在 MikroTik 路由器上架 WireGuard：從確認版本到手機掃碼連回家

charles

這篇的內容（18 段）

1. 做完這篇你會有什麼
2. 步驟 1：確認你的 RouterOS 版本
3. 步驟 3：建立 WireGuard 介面
4. 步驟 4：給隧道一個位址
5. 5-2 插在那條 drop 前面
6. 5-3 確認它真的排在前面
7. 步驟 7：新增第一個使用者
8. 每個欄位在做什麼
9. 步驟 8：把設定弄進手機
10. 8-1 先確認 peer 建好了
11. 8-3 或者用終端機印出來
12. 8-4 手機掃它
13. 8-5 做法 B 的人：自己拼設定檔
14. 10-1 封包有沒有進到路由器
15. 10-2 有沒有交握
16. 10-3 真的連得到家裡的東西
17. 加第二個人
18. 要收回某個人的權限

家裡的路由器是 MikroTik 的話，WireGuard 直接跑在路由器上是最乾淨的做法：不用多開一台機器、不用 Docker，連進來就直接站在家裡的網段上。

這篇從「還沒打開 WinBox」開始，做到手機在外面用行動網路掃一次 QR code 就連回家。每一步都寫了你會看到什麼，做完第三步能自己確認第三步成功了，才走第四步。

做完這篇你會有什麼

• 路由器上一個叫 wg0 的 WireGuard 介面，聽在 UDP 51820
  
• 一份可以用手機掃的 QR code，掃完就能連
  
• 一個明確的判定方法：連不上的時候知道是卡在哪一層
  
• 加第二個、第三個人的指令（照著複製就好）
  

這篇用到的兩個網段，先講清楚

• 家裡的內網：`192.168.88.0/24`，路由器自己是 `192.168.88.1`（MikroTik 的出廠預設就是這個）
  
• 隧道網段：`10.20.30.0/24`，路由器在隧道裡是 `10.20.30.1`
  

這兩個一定要不一樣。 你家如果不是 192.168.88.x，下面所有指令裡的 `192.168.88` 都換成你家的。隧道網段挑一個你確定沒在用的，`10.20.30.0/24` 通常很安全。

為什麼不能一樣：手機連上 VPN 之後，作業系統要決定「192.168.88.5 這個位址要往哪送」。兩邊網段相同時，手機同時有兩條一模一樣的路由，它會挑錯，而且不會告訴你它挑錯了。

---

步驟 1：確認你的 RouterOS 版本

用 WinBox 或 SSH 連進路由器，開 New Terminal，下：

1. /system/resource/print

複製代碼

你會看到像這樣（數字會不一樣）：

1.                    uptime: 3d4h12m36s
2.                   version: 7.24.3 (stable)
3.                build-time: 2026-09-14 10:22:31
4.               free-memory: 180.5MiB
5.              total-memory: 256.0MiB
6.                       cpu: ARM
7.                  platform: MikroTik

複製代碼

• version 是 7.x → 可以往下走
  
• version 是 6.x → v6 完全沒有 WireGuard，沒有例外。這篇做不了，要先升到 7
  
• version 在 7.0 到 7.20 之間 → WireGuard 有（7.1 起），但產生用戶端設定的功能會少一塊，步驟 8 要看那裡的說明
  

順手確認有沒有更新：

1. /system/package/update/check-for-updates

複製代碼

你會看到：

1.         channel: stable
2. current-version: 7.24.3
3. latest-version: 7.24.3
4.          status: System is already up to date

複製代碼

`status` 不是 `already up to date` 的話，建議先更新再做這篇（`/system/package/update/install`，路由器會重開機，大約兩分鐘）。本篇的寫法以 7.24.3 為準，那是 2026 年 9 月 14 日釋出的 stable。

---

步驟 2：確認你家有一個「外面連得進來」的位址

這一步決定整件事做不做得成，做完再往下。 很多人一路設到底才發現這關沒過。

2-1 看路由器自己拿到的對外位址

1. /ip/address/print

複製代碼

你會看到每個介面上的位址：

1. #   ADDRESS            NETWORK         INTERFACE
2. 0   192.168.88.1/24    192.168.88.0    bridge
3. 1 D 114.32.80.149/32   168.95.98.254   pppoe-out1

複製代碼

那個不是 192.168 開頭的就是你的對外位址。 用 PPPoE 撥號的話它會出現在 `pppoe-out1` 上，帶一個 `D`（動態取得）。

2-2 讓路由器自己去外面問一次「我的 IP 是什麼」

1. :put [/tool/fetch url="https://ifconfig.me/ip" output=user as-value]->"data"

複製代碼

你會看到一行純粹的 IP：

1. 114.32.80.149

複製代碼

這兩個數字一樣 → 你有真實的對外 IP，往下走。

兩個不一樣 → 你在電信業者的 CGNAT 後面，埠轉發不可能成功。判斷方法是看 2-1 的位址落在哪：

1. 10.0.0.0    ~ 10.255.255.255
2. 172.16.0.0  ~ 172.31.255.255
3. 192.168.0.0 ~ 192.168.255.255
4. 100.64.0.0  ~ 100.127.255.255   <- 這段是 CGNAT 專用

複製代碼

落在上面任何一段，就代表你家根本沒有一個外面找得到的門牌。這時候有三條路：

• 中華電信 HiNet 使用者：到 HiNet 客服後台申請「非固定制固定 IP」，免費。申請完一定要把 PPPoE 帳號從 `xxxx@hinet.net` 改成 `xxxx@ip.hinet.net`（多了 `ip.`），帳號沒改的話申請了也不會生效。這個帳號要設在路由器上（`/interface/pppoe-client/set [find] user="xxxx@ip.hinet.net"`）
  
• 打電話給電信業者申請固定 IP（通常要加錢）
  
• 租一台有公網 IP 的小 VPS 當中繼，由家裡主動連出去
  

2-3 對外 IP 會變的話，開 MikroTik 自己的 DDNS

MikroTik 有內建的免費動態網域，不用去申請別家：

1. /ip/cloud/set ddns-enabled=yes
2. /ip/cloud/print

複製代碼

你會看到：

1.               ddns-enabled: yes
2.       ddns-update-interval: none
3.                update-time: yes
4.             public-address: 114.32.80.149
5.                   dns-name: 1234567890ab.sn.mynetname.net
6.                     status: updated

複製代碼

以下還有約 81% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入