Cara Praktis Konfigurasi WireGuard Multi-Site di MikroTik RouterOS v7 untuk Interkoneksi Kantor Cabang

Bagi para Network Engineer di Indonesia, menghubungkan kantor pusat (HQ) dengan belasan kantor cabang (Branch) sering kali terbentur masalah overhead CPU dan throughput VPN yang lambat jika masih memakai PPTP atau L2TP/IPsec. Hadirnya WireGuard di RouterOS v7 menjadi solusi modern yang sangat efisien.

Mengapa Beralih ke WireGuard?

WireGuard beroperasi di kernel space dengan enkripsi kriptografi modern (ChaCha20, Curve25519, Poly1305). Pengujian di lapangan menunjukkan throughput WireGuard pada RouterBOARD CCR series mencapai 3x lipat dibanding OpenVPN konvensional dengan pemakaian resource CPU yang sangat minim.

Topologi Jaringan

• Kantor Pusat (HQ): IP Publik Statis, Subnet LAN: 192.168.10.0/24, IP Tunnel: 10.100.0.1/24
• Kantor Cabang (Branch): IP Dynamic / CGNAT, Subnet LAN: 192.168.20.0/24, IP Tunnel: 10.100.0.2/24

Langkah 1: Konfigurasi di Router Kantor Pusat (HQ)

# Buat interface WireGuard
/interface wireguard
add listen-port=13231 mtu=1420 name=wg-hq

# Berikan IP Address pada interface tunnel
/ip address
add address=10.100.0.1/24 interface=wg-hq network=10.100.0.0

# Buka firewall port WireGuard pada chain input
/ip firewall filter
add action=accept chain=input dst-port=13231 protocol=udp comment="Allow WireGuard"

Langkah 2: Konfigurasi di Router Kantor Cabang (Branch)

# Buat interface WireGuard di Branch
/interface wireguard
add listen-port=13231 mtu=1420 name=wg-branch

# Berikan IP Address
/ip address
add address=10.100.0.2/24 interface=wg-branch network=10.100.0.0

# Tambahkan Peer yang mengarah ke HQ
/interface wireguard peers
add allowed-address=10.100.0.0/24,192.168.10.0/24 endpoint-address=202.x.x.x \
    endpoint-port=13231 interface=wg-branch persistent-keepalive=25s \
    public-key="PUBLIC_KEY_DARI_HQ"

Langkah 3: Binding Peer di HQ & Routing Table

Kembali ke router HQ, daftarkan Public Key dari router Branch:

# Tambahkan Peer Branch di HQ
/interface wireguard peers
add allowed-address=10.100.0.2/32,192.168.20.0/24 interface=wg-hq \
    public-key="PUBLIC_KEY_DARI_BRANCH"

# Routing static ke subnet Branch
/ip route
add dst-address=192.168.20.0/24 gateway=10.100.0.2

Tips Pengujian & Validasi

Lakukan ping antarsubnet dari PC client di Branch ke server di HQ. Jika traffic lewat tanpa NAT (Direct Routing), latency antar-site akan menyerupai latency koneksi internet murni tanpa penambahan delay kriptografi yang berarti.