Routeros在2019年下半年发布了V7的beta版，我在之前文章一直在更新beta版新特性。2020年6月routeros v7beta7系统内核升级到5.6，8月发布了Routeros v7.1 beta2增加了对WireGuard的支持。
WireGuard被视为下一代VPN隧道协议，是类似于gre、ipip隧道的无状态VPN隧道，基于UDP协议，配置简单。

由于Routeros V7还在beta阶段，webfig和winbox等UI控制台还存在很多不完善的地方，下面通过命令行配置。
以下配置基于Routeros V7.1beta2 CHR版。

简单介绍一下拓扑，routeros作为唯一路由器，新建两个wireguard接口：wg-access和wg-hk，wg-access用于手机、PC等在非本地网络下的远程接入，wg-hk用于连接香港VPS用于加速访问境外地址。

本地lan的地址是192.168.1.1/24,wg-access地址是10.0.0.1/24，wg-hk的地址是10.0.1.1/30，手机wireguard的地址是10.0.0.2/32，笔记本电脑的地址是10.0.0.3/32
香港wg0地址是10.0.1.2/30

通过ssh连接routeros或者webfig、winbox的terminal输入命令。
1，wg-access
新建本地routeros的wg-access接口，注意mtu要改成1500，默认是1420，输入下面新建接口命令后会自动创建接口的private-key和对应的public-key

/interface/wireguard/add name="wg-access" mtu=1500 listen-port=50000

给本地routeros的wg-access接口配置IP地址

/ip/address/add address=10.0.0.1/24 interface=wg-access

添加wg-access接口下的客户端peers，注意下面的public-key和preshared-key替换成实际的key，客户端的key在新建空隧道时会自动生成

/interface/wireguard/peers/add interface=wg-access public-key="lYVc...AlE=" allowed-address=10.0.0.2/32 preshared-key="93E...PSA="
/interface/wireguard/peers/add interface=wg-access public-key="lYVc...AlE=" allowed-address=10.0.0.3/32 preshared-key="93E...PSA="

2，wg-hk
新建本地routeros的wg-hk接口

/interface/wireguard/add name="wg-hk" mtu=1500 listen-port=10000

新建香港VPS上routeros的wg0接口

/interface/wireguard/add name="wg0" mtu=1500 listen-port=10000

在香港routeros的wg0接口下添加peer

/interface/wireguard/peers/add interface=wg0 public-key="lYVc...AlE=" allowed-address=10.0.1.1/30 preshared-key="93E...PSA="

给香港routeros的wg0接口配置IP地址

/ip/address/add address=10.0.1.2/30 interface=wg0

在香港routeros上添加本地lan的路由

/ip/route/add dst-address=192.168.1.1/24 gateway=10.0.1.1

在本地routeros的wg-hk接口下添加peer

/interface/wireguard/peers/add interface=wg-hk public-key="lYVc...AlE=" endpoint=香港VPS的公网IP:10000 allowed-address=0.0.0.0/0 preshared-key="93E...PSA="

给本地routeros的wg-hk接口配置IP地址

/ip/address/add address=10.0.1.1/30 interface=wg-hk

配置本地routeros的策略路由
参考Routeros V7配置策略路由和routeros配置vpn分流大陆ip

关于routeros的wireguard的说明
1，mtu要修改成1500，使用默认的1420时会有部分cdn不能加载，现象是浏览器报超时错误。mtu问题类似情况参考ikev2 客户端mtu引起的网络故障
2，wireguard每个接口有个自己的公钥对应的路由表，配置peer就是写路由表，routeros v7.1beta2目前有bug，配置多个相同路由的peer，删除后配置的不会恢复之前的路由。
3，routeros v7.1beta2的全局路由表和wireguard的路由表可能存在某些bug，如果配置后不生效，可以删除peer后重新添加。

最近很多朋友尝试在vps或者云服务器上安装ros，由于服务器是公网ip，安全风险很大，在这里写一下安装routeros后的安全设置。如何在云服务器上安装routeros，可以参考 Google Cloud Platform（gcp）谷歌云安装Routeros 和 青云主机安装routeros，附一键安装routeros脚本

routeros安装完成首次启动是没有密码的，并且所有管理端口是开放的，也就是说，任何人只要先于你设置了密码，你就失去了控制权。

如果你是公有云（如阿里云，谷歌gcp等）的ecs上安装的话，先要设置安全组或者防火墙只允许自己宽带的公网ip访问，这样可以最大限度保证自己能在第一时间设置密码。如果是普通idc的vps的话，只能加快手速了。

1，使用webfig或者winbox登陆到routeros后，第一件事就是设置密码，路径是/webfig/#System:Password

2，关闭不需要的管理端口，路径是/webfig/#IP:Services，这里建议关闭除winbox和www的所有服务，并把开放的服务修改成其他端口号

3，修改管理员账号，/webfig/#System:Users，新建管理员，记得group选full取得所有权限，使用新管理员账号登陆routeros后禁用admin账号，避免输错管理员账号密码把自己关在外面

4，配置完其他后，记得在防火墙关闭公网dns查询，/webfig/#IP:Firewall.Filter_Rules.new，chain选input，protocol选udp，dst.port写53，in.interface选你的公网接口如ether1，最后action选drop。这样就能防止你的routeros被用来做ddos的放大攻击工具攻击别人，防止云服务商或者idc因为你的攻击行为（尽管非你本意）关闭你的服务器。

