WireGuard VPN + MikroTik + Windows 10/11

Voraussetzungen

• RouterOS 7.x auf dem MikroTik, weil WireGuard erst ab RouterOS 7 sauber unterstützt wird.
• WinBox-Zugriff auf den MikroTik-Router.
• Ein externer Hostname oder eine öffentliche IP-Adresse. Bei dynamischer WAN-Adresse ist IP > Cloud auf MikroTik praktisch.
• WireGuard für Windows von der offiziellen Projektseite.

1. WireGuard-Interface am MikroTik anlegen

Öffne in WinBox den Bereich WireGuard und lege ein neues Interface an. Ein klarer Name wie wireguard1 genügt. Für den Listening-Port kannst du den MikroTik-Standard 13231 verwenden oder alternativ z. B. 51820, wenn du dich an der klassischen WireGuard-Konvention orientieren willst.

Nach dem Speichern erzeugt MikroTik automatisch ein Schlüsselpaar. Den Public Key des Interfaces brauchst du später auf dem Windows-Client.

2. Tunnel-IP für das Interface setzen

Danach bekommt das neue Interface eine eigene Tunnel-Adresse. Für einen einzelnen Windows-Client ist ein kleines Netz völlig ausreichend, zum Beispiel 172.16.0.1/24 auf dem Router und 172.16.0.2/32 auf dem Client.

Pfad in WinBox: IP > Addresses > New. Dort die WireGuard-Adresse eintragen und als Interface wireguard1 auswählen.

3. WireGuard unter Windows installieren und leeren Tunnel anlegen

Installiere WireGuard unter Windows und öffne danach die Anwendung als Administrator. Unten links auf Add Tunnel klicken und Add empty tunnel… auswählen.

WireGuard erzeugt sofort einen neuen Public Key und den dazugehörigen privaten Schlüssel. Der private Schlüssel bleibt im Windows-Tunnel. Den Public Key kopierst du zurück in den MikroTik-Peer.

4. Peer am MikroTik anlegen

Zurück in WinBox: WireGuard > Peers > New. Dort wird der Windows-Client als Peer eingetragen.

• Interface: wireguard1
• Public Key: der Public Key aus der Windows-WireGuard-App
• Allowed Address: 172.16.0.2/32
• Endpoint / Endpoint Port: kann bei Road-Warrior-Clients leer bleiben, wenn sich der Client von wechselnden Netzen meldet
• Preshared Key: optional, nur wenn du zusätzlich einen PSK verwenden willst
• Persistent Keepalive: typischerweise 25, wenn der Client hinter NAT sitzt oder Mobilfunk nutzt

Wichtig: auf MikroTik sollte jeder Client eine eigene eindeutige /32-Adresse im Feld Allowed Address bekommen. Für mehrere Benutzer legst du also mehrere Peer-Einträge an.

5. Windows-Tunnel vollständig ausfüllen

Jetzt den vom Windows-Client erzeugten Tunneltext ergänzen. Die Gegenrichtung ist immer wichtig: Auf dem Windows-Client kommt im Abschnitt [Peer] der Public Key des MikroTik-WireGuard-Interfaces, nicht der Windows-Public-Key.

[Interface]
PrivateKey = <automatisch von WireGuard erzeugt>
Address = 172.16.0.2/32
DNS = 172.16.0.1

[Peer]
PublicKey = <Public Key des MikroTik-WireGuard-Interfaces>
AllowedIPs = 172.16.0.1/32, 192.168.88.0/24
Endpoint = dein-hostname.example.com:13231
PersistentKeepalive = 25

Wenn der komplette Internetverkehr über den MikroTik laufen soll, ergänze bei `AllowedIPs` zusätzlich `0.0.0.0/0`. Dafür brauchst du am Router außerdem eine passende `srcnat/masquerade`-Regel für das WireGuard-Subnetz Richtung WAN.

Typische Varianten für AllowedIPs unter Windows:

• Nur Routerzugriff: 172.16.0.1/32
• Router + internes LAN: 172.16.0.1/32, 192.168.88.0/24
• Volltunnel: zusätzlich 0.0.0.0/0

6. Firewall-Regeln am MikroTik setzen

Ohne passende Firewall-Regeln gibt es keinen Handshake. Öffne IP > Firewall und erlaube zuerst den UDP-Port des WireGuard-Interfaces in der input-Chain.

• Regel 1: chain=input, protocol=udp, dst-port=13231, action=accept
• Regel 2: chain=input, in-interface=wireguard1, action=accept, damit du den Router über den Tunnel verwalten kannst
• Regel 3: chain=forward, in-interface=wireguard1, action=accept, wenn der Client auch Hosts im LAN erreichen soll

Ziehe diese Regeln oberhalb von pauschalen Drop-Regeln ein. Wenn du einen Volltunnel baust, ergänze zusätzlich NAT:

/ip firewall nat
add chain=srcnat src-address=172.16.0.0/24 out-interface-list=WAN action=masquerade comment="WireGuard full tunnel"

7. Verbindung aktivieren und testen

Speichere den Tunnel in WireGuard for Windows und klicke auf Activate. Danach solltest du im MikroTik-Peer innerhalb weniger Sekunden einen Last Handshake sehen. Dann in dieser Reihenfolge testen:

1. Vom Windows-PC 172.16.0.1 anpingen.
2. Danach einen internen Host im LAN anpingen, zum Beispiel 192.168.88.x.
3. Bei Volltunnel zusätzlich prüfen, ob der Internetzugriff über die öffentliche IP des MikroTik läuft.

8. Häufige Fehlerquellen

• Kein Handshake: meist Firewall-Port, falscher Hostname oder falscher Public Key.
• Handshake da, aber kein LAN-Zugriff: meistens fehlt die forward-Freigabe oder das LAN-Netz fehlt in AllowedIPs.
• Handshake da, aber kein Internet im Volltunnel: NAT/Masquerade für das WireGuard-Subnetz fehlt.
• Mehrere Clients stören sich: auf MikroTik wurden gleiche Allowed Address-Bereiche mehrfach vergeben. Jeder Peer braucht seine eigene eindeutige /32-Adresse.

9. Kompakte MikroTik-CLI-Variante

Wenn du die GUI nicht verwenden willst, kannst du die Grundkonfiguration auch direkt per Terminal setzen:

/interface wireguard
add name=wireguard1 listen-port=13231

/ip address
add address=172.16.0.1/24 interface=wireguard1

/interface wireguard peers
add interface=wireguard1 public-key="<Public Key vom Windows-Client>" allowed-address=172.16.0.2/32

/ip firewall filter
add chain=input protocol=udp dst-port=13231 action=accept comment="Allow WireGuard"
add chain=input in-interface=wireguard1 action=accept comment="Allow WireGuard management"
add chain=forward in-interface=wireguard1 action=accept comment="Allow WireGuard to LAN"

Hinweis zu den Screenshots

Die eingebundenen Screenshots orientieren sich an der gezeigten WinBox-/WireGuard-Oberfläche des Video-Tutorials und dienen als visuelle Schrittführung.