Настройка MikroTik для соединения точка-точка. Сравнение точек доступа Mikrotik wAP и wAP ac Настройка беспроводных интерфейсов

CAPsMAN от MikroTik - хорошее недорогое решение, если вам необходимо единое беспроводное покрытие на большой площади. Это может быть большой дом в 2-3 этажа, офисное помещение, кафе и т. п.

Все точки, управляемые CAPsMAN, могут быть объединены в единую сеть (аналог UniFi-сети в Ubiquiti) с бесшовным роумингом. Это дает повышенный комфорт использования Wi-Fi: если вы со смартфоном или ноутбуком перейдете из зоны покрытия одной точки, управляемой CAPsMAN, в зону покрытия другой под управлением того же контроллера, соединение не оборвется и вам не нужно будет подключаться заново.


Если говорить именно о бесшовном роуминге, то его на MikroTik можно было настроить и до появления CAPsMAN, развернув MESH-сеть. Поэтому главное достоинство этого контроллера - это возможность централизовано настроить точки доступа и управлять ими с одного устройства, что существенно облегчает работу администратора сети. Также благодаря CAPsMAN настройка единого бесшовного Wi-Fi покрытия стала гораздо проще, а значит - доступнее.


В этой статье мы разберем, как установить и настроить контроллерMikroTik CAPsMAN, взяв для примера и .

Предварительная информация по настройке CAPsMAN

Контроллер беспроводных точек CAPsMAN (Controlled Access Point system Manager) входит в стандартный пакет установки последних версий RouterOS. Точки доступа MikroTik последних моделей - cAP-2nD, hAP Lite и другие , полностью поддерживают управление с помощью этого программного обеспечения, также, обновив RouterOS, можно использовать контроллер и на ранее выпущенных устройствах.

CAPsMAN устанавливается на роутер, который будет выполнять роль центрального устройства управления точками, причем это может быть маршрутизатор и без беспроводного модуля. Для работы на роутере должна быть установлена RouterOS не ниже версии 6.11. CAPsMAN v.2 работает, начиная с версии RouterOS v6.22rc7. Лучше всего, конечно, использовать контроллер второй версии - в нем устранено большинство недочетов первой.

Подключаемые к контроллеру точки (CAP, или Controlled Access Points) должны иметь уровень лицензии не ниже 4. Т очки доступа подсоединяются к роутеру с установленным CAPsMAN с помощью витой пары, а также могут подсоединяться друг к другу последовательно по цепочке (также с помощью витой пары).

Обновление RouterOS

Первое, что нам необходимо сделать перед настройкой CAPsMAN - обновить программное обеспечение устройств.

Сбрасываем настройки роутера к заводским:

RB2011UiAS-2HnD-IN можно сбросить как с помощью кнопки Reset, которая находится сзади устройства между антеннами (удерживаем ее до тех пор, пока зеленый светодиод не начнет мигать и отпускаем), так и с помощью отверстия джампера на дне роутера, расположенного под кнопкой Reset (вставляем в отверстие отвертку, включаем устройство, ждем 10 секунд до сброса конфигурации).

MikroTik cAP-2nD сбрасываем к заводским настройкам с помощью кнопки Reset, расположенной слева от порта Ethernet. Удерживаем ее, пока светодиоды не начнут мигать и отпускаем.

Идем на официальный сайт и качаем соответствующую прошивку.

Как видим, нам для обоих устройств подходит одна и та же - mipsbe, скачиваем ее. Мы советуем прошивать точки при помощи программы netinstall.

Подключаем RB2011UiAS-2HnD-IN к компьютеру для настройки.

Мы подключали кабель в порт ETH6, но можно подсоединять к любому порту, кроме первого. Сетевые настройки компьютера должны быть предварительно настроены таким образом, чтобы роутер и сетевая карта компьютера имели адреса одной подсети.

IP-адрес устройств MikroTik по умолчанию- 192.168.88.1, логин - admin, пароль - пустой.

Запускаем WinBox, заходим на роутер.