20230529更新：添加clang.cn的大陆IPv6地址。
20230529更新：添加clang.cn的大陆IP地址的CIDR合并后的地址列表，合并前8K+，合并后5K+。
20220822更新：由于ipip的数据很长时间不更新，添加clang.cn的大陆地址列表。

原来一直使用apnic的ip地址按CN生成Routeros的address-list分流列表，偶然发现列表里有境外ip，检查发现是大陆厂商的ip宣告到美国了。
平时用ipip.net来查看ip地址所在地，通过几年使用发现ipip.net的地址库对比其他ip查询网站来说更准确些，并且ipip.net在github每月发布大陆地址列表
上述ip地址宣告变化可以从ipip.net大陆ip列表的20190304这个github commit看出，这个commit中203.20.138.0/23被删除，用ip.cn，站长之家查看，发现是福建电信ip，如图

通过apnic最新CN列表查找发现在203.20.136.0/21这个段里面，如图

但是ipip.net查询，是印尼电信，如图

而且通过路由追踪到了印尼，如图

于是写了行命令自动从github下载并转成routeros的address-list，并添加了私有ip地址192.168.0.0/16，172.16.0.0/12和10.0.0.0/8

curl -s https://raw.githubusercontent.com/17mon/china_ip_list/master/china_ip_list.txt |sed -e 's/^/add address=/g' -e 's/$/ list=CNIP/g'|sed -e $'1i\\\n/ip firewall address-list' -e $'1i\\\nremove [/ip firewall address-list find list=CNIP]' -e $'1i\\\nadd address=10.0.0.0/8 list=CNIP comment=private-network' -e $'1i\\\nadd address=172.16.0.0/12 list=CNIP comment=private-network' -e $'1i\\\nadd address=192.168.0.0/16 list=CNIP comment=private-network'>cnip.rsc

并添加了定时任务每月生成一次放在我的网站，可以在这里下载
基于clang.cn的中国大陆IP地址列表的routeros分流脚本，点击这里下载
基于clang.cn的中国大陆IP的CIDR合并后的地址列表的routeros分流脚本，点击这里下载
基于clang.cn的中国大陆IPv6的地址列表的routeros分流脚本，点击这里下载

以下内容未完全实践。

一般iplc线路机场都会提供多条不通地域的线路，比如京德，沪美，沪日，深港，深新等。
以上每条线路基本都是物理上的最优线路，比如京德线路可以做到北京到欧洲120ms左右，而通过大家常用的香港出口到欧洲的话大部分是绕道美国，少部分走东南亚中东进入欧洲，前者需要250ms+，后者150ms+，还有对于大陆北方用户来说，通过沪美线路到美国比通过香港出口到美国延迟要少30ms以上。
所以如果能充分利用这些线路，能大大优化翻墙体验，自己当宽带运营商，想怎么走就怎么走。

要实现多出口分流，需要用到策略路由，以下以routeros为主路由，openwrt为旁路由，使用深港作默认线路，欧洲走京德，北美走沪美。

首先需要获取世界各地ip地址，比如欧洲都有哪些IP地址，这些地址走京德线路，北美都有哪些ip，需要走沪美线路等，我在之前文章routeros配置vpn分流大陆ip 中介绍过怎么获取大陆ip地址列表，可以通过类似方法获得。由于是分国别IP，比如欧洲列表需要合并各国IP，减少条目，加快路由查询效率。此处为难点，涉及到很多问题，比如土耳其的IP不是欧洲，但是走京德线路比深港快，对比来说，俄罗斯远东ip走京德的话会绕很长的回头路，所以IP地址的界线在哪，怎么优化，由于合并了IP地址怎么后期添加等等，所以一个这是个难点。

使用三个openwrt做旁路由，openwrt-1使用京德线路，openwrt-2使用沪美线路，openwrt-0使用深港线路

配置策略路由，目的地址是欧洲IP转发给openwrt-1，目的地址是北美IP转发给openwrt-2，目的地址是大陆ip的走默认网关，其他IP地址转发给openwrt-0

还有dns问题，怎么高效的使用全球cdn

在此抛砖引玉，欢迎大家交流分享。

网上很多教程了，但是Routeros使用openvpn over shadowsocks避免使用机场安全隐患中需要一些内容，所以在此简单写一下。

Routeros配置openvpn服务器步骤如下
1，创建根证书
routeros网络配置地址（下同）：/webfig/#System:Certificates.Certificates.new
以下信息根据自己更改，注意证书有效期

保存后点击上图中sign按钮签发证书，成功后会如下图，证书前显示KAT

2，配置openvpn客户端地址池
/webfig/#IP:Pool.Pools.new
如图
3，配置openvpn配置profile
/webfig/#PPP.Profiles.new
填写前三项，其他默认，注意本地地址和地址池尽量在同一网段，远程地址选择上面地址池名

4，配置openvpn服务器
/webfig/#PPP.OVPN_Server
配置以下红圈位置

5，配置openvpn账号
/webfig/#PPP.Secrets.new

需要几个就添加几个

Routeros配置openvpn客户端
/webfig/#PPP.Interface.new.OVPN_Client