Вы приобрели маршрутизатор MikroTik. Это руководство поможет Вам произвести начальную настройку маршрутизатора для безопасного доступа в сеть.
Поздравляем, вы приобрели маршрутизатор MikroTik. Это руководство поможет Вам произвести начальную настройку маршрутизатора для безопасного доступа в сеть.
Описанные ниже действия, в основном, предназначены для настройки маршрутизатора, когда стандартная конфигурация не позволяет получить доступ в интернет. Однако некоторые советы могут пригодиться вам и в других случаях.
Начальная схема подключения должна подойти для большинства случаев. Описание - на обратной стороне роутера, а также в онлайн-руководстве.
Схема подключения:
В первоначальной конфигурации DHCP клиент настроен на интерфейсе WAN (ether1), остальные порты считаются локальными, и устройства, подключенные к этим портам, получают сетевые адреса согласно настройкам DHCP-сервера. Для того, чтобы подключиться к роутеру, подключите свой компьютер в один из LAN-портов и выставите настройки «получать ip-адрес автоматически». (Номера портов указаны на передней панели роутера или вы можете уточнить эту информацию на сайте routerboard.com).
Чтобы получить доступ к управлению маршрутизатором, введите в адресной строке браузера адрес 192.168.88.1 . Отобразится главная страница RouterOS (Рисунок 1):
Рисунок 1
Чтобы никто посторонний не смог получить доступ к управлению роутером, необходимо задать пароль к учетной записи администратора или создать нового пользователя с паролем.
Перейдите System -> Users . (В левой колонке нажмите System и промотайте вниз до графы Users. (Рисунок 2):
Рисунок 2
Вы увидите меню управления пользователями роутера. Здесь можно добавлять и редактировать учетные записи (Рисунок 3):
Рисунок 3
И в том, и в другом случае откроется меню редактирования (создания нового) пользователя (Рисунок 4).
После изменения пользовательских настроек нажмите «ОК» (чтобы сохранить настройки) или «cancel» (для их отмены). Снова откроется заглавное окно меню управления пользователями.
Рисунок 4
Приглашаем пройти обучение в нашем тренинг-центре и научиться настраивать оборудование MikroTik на профессиональном уровне! Узнайте расписание ближайших курсов и бронируйте место!
Если настройки "по умолчанию" не позволяют получить доступ в интернет (ваш провайдер не поддерживает выдачу настроек по DHCP), придется указать сетевые настройки вручную. Они должны включать:
Первоначальная конфигурация настроена на получение настроек интернет по DHCP от вашего провайдера. Функцию необходимо отключить, если провайдер не предоставляет такой услуги. Откройте «IP -> DHCP Client» . Если статус DHCP-клиента (колонка status) имеет значение searching, - значит, провайдер не поддерживает автоматическую выдачу сетевых настроек. Используйте кнопку «-», чтобы удалить данную функцию (Рисунок 5).
Рисунок 5
Для настройки IP-адреса нажмите «IP -> Address» (Рисунок 6).
Рисунок 6
Здесь отображен IP-адрес локальной сети 192.168.88.1, по которой пользователь подключен к роутеру. Выберите «Add new», чтобы добавить новый статический адрес (Рисунок 7).
Рисунок 7
В первом поле необходимо прописать ip-адрес, выданный провайдером, и маску сети. Другой параметр определяет, к какому порту будут применяться вышеуказанные настройки. Следуя данной инструкции, то это будет порт ether1. В него следует подключить кабель от провайдера.
Для выхода в Интернет необходимо настроить преобразование адресов локальной сети в адрес для провайдера. Чтобы посмотреть настройки NAT, откройте «IP -> Firewall -> Закладка NAT» и убедитесь в правильном заполнении (Рисунок 8).
На скриншоте представлено корректное правило. Обратите внимание, что некоторые настройки, у которых не должно быть значения, скрыты (и могут быть проигнорированы) (Рисунок 9).
Рисунок 9
Для управления настройками шлюза нажмите «IP -> Routes». Для добавления нового шлюза - «Add new» (Рисунок 10).
Рисунок 10
Далее вы увидите следующее окно (Рисунок 11):
Рисунок 11
Здесь необходимо нажать кнопку, ввести настройки "по умолчанию" или выданные провайдером. После ввода данных нажмите кнопку «ОК».
Чтобы проверить, какой вариант (по умолчанию или провайдера) работоспособен, используйте команду ping в поле Tools.
Чтобы открывать web-страницы, или получить доступ на иные ресурсы в сети Интернет, необходимо настроить DNS — или на Вашем компьютере, или на роутере. В рамках этого руководства предлагаем настроить DNS только на роутере. А компьютер, в свою очередь, будет получать настройки по DHCP от роутера.
Для начала откройте «IP -> DNS». Чтобы добавить DNS, нажмите на стрелочку рядом с параметром «Settings» и проверьте состояние параметра Allow Remote Requests. Для сохранения настроек нажмите «Apply» (Рисунок 12).
