راهاندازی VPN سرور میکروتیک؛ L2TP/IPsec، SSTP و WireGuard
در این راهنما، راهاندازی VPN سرور میکروتیک را گام‌به‌گام و با اسکریپت آماده انجام می‌دهیم.
برای مرجع رسمی و جزئیات تکمیلی، مستندات رسمی VPN میکروتیک را ببینید.
VPN سرور روی میکروتیک یعنی کارمندان یا_devices خانگی از هر جای دنیا به‌صورت امن به شبکه دفتر وصل می‌شوند — بدون نیاز به سرویس‌دهنده خارجی. با سازنده VPN سرور داماش پروتکل دلخواه (L2TP/IPsec، SSTP یا WireGuard)، کاربران و پروفایل‌ها را انتخاب کنید و کل پیکربندی را یکجا تحویل بگیرید.
داماش: سرور ابری ایران با NVMe، IP تست رایگان و پشتیبانی ۲۴/۷ — ۰۱۳۹۱۰۱۴۰۰۱
سازنده اسکریپت VPN سرور میکروتیک
سرور VPN روی میکروتیک بسازید — L2TP/IPsec برای همه دستگاه‌ها، SSTP برای ویندوز یا WireGuard برای سرعت بالا. کاربران، احراز هویت و پریکیSet کامل در یک اسکریپت.
خروجی با تنظیمات بهینهچرا این موضوع مهم است؟
VPN سرور روی میکروتیک یعنی کارمندان یا_devices خانگی از هر جای دنیا به‌صورت امن به شبکه دفتر وصل می‌شوند — بدون نیاز به سرویس‌دهنده خارجی. با سازنده VPN سرور داماش پروتکل دلخواه (L2TP/IPsec، SSTP یا WireGuard)، کاربران و پروفایل‌ها را انتخاب کنید و کل پیکربندی را یکجا تحویل بگیرید.
کدام پروتکل برای شما؟
L2TP/IPsec روی همه دستگاه‌ها (ویندوز، مک، موبایل) بدون نصب برنامه کار می‌کند؛ SSTP برای ویندوزی‌ها امن و قابل عبور از فایروال‌هاست (روی HTTPS سوار است)؛ WireGuard جدیدترین و سریع‌ترین است — رمزنگاری مدرن و کارایی بالا. مرور عمیق پروتکل‌ها در مستندات IPsec میکروتیک و راهنمای WireGuard موجود است.
مراحل راهاندازی
در صفحه سازنده VPN نوع پروتکل، رنج آدرس تونل، کاربران و رمزها را تعیین کنید؛ خروجی، تمام دستورات IP → پول/پروفایل/کاربر/Peer را دارد و در New Terminal اجرا می‌شود. برای ورد، گواهی لازم است — با سازنده سرویس‌های روتر خودکار ساخته می‌شود.
IPsec و پشت NAT
اگر سرور پشت NAT/روتر دیگری است، باید IPsec pass-through یا forward UDP 500 و 4500 فعال باشد. اگر سایت/اپراتور IPsec را می‌بندد، SSTP بهترین جایگزین است چون با HTTPS اشتباه گرفته می‌شود.
کاربرد ترکیبی: تونل دو دفتر
اگر هدف اتصال دو شبکه ثابت به هم است (نه کاربر متحرک)، راه بهتر سازنده تونل Site-to-Site داماش است که هر دو روتر را یکجا می‌سازد. تفاوت Remote-Access و Site-to-Site در مستندات تونل میکروتیک توضیح داده شده.
بعد از راهاندازی: تست و پایداری
پس از اتصال، با تست پینگ داماش تاخیر مسیر و با بررسی پورت دسترسی پورت 1701/1723/443 را از بیرون چک کنید. برای پایداری بلندمدت، مانیتورینگ رایگان روتر داماش را فعال کنید.
