VLESS на роутере MikroTik: полное руководство по настройке и маршрутизации

Почему VLESS на MikroTik — это стандарт в 2026 году

VLESS (Virtual LAN Service) — это современный прокси-протокол, который всё чаще выбирают для организации безопасного доступа в интернет. В отличие от традиционных OpenVPN или WireGuard, VLESS с технологией Reality практически невидим для систем глубокого анализа трафика (DPI), что делает его особенно актуальным в условиях активного блокирования VPN-сервисов. Установка VLESS непосредственно на роутер MikroTik даёт несколько ключевых преимуществ: весь домашний трафик защищается на уровне маршрутизатора, не требуя настройки каждого устройства отдельно; вы можете гибко управлять маршрутизацией, направляя через туннель только нужные ресурсы; роутер работает автономно 24/7 и автоматически восстанавливает соединение после сбоев.

Однако важно понимать: MikroTik не поддерживает VLESS нативно. В RouterOS нет встроенного интерфейса для этого протокола, поэтому реализация возможна только через контейнеризацию — запуск на роутере лёгкого контейнера с прокси-ядром, например Mihomo (Clash Meta) или Xray. Такой подход требует определённой подготовки и понимания сетевых концепций, но результат стоит затраченных усилий: вы получаете стабильный и гибкий VPN-шлюз на базе доступного оборудования.

Требования к оборудованию и RouterOS

Прежде чем приступать к настройке, убедитесь, что ваше устройство соответствует минимальным требованиям. Во-первых, необходима актуальная версия RouterOS 7.x — рекомендуется 7.15 или новее, так как в более ранних версиях исправлены критические ошибки, связанные с контейнерами и маршрутизацией. Во-вторых, поддержка технологии Container (Docker) доступна только на устройствах с архитектурой ARM, ARM64 или x86. Старые модели на MIPSBE, такие как hAP lite или RB951, не смогут запустить контейнер.

Также обратите внимание на объём встроенной памяти. Для моделей с малым хранилищем (например, hAP ac2) потребуется внешний USB-накопитель для размещения образа контейнера и конфигурационных файлов. Наконец, у вас должны быть данные VLESS-сервера: UUID, адрес, порт, SNI, ShortID и публичный ключ (для Reality). Без этих параметров настройка невозможна.

Что касается производительности: VLESS — ресурсоёмкий протокол, особенно при использовании шифрования и инкапсуляции. Если ваш роутер имеет слабый процессор, он может стать узким местом, снижая скорость соединения. Для комфортной работы в 2026 году рекомендуется использовать устройства линейки L009, RB5001 или современные hAP ax.

Активация режима Container на MikroTik

Поскольку нативной поддержки VLESS в RouterOS нет, мы будем использовать контейнеризацию. Первым шагом необходимо активировать режим Container. Это делается через терминал командой /system/device-mode/update container=yes. После выполнения команды потребуется физическое подтверждение: выключите роутер, зажмите кнопку Reset (или Mode), включите питание и отпустите кнопку, когда начнёт мигать светодиод. После перезагрузки в меню Winbox или WebFig появится новый раздел Container.

Далее нужно создать виртуальный сетевой интерфейс veth и мост (bridge) для взаимодействия контейнера с остальной сетью. Обычно создают мост bridge-vless и назначают ему IP-адрес из отдельной подсети, например 192.168.254.0/24. Контейнер получит адрес 192.168.254.3 — этот адрес будет использоваться как шлюз для проксирования трафика.

Важно: перед активацией Container убедитесь, что у вас достаточно свободного места на диске. Если встроенной памяти мало, подключите USB-флешку и отформатируйте её в ext4, затем смонтируйте и укажите путь для хранения образов.

Выбор прокси-ядра: Mihomo или Xray

Для запуска VLESS на MikroTik можно использовать два основных прокси-ядра: Mihomo (Clash Meta) и Xray. Оба поддерживают VLESS и Reality, но имеют различия в конфигурации и функциональности.

Mihomo — это форк Clash Meta, оптимизированный для работы на роутерах. Он предоставляет смешанный порт (SOCKS5 + HTTP) и порт TProxy для прозрачного проксирования. Mihomo удобен тем, что поддерживает правила маршрутизации на основе доменов и IP-адресов, что упрощает настройку выборочного туннелирования. Конфигурация задаётся в YAML-файле, который монтируется в контейнер.

