Cómo configurar una VPN WireGuard en MikroTik (RouterOS 7)

WireGuard es el protocolo de VPN moderno por excelencia: rápido, con criptografía actual y una configuración mucho más sencilla que IPsec u OpenVPN. Desde RouterOS 7, los routers MikroTik lo incluyen de serie. En esta guía configuras una VPN de acceso remoto para conectarte a la red de tu oficina o casa desde el portátil o el móvil, de forma segura.

El escenario

• Red local (LAN): 192.168.88.0/24, con el MikroTik en 192.168.88.1 (la configuración por defecto de muchos modelos).
• Red del túnel VPN: 10.10.10.0/24. El router será 10.10.10.1 y cada cliente tendrá su propia IP (10.10.10.2, 10.10.10.3…).
• Puerto UDP: 13231 (puedes elegir otro).
• El router necesita una IP pública o un nombre DNS que apunte a ella. Si tu IP cambia, puedes usar el servicio IP → Cloud de MikroTik, que te da un nombre DDNS gratis.

Cómo funciona WireGuard en dos minutos

Cada extremo tiene un par de claves: una privada, que nunca sale del equipo, y una pública, que se comparte con el otro extremo. No hay usuarios ni contraseñas: un peer se identifica por su clave pública. El parámetro allowed-address (en el cliente, AllowedIPs) define qué direcciones pueden circular por el túnel hacia cada peer.

Paso 1: crear la interfaz WireGuard

/interface wireguard
add name=wg0 listen-port=13231

/interface wireguard print

RouterOS genera automáticamente las claves. El comando print muestra la clave pública del router; cópiala, la necesitarás en los clientes.

Paso 2: asignar una IP al túnel

/ip address
add address=10.10.10.1/24 interface=wg0

Paso 3: abrir el puerto en el firewall

La configuración por defecto de MikroTik bloquea todo lo que llega desde Internet al router. Hay que permitir el puerto de WireGuard en la cadena input, antes de la regla que descarta el tráfico:

/ip firewall filter
add chain=input protocol=udp dst-port=13231 action=accept comment="WireGuard"

Las reglas nuevas se añaden al final, así que hay que subirla: en Winbox, arrástrala por encima de la regla defconf: drop all not coming from LAN, o en la terminal mira los números con /ip firewall filter print y usa move para colocarla antes de esa regla. En MikroTik el orden de las reglas importa: se aplican de arriba abajo.

Paso 4: tratar el túnel como red interna

En la configuración por defecto, el firewall solo deja administrar el router y salir hacia otras redes a las interfaces de la lista LAN. La forma más simple de que los clientes VPN lleguen a tu red local es añadir el túnel a esa lista:

/interface list member
add interface=wg0 list=LAN

Si prefieres un control más fino, en lugar de esto crea reglas en forward que permitan solo el tráfico de wg0 hacia los equipos o puertos concretos que necesites.

Paso 5: crear la configuración del cliente

Instala la aplicación oficial de WireGuard (Windows, macOS, Linux, Android o iOS) y crea un túnel vacío: la aplicación genera las claves del cliente y te muestra su clave pública. Completa la configuración así:

[Interface]
PrivateKey = (la genera la aplicación)
Address = 10.10.10.2/32
DNS = 192.168.88.1

[Peer]
PublicKey = CLAVE_PUBLICA_DEL_MIKROTIK
Endpoint = tu-ip-publica-o-dominio:13231
AllowedIPs = 10.10.10.0/24, 192.168.88.0/24
PersistentKeepalive = 25

• AllowedIPs con solo las redes internas hace un split tunnel: por la VPN va únicamente el tráfico hacia tu oficina y el resto sale por tu conexión normal. Si quieres que todo el tráfico pase por la VPN, usa 0.0.0.0/0 (y asegúrate de que el MikroTik hace NAT de la red 10.10.10.0/24 hacia Internet).
• DNS apunta al router: requiere /ip dns set allow-remote-requests=yes. Si no lo usas, elimina esa línea.
• PersistentKeepalive mantiene el túnel activo cuando el cliente está detrás de NAT, como en la mayoría de redes móviles y WiFi.

Paso 6: dar de alta al cliente en el MikroTik

/interface wireguard peers
add interface=wg0 public-key="CLAVE_PUBLICA_DEL_CLIENTE" allowed-address=10.10.10.2/32 comment="Portatil de Ana"

Cada cliente es un peer distinto con su propia clave y su propia IP /32. Para dar de baja un dispositivo basta con eliminar su peer.

Paso 7: conectar y comprobar

• Activa el túnel en el cliente y haz ping 10.10.10.1 y luego a un equipo de la LAN.
• En el router, /interface wireguard peers print detail muestra el last-handshake de cada peer: si aparece un tiempo reciente, el túnel está establecido.
• Si no hay handshake, revisa que el puerto UDP esté abierto (y reenviado, si el MikroTik está detrás de otro router), que el Endpoint sea correcto y que las claves públicas estén bien copiadas en cada extremo.

Preguntas frecuentes

¿WireGuard o OpenVPN?

Para la mayoría de casos nuevos, WireGuard: es más rápido, consume menos batería en el móvil y su configuración es más simple. OpenVPN sigue siendo útil cuando necesitas autenticación por usuario y contraseña o salir por redes que solo permiten TCP.

¿Sirve para unir dos oficinas?

Sí. Se configura igual, con un peer en cada router, y en allowed-address se pone la red LAN de la otra sede. Después se añaden las rutas hacia esa red a través de la interfaz WireGuard.

¿Funciona en RouterOS 6?

No, WireGuard está disponible a partir de RouterOS 7. Si tu equipo lo soporta, actualizar es la mejor opción.

Domina MikroTik de verdad

VPN, firewall, enrutamiento, QoS y mucho más: todo eso lo trabajamos con laboratorios en el curso de MikroTik MTCNA de cero a experto. Y si todavía no has separado tu red en segmentos, empieza por nuestra guía para configurar VLANs en MikroTik.