Рисунок 12
Примечание: при вводе корректного значения слово «Servers» станет синим, в ином случае — красным.
Роутер MikroTik не сохраняет настройки времени во время отключения питания или при перезагрузках. Чтобы постоянно иметь корректное время, необходимо настроить SNTP-клиент.
Откройте «System -> SNTP» (Рисунок 13). В появившемся окне проверьте следующие параметры:
Рисунок 13
Для использования беспроводной сети в одном адресном пространстве с проводной сетью, необходимо настроить сетевой мост (bridge). Также необходимо проверить настройку внутреннего коммутатора.
Предупреждение: Изменение настроек может повлиять на подключение — вы можете оказаться отключены от роутера. Используйте Безопасный режим, чтобы в случае отключения, настройки вернулись в первоначальное состояние.
В данном руководстве порты ether3, ether4 и ether5 используются как подчиненные (slave) относительно мастер-порта ether1. Посмотреть данную настройку можно, открыв меню «Interface» (Рисунки 14,15)
Рисунок 14
Рисунок 15
Обычно ether1 используется как WAN порт, а остальные порты — как подчиненные к порту ether2.
Убедитесь, что все порты, предназначенные для локальной сети, действительно установлены как подчиненные. Например, если ether2, ether3, ether4, ether5 определены как LAN-порты, то порты ether3, ether4, ether5 подчиняются мастер-порту ether2.
Если вышеуказанная операция не удалась — значит интерфейс Ethernet использован как порт в мосту. Вам придется удалить его из моста, чтобы разрешить коммутацию аппаратных пакетов данных между портами Ethernet. Перейдите «Bridge -> Ports» (Рисунок 16) и удалите подчиненные (slave) порты. В примере это ether3, ether4, ether5.
Рисунок 16
Важно защитить беспроводную сеть, чтобы предотвратить доступ посторонних лиц в локальную сеть. Чтобы создать или редактировать новый профиль безопасности, перейдите «Wireless -> «Security Profiles» (Рисунок 17) и выберите одну из двух опций.
Рисунок 17
В данном примере будет создан новый профиль безопасности, редактирование профиля выполняется аналогично. Ниже на скриншоте красным выделены рекомендуемые настройки для беспроводной сети.
Если длина ключа WPA Pre-shared key и WPA2 Pre-shared key будет слишком маленькой, то заголовок поля подсветится красным, при правильном значении — синим (Рисунок 18).
Рисунок 18
Настройка параметров беспроводной сети (Рисунок 19).
Рисунок 19
Режим интерфейса должен быть установлен в ap-bridge, если это недопустимо (ограничение лицензии), то только один клиент сможет подключаться к устройству.
Обычно WiFi устройства разрабатываются для работы на частоте 2.4GHz. Установите параметр «band» в 2GHz-b/g/n, это позволит подключаться по протоколам 802.11b, 802.11g и 802.11n.
Настройте ширину канала таким образом, чтобы наибольшая скорость передачи данных обеспечивалась по протоколу 802.11n. В примере используется канал 6, как результат, могут быть использованы 20/40MHz HT above или 20/40 МГц HT below. Выберите любой из них.
В поле «SSID» введите название беспроводной сети (Рисунки 20, 21).
Рисунок 20
Рисунок 21
После активации всех настроек можно включить точку доступа (Рисунок 22).
Рисунок 22
Откройте меню Bridge и проверьте, доступны ли какие-нибудь интерфейсы. Если нет, нажмите add new. В открывшемся окне введите параметры по умолчанию и нажмите "создать интерфейс". Далее выберите закладку Ports , где уже будут отображены LAN и WiFi интерфейсы (Рисунок 23).
Рисунок 23
Когда новый порт моста будет добавлен, зайдите в его настройки, поставьте галочку напротив параметра enabled, выберете корректный интерфейс порта (В данном руководстве это ether2), LAN-мастер, порт LAN и Wifi (Рисунок 24).
Рисунок 24
Так должен выглядеть мост (Рисунок 25).
Рисунок 25
В данном разделе допускаются отклонения от конфигурации, описанной в первой части. Расширенное понимание организации сети будет вашим преимуществом.
Добавление IP-адреса с неправильной маской сети приведет к неправильной работе сети. Исправьте эту проблему, введя в адресной строке корректные значения ip-адреса и маски сети.
Изменение пароля текущего пользователя:
Чтобы изменить пароль текущего пользователя, откройте «System -> Password». Все поля должны быть заполнены.
Изменение пароля существующего пользователя:
При наличии полных прав на роутере, вы можете изменять права любого пользователя, не зная текущего пароля в меню «System -> Users».
Если вы следовали данному руководству, а работает только доступ в локальную сеть, и доступ в интернет отсутствует, проверьте следующие настройки:
Проверьте настройки masquerade Проверьте настройки MAC адреса. Соответственно, есть несколько способов, как решить проблему, первый - проверить конфигурацию, не пропущена какая-нибудь настройка, второй - установить MAC-адрес.Изменение MAC-адреса доступно только из командной строки – «New Terminal» из меню слева. Если новое окно не открывается, проверьте, позволяет ли ваш браузер открывать всплывающие окна.
