在 RouterOS 上架 WireGuard：完整步驟與三個會卡住的地方

charles

這篇的內容（5 段）

1. 第一步：建立介面
2. 拿伺服器的公鑰
3. 第二步：給隧道一個網段
4. 第五步：加使用者
5. 確認有沒有連上

如果你家的路由器是 MikroTik，直接在路由器上跑 WireGuard 是最乾淨的做法 —— 不用另外開一台機器，而且連進來就直接在家裡的網段上。

需要 RouterOS 7 以上。v6 沒有 WireGuard，沒有例外。

目前 stable 在 7.24.x、long-term 在 7.23.x（2026-09 查）。



第一步：建立介面

1. /interface/wireguard
2. add name=wg0 listen-port=51820 private-key=auto

複製代碼

⚠ 第一個會卡住的地方：預設埠不是 51820

MikroTik 的 WireGuard 預設 listen-port 是 13231，不是大家習慣的 51820。

不寫 listen-port 的話它會用 13231，然後你在路由器上轉發 51820 就永遠連不上。上面那行有明確指定，照抄就不會錯。

拿伺服器的公鑰

1. /interface/wireguard print

複製代碼

記下 public-key 那串，等一下 client 要用。

第二步：給隧道一個網段

1. /ip/address
2. add address=10.20.30.1/24 interface=wg0

複製代碼

這個網段要跟你家的內網不一樣。 家裡是 192.168.88.0/24 的話，隧道就用 10.20.30.0/24 之類的。

第三步：防火牆（最多人卡在這裡）

1. /ip/firewall/filter
2. add chain=input protocol=udp dst-port=51820 action=accept \
3.     comment="Allow WireGuard" place-before=0

複製代碼

⚠ 第二個會卡住的地方：規則的順序

RouterOS 預設的防火牆會把所有非既有連線的封包丟掉。你新增的規則如果排在那條 drop 後面，等於沒加。

以下還有約 60% 的內容
登入後即可閱讀完整教學

登入繼續閱讀使用 Google 登入