Panduan lengkap konfigurasi VPN WireGuard di MikroTik RouterOS 7, dari instalasi, peer, firewall, hingga troubleshooting. Cocok untuk pemula dan sysadmin.

Kalau Anda mengelola jaringan kantor, rumah, atau server yang harus diakses dari luar, cepat atau lambat Anda akan butuh VPN. Selama bertahun-tahun, MikroTik hanya menawarkan IPsec, OpenVPN, L2TP, PPTP, dan SSTP — semuanya bisa dipakai, tapi konfigurasinya panjang dan performanya sering mengecewakan di perangkat kelas rumahan seperti hAP atau RB.

Sejak RouterOS 7 dirilis, MikroTik akhirnya menambahkan WireGuard sebagai jenis interface VPN bawaan. WireGuard dikenal karena kodenya ringkas, enkripsinya modern, dan konfigurasinya jauh lebih sederhana dibanding IPsec. Bagi banyak admin jaringan, ini adalah alasan utama untuk migrasi dari RouterOS 6 ke RouterOS 7.

Artikel ini akan memandu Anda dari nol: mulai dari persiapan, membuat interface WireGuard di sisi server, menghubungkan peer/client, mengatur firewall, sampai skenario site-to-site antar dua router MikroTik. Semua contoh perintah ditulis dalam format CLI RouterOS supaya bisa langsung Anda salin dan sesuaikan.

Pembahasan Utama

Apa Itu WireGuard dan Kenapa Dipilih

WireGuard adalah protokol VPN modern yang berjalan di level kernel, menggunakan kriptografi state-of-the-art, dan dirancang jauh lebih sederhana dibanding IPsec sekaligus lebih cepat dibanding OpenVPN. Implementasi WireGuard di RouterOS bukan wrapper userspace, melainkan implementasi kernel-level yang sepenuhnya interoperable dengan implementasi WireGuard di Linux, macOS, Windows, iOS, dan Android.

Konsep intinya sederhana: setiap perangkat punya sepasang kunci (private key dan public key), dan setiap koneksi antar dua perangkat disebut peer. Tidak ada negosiasi rumit seperti di IPsec — cukup tukar public key, tentukan endpoint, dan tunnel langsung terbentuk.

Analoginya begini: kalau IPsec itu seperti mengurus visa lengkap dengan banyak dokumen sebelum bisa masuk ke suatu negara, WireGuard itu seperti kartu akses digital — Anda tunjukkan kunci yang cocok, pintu terbuka.

Prasyarat Sebelum Mulai

Sebelum konfigurasi, pastikan beberapa hal berikut:

Router MikroTik menjalankan RouterOS versi 7.x ke atas. WireGuard tidak tersedia dan tidak akan di-backport ke RouterOS 6.
Router memiliki akses internet dan idealnya IP publik (atau setidaknya port forwarding dari NAT ISP ke router Anda) untuk sisi yang berperan sebagai server.
Anda memiliki akses ke Winbox, WebFig, atau SSH ke router.
Catat dulu skema IP yang akan dipakai untuk jaringan VPN, misalnya 10.10.10.0/24, agar tidak bentrok dengan subnet LAN yang sudah ada.

Jika router masih RouterOS 6, upgrade terlebih dahulu melalui menu System → Packages → Check For Updates dengan channel stable.

Studi Kasus: Skenario yang Akan Kita Bangun

Supaya tidak abstrak, kita pakai studi kasus: MikroTik di kantor pusat akan menjadi server VPN, dan laptop karyawan yang bekerja dari luar kantor akan menjadi client. Skema IP tunnel yang dipakai:

Server (MikroTik): 10.10.10.1/24
Client (laptop): 10.10.10.2/32
Port listen WireGuard: 13231 (bisa diganti bebas, hindari port default 51820 agar tidak jadi target scanning otomatis)

Materi Praktis: Tutorial Step-by-Step

Langkah 1 — Membuat Interface WireGuard di Router

Masuk ke terminal RouterOS lalu jalankan:

/interface/wireguard/add listen-port=13231 name=wireguard1

Perintah ini otomatis membuat pasangan private key dan public key. Untuk melihat hasilnya:

/interface/wireguard/print

Catat public key yang muncul, karena nanti akan dibutuhkan oleh sisi client.

Langkah 2 — Memberi Alamat IP pada Interface WireGuard

/ip/address/add address=10.10.10.1/24 interface=wireguard1

Alamat ini adalah “alamat tunnel” milik router di dalam jaringan VPN.

Langkah 3 — Menambahkan Peer (Client) di Sisi Router

Setiap perangkat yang akan konek ke router perlu didaftarkan sebagai peer. Karena client belum punya key, generate dulu di perangkat client (laptop, HP, atau router lain), lalu tambahkan public key-nya di router:

/interface/wireguard/peers/add interface=wireguard1 public-key="PUBLIC_KEY_CLIENT" allowed-address=10.10.10.2/32

Kalau client berada di belakang NAT dan tidak punya IP publik tetap (kasus laptop karyawan), Anda bisa mengosongkan endpoint-address di sisi server — router akan otomatis mendeteksi endpoint saat client pertama kali mengirim paket.