В первом окне сбрасываем конфигурацию по умолчанию. Если мы заходили по IP, винбокс в этом месте отключится, так как мы сбросили и IP-адрес роутера в том числе. Заходим еще раз, по мак-адресу.

Для обновления идем в меню Files.

Открываем его и перетаскиваем в это окно наш скачанный файл с новой прошивкой. Подтверждаем обновление.

После окончания загрузки файла с прошивкой идем в меню System и нажимаем пункт Reboot.

Роутер перезагрузится и обновит прошивку. Обратите внимание, что это может быть долгий процесс - 3-5 минут., хотя в нашем случае перезагрузка прошла быстро. Отключать питание во время процесса обновления нельзя!

Проверяем, обновился ли корректно загрузчик.

Идем в меню System - RouterBoard и проверяем, совпадают ли версии в полях Current Firmware и Upgrade Firmware. Если нет - жмем кнопку Upgrade и перезагружаем роутер (скрин сделан во время обновления cap-2nD, на роутере картинка аналогичная).

Настройка роутера с контроллером CapsMan

Настраиваем RB2011UiAS-2HnD-IN во вкладке QuickSet, поставив режим Ethernet и выбрав Bridge mode, как на скрине:

Объединяем все порты и каналы WiFi устройства в единый bridge (чтобы точки, подключенные и по WiFi и по проводной сети могли видеть друг друга).

Для этого заходим во вкладку Interface и создаем новый (плюс сверху слева), в выпадающем меню выбираем bridge и даем ему новое имя. Мы использовали уже существующий bridge и не стали создавать новый, но для личного удобства и легкости в управлении точками советуем создать отдельный интерфейс.

Наши настройки бриджа в итоге выглядят так:

Настройки на вкладке Ports, здесь добавлены все интерфейсы роутера:

В меню IP - Adresses прописываем адрес для роутера (мы при настройке прописали ему обычный адрес по умолчанию - 192.168.88.1).

Аналогичным образом обновляем и точку доступа MikroTik cAP-2nD, также объединяем ее порты в bridge1, и прописываем IP-адрес (мы присвоили своей "экспериментальной" cAP-2nD адрес 192.168.88.28).

В простом случае (мы настраивали именно так) все точки относятся к одной подсети, однако возможна и настройка CAPsMAN, если устройства - в разных подсетях.

Активация модуля CAPsMAN

В последних прошивках модуль активирован по умолчанию (он вшит в пакет wireless) , а в меню вверху слева всегда есть вкладка CAPsMAN. В этом случае пропускаем этот пункт.

Если у вас старая прошивка, где модуль управления CAPsMAN по умолчанию отключен, делаем следующее.

Идем в System — Packages, становимся на пакет wireless-cm2 и жмем Enable. Пакет отмечается как готовый к активации.

Чтобы пакет активировался, нужно перезагрузить роутер. После перезагрузки видим строку wireless-cm2 активной, а пакет wireless-fp - напротив, неактивным.

Обратите внимание, что мы активируем именно пакет wireless-cm2 - это модуль CAPsMAN v2. В ранних инструкциях содержатся указания активации wireless-fp - это первая, сейчас уже устаревшая версия модуля.

Настройка модуля CAPsMAN

На устройстве, которое будет выступать в роли контроллера точек, (в нашем случае - на RB2011UiAS-2HnD) настраиваем управляющий модуль CAPsMAN.

Находим одноименный пункт в меню. Заходим в него и включаем контроллер (CAPsMAN - вкладка InterFace - Manage - галка в пункте Enable).

Прописываем нужные нам настройки WiFi канала на вкладке Channel.

Потом - настройки Datapath, здесь только название и выбираем наш наш bridge (имя зависит от того, какой вы создавали и используете).

Если мы ставим галочку local-forwarding, то передаем управление трафиком непосредственно точкам доступа. Если галочка снята, то управление трафиком берет на себя контроллер.


На остальных вкладках просто выбираем те настройки Channel, Datapath и Security, которые мы создали ранее, таким образом объединяя их в одну конфигурацию. В принципе, можно было создавать их и здесь, но для сложных случаев все же удобнее это делать отдельно.

