WireGuard MikroTik

Generatore di script RouterOS 7 per collegamenti Site to Site tra due MikroTik e topologie Hub & Spoke per client road warrior.

Chiavi su router o nel browser

Scegli il tipo di collegamento per iniziare.

Site to Site

MikroTik A

MikroTik B

Tunnel

A prende il primo indirizzo, B il secondo.
Più LAN per lato separate da virgola: rotte e regole no-NAT vengono create per ogni coppia.

Opzioni

secondi
0 lo disattiva.
Verifico se il browser supporta X25519...
Generata nel browser e uguale sui due lati: un ulteriore livello di cifratura, anche contro futuri computer quantistici.
Lato Endpoint IP del tunnel LAN Chiave pubblica
Questi script contengono , generate nel tuo browser e mai inviate a nessuno. Non condividerli e, se scarichi i file .rsc, cancellali dopo l'import.

1. MikroTik A 


                        
Crea interfaccia, indirizzo, rotte e no-NAT. L'ultima riga stampa la chiave pubblica di A: copiala per il passo 2.

                                                
Configurazione completa di A, chiavi comprese: interfaccia, indirizzo, rotte, no-NAT e peer verso B.

                                            

                                        

                        

                            

                                
                                2. MikroTik B
                            

                            

                                
                                
                            

                        

                        

                        
Prima di incollarlo sostituisci [CHIAVE-PUBBLICA-DEL-PRIMO] con la chiave del passo 1. L'ultima riga stampa la chiave pubblica di B.

                                                
Configurazione completa di B, chiavi comprese. Dopo averlo incollato su entrambi i lati, last-handshake deve aggiornarsi.

                                            

                                        

                        

                            

                                
                                3. MikroTik A, peer verso B
                            

                            

                                
                                
                            

                        

                        

                        
Sostituisci [CHIAVE-PUBBLICA-DEL-SECONDO] con la chiave del passo 2. L'ultimo comando mostra il peer: last-handshake deve aggiornarsi.

                                            

                                    


                

                    
                    
                        Richiede RouterOS 7.15 o successivo su entrambi i lati.
                        Oltre a WireGuard lo script crea le rotte verso le LAN remote e le regole no-NAT tra le LAN; la porta UDP 13231 in input va aperta su tutti e due i MikroTik.
                    
                

            

        

    











    
    

        

            

                

                    
                    Hub & spoke
                

            

            

                

                    

                        

                            
                            
                            

                            
Nome o IPv4 pubblico con cui i client raggiungono il MikroTik, porta UDP 13231.

                        

                        

                            
                            
                            

                            
I client prendono gli indirizzi successivi della subnet.

                        

                        

                            
                            
                            

                        


                        

                            
                            
                            

                            
Facoltativo, vale per tutti i client. Consigliato per chi manda tutto il traffico nel tunnel, altrimenti risolve i nomi fuori.

                        


                        

                            
                            
                            

                        

                        

                            Client
                            

                            

                                Nome: lettere, numeri, punto, trattino e underscore; se lo lasci vuoto uso quello suggerito.
                                Split tunnel: reti separate da virgola, la subnet di wg01 viene aggiunta in automatico.
                            

                        

                        

                            
                        

                    

                

            

        

    


    
    

        

            

                

                


                

                    

                        

                            
                            1. Script per l'hub
                        

                        

                            
                            
                        

                    

                    

                    

                        Incollalo nel terminale del MikroTik, oppure carica il file .rsc e lancia /import file-name=wg01-hub.rsc.
                    


                    

                        
                        Client
                    

                    

                        

                            
                                

                                    Nome
                                    Indirizzo nel tunnel
                                    Traffico nel tunnel
                                

                            
                            
                        

                    


                    

                        

                            
                            2. Configurazioni e QR code da console
                        

                        
                    

                    

                    

                        Ogni comando stampa il file .conf del client e il suo QR code, da inquadrare con l'app WireGuard.
                    

                


                

                    
                    
                        Richiede RouterOS 7.21 o successivo, la prima versione in cui il router imposta le reti consentite nella configurazione dei client.
                        Lo script configura solo WireGuard: firewall e NAT restano a te (porta UDP 13231 in input e, per i client con tutto il traffico, il masquerade verso Internet).