VPN su MikroTik: WireGuard in RouterOS 7 e la situazione con AmneziaWG

La VPN su MikroTik si installa senza programmi di terze parti: RouterOS 7 supporta il WireGuard normale «di serie», e il file dalla tua area personale NvoVPN si importa con un solo pulsante. Dopo l'importazione bisogna aggiungere a mano tre cose — DNS, rotta e NAT; in tutto ci vogliono 15–20 minuti. Precisazione onesta: AmneziaWG (WireGuard con il mascheramento del traffico) in RouterOS non c'è. Dove la VPN non viene bloccata, non serve nemmeno. Se sei in Russia — leggi il blocco «Sei in Russia?» più sotto: lì il WireGuard normale viene bloccato, e la strada è diversa.

1. 1

   Scarica la variante WireGuard del file

   Nella tua area personale → «Connessione» → «Manuale» scegli un server, il dispositivo «Router» e fai clic su «Crea». Accanto al file AmneziaWG c'è la variante per WireGuard normale — per MikroTik serve proprio quella. Scaricala e memorizza due righe: Address (l'indirizzo del router nel tunnel) e DNS.

2. 2

   Carica il file nel router e importalo

   Serve RouterOS 7.12 o successiva — l'importazione del file (wg-import) è comparsa in questa versione. In WinBox o WebFig apri «Files» → «Upload» → scegli il .conf. Poi «WireGuard» → «WG Import» → indica il file caricato. Se nella tua versione il pulsante non c'è — nel «New Terminal» digita /interface/wireguard/wg-import file=nome-file.conf. L'importazione crea un'interfaccia WireGuard con la tua chiave e un peer (la voce relativa al nostro server) con la sua chiave, l'Endpoint e gli AllowedIPs.

3. 3

   Aggiungi a mano ciò che l'importazione non fa

   «IP» → «Addresses»: l'indirizzo dalla riga Address deve essere assegnato all'interfaccia WireGuard — se non c'è, aggiungilo. «IP» → «DNS» → campo «Servers»: inserisci l'indirizzo dalla riga DNS, questa riga l'importazione non la legge. «IP» → «Firewall» → scheda «NAT» → «+»: Chain srcnat, Out. Interface — la tua interfaccia WireGuard, Action masquerade.

   La rotta di tutto il traffico domestico nel tunnel: «Routing» → «Tables» → nuova tabella (chiamala WG, spunta «FIB»); «Routing» → «Rules» → regola: Src. Address — la tua rete domestica (per esempio 192.168.88.0/24), Action «lookup only in table», Table WG; «IP» → «Routes» → «+»: Dst. Address 0.0.0.0/0, Gateway — l'interfaccia WireGuard, Routing Table WG. Non toccare l'MTU dell'interfaccia: di default è già 1420.

4. 4

   Verifica l'IP da un dispositivo dietro il router

   Sul portatile o sul telefono collegato a MikroTik apri la pagina «Qual è il mio IP». Dovrebbe comparire l'indirizzo del server NvoVPN, non quello del tuo provider. Compare l'indirizzo del provider? Guarda la sezione «Se non si connette» più sotto.

Se il client WireGuard su MikroTik non si connette

• «Could not parse» durante l'importazione. Il file inizia con una riga di commento con # — elimina queste righe in un editor di testo e riprova. Su RouterOS precedenti alla 7.12 il comando wg-import non c'è — aggiorna il sistema.
• Il tunnel è attivo, i siti non si aprono. È il DNS: la riga DNS del file non viene importata. Inserisci l'indirizzo in «IP» → «DNS» → «Servers» e nello stesso punto, in «IP» → «DHCP Server» → «Networks», indicalo ai dispositivi.
• Internet passa fuori dal tunnel. Controlla tre punti: la tabella WG è creata con la spunta «FIB», la regola in «Routing» → «Rules» indica la tua rete e «lookup only in table» WG, la rotta 0.0.0.0/0 si trova proprio nella tabella WG. Perché i dispositivi di casa si vedano tra loro, sopra questa regola aggiungine un'altra: Src. Address e Dst. Address — la tua rete, Action «lookup», Table main.
• Manca la regola masquerade. Senza di essa il server scarta i pacchetti con indirizzi domestici — il tunnel è «connesso», ma non ci sono dati.
• Le pagine pesanti si bloccano, quelle piccole si aprono. Controlla l'MTU dell'interfaccia WireGuard: serve 1420.
• Un file, un dispositivo. La configurazione del router non puoi usarla contemporaneamente su un telefono: la connessione cadrà su entrambi. Un abbonamento include fino a cinque configurazioni.
• Kill switch. Una spunta di serie «blocca internet se il tunnel cade» in RouterOS non c'è.
• Il router con AmneziaWG si è connesso, ma il traffico non passa. Scrivi al supporto — prepareremo una configurazione con un percorso per la Russia.

Modelli MikroTik e versioni RouterOS

Secondo i dati del produttore a settembre 2026. WireGuard c'è su qualsiasi modello con RouterOS 7 (in RouterOS 6 non c'è); l'importazione del file wg-import — dalla 7.12, l'importazione come testo (config-string) — dalla 7.19. I container, necessari per AmneziaWG, sono disponibili solo sulle architetture ARM, ARM64 e x86; su MIPSBE, MMIPS, SMIPS, TILE e PPC non ci sono — tabella MikroTik per architettura. L'architettura del tuo modello è indicata sulla sua pagina su mikrotik.com.

I parametri dell'interfaccia e del peer sono descritti nella documentazione ufficiale MikroTik su WireGuard.

Domande frequenti

Posso caricare su MikroTik il file AmneziaWG dalla tua area personale? No. RouterOS capisce solo il WireGuard normale — prendi la variante WireGuard del file. In Russia non si connetterà: serve un container o un secondo router del blocco «Sei in Russia?».

Come faccio passare attraverso la VPN solo il televisore? Nella regola «Routing» → «Rules» indica in Src. Address l'indirizzo di un solo dispositivo invece di tutta la rete. Gli altri andranno su internet direttamente.

Ho RouterOS 6 — cosa faccio? WireGuard è comparso solo in RouterOS 7. Aggiorna il sistema: «System» → «Packages».

Quanti dispositivi dietro MikroTik conta l'abbonamento? Uno: per NvoVPN il router è una sola configurazione, per quanti dispositivi ci siano dietro di esso.

La VPN rallenterà il router? La cifratura di WireGuard è leggera, ma un processore debole diventa comunque il collo di bottiglia. Come riferimento: il processore di hAP ac², nelle misurazioni della comunità OpenWrt, dà circa 136 Mbit/s in WireGuard. Per un televisore e l'uso quotidiano è sufficiente.

Leggi anche: VPN sul router: panoramica per firmware · VPN su Keenetic · AmneziaWG e WireGuard: qual è la differenza · VPN su TP-Link