تنظیمات پیشرفته راهاندازی VPN سرور میکروتیک
برای VPN سرور، یک آدرس pool مجزا از شبکه محلی انتخاب کنید (مثلاً ۱۷۲.۱۶.۲۰.۰/۲۴). اگر pool با subnet شبکه داخلی هم‌پوشانی داشته باشد، کلاینت‌ها وصل می‌شوند اما هیچ منبعی نمی‌بینند — این شایع‌ترین اشتباه در راهاندازی اولیه است.
MTU را روی ۱۴۰۰ تنظیم کنید. اکثر اینترنت‌های ایران PPPoE هستند و MTU پیش‌فرض بزرگ‌تر از حد مجاز است؛ بدون این تنظیم، سایت‌های بزرگ (مثل گوگل) باز نمی‌شوند ولی پینگ کار می‌کند.
تنها پروتکل‌های لازم را فعال نگه دارید. اگر همه کلاینت‌ها L2TP/IPsec دارند، PPTP را غیرفعال کنید — PPTP استاندارد رمزنگاری ضعیفی دارد و فقط سابقه امنیتی بدی برای روتر شما می‌سازد.
عیب‌یابی رایج راهاندازی VPN سرور میکروتیک
حتی بعد از یک راهاندازی اصولی راهاندازی VPN سرور میکروتیک، گاهی مشکلات جزئی پیش می‌آید. سه مورد زیر شایع‌ترین موارد هستند.
کلاینت وصل می‌شود اما اینترنت ندارد
نقص NAT است؛ روی اینترفیس WAN روتر masquerade لازم است. همچنین DNS سرورها را در پروفایل VPN تنظیم کنید (مثلاً ۸.۸.۸.۸).
خطای ۶۹۱ یا ۸۰۹ در ویندوز
یا یوزر/پسورد اشتباه است یا پروفایل IP pool پر شده. تعداد کلاینت‌های همزمان را با تعداد آدرس‌های pool مقایسه کنید.
IPsec negotiation fail می‌شود
UDP ۵۰۰ و ۴۵۰ باید در فایروال باز باشند. اگر از دو طرف NAT هستید، حالت NAT-T را در تنظیمات peer فعال کنید.
تفاوت روش داماش با کانفیگ دستی
کانفیگ دستی راهاندازی VPN سرور میکروتیک در میکروتیک، معمولاً نیاز به حفظ کردن syntax دقیق دستورات و درک کامل از تعامل قواعد دارد. یک اشتباه کوچک در ترتیب قواعد یا یک تایپو در آدرس list، می‌تواند ساعت‌ها زمان عیب‌یابی ببرد. روش کار با اسکریپت آماده داماش این است: شما فیلدهای کانفیگ را روی صفحه ابزار پر می‌کنید، اسکریپت نهایی با تمام وابستگی‌ها و ترتیب صحیح تولید می‌شود، و فقط کافی است آن را در New Terminal پیست کنید. این یعنی به‌جای خطای دستی، نتیجه یکسان و قابل اعتماد می‌گیرید — همان چیزی که برای شبکه‌های تولیدی لازم است.
اگر بخواهید راهاندازی VPN سرور میکروتیک را به‌صورت حرفه‌ای و مطابق با نیاز شبکه خودتان پیاده کنید، ترکیب اسکریپت داماش + دانش این مقاله بهترین نقطه شروع است. همچنین، ابزارهای داماش همه به‌صورت رایگان و بدون ثبت‌نام در دسترس هستند و به سوالات متداول هر ابزار در همان صفحه پاسخ داده‌ایم. اگر با وجود این مستندات به مشکل برخوردید، پشتیبانی ۲۴/۷ داماش از طریق تلفن ۰۱۳۹۱۰۱۴۰۰۱ یا بخش پشتیبانی سایت پاسخگوست.