Xray — это оригинальное ядро проекта V2Ray, которое также поддерживает VLESS и Reality. Оно более гибкое в настройке, но требует ручного создания конфигурационного файла config.json. Xray часто используется в паре с дополнительными инструментами для маршрутизации, так как сам по себе не предоставляет удобного механизма правил.

Для большинства пользователей рекомендуется Mihomo, так как он проще в настройке и лучше интегрируется с RouterOS. Однако если у вас уже есть готовый конфиг Xray, вы можете использовать его. В любом случае, оба варианта требуют запуска контейнера и последующей настройки маршрутизации на самом роутере.

Настройка контейнера Mihomo: переменные окружения и конфиг

Рассмотрим настройку на примере Mihomo, так как это наиболее популярный вариант. После установки контейнера (например, из образа wiktorbgu/mihomo-mikrotik) необходимо задать переменные окружения, в которых указываются VLESS-серверы. Для этого используется команда /container envs add. Каждый сервер задаётся в виде VLESS URI, например:

vless://uuid@host:443?encryption=none&security=reality&fp=chrome&sni=www.example.com&pbk=PUBLIC_KEY&sid=SHORT_ID&type=tcp&flow=xtls-rprx-vision#Server1

Также задаются переменные LOG_LEVEL=error, UI_SECRET (пароль для веб-панели) и EXTERNAL_UI_URL (ссылка на панель управления).

Если вы используете кастомный конфиг, его нужно разместить в директории монтирования, например /usb1/docker_configs/mihomo_mikrotik/config.yaml. В конфиге обязательно должны быть указаны:

• mixed-port: 1080 — для SOCKS5/HTTP прокси;
• tproxy-port: 7893 — для прозрачного проксирования;
• allow-lan: true и bind-address: '*' — чтобы контейнер был доступен из локальной сети;
• mode: rule — для использования правил маршрутизации;
• DNS-настройки с enhanced-mode: fake-ip и fake-ip-range: 198.18.0.0/15;
• список прокси-серверов (VLESS) и правила (например, MATCH,PROXY).

После запуска контейнера проверьте, что он работает, командой /container/print detail. Статус должен быть running.

Маршрутизация трафика: Mangle, Address Lists и TProxy

Ключевая часть настройки — заставить RouterOS перенаправлять нужный трафик в контейнер Mihomo. Для этого используется связка Mangle, Address Lists и таблиц маршрутизации.

Шаг 1: Создание таблицы маршрутизации. Выполните команду /routing/table add fib name=use-proxy. Затем добавьте маршрут по умолчанию в этой таблице через IP контейнера: /ip/route add dst-address=0.0.0.0/0 gateway=192.168.254.3 routing-table=use-proxy.

Шаг 2: Создание Address List. В списке proxy-list укажите IP-адреса и домены, которые должны идти через VLESS. Например, для YouTube, Instagram, Telegram и других. Домены RouterOS разрешит в IP автоматически. Список можно расширять в любой момент без перезагрузки.

Шаг 3: Правила Mangle. Необходимо пометить трафик, идущий к адресам из списка, меткой маршрута use-proxy. Для трафика с локальных устройств используется chain=prerouting, для трафика самого роутера — chain=output. Важно добавить правило исключения для трафика контейнера (src-address=192.168.254.0/24), чтобы избежать петли маршрутизации.

Шаг 4: NAT для TProxy. Добавьте правила dst-nat, которые перенаправляют TCP и UDP трафик к адресам из списка на порт 7893 контейнера. Это обеспечит прозрачное проксирование.

После настройки проверьте счётчики Mangle: они должны расти при обращении к ресурсам из списка.

Настройка DNS для корректной работы доменов

Чтобы доменные имена из Address List правильно разрешались и попадали в IP-список, необходимо настроить DNS. Рекомендуется направить DNS-запросы роутера через Mihomo, который будет резолвить их с использованием fake-ip режима. Для этого выполните /ip/dns set servers=192.168.254.3 allow-remote-requests=yes.

