Как завернуть трафик LAN в локальный WireGuard (3x-ui) без включения NAT/Forwarding на сервере? (Аналог схемы Keenetic)?

Question

[dmitry99990000]

Привет всем! Нужна помощь в настройке логики маршрутизации на RouterOS v7. Голова уже кипит, не могу до конца собрать правильный конфиг.
Что имею:

Роутер MikroTik hex refresh на RouterOS v7.23.1.

В локалке (192.168.88.0/24) живет домашний сервер со статикой 192.168.88.4.

На сервере крутится панель 3x-ui (маршрутизацией и балансировками серверов vless), внутри панели поднят входящий WireGuard. Конфиг туннеля на микротик импортировал, handshake есть.

Что нужно реализовать:

Завернуть всю локалку в VPN: Весь интернет-трафик домашних устройств должен уходить в этот WireGuard-туннель.

Исключить сам сервер: Сам сервер (192.168.88.4) должен ходить в интернет исключительно напрямую через WAN провайдера (чтобы не было петли).

Резервирование: Если туннель отваливается - трафик устройств должен автоматически пойти напрямую через обычный WAN. Fail-open

Важное примечание по реализации:
Раньше у меня эта схема идеально работала на Keenetic - там это настраивалось буквально в 4 клика через приоритеты подключений. При этом на самом сервере НЕ был включен IP Forwarding, и я не настраивал там NAT/Masquerade. Сервер не выступал в роли классического шлюза для сети, всё разруливал роутер.
Делать из сервера полноценный шлюз, включать форвардинг пакетов и городить на нем NAT я очень не хочу. Подскажите, как элегантно повторить эту «кинетиковскую» схему на семерке Микротика? Через /ip firewall mangle или через /routing/rule (Routing Rules)?
Буду благодарен за готовые строчки для терминала!

Answer 1

[Пума Тайланд]

Через /routing rule, не mangle. Таблица: /routing table add name=rt-3xui fib. Три rule:

dst-address=192.168.88.0/24 action=lookup-only-in-table table=main

(иначе локалка теряет роутер и DNS),

src-address=192.168.88.4/32 action=lookup-only-in-table table=main

(сервер сам в WAN),

src-address=192.168.88.0/24 action=lookup table=rt-3xui

: lookup даёт fail-open в main если маршрут в rt-3xui упал. Дефолт-маршрут в rt-3xui через WG; check-gateway=ping может не сработать — юзерспейс-WG в 3x-ui не всегда отвечает на ICMP в туннеле, тогда бери Netwatch по внешнему адресу. В allowed IPs на 3x-ui добавь саму 192.168.88.0/24, иначе пакеты клиентов дропнет на входе.