В новом окне напишите следующую команду, заменяющую МАС-адрес:
/interface ethernet set ether1 mac-address=XX:XX:XX:XX:XX:XX
Или свяжитесь с Вашим провайдером и сообщите, что Вы заменили устройство.
Есть определенные условия, которые необходимы для работы Ethernet-соединения:
Настройки конфигурации, которые не были упомянуты в руководстве, но о которых стоит знать.
Параметры канала могут быть самыми разными. Ниже предлагаем частоты, которые могут использоваться, и параметры настройки ширины канала, чтобы использовать канал HT на 40 МГц (для 802.11n). Например, использование частоты канала 1 или частоты 2412MHz, устанавливающей 20/40MHz HT below, не даст результатов, так как нет каналов на 20 МГц, доступных ниже частоты набора.
| Channel # | Frequency | Below | Above |
| 1 | 2412 MHz | no | yes |
| 2 | 2417 MHz | no | yes |
| 3 | 2422 MHz | no | yes |
| 4 | 2427 MHz | no | yes |
| 5 | 2432 MHz | yes | yes |
| 6 | 2437 MHz | yes | yes |
| 7 | 2442 MHz | yes | yes |
| 8 | 2447 MHz | yes | yes |
| 9 | 2452 MHz | yes | yes |
| 10 | 2457 MHz | yes | yes |
| 11 | 2462 MHz | yes | no |
| 12 | 2467 MHz | yes | no |
| 13 | 2472 MHz | yes | no |
Предупреждение: проверьте, какие частотные каналы разрешает использовать местное законодательство.
Если беспроводная сеть работает со сбоями, несмотря на удовлетворительную скорость передачи, следует проверить, не используют ли ваши соседи тот же беспроводной канал. Для этого:
Откройте инструмент мониторинга использования частот «Freq. Usage».
Подождите некоторое время, пока не отобразятся результаты сканирования (около двух минут). Чем меньше значения в колонке «Usage», тем меньше загружен соответствующий канал.
Примечание: Мониторинг осуществляется по каналам, установленным по умолчанию для выбранной страны.
По умолчанию страна не указана. Вы можете указать страну, в которой находитесь. Для этого:
Откройте меню «wireless» и выберите «Advanced mode».
Выберите страну из списка.
Примечание: Расширенный режим включается кнопкой Advanced mode, для отключения расширенного режима нажмите ее повторно.
Чтобы сервисы на Ваших локальных серверах/рабочих станция были доступны широкой общественности, необходимо направить порты снаружи внутрь вашей сети. Это делается из меню /ip firewall nat.
Многие пользователи предпочитают настроить эти правила статически, чтобы контролировать, какие услуги доступны из вне, а какие нет. Также такой метод подойдет, если сервис, который вы используете, не поддерживает динамические настройки.
Следующим правило переадресовывает все подключения к порту 22 на роутере с внешним ip адресом, на порт 86 на вашей рабочей станции\сервере\...
Если вы хотите сделать иные сервисы доступными, вы можете изменить протокол, как правило, используется TCP и Dst-port. Если изменение порта не требуется, например, порт на роутере и локальной машине совпадает — 22, параметр может остаться незаданным.
Проброс портов с использованием командной строки:
/ip firewall nat add chain=dstnat dst-address=172.16.88.67 protocol=tcp dst-port=22 \ action=dst-nat to-address=192.168.88.22 to-ports=86
UPnP используется динамической переадресации портов.
Предупреждение: Сервисы, о которых вы не знаете, могут использовать переадресацию портов, что в свою очередь, может подвергнуть опасности локальную сеть.
Настройка uPnP сервиса на роутере:
Настройте, какие интерфейсы должны считаться внутренними, а какие — внешними.
/ip upnp interface add interface=ether1 type=external /ip upnp interface add interface=ether2 type=internal
Включите сервис.
/ip upnp set allow-disable-external-interface=no show-dummy-rule=no enabled=yes
Для ограничения доступа к веб-страницам перейдите «IP -> Web Proxy».
Перейдите IP -> Web Proxy, в закладке Access откройте настройки Web Proxy и убедитесь, что следующие атрибуты указаны верно:
Enabled -> checked Port -> 8080 Max. Cache Size -> none Cache on disk -> unchecked Parent proxy -> unset
Когда необходимые изменения будут сделаны, нажмите apply, чтобы вернуться в меню Access.
Этот список будет содержать все правила, необходимые для ограничения доступа к сайтам в Интернете.
Чтобы добавить правило, запрещающее доступ к любому хосту, в названии которого присутствует example.com, сделайте следующие действия:
Dst. Host -> .*example\.com.* Action -> Deny
С этим правилом любой хост, содержащий в названии example.com, будет недоступен.
Существует два подхода к данной проблеме:
По материалам официального сайта производителя MikroTik.