Регистрация и получение личного VPS

• Зарегистрируйтесь в SANSARA и выберите тариф с личным VPS.
• В кабинете вы увидите данные подключения: IP-адрес сервера, ключ или конфигурационный файл.
• Для большинства клиентов доступен импорт профиля в одно нажатие: скачайте файл конфигурации и откройте его в поддерживаемом клиенте (WireGuard, OpenVPN и т.д. — в зависимости от выбранного протокола на VPS).
• Если вы используете WireGuard на VPS, импортируйте конфиг в WireGuard-клиент на своём устройстве и активируйте туннель. После этого ваш трафик будет проходить через личный VPS SANSARA.

На этом этапе у вас есть работающий защищённый канал до выделенного узла. Далее нужно настроить MikroTik так, чтобы он использовал этот канал для GRE-туннеля.

2. Подготовка MikroTik

Предположим, у вас есть MikroTik с внешним IP-адресом и локальной сетью (например, 192.168.88.0/24). Личный VPS SANSARA имеет внешний IP (условно 203.0.113.10), и вы уже подняли на нём защищённый канал (например, WireGuard) со своего компьютера.

Шаг 1. Настройка IP-адресации на MikroTik

Убедитесь, что у MikroTik есть статический внешний IP или он получает его по DHCP. Внутренний интерфейс (например, bridge-local) должен иметь IP из вашей локальной сети:

`text /ip address add address=192.168.88.1/24 interface=bridge-local `

Шаг 2. Настройка GRE-туннеля на MikroTik

Создайте GRE-туннель до IP-адреса личного VPS:

`text /interface gre add name=gre-to-sansara remote-address=203.0.113.10 local-address=<WAN-IP-MikroTik> disabled=no `

Здесь:

• remote-address — внешний IP вашего личного VPS SANSARA.
• local-address — внешний IP MikroTik (или интерфейс, например ether1).

Назначьте GRE-интерфейсу IP-адрес из специальной подсети, например 10.10.10.1/30:

`text /ip address add address=10.10.10.1/30 interface=gre-to-sansara `

Шаг 3. Настройка IPsec на MikroTik

IPsec настраивается в три этапа: peer, policy и proposal.

1. 01Создайте proposal (набор алгоритмов):

`text /ip ipsec proposal add name=proposal-sansara auth-algorithms=sha256 enc-algorithms=aes-256-cbc pfs-group=modp2048 `

1. 01Создайте peer (удалённая сторона — личный VPS):

`text /ip ipsec peer add address=203.0.113.10/32 auth-method=pre-shared-key secret="your-strong-key" exchange-mode=main send-initial-contact=yes proposal=proposal-sansara `

Замените your-strong-key на сложный ключ, который будет одинаковым на MikroTik и на VPS.

1. 01Создайте policy (какой трафик шифровать):

`text /ip ipsec policy add src-address=192.168.88.0/24 dst-address=0.0.0.0/0 sa-src-address=<WAN-IP-MikroTik> sa-dst-address=203.0.113.10 tunnel=yes action=encrypt proposal=proposal-sansara `

Эта политика говорит: «трафик из локальной сети 192.168.88.0/24 ко всем адресам, проходящий через туннель до 203.0.113.10, должен шифроваться».

Шаг 4. Маршрутизация

Добавьте маршрут, чтобы трафик к определённым сетям шёл через GRE-интерфейс. Например, если на стороне VPS есть сеть 10.0.0.0/24:

`text /ip route add dst-address=10.0.0.0/24 gateway=10.10.10.2 `

Здесь 10.10.10.2 — IP-адрес удалённого конца GRE-туннеля (на VPS).

3. Настройка на стороне личного VPS SANSARA

На личном VPS нужно настроить зеркальную конфигурацию:

• GRE-туннель с remote-address = внешний IP MikroTik и local-address = IP VPS.
• IP-адрес на GRE-интерфейсе из той же подсети, что и на MikroTik (например, 10.10.10.2/30).
• IPsec peer и policy с теми же алгоритмами и pre-shared key.
• Маршруты, чтобы трафик из сети за VPS шёл через GRE-туннель к локальной сети MikroTik.

Если на VPS уже работает WireGuard-туннель до вашего устройства, GRE+IPsec можно поднять между MikroTik и VPS, а WireGuard использовать для доступа с клиентских устройств. Таким образом, весь трафик между MikroTik и VPS будет защищён IPsec, а клиенты подключаются через WireGuard к тому же VPS.