Langkah 4 — Konfigurasi di Sisi Client

Di aplikasi WireGuard resmi (Windows/macOS/Linux/Android/iOS), buat profil baru, lalu isi:

[Interface]
PrivateKey = <private key client>
Address = 10.10.10.2/32
DNS = 8.8.8.8

[Peer]
PublicKey = <public key router>
Endpoint = ip-publik-router:13231
AllowedIPs = 0.0.0.0/0
PersistentKeepalive = 25

AllowedIPs = 0.0.0.0/0 berarti seluruh trafik internet client akan lewat VPN (full tunnel). Kalau Anda hanya ingin trafik ke jaringan kantor yang lewat VPN (split tunnel), ganti dengan subnet LAN kantor saja, misalnya 192.168.88.0/24.

PersistentKeepalive = 25 penting untuk client di belakang NAT, supaya koneksi tetap terjaga meski tidak ada trafik aktif.

Langkah 5 — Membuka Firewall untuk Port WireGuard

Ini langkah yang paling sering terlewat. Tanpa aturan ini, paket UDP dari client tidak akan pernah sampai ke interface WireGuard:

/ip/firewall/filter/add chain=input protocol=udp dst-port=13231 action=accept place-before=0

Letakkan rule ini di posisi atas (sebelum rule drop lainnya) agar tidak keburu diblokir oleh aturan firewall default.

Langkah 6 — Mengizinkan Trafik dari Jaringan VPN ke LAN

Jika client perlu mengakses jaringan lokal kantor (misalnya server file atau printer), tambahkan rule forward dan (jika perlu) NAT masquerade:

/ip/firewall/filter/add chain=forward in-interface=wireguard1 action=accept

/ip/firewall/nat/add chain=srcnat src-address=10.10.10.0/24 out-interface=ether1 action=masquerade

Langkah 7 — Uji Koneksi

Aktifkan tunnel di client, lalu dari router cek status peer:

/interface/wireguard/peers/print

Perhatikan kolom current-endpoint-address dan rx/tx — kalau nilainya bertambah, artinya trafik sudah mengalir dan tunnel berhasil terbentuk.

Skenario Tambahan: Site-to-Site Antar Dua Router MikroTik

Kalau Anda ingin menghubungkan dua kantor cabang, konsepnya sama, hanya saja kedua sisi sama-sama router. Perintah pembuatan interface di kedua router identik:

/interface/wireguard/add listen-port=13231 name=wireguard1

Lalu di masing-masing router, tambahkan peer yang menunjuk ke router lawan, lengkap dengan endpoint-address, endpoint-port, dan allowed-address berupa subnet LAN kantor lawan (bukan hanya IP tunggal), supaya trafik antar-LAN bisa saling routing. Tambahkan juga rute statis jika diperlukan agar kedua LAN saling mengenal jalur satu sama lain.

Best Practice

Gunakan port non-default. Port 51820 adalah target umum bot scanning; mengganti port mengurangi noise di log firewall.
Batasi allowed-address seketat mungkin. Untuk client yang hanya perlu akses ke subnet tertentu, jangan gunakan 0.0.0.0/0 di sisi server.
Pisahkan peer per pengguna. Jangan bagikan satu key yang sama ke banyak orang — setiap client harus punya key sendiri agar mudah dicabut aksesnya jika diperlukan.
Backup konfigurasi secara rutin setelah menambahkan peer baru, terutama sebelum melakukan perubahan besar.
Pantau penggunaan bandwidth melalui /interface monitor-traffic wireguard1 untuk memastikan tunnel tidak disalahgunakan.
Pertimbangkan Preshared Key tambahan pada peer untuk lapisan keamanan ekstra terhadap potensi ancaman kriptografi di masa depan.

Kesalahan yang Sering Terjadi

1. Lupa membuka firewall untuk port UDP WireGuard Penyebab: rule input default RouterOS memblokir semua trafik yang belum diizinkan secara eksplisit. Dampak: client tidak pernah bisa handshake, status peer selalu kosong di current-endpoint-address. Solusi: tambahkan rule accept UDP sesuai Langkah 5, dan pastikan posisinya di atas rule drop.

2. Salah menempatkan Allowed IPs Penyebab: menyamakan allowed-address di server dengan AllowedIPs di client tanpa memahami bahwa keduanya punya makna berbeda — di server ini menentukan IP sumber yang diizinkan dari peer tersebut, di client ini menentukan trafik apa saja yang dikirim lewat tunnel. Dampak: client bisa konek tapi tidak bisa mengakses jaringan tertentu, atau sebaliknya semua trafik internet ikut lewat VPN tanpa disengaja. Solusi: pahami perbedaan arah, dan sesuaikan subnet dengan kebutuhan (full tunnel vs split tunnel).

3. Tidak ada NAT masquerade untuk trafik keluar Penyebab: client VPN ingin browsing internet lewat router, tapi paket dari 10.10.10.0/24 tidak di-NAT saat keluar ke internet. Dampak: client bisa ping ke router tapi tidak bisa akses internet. Solusi: tambahkan rule masquerade seperti pada Langkah 6.