Теперь нам нужна вкладка Provisioning или "развертывание". Здесь мы прописываем правило развертывания конфигурации. Первое поле (Radio MAC) не трогаем, в поле Action указываем, что будут создаваться включенные по умолчанию динамические интерфейсы.

Настройка точки доступа под управлением CAPsMAN на роутере

Так как у нас роутер с поддержкой WiFi, то он, помимо функций контроллера управляемых беспроводных точек, сам также является такой точкой. Настраиваем его в соответствующий режим, т. е. указываем, что конфигурацию он должен брать от контроллера.

Эти настройки будут немного отличаться от настроек обычных точек.

Идем в меню Wireless, жмем кнопку CAP, ставим галочку Enabled. В поле CAPsMAN Addresses прописываем адрес контроллера. В данном случае - это адрес самого устройства. и выбираем из списка созданный нами бридж. Остальные поля не трогаем.

После сохранения настроек над строкой интерфейса появляются красные строки, которые сообщают о том, что встроенная в роутер точка доступа управляется CAPsMAN.

Настройка точки MikroTik cAP-2nD под управление контроллером

Итак, теперь настраиваем отдельную точку доступа под CAPsMAN. Напоминаем, что для перед настройкой необходимо проделать все то же, что для роутера: сбросить к заводским настройкам, сбросить конфигурацию по умолчанию, обновить прошивку до последней версии, проверить. обновился ли загрузчик и обновить его, объединить все порты в bridge, прописать IP-адрес. Все это описывается в начале статьи.

На вкладке QuickSet на подконтрольных точках доступа мы можем только прописать IP, остальные настройки подтянутся из конфигурации CAPsMAN.


Важно: на всех устройствах CAPsMAN должен быть одной версии .

Если у вас старая прошивка, то активированный пакет с CAPsMAN выглядит так:

Идем в меню Wireless, жмем кнопку CAP, ставим галочку Enabled. От аналогичной настройки в роутере заполнение остальных полей отличается тем, что вместо адреса CAPsMAN мы прописываем Discovery Interfaces, то есть интерфейсы, через которые cAP должна подключаться к контроллеру - в нашем случае через bridge.

Сохраняем настройки и через несколько секунд над беспроводным интерфейсом должны поочередно появятся две красные строки. Это говорит о том, что наша точка подключилась к контроллеру CAPsMAN, загрузила прописанную нами конфигурацию и теперь находится под его управлением.

Вернувшись на роутер, мы видим, что в разделе CAPsMAN появились новые беспроводные интерфейсы точек:

Эти же интерфейсы можно наблюдать и в общем разделе:

Настройка модуля CAPsMAN на этом завершена. Если вам не нужно прописывать особые настройки DNS, DHCP-сервер, NAT и т. д. - все дальше уже работает и можно подключать клиентов к точкам. В нашем случае все настройки были прописаны ЗА RB2011UiAS-2HnD на основном роутере, поэтому система заработала сразу.

Тест бесшовного роуминга на CAPsMAN в реальных условиях

Для тестирования мы разнесли две точки доступа под управлением CAPsMAN на разные этажи.

  • RB2011 выступал в роли контроллера и первой точки доступа.
  • cAP-2nD - в роли второй точки доступа.

Между точками было приблизительно 30 метров, железобетонное перекрытие и несколько стен.

По мере перехода мы можем увидеть на видео, как скорость передачи данных Tx постепенно переходила с одного CAP Interface на другой, это значит, что устройство было плавно переключено между точками доступа.

Для того, чтобы рассмотреть на видео все детали, разверните его на весь экран и выставьте разрешение 1080.

При этом не было потеряно ни одного из 100 запрашиваемых пакета данных.


сайт

В этой статье мы расскажем, как быстро и просто настроить Wi-Fi точку MikroTik на раздачу интернета.

Беспроводные точки MikroTik управляются операционной системой MikroTik RouterOS с огромным количеством возможностей и настроек. Поэтому новичку разобраться в ней довольно сложно.