4. Проверка работы

После настройки:

• Убедитесь, что GRE-интерфейс на MikroTik имеет статус R (running): /interface print.
• Проверьте IPsec-сайленсы: /ip ipsec active-sessions print.
• Проверьте маршруты: /ip route print — должен быть маршрут через gre-to-sansara.
• С устройства в локальной сети MikroTik попробуйте пропинговать IP в сети за VPS.

Если что-то не работает, проверьте логи IPsec (/log print) и убедитесь, что pre-shared key совпадает на обеих сторонах.

Устройства: iPhone, Android, Windows, macOS

Решение с GRE+IPsec на MikroTik и личным VPS SANSARA не привязано к конкретным клиентским устройствам — оно работает на уровне сетевого шлюза. Клиенты подключаются к локальной сети MikroTik обычным способом (Wi-Fi, Ethernet), и их трафик автоматически направляется через защищённый канал, если это требуется по маршрутизации.

iPhone и Android

• Если вы используете личный VPS SANSARA с WireGuard, установите официальное приложение WireGuard на iPhone или Android.
• Импортируйте конфигурационный файл из кабинета SANSARA в приложение и активируйте туннель.
• После этого весь мобильный трафик будет проходить через выделенный узел SANSARA. MikroTik в этом случае может быть шлюзом для стационарных устройств, а мобильные устройства подключаются напрямую к VPS.

Windows

• Установите WireGuard или другой поддерживаемый клиент (в зависимости от протокола, выбранного на VPS).
• Импортируйте профиль из кабинета SANSARA и включите туннель.
• Для диагностики используйте ping и tracert до IP-адресов за GRE-туннелем.

macOS

• Установите WireGuard из Mac App Store или используйте встроенные возможности (например, IKEv2, если он поддерживается на VPS).
• Импортируйте конфигурацию SANSARA и активируйте подключение.
• Проверьте маршруты через netstat -rn и убедитесь, что трафик идёт через туннельный интерфейс.

Во всех случаях сам GRE+IPsec настраивается на MikroTik и личном VPS, а клиентские устройства просто используют получившуюся сетевую инфраструктуру.

Практический чек-лист

1. 01Выберите локацию личного VPS в SANSARA — ближе к вашей сети или к целевым сервисам.
2. 02Зарегистрируйтесь в SANSARA, получите личный VPS и данные подключения.
3. 03Импортируйте профиль в клиентское ПО на своём устройстве (WireGuard, OpenVPN и т.д.) и убедитесь, что туннель работает.
4. 04Запишите внешний IP MikroTik и внешний IP личного VPS SANSARA.
5. 05Настройте GRE-туннель на MikroTik до IP VPS, назначьте ему IP из подсети /30.
6. 06Настройте IPsec на MikroTik: proposal, peer с pre-shared key, policy для трафика через туннель.
7. 07Повторите настройку GRE+IPsec на стороне личного VPS (зеркально).
8. 08Добавьте маршруты на MikroTik и VPS, чтобы трафик между локальными сетями шёл через GRE.
9. 09Проверьте соединение с устройства в локальной сети MikroTik до сети за VPS.
10. 10Проверьте логи IPsec и статус GRE-интерфейса при проблемах.

FAQ

• Совпадение pre-shared key на MikroTik и VPS.
• Отсутствие блокировки портов UDP 500 и 4500 на промежуточных маршрутизаторах.
• Корректность src-address и dst-address в политиках IPsec.
• Логи IPsec на обеих сторонах (/log print на MikroTik, аналоги на VPS).

Итог

• Используйте личный VPS от SANSARA как выделенный узел с фиксированным IP для построения защищённого канала с MikroTik.
• Настройте GRE-туннель между MikroTik и VPS, затем защитите его IPsec с pre-shared key и сильными алгоритмами шифрования.
• Направляйте трафик между локальными сетями через GRE-интерфейс с помощью статических маршрутов.
• Проверяйте работу через логи IPsec, статус GRE-интерфейса и тестовые ping-запросы между сетями.
• Для клиентских устройств используйте импорт профиля из кабинета SANSARA в поддерживаемые клиенты на iPhone, Android, Windows, macOS.