Routeros在2019年下半年发布了V7的beta版，我在之前文章一直在更新beta版新特性。2020年6月routeros v7beta7系统内核升级到5.6，8月发布了Routeros v7.1 beta2增加了对WireGuard的支持。
WireGuard被视为下一代VPN隧道协议，是类似于gre、ipip隧道的无状态VPN隧道，基于UDP协议，配置简单。

由于Routeros V7还在beta阶段，webfig和winbox等UI控制台还存在很多不完善的地方，下面通过命令行配置。
以下配置基于Routeros V7.1beta2 CHR版。

简单介绍一下拓扑，routeros作为唯一路由器，新建两个wireguard接口：wg-access和wg-hk，wg-access用于手机、PC等在非本地网络下的远程接入，wg-hk用于连接香港VPS用于加速访问境外地址。

本地lan的地址是192.168.1.1/24,wg-access地址是10.0.0.1/24，wg-hk的地址是10.0.1.1/30，手机wireguard的地址是10.0.0.2/32，笔记本电脑的地址是10.0.0.3/32
香港wg0地址是10.0.1.2/30

通过ssh连接routeros或者webfig、winbox的terminal输入命令。
1，wg-access
新建本地routeros的wg-access接口，注意mtu要改成1500，默认是1420，输入下面新建接口命令后会自动创建接口的private-key和对应的public-key

/interface/wireguard/add name="wg-access" mtu=1500 listen-port=50000

给本地routeros的wg-access接口配置IP地址

/ip/address/add address=10.0.0.1/24 interface=wg-access

添加wg-access接口下的客户端peers，注意下面的public-key和preshared-key替换成实际的key，客户端的key在新建空隧道时会自动生成

/interface/wireguard/peers/add interface=wg-access public-key="lYVc...AlE=" allowed-address=10.0.0.2/32 preshared-key="93E...PSA="
/interface/wireguard/peers/add interface=wg-access public-key="lYVc...AlE=" allowed-address=10.0.0.3/32 preshared-key="93E...PSA="

2，wg-hk
新建本地routeros的wg-hk接口

/interface/wireguard/add name="wg-hk" mtu=1500 listen-port=10000

新建香港VPS上routeros的wg0接口

/interface/wireguard/add name="wg0" mtu=1500 listen-port=10000

在香港routeros的wg0接口下添加peer

/interface/wireguard/peers/add interface=wg0 public-key="lYVc...AlE=" allowed-address=10.0.1.1/30 preshared-key="93E...PSA="

给香港routeros的wg0接口配置IP地址

/ip/address/add address=10.0.1.2/30 interface=wg0

在香港routeros上添加本地lan的路由

/ip/route/add dst-address=192.168.1.1/24 gateway=10.0.1.1

在本地routeros的wg-hk接口下添加peer

/interface/wireguard/peers/add interface=wg-hk public-key="lYVc...AlE=" endpoint=香港VPS的公网IP:10000 allowed-address=0.0.0.0/0 preshared-key="93E...PSA="

给本地routeros的wg-hk接口配置IP地址

/ip/address/add address=10.0.1.1/30 interface=wg-hk

配置本地routeros的策略路由
参考Routeros V7配置策略路由和routeros配置vpn分流大陆ip

关于routeros的wireguard的说明
1，mtu要修改成1500，使用默认的1420时会有部分cdn不能加载，现象是浏览器报超时错误。mtu问题类似情况参考ikev2 客户端mtu引起的网络故障
2，wireguard每个接口有个自己的公钥对应的路由表，配置peer就是写路由表，routeros v7.1beta2目前有bug，配置多个相同路由的peer，删除后配置的不会恢复之前的路由。
3，routeros v7.1beta2的全局路由表和wireguard的路由表可能存在某些bug，如果配置后不生效，可以删除peer后重新添加。