WireGuard su MikroTik: setup
Da RouterOS 7 i router MikroTik supportano WireGuard in modo nativo, trasformando un RB750 o un'hAP ax3 in un'endpoint VPN affidabile per filiali e smart worker. La configurazione segue gli stessi concetti del setup Linux, ma usa Winbox/CLI RouterOS.
Prerequisiti RouterOS 7
Verifica che il router sia almeno su RouterOS 7.1 e disponga di IP pubblico raggiungibile o DDNS configurato. WireGuard su RouterOS sfrutta CPU efficientemente, ma su hardware più vecchio (es. hEX lite) il throughput può essere limitato a 50-80 Mbps.
Procedura passo-passo
- Aggiorna RouterOS a versione 7 stabile da Winbox > System > Packages.
- Vai in WireGuard > Interfaces e crea una nuova interfaccia wireguard1 con listen-port 13231.
- Genera la chiave automatica e annota la public key che servira ai client.
- Aggiungi IP address 10.20.30.1/24 all'interfaccia wireguard1.
- In WireGuard > Peers aggiungi un peer per ogni client con la sua public-key e allowed-address.
- Crea regola firewall accept input udp 13231 e srcnat masquerade per la subnet WireGuard.
- Esporta la configurazione client da Winbox o costruiscila manualmente con l'IP pubblico del router.
Site-to-site con WireGuard
MikroTik a MikroTik via WireGuard è una topologia comune per sedi multiple. Configura su entrambi i router peer reciproci: ogni lato ha l'altro come Peer con la sua public key, endpoint pubblico, allowed-address che includono la subnet remota (es. 192.168.20.0/24). Aggiungi route statica verso la subnet remota tramite l'interfaccia wireguard1. Persistent keepalive 25 mantiene il tunnel attivo dietro NAT.
MikroTik come gateway VPN per LAN
Per far uscire la LAN domestica attraverso una VPN commerciale (es. Mullvad), configura il MikroTik come client WireGuard verso il provider, aggiungi srcnat masquerade out-interface=wireguard1 e modifica la default route. Combina con policy-based routing per escludere specifici client/subnet che devono uscire direttamente, utile per evitare problemi con servizi che bloccano IP VPN.
Capacita hardware per modello
I router MikroTik hanno performance WireGuard molto variabile: hAP ax2 raggiunge 400-500 Mbps, RB5009 supera il giga, mentre vecchi RB750 si fermano a 50-80 Mbps. Verifica i benchmark ufficiali MikroTik prima di acquistare per VPN intensive. RouterOS 7.x continua a migliorare le performance WireGuard ad ogni release minor.
Multi-WAN failover
MikroTik con due WAN può gestire WireGuard con failover automatico: configura due endpoint WireGuard verso lo stesso server VPN su WAN diverse, usa scope/target-scope per preferire WAN primaria e usare secondaria solo come backup. Combinato con netwatch puoi monitorare WAN principale e attivare WireGuard backup quando necessario. Documentation MikroTik wiki ha esempi specifici.
Bandwidth shaping
RouterOS ha Queue Tree e Simple Queue per shaping traffico VPN: limita velocità per client WireGuard specifici, prioritizza VoIP o traffico business, garantisci banda minima per tunnel. Combina con mangle rule per marcare traffico WireGuard prima di applicare queue. Per visualizzare in tempo reale usa Tools > Torch sull'interfaccia wireguard1.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Peer non scambia handshake: controlla che la porta UDP sia raggiungibile da WAN: spesso il provider mette CG-NAT che richiede port forwarding o IPv6.
- Rotte mancanti: su RouterOS le route da WireGuard non sono automatiche: aggiungi route statica verso la subnet remota se serve site-to-site.
- Velocità bassa su hardware piccolo: WireGuard usa una sola CPU: su CPU singola il limite reale e 200-300 Mbps; salire a CCR2004 o RB5009 raddoppia.
- DNS leak: imposta dns-server nel peer client e push verso 10.20.30.1 dove gira un resolver locale.
Domande frequenti
D: Posso replicare site-to-site tra due MikroTik?
R: Si, basta che entrambi siano peer reciproci con allowed-address corrette.
D: Quanti peer regge un MikroTik?
R: Tecnicamente migliaia, ma il limite pratico e dato dalla CPU: un RB5009 gestisce facilmente 100+ utenti.
D: Come monitorare le connessioni?
R: Da Winbox in WireGuard > Peers vedi last-handshake e bytes; via SNMP/Grafana puoi tracciare nel tempo.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.