Installer l'Accès Pro sur PC, NAS et routeurs tiers
La configuration Pro est du WireGuard standard : PC Windows/macOS/Linux, NAS Synology/QNAP, routeurs OpenWRT, pfSense, OPNsense, GL.iNet — le MikroTik n'est requis que côté site rejoint, comme passerelle.
C'est quoi ?
La configuration révélée par la console (« Voir la configuration ») est un fichier WireGuard standard : une clé privée, l'adresse tunnel de l'appareil, et le peer 403Shield de Marseille avec son périmètre (AllowedIPs = les segments de supervision, plus votre LAN étendu le cas échéant). Tout appareil capable de WireGuard peut la porter — le MikroTik n'a jamais été requis de ce côté-là.
Deux voies sont OFFICIELLES et documentées : l'application WireGuard (téléphone, ordinateur — QR ou fichier .conf) et l'import RouterOS 7 sur MikroTik. Tout le reste — OpenWRT, pfSense, OPNsense, GL.iNet, NAS Synology ou QNAP — est PRATICABLE : le même fichier s'y adapte à la main, hors périmètre support. Le MikroTik reste la passerelle du SITE rejoint : c'est lui qui porte l'agent 403Shield, la détection LAN et les règles du LAN étendu.
NOTE DE CAPTURE : les interfaces de ces firmwares et paquets tiers ne seront pas capturées — chaque écran d'import appartient à son éditeur, une capture de substitution n'apprendrait rien.
Quelle différence avec…
vs Les voies officielles (appli WireGuard, RouterOS 7)
Appli WireGuard et import RouterOS 7 sont documentés pas à pas : le support 403Shield peut dépanner l'import. Les firmwares tiers et NAS sont praticables — mêmes champs à recopier, mais l'adaptation est à vous.
vs Le VPN personnel (tunnel complet)
La conf VPN route TOUT (AllowedIPs 0.0.0.0/0 — navigation et DNS par Marseille) ; la conf Pro route un périmètre ciblé : vos routeurs, vos pairs, votre LAN étendu. Votre navigation Internet reste directe — c'est voulu.
vs La passerelle MikroTik du site
Deux rôles, deux exigences : côté APPAREIL, n'importe quel WireGuard (PC, NAS, routeur tiers) ; côté SITE rejoint, la passerelle reste un MikroTik sous RouterOS 7 — l'agent y pose la détection LAN et les règles d'extension.
Que recevez-vous ?
- La même configuration (QR + fichier .conf + copie) utilisable sur tout appareil WireGuard — un seul livrable, plusieurs destinations.
- Les voies d'import praticables par famille d'appareil : PC, OpenWRT, pfSense/OPNsense, GL.iNet, NAS.
- La frontière honnête du support : conf et voies officielles dépannées ; firmwares tiers et paquets NAS adaptés par vous.
- Le rappel de la règle du portefeuille : une configuration = un appareil (guide L'IP du VPN est localisable).
Comment l'utiliser ?
Récupérez la configuration
Console → Accès Pro → « Voir la configuration » : le QR (téléphone), le fichier .conf (import partout) et la copie brute. L'adresse tunnel de l'appareil (10.8.2.x) s'affiche au portefeuille — notez-la : c'est elle que les autres appareils joindront. Un renouvellement ne change jamais la conf.
Sur PC (Windows, macOS, Linux)
Application WireGuard officielle → « Importer un tunnel depuis un fichier » → le .conf téléchargé. Activez le tunnel : le périmètre Pro est routé (segments 10.8.x, LAN étendu éventuel), le reste du trafic reste direct. C'est la voie la plus simple — et elle est officielle.
Sur routeur tiers (OpenWRT, pfSense, OPNsense, GL.iNet)
Le même fichier se recopie champ par champ : clé privée et adresse (Interface), clé publique du serveur, endpoint Marseille, AllowedIPs, PersistentKeepalive (Peer). OpenWRT : protocole WireGuard dans LuCI (ou uci) ; pfSense/OPNsense : le paquet WireGuard, interface + peer ; GL.iNet : le client WireGuard natif, qui importe souvent le .conf tel quel. Voies praticables — le support fournit la conf, pas la main-d'œuvre du firmware.
Astuce — Le champ à ne jamais tronquer : AllowedIPs. C'est le périmètre — le copier partiellement rétrécit l'accès au lieu de l'élargir.
Sur NAS (Synology, QNAP)
Ni Synology ni QNAP ne livrent de client WireGuard officiel dans leur système. La voie praticable passe par un conteneur Docker (images communautaires éprouvées, pile réseau en mode hôte ou NET_ADMIN) — ou un paquet tiers selon les modèles. Le NAS devient alors un pair comme un autre, joignable à son adresse tunnel (guide Le pair-à-pair privé).
Vérifiez, et gardez la règle d'or
Tunnel actif : joignez un routeur supervisé (Winbox sur son adresse 10.8.0.x) ou un autre appareil Pro (son adresse 10.8.2.x) — si l'un répond, l'import est bon. Et n'installez JAMAIS la même conf deux fois : un nouvel appareil = une nouvelle commande Pro, une nouvelle conf, sa propre clé (le partage se punit tout seul — sessions volées par roaming).
Quels usages ?
Le poste d'administration
Le PC de l'atelier porte la conf Pro : Winbox, API et SSH des routeurs passent par le tunnel — et le LAN étendu devient joignable depuis le même poste, sans interface publiée.
Le NAS dans le tunnel
Un NAS avec sa propre conf devient un pair : vos autres appareils Pro le joignent à son adresse tunnel — fichiers et sauvegardes en privé (guide Pair-à-pair privé).
Le routeur tiers comme appareil
Un OpenWRT ou un GL.iNet peut porter la conf là où un PC serait démesuré. Attention : il rejoint le tunnel comme APPAREIL — l'extension de SON LAN reste du ressort d'une passerelle MikroTik agentée.
Pièges & astuces
Hors périmètre support — Le support 403Shield dépanne la conf et les deux voies officielles (appli WireGuard, RouterOS 7). Sur un firmware tiers ou un paquet NAS, il fournit le fichier — l'adaptation et la maintenance sont à vous.
S'attendre à ce que la navigation change — La conf Pro ne route ni votre navigation ni votre DNS : un test de géolocalisation affichera votre IP FAI — normal, ce n'est pas le VPN personnel. Seul le périmètre Pro voyage dans le tunnel.
Copier la conf sur un deuxième appareil — Même clé sur deux machines = sessions volées par roaming, connexion qui tombe. Une configuration = un appareil — c'est la règle du portefeuille (guide L'IP du VPN est localisable).