Кроме того, клиенты, которые вручную указали сторонний DNS (например, 8.8.8.8), должны быть перенаправлены на роутер. Для этого добавьте NAT-правило, которое перехватывает UDP-трафик на порт 53 и перенаправляет его на роутер: /ip/firewall/nat add chain=dstnat protocol=udp dst-port=53 in-interface-list=LAN action=redirect to-ports=53.

Также рекомендуется использовать DoH (DNS over HTTPS) для защиты DNS-запросов от подглядывания провайдером. В настройках DNS роутера можно указать DoH-серверы, например Google или Cloudflare. Это повысит конфиденциальность и предотвратит утечку информации о посещаемых сайтах.

Выборочный туннель по доменам и полный туннель

Одним из главных преимуществ VLESS на MikroTik является возможность гибкой маршрутизации. Вы можете настроить как выборочный туннель (split tunneling), так и полный туннель, когда весь трафик идёт через VPN.

Выборочный туннель — это когда через VLESS проходят только определённые домены или IP-адреса, а остальной трафик идёт напрямую через провайдера. Это реализуется с помощью Address List и правил Mangle, как описано выше. Такой подход снижает нагрузку на роутер и сохраняет высокую скорость для локальных ресурсов.

Для автоматического обновления списка заблокированных доменов можно использовать скрипт, который загружает список из внешнего источника и обновляет Address List. Например, скрипт /system/script с использованием /tool/fetch и последующим импортом. Запуск по расписанию (например, раз в сутки) обеспечит актуальность списка.

Полный туннель — это когда весь трафик с локальных устройств направляется через VLESS. Для этого нужно изменить правила Mangle, убрав фильтр по dst-address-list. Однако при полном туннеле важно убедиться, что контейнер сам не попадает в петлю маршрутизации. Для этого добавьте правило исключения для подсети контейнера и проверьте, что NAT для Docker-подсети не конфликтует с TProxy.

Оптимизация производительности и безопасность

При использовании VLESS на MikroTik важно учитывать влияние на производительность. Трафик, проходящий через Mangle и TProxy, исключается из FastTrack, что увеличивает нагрузку на CPU. Поэтому рекомендуется выделять под VLESS только необходимый список сайтов, а не весь трафик, если это возможно.

Для повышения безопасности настройте Kill Switch — правило в Firewall, которое блокирует выход в интернет для определённых устройств, если контейнер с VLESS остановился. Это предотвратит утечку реального IP-адреса в случае сбоя.

Также важно использовать актуальные версии прокси-ядра и RouterOS. Регулярно обновляйте образ контейнера и следите за изменениями в конфигурации. При обновлении Xray или Mihomo проверяйте совместимость конфигурационных файлов.

Не забывайте про DNS: использование DoH и fake-ip режима помогает скрыть ваши DNS-запросы от провайдера и предотвращает утечку данных о посещаемых ресурсах.

Устранение неполадок и частые ошибки

При настройке VLESS на MikroTik могут возникнуть типичные проблемы. Рассмотрим основные из них и способы их решения.

Трафик не проходит через прокси. Проверьте счётчики Mangle: /ip/firewall/mangle/print stats. Если счётчики не растут, убедитесь, что in-interface-list=LAN содержит ваш LAN-интерфейс. Также проверьте маршрут в таблице use-proxy: /ip/route/print where routing-table=use-proxy.

Петля маршрутизации. Убедитесь, что правило исключения для контейнера стоит первым в Mangle (place-before=0). Также проверьте, что NAT-правило для Docker-подсети (srcnat masquerade) не конфликтует с TProxy.

DNS не работает. Проверьте, что Mihomo слушает порт 53: зайдите в веб-панель на http://192.168.254.3:9090/ui/ или выполните /tool/dns-lookup 8.8.8.8 server=192.168.254.3.

Контейнер падает при запуске. Просмотрите логи: /log/print where topics~"container" limit=30. Частая причина — ошибка парсинга YAML-конфига (неверные отступы или CRLF-окончания строк). Убедитесь, что файл сохранён в правильной кодировке.

Если скорость через VLESS ниже ожидаемой, проверьте загрузку CPU роутера. Возможно, ваш процессор слишком слаб для шифрования. В этом случае рассмотрите использование более мощного устройства или уменьшение объёма проксируемого трафика.

Вопросы и ответы