Pourquoi un tunnel WireGuard ?

La plupart des connexions Internet (surtout mobiles/4G) placent votre routeur derrière un CGNAT : vous n'avez pas d'IP publique, donc impossible d'ouvrir un port pour joindre votre MikroTik de l'extérieur. Un tunnel WireGuard sortant résout le problème : c'est le routeur qui initie la connexion vers un serveur, créant un canal chiffré et permanent par lequel vous accédez à tout votre réseau.

La méthode rapide (recommandée) — avec NEXOTIK VPN, tout ce qui suit est généré automatiquement : vous copiez un seul script dans le terminal RouterOS et le tunnel est actif en moins de 5 minutes, sans gérer les clés ni le serveur. Créer un compte →

Prérequis

RouterOS 7+ (WireGuard est intégré nativement ; la v6 n'est pas supportée).
Un accès au terminal du routeur (Winbox > New Terminal, SSH, ou WebFig).
Un pair WireGuard côté serveur (clé publique + endpoint). NEXOTIK VPN le fournit pour vous.

Étapes de configuration

Vérifier la version de RouterOS

/system resource print

Le champ version doit indiquer 7.x. Sinon, mettez à jour via /system package update.

Créer l'interface WireGuard

/interface wireguard add name=wg-vpn listen-port=51820

Récupérez la clé publique générée (vous la communiquez au serveur) :

/interface wireguard print

Ajouter le pair (serveur)

/interface wireguard peers add interface=wg-vpn \ public-key="CLE_PUBLIQUE_DU_SERVEUR" \ endpoint-address=serveur.exemple.com endpoint-port=51820 \ allowed-address=10.0.0.0/24 persistent-keepalive=25s

Le persistent-keepalive maintient le tunnel ouvert à travers le NAT.

Attribuer l'adresse VPN

/ip address add address=10.0.0.10/24 interface=wg-vpn

Autoriser le pare-feu

/ip firewall filter add chain=input protocol=udp dst-port=51820 action=accept comment="WireGuard" add chain=input in-interface=wg-vpn action=accept comment="VPN admin"

Vérifier le handshake

/interface wireguard peers print

Si last-handshake affiche quelques secondes, le tunnel est actif. Vous pouvez maintenant joindre le routeur via son adresse VPN (Winbox, WebFig) depuis l'extérieur.

Et ensuite ?

Une fois le tunnel monté, vous accédez à Winbox et WebFig à distance, et — avec l'offre LAN Pack — à tout votre réseau local (antennes, caméras IP, autres équipements). Vous pouvez aussi gérer votre hotspot via MikHMon à travers le tunnel.

Évitez la configuration manuelle — NEXOTIK VPN génère le serveur, les clés et le script prêt à coller, et gère les accès sécurisés WebFig/Winbox pour vous.

Configurer mon MikroTik en 5 min Voir les tarifs