در نهایت، نکته کلیدی درباره راهاندازی VPN سرور میکروتیک این است که پیوستگی مهم‌تر از کمال است: بهتر است ابتدا یک راهاندازی ساده کار کند و بعداً تنظیمات پیشرفته اضافه شود، تا اینکه از همان ابتدا دنبال کانفیگ کامل باشیم و در میانه راه گیر کنیم.
یادمان باشد راهاندازی VPN سرور میکروتیک یک فرایند تکاملی است؛ نیازهای شبکه تغییر می‌کنند و تنظیماتی که امروز مناسب است فردا ممکن است نیاز به بازبینی داشته باشد. بنابراین مستند کردن تغییرات و تست دوره‌ای، بخش جدایی‌ناپذیری از نگهداری سالم است.
سوالات متداول
تفاوت VPN سرور و VPN کلاینت روی میکروتیک؟
سرور: دیگران به روتر شما وصل می‌شوند. کلاینت: روتر شما به سرور بیرونی وصل می‌شود — برای آن سازنده VPN کلاینت را ببینید.
WireGuard روی کدام نسخه RouterOS؟
فقط RouterOS v7 به بالا. برای v6 از L2TP/IPsec یا SSTP استفاده کنید.
چند کاربر همزمان تحمل می‌شود؟
بسته به رم روتر و پروتکل؛ L2TP سبک‌تر است، WireGuard بهترین کارایی را دارد.
آیا رمزهای VPN در ابزار ذخیره می‌شود؟
نه — تولید اسکریپت کاملاً در مرورگر شما انجام می‌شود و چیزی به سرور ارسال نمی‌شود.
مطالعه بیشتر: سرور مجازی چیست؟ | راهنمای خرید سرور | قیمت سرور ابری | همه ابزارهای رایگان داماش
ابزارهای مرتبط میکروتیک: سازنده VPN سرور | سازنده VPN کلاینت | سازنده تونل Site-to-Site | سازنده فایروال امن
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”تفاوت VPN سرور و VPN کلاینت روی میکروتیک؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”سرور: دیگران به روتر شما وصل می‌شوند. کلاینت: روتر شما به سرور بیرونی وصل می‌شود — برای آن سازنده VPN کلاینت را ببینید.”}},{“@type”:”Question”,”name”:”WireGuard روی کدام نسخه RouterOS؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”فقط RouterOS v7 به بالا. برای v6 از L2TP/IPsec یا SSTP استفاده کنید.”}},{“@type”:”Question”,”name”:”چند کاربر همزمان تحمل می‌شود؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”بسته به رم روتر و پروتکل؛ L2TP سبک‌تر است، WireGuard بهترین کارایی را دارد.”}},{“@type”:”Question”,”name”:”آیا رمزهای VPN در ابزار ذخیره می‌شود؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”نه — تولید اسکریپت کاملاً در مرورگر شما انجام می‌شود و چیزی به سرور ارسال نمی‌شود.”}}]}
نکات حرفه‌ای راهاندازی VPN سرور
چند نکته که در عمل تفاوت بین «کار می‌کند» و «همیشه کار می‌کند» را می‌سازد:
- MTU و MSS: روی اتصال‌های PPPoE، MTU تونل باید ۱۴۰۰ یا کمتر باشد؛ MSS clamp خودکار اسکریپت انجام می‌دهد ولی اگر سایت خاصی نیمه‌بارگذاری شد، این را چک کنید.
- کاربر جدا برای هر دستگاه: برای هر گوشی/لپ‌تاپ یک کاربر بسازید؛ اشتراک یک کاربر بین چند دستگاه باعث قطعی‌های عجیب و ردیابی سخت می‌شود.
- IP عمومی و DDNS: اگر IP داینامیک دارید، قبل از راهاندازی VPN، DDNS را (از ابزار سرویس‌ها) فعال کنید و به‌جای IP، همان دامنه را به کلاینت‌ها بدهید.
- پورت VPN را محدود نکنید: اگر بعداً فایروال نصب می‌کنید، پورت‌های پروتکل انتخابی‌تان را در استثناها قرار دهید.
