Перейти к основному содержанию
В RouterOS интерфейс туннеля IPv6 поверх IPv4 называется 6to4. При явно заданном remote-address он позволяет создать соединение точка-точка между двумя маршрутизаторами. Оно маршрутизирует IPv6, но не объединяет Ethernet-сегменты мостом и не предоставляет автоматически публичный IPv6-доступ в Интернет. В примере используются частные IPv6-сети за двумя маршрутизаторами и параметр RouterOS ipsec-secret. Актуальное поведение и параметры IPsec по умолчанию описаны в справочнике интерфейса MikroTik.

​
Перед началом

  • Вы администрируете оба маршрутизатора RouterOS и их межсетевые экраны.
  • На обоих концах есть доступные публичные IPv4. NAT здесь не рассматривается.
  • У каждого маршрутизатора есть подходящий LAN-интерфейс или мост для внутренней сети. Не назначайте LAN-адрес публичному/WAN-интерфейсу VPS без проверки.
  • Сохраните резервную копию конфигурации и запасной способ управления.
У VPS EDIS уже есть нативный IPv6. Этот туннель нужен для определённой сетевой схемы, а не для включения обычного IPv6 на VPS.

​
Пример адресного плана

Все адреса ниже — примеры для документации. Замените IPv4 концов туннеля своими публичными адресами. Для рабочих частных сетей создайте уникальный префикс ULA /48 и непересекающиеся подсети; см. RFC 4193. ULA предназначены для частной связи и не маршрутизируются глобально в Интернете. Замените LAN_INTERFACE реальным внутренним интерфейсом или мостом каждого маршрутизатора.

​
  1. Включите IPv6

На обоих маршрутизаторах:
Включение IPv6 в RouterOS

​
  1. Создайте туннель

Используйте одинаковый длинный случайно сгенерированный секрет на обоих концах. REPLACE_WITH_UNIQUE_SECRET — заполнитель, а не готовый пароль. Не используйте публичный пароль из документации. На маршрутизаторе 1:
На маршрутизаторе 2:
Параметр ipsec-secret создаёт динамического пира и политику IPsec. Сверьте согласованные алгоритмы и политику со своими требованиями: создание интерфейса само по себе не доказывает передачу зашифрованного трафика.

​
  1. Назначьте адреса туннеля и LAN

На маршрутизаторе 1:
На маршрутизаторе 2:
Эти примеры не настраивают внутренние клиентские устройства или объявления маршрутизатора. Назначьте клиентам адреса их LAN-подсети и маршрут через локальный маршрутизатор либо отдельно настройте раздачу IPv6-адресов.

​
  1. Настройте маршрут к удалённой LAN

На маршрутизаторе 1:
На маршрутизаторе 2:
Разрешите необходимое согласование IPsec и зашифрованный трафик между двумя конкретными IPv4-пирами, а также нужную пересылку IPv6 между LAN. Протокол 41 — номер IP-протокола, а не TCP- или UDP-порт 41. Не добавляйте широкое правило, разрешающее незащищённый инкапсулированный трафик, ради обхода проблемы политики IPsec.

​
  1. Проверьте маршрутизацию и шифрование

Сначала убедитесь, что в RouterOS установлены нужный пир IPsec и ассоциации безопасности. Затем проверьте удалённый конец туннеля и LAN-адрес удалённого маршрутизатора. С маршрутизатора 1:
С маршрутизатора 2:
В конце проверьте трафик между реальными внутренними устройствами и счётчики IPsec. Успешный ping только до маршрутизатора не подтверждает маршрутизацию к клиентам или конфиденциальность пути. При сбое проверьте доступность концов туннеля, общий секрет, политики IPsec, маршруты IPv6, счётчики межсетевого экрана и обратные маршруты LAN-клиентов. Начальное MTU 1280 также может потребовать проверки конкретного пути: оно не гарантирует передачу инкапсулированного пакета без фрагментации на любом нижележащем маршруте.
Последнее изменение 7 ноября 2026 г.