4. MTU tidak disesuaikan Penyebab: MTU default WireGuard (1420) kadang terlalu besar untuk jalur tertentu, terutama koneksi seluler atau PPPoE dengan overhead tambahan. Dampak: beberapa website atau layanan terasa lambat atau gagal load meski ping normal. Solusi: turunkan MTU interface WireGuard secara bertahap, misalnya ke 1380 atau 1350, sambil diuji.

5. Router client di belakang double NAT tanpa keepalive Penyebab: PersistentKeepalive tidak diisi, sehingga NAT di sisi ISP menutup mapping port setelah idle beberapa menit. Dampak: tunnel terputus sendiri setelah tidak ada trafik untuk beberapa saat. Solusi: isi PersistentKeepalive = 25 di konfigurasi client.

Tips dan Rekomendasi

Gunakan DNS name (DDNS) sebagai endpoint jika IP publik router bersifat dinamis, bukan IP statis, supaya client tidak perlu update konfigurasi setiap kali IP berubah.
Untuk banyak client (belasan hingga ratusan), pertimbangkan penamaan peer yang konsisten (misalnya nama karyawan atau nomor perangkat) agar audit akses lebih mudah.
Kombinasikan dengan address list di firewall untuk membatasi akses admin (Winbox/SSH) hanya dari jaringan VPN, bukan dari internet umum.
Selalu uji tunnel dari jaringan luar yang berbeda (misalnya hotspot seluler), bukan hanya dari jaringan yang sama dengan router, supaya hasil pengujian benar-benar mencerminkan kondisi remote access.

Kesimpulan

WireGuard di MikroTik RouterOS 7 menjadikan setup VPN yang dulunya rumit lewat IPsec menjadi jauh lebih ringkas: cukup buat interface, tukar public key antar peer, atur firewall, dan tunnel siap dipakai. Poin-poin penting yang perlu diingat:

WireGuard hanya tersedia di RouterOS 7 ke atas.
Setiap peer butuh key sendiri — jangan berbagi key antar pengguna.
Aturan firewall untuk port UDP WireGuard adalah langkah yang paling sering terlewat.
Pahami perbedaan allowed-address di server dan AllowedIPs di client agar routing sesuai kebutuhan.
Untuk client mobile di belakang NAT, PersistentKeepalive wajib diisi.

Dengan pondasi ini, Anda bisa mengembangkan lebih lanjut ke skenario site-to-site multi-cabang atau bahkan topologi mesh antar banyak router.

Sudah coba konfigurasi WireGuard di MikroTik Anda sendiri? Ceritakan pengalaman Anda di kolom komentar —

apakah lancar atau ada kendala tertentu? Jangan ragu berdiskusi jika masih ada bagian yang membingungkan. Jika artikel ini membantu, bagikan ke rekan sysadmin atau komunitas jaringan Anda, dan jangan lewatkan artikel terkait lainnya seputar MikroTik, Cisco, dan infrastruktur jaringan di blog ini.

Frequently Asked Questions (FAQ)

Pertanyaan: Apakah WireGuard bisa dipakai di RouterOS 6? Jawaban: Tidak. WireGuard hanya tersedia di RouterOS 7 ke atas dan tidak akan di-backport ke RouterOS 6, sehingga router yang masih menjalankan versi 6 wajib upgrade terlebih dahulu.

Pertanyaan: Apakah WireGuard lebih cepat dibanding OpenVPN atau IPsec di MikroTik? Jawaban: Secara umum ya, karena WireGuard berjalan di level kernel dan didesain dengan kode yang jauh lebih ringkas, sehingga overhead pemrosesannya lebih rendah dibanding OpenVPN maupun IPsec.

Pertanyaan: Apakah saya wajib menggunakan port 51820? Jawaban: Tidak. Port WireGuard bisa diganti bebas sesuai kebutuhan; menggunakan port non-default justru direkomendasikan untuk mengurangi trafik scanning otomatis dari internet.

Pertanyaan: Kenapa client sudah terkonfigurasi tapi tidak bisa konek? Jawaban: Penyebab paling umum adalah firewall router belum mengizinkan trafik UDP di port WireGuard, atau port belum di-forward jika router berada di belakang NAT ISP.

Pertanyaan: Apakah WireGuard di MikroTik bisa dipakai untuk site-to-site antar cabang? Jawaban: Bisa. Konsepnya sama seperti koneksi client-server, hanya saja kedua sisi berupa router, dan allowed-address diisi dengan subnet LAN masing-masing kantor agar trafik antar-jaringan bisa saling routing.

Punya pengalaman lain saat setup WireGuard di MikroTik?

Tulis di kolom komentar, ajak diskusi rekan-rekan sysadmin lainnya, dan bagikan artikel ini kalau bermanfaat. Ikuti terus blog ini untuk update tutorial jaringan, MikroTik, Cisco, dan infrastruktur IT lainnya.

Terkait