# طراحی VPN امن بین دفاتر با MikroTik؛ انتخاب WireGuard یا IPsec

- Link: https://itnetworkcare.ir/%d8%b7%d8%b1%d8%a7%d8%ad%db%8c-vpn-%d8%a7%d9%85%d9%86-%d8%a8%db%8c%d9%86-%d8%af%d9%81%d8%a7%d8%aa%d8%b1-%d8%a8%d8%a7-mikrotik%d8%9b-%d8%a7%d9%86%d8%aa%d8%ae%d8%a7%d8%a8-wireguard-%db%8c%d8%a7-ipsec/
- Published: 2026-10-04T18:32:59+03:30
- Author: علیرضا بهشتی

**تونل بین دفاتر باید بر اساس نیاز ارتباطی، آدرس‌دهی و توان نگهداری طراحی شود؛ صرفاً
Up شدن VPN موفقیت نیست.** پیش از انتخاب WireGuard یا IPsec، شبکه‌های دو سمت، سرویس‌های
مجاز، IP عمومی، NAT و روش پایش را مشخص کنید.

![تصویر مفهومی طراحی VPN امن بین دفاتر با MikroTik؛ انتخاب WireGuard یا IPsec](https://
i0.wp.com/itnetworkcare.ir/wp-content/uploads/2026/10/itnc-article-309-unique.webp?
resize=1536%2C1024&ssl=1)

تصویر مفهومی تولیدشده برای این مطلب؛ نمای واقعی نرم‌افزار نیست.

## اول نیاز ارتباطی را بنویسید

مشخص کنید کدام Subnetها باید به هم دسترسی داشته باشند و چه سرویس‌هایی مانند File
Server، VoIP یا RDP لازم‌اند. اگر دو دفتر از رنج یکسان استفاده می‌کنند، Routing 
مستقیم مبهم می‌شود و بهتر است پیش از تونل، برنامه آدرس‌دهی اصلاح شود. دسترسی کامل
Any-to-Any معمولاً لازم نیست.

## WireGuard چه زمانی مناسب است؟

مستندات MikroTik، WireGuard را یک VPN مدرن و ساده معرفی می‌کند. تنظیم Peer و Allowed
Address خواناست و برای RouterOS 7 انتخاب کاربردی است. کلید خصوصی باید فقط روی همان
روتر بماند. Allowed Address آدرس‌های مجاز ورودی و انتخاب Peer برای ترافیک خروجی 
را مشخص می‌کند؛ در RouterOS جای Route جدول مسیریابی را نمی‌گیرد. Route شبکه راه 
دور باید جداگانه تعریف شود و محدوده Allowed Address بین Peerهای یک رابط نباید هم‌پوشانی
داشته باشد.

## IPsec چه زمانی مزیت دارد؟

IPsec مجموعه‌ای از پروتکل‌ها برای امن‌سازی Packet روی شبکه ناامن است و در بسیاری
از تجهیزات سازمانی استاندارد مشترک محسوب می‌شود. برای اتصال MikroTik به برند دیگر
یا محیطی با Policyهای موجود، IPsec ممکن است سازگارتر باشد. Proposal، Phaseها، Lifetime
و Encryption Domain باید در دو سمت دقیقاً مستند شوند.

## Route، Firewall و NAT

 * برای Subnet راه دور Route معتبر ایجاد کنید.
 * Forward Rule را فقط برای مبدا، مقصد و سرویس‌های لازم باز کنید.
 * قانون NAT Bypass باید پیش از Masquerade عمومی ارزیابی شود.
 * پورت یا Protocol تونل فقط از سمت‌های لازم پذیرفته شود.
 * دسترسی مدیریتی Winbox و SSH را از اینترنت عمومی محدود کنید.

## آزمون مرحله‌ای پیش از تحویل

ابتدا از خود روتر Ping یا Traceroute را با Source مناسب اجرا کنید، سپس ارتباط یک
کلاینت با Gateway و سرویس مقصد را بسنجید. مسیر برگشت، DNS داخلی، MTU و Fragmentation
را جدا بررسی کنید. برای VoIP یا ارتباط حساس، Packet Loss و Jitter را اندازه بگیرید؛
رمزنگاری مشکل لینک ضعیف را حل نمی‌کند.

## پشتیبان‌گیری و پایش

پیش از تغییر، Export بدون اطلاعات حساس و Backup امن تهیه کنید. کلیدها را در Ticket
یا پیام عمومی قرار ندهید. وضعیت Handshake، ترافیک Peer، Logهای IPsec و قطع ارتباط
WAN باید مانیتور شود. یک روش دسترسی اضطراری محلی نیز در نظر بگیرید.

## پرسش‌های رایج

### کدام‌یک همیشه سریع‌تر است؟

نتیجه به مدل روتر، شتاب‌دهی سخت‌افزاری، نسخه RouterOS، الگوریتم و ظرفیت لینک وابسته
است؛ تست واقعی لازم است.

### آیا می‌توان کل شبکه‌ها را بدون Firewall وصل کرد؟

از نظر فنی ممکن است، اما اصل حداقل دسترسی و تفکیک سرویس‌ها ریسک را کمتر می‌کند.

## نمونه طرح قبل از اجرا

یک جدول دوطرفه آماده کنید که در آن WAN IP یا DDNS، Subnet محلی، Subnet راه دور، 
پورت و Protocol تونل، Routeها و سرویس‌های مجاز نوشته شده باشد. سپس Rollback را مشخص
کنید: Backup تنظیمات، مسیر دسترسی محلی و زمان برگشت. این طرح کوچک از تغییر هم‌زمان
چند Rule و گم‌شدن علت قطعی جلوگیری می‌کند.

## منابع رسمی

[مستند WireGuard در MikroTik](https://help.mikrotik.com/docs/spaces/ROS/pages/69664792/WireGuard)
و [مستند IPsec](https://help.mikrotik.com/docs/spaces/ROS/pages/11993097/IPsec) 
را بخوانید. برای چارچوب کلی، [راهنمای طراحی VPN](https://itnetworkcare.ir/vpn-setup-guide/)
و [تنظیمات پایه MikroTik](https://itnetworkcare.ir/mikrotik-configuration/) را ببینید.

برای اجرای تخصصی این راهکار در شبکه سازمانی، صفحه [خدمات میکروتیک](https://itnetworkcare.ir/service/mikrotik-%d9%88-%d8%aa%d8%ac%d9%87%db%8c%d8%b2%d8%a7%d8%aa-%d8%b4%d8%a8%da%a9%d9%87/)
را مشاهده کنید.