MikroTik Back To Home VPN — телефон и Windows

Ако сте пробвали ръчна WireGuard конфигурация в MikroTik и сте се сблъскали с проблеми при ъпдейт или объркана настройка на firewall правила, Back To Home е вграденото решение на MikroTik точно за този проблем. Не изисква ръчно писане на peer-и, routes или firewall правила — цялата логика е автоматизирана, а функцията е изолирана от останалата ви мрежова конфигурация (WAN failover, NAT правила и т.н.), така че не рискувате да счупите нещо съществуващо.

В това ръководство ще активираме Back To Home и ще го конфигурираме за две устройства — телефон (през официалното приложение) и Windows лаптоп (през официалния WireGuard клиент).

Как работи

Back To Home създава отделен, самостоятелен WireGuard интерфейс на рутера, свързан с MikroTik cloud услугата. Ако рутерът има директен публичен IP адрес, връзката е директна; ако е зад NAT или CGNAT (какъвто е случаят при повечето домашни доставчици), трафикът минава през MikroTik relay сървъри — винаги end-to-end криптиран, релеят няма достъп до ключовете за криптиране.

Предварителни условия

MikroTik рутер с RouterOS 7.11 или по-нова версия.
Хардуер с ARM, ARM64 или TILE архитектура.
Достъп до WinBox или SSH за първоначална активация.

Проверете версията и архитектурата:

/system resource print

Търсете редовете version (трябва да е 7.11+) и architecture-name (трябва да е arm, arm64 или tile).

Стъпка 1: Активиране на Back To Home

/ip cloud set ddns-enabled=yes
/ip cloud set back-to-home-vpn=enabled
/ip cloud print

Тези команди не пипат съществуващите ви WAN, NAT или firewall настройки — създават единствено нов, изолиран VPN интерфейс. Ако решите да се откажете, връщането назад е също толкова просто:

/ip cloud set back-to-home-vpn=disabled

Проверете, че back-to-home-vpn показва enabled и vpn-status показва running.

Стъпка 2: Конфигуриране на телефона

Свали приложението MikroTik Back to Home:
- Android: MikroTik Back to Home в Google Play
- iPhone: MikroTik Back to Home в App Store
Първото свързване трябва да стане, докато телефонът е на домашното WiFi — приложението открива рутера локално за първоначална регистрация.
Отвори приложението → Add Tunnel (бутон “+”).
Въведи:
- Router IP: локалния IP на вашия MikroTik (например 10.110.110.1)
- Username и Password на рутера
Дай име на тунела и по желание задай DNS сървър (може да е адресът на самия рутер, или публичен като 1.1.1.1).
Натисни Create tunnel.

Приложението автоматично създава отделен запис за устройството (виждате го по-късно с командата в Стъпка 4).

Тест

Излез от домашното WiFi (превключи на мобилни данни), отвори приложението, активирай тунела, и провери дали достъпваш локална услуга от домашната мрежа (например админ панела на рутера или локален сървър).

Стъпка 3: Конфигуриране на Windows лаптоп

Официалното приложение на MikroTik съществува само за Android/iPhone — за Windows се използва официалният WireGuard клиент директно.

3.1 Изтегли WireGuard за Windows

Изтегли инсталатора от официалния сайт: wireguard.com/install. Изберете версията за Windows и инсталирайте нормално.

3.2 Добави отделен потребител за лаптопа в MikroTik

За да не се засичат конфигурациите на телефона и лаптопа, добавете отделен запис:

/ip cloud back-to-home-user add name=laptop-work

По подразбиране новите записи нямат достъп до локалната мрежа — трябва изрично да го разрешите:

/ip cloud back-to-home-user set [find name="laptop-work"] allow-lan=yes

Проверете резултата и извадете нужните данни:

/ip cloud back-to-home-user print detail

Ще видите нещо от вида:

name="laptop-work" expires=never client-address=192.168.X.X/32,fc00:...::X/128 allow-lan=yes
  private-key="<ключ на лаптопа>" public-key="<ключ на лаптопа>"

Ще ви трябват и общите VPN данни на самия рутер:

/ip cloud print

От там вземете: vpn-dns-name, vpn-port, vpn-public-key (общия ключ на сървъра, различен от peer public-key по-горе).

3.3 Направи конфигурационен файл

Създайте текстов файл, наречен например home-laptop.conf, със следната структура. Заменете стойностите в < > с реалните от вашия рутер:

[Interface]
PrivateKey = <private-key от laptop-work записа>
Address = <client-address от laptop-work записа>
DNS = 1.1.1.1


[Peer]
PublicKey = //////////////////////////////////////////8=
AllowedIPs = 0.0.0.0/32
Endpoint = <vpn-dns-name>:<vpn-port>
PersistentKeepalive = 15


[Peer]
PublicKey = <vpn-public-key на рутера>
AllowedIPs = 0.0.0.0/0,::/0
Endpoint = <vpn-dns-name>:<vpn-port>
PersistentKeepalive = 15

Забележка: Първият [Peer] блок с публичен ключ, съставен изцяло от наклонени черти и 8=, е служебен запис за relay връзка при липса на директен публичен IP — оставете го точно както е генериран от рутера, не го редактирайте.

3.4 Импортирай тунела в WireGuard

Отвори WireGuard приложението на Windows.
Import tunnel(s) from file → избери home-laptop.conf.
Натисни Activate.

Тест от друга мрежа (например от работата)

ping <локалния IP на рутера> в CMD — трябва да отговори.
Отвори браузър и пробвай http://<локалния IP на рутера> — трябва да заредиш административния панел (потвърждава, че тунелът работи).
Пробвай достъп до всяка друга локална услуга (файлов сървър, медия сървър и т.н.) по нейния локален адрес.

Важно за сигурност

Файлът home-laptop.conf съдържа частен ключ — на практика е равностоен на парола за достъп до домашната ви мрежа. Съхранявайте го на сигурно място и не го споделяйте некриптиран (имейл, чат с непознати, публични форуми).
Ако устройство (телефон или лаптоп) бъде изгубено или откраднато, изтрийте съответния запис от рутера незабавно:
```
/ip cloud back-to-home-user remove [find name="laptop-work"]
```
allow-lan=no по подразбиране за нови записи е разумна защита — включвайте allow-lan=yes само за устройства, на които наистина имате нужда от достъп до цялата локална мрежа.

Често срещани проблеми

Проблем: /ip cloud back-to-home-user връща “bad command name”. Решение: Проверете точния синтаксис — менюто е в единствено число: back-to-home-user, не back-to-home-users.

Проблем: set laptop-work allow-lan=yes дава синтактична грешка. Решение: RouterOS изисква индекс или find по име, не директно име като аргумент:

/ip cloud back-to-home-user set [find name="laptop-work"] allow-lan=yes

Проблем: Лаптопът се свързва, но не вижда нищо от локалната мрежа. Решение: Проверете дали allow-lan=yes е зададено за съответния запис (Стъпка 3.2).

Проблем: Функцията не е налична на моя рутер. Решение: Проверете архитектурата и версията с /system resource print — изисква ARM/ARM64/TILE и RouterOS 7.11+ (менюто back-to-home-user изисква 7.14+).

Заключение

Back To Home дава почти същия резултат като ръчна WireGuard конфигурация — сигурен, криптиран достъп до домашната мрежа отвсякъде — но с много по-малко стъпки и без риск от объркване на firewall правила. Телефонът се конфигурира изцяло през официалното приложение; за лаптоп с Windows се използва официалният WireGuard клиент с ръчно генериран, но изцяло автоматично създаден от рутера конфигурационен файл.

Ключовите моменти:

Активирането (back-to-home-vpn=enabled) е изолирано и лесно обратимо — не пипа съществуващи WAN/NAT/firewall настройки.
За всяко устройство е добра практика отделен потребителски запис (back-to-home-user), не споделяне на един и същ конфигурационен файл.
allow-lan=yes трябва да се зададе изрично за достъп до локалната мрежа, не само до самия рутер.
Пазете .conf файловете на сигурно място — те съдържат частни ключове, равностойни на парола.