Но есть упрощенная настройка Quick Set, позволяющая быстро настроить базовый функционал устройства. Мы расскажем, как настроить Wi-Fi точку MikroTik на раздачу с помощью Quick Set.

Данная инструкция подойдет для всех Wi-Fi точек MikroTik с RouterOS Level4 и выше: wAP, Groove A-52HPn, Metal 2SHPn, SXT 5 ac, SXT G-2HnD и др.

Настройку можно выполнять через Web-браузер или программу Winbox для ОС Windows. Удобнее всего это делать через Winbox, поскольку программа умеет подключаться к устройству не только по IP адресу, но и по MAC адресу.

Бывает, что после сброса устройства к заводским настройкам ему не присваивается IP адрес по умолчанию 192.168.88.1 до тех пор, пока не применишь стандартную конфигурацию. В этом случае нужно подключиться к устройству по MAC адресу с помощью Winbox.

Мы рассмотрим настройку с помощью программы Winbox. Настройка через Web-браузер выполняется аналогичным образом.

Подключение Wi-Fi точки к компьютеру

Сначала подключаем устройство к компьютеру. Беспроводную точку после настройки можно будет отключить от компьютера и подключить к кабелю провайдера, роутеру или коммутатору.

В комплекте с точками MikroTik идет POE инжектор, который часто подключают не правильно. Подключение должно выполняться так, как показано на рисунке.

Настройка сетевой карты компьютера

Чтобы попасть в настройки Wi-Fi точки Mikrotik, необходимо настроить сетевую карту компьютера на IP адрес из одной подсети, например 192.168.88.21 .

Откройте Пуск → Панель управления → Центр управления сетями и общим доступом .

Щелкните правой кнопкой мыши на Подключение по локальной сети и выберите Свойства .

Выберите Протокол Интернета версии 4 (TCP/IPv4) и нажмите кнопку Свойства .

Выберите Использовать следующий IP-адрес , введите IP-адрес 192.168.88.21 , Маску подсети 255.255.255.0 и нажмите кнопку OK .

Вход в настройки

Если вы настраиваете Wi-Fi точку MikroTik через Web-браузер (Internet Explorer или другой), напишите в адресной строке 192.168.88.1 — это IP адрес по умолчанию для устройств MikroTik.

Внимание! В Web-браузере в настройках не должен быть указан proxy-сервер

В открывшемся окне введите Login: admin без пароля и нажмите кнопку Login .

Мы будем настраивать Wi-Fi точку MikroTik с помощью программы, поэтому скачиваем Winbox с сайта производителя и запускаем.

Перейдите на вкладку Neighbors и нажмите кнопку Refresh . В списке должна появится ваша точка.

Обратите внимание, что если нажать на MAC адрес, то мы будем подключаться к устройству по MAC адресу.

Если нажать на IP адрес, то будем подключаться к устройству по IP адресу.

Мы нажимаем на MAC адрес, после чего он появится в поле Connect To: , вводим логин admin без пароля, и нажимаем кнопку Connect .

После этого нажмите слева меню Quick Set .

В данном окне будем настраивать Wi-Fi точку MikroTik на раздачу интернета.

Настройка Wi-Fi

Сначала выбираем режим точки доступа WISP AP и приступаем к настройке Wi-Fi.

  • Wireless Protocol - выберите беспроводной протокол 802.11 . Протоколы nstreme и nv2 - это фирменные протоколы MikroTik, и по ним может работать только оборудование MikroTik.
  • Network Name - укажите название Wi-Fi точки, которое будет отображаться при сканировании Wi-Fi сетей.
  • Frequency - выберите рабочую частоту беспроводной точки. Если у вас в сети есть Wi-Fi роутер или другие точки, выберите такую частоту, чтобы она не совпадала с другими точками, и они не создавали друг другу помехи.
  • Band - укажите стандарты 2GHz-B/G/N , чтобы старые устройства, работающие в B и G стандартах, могли подключаться к Wi-Fi точке.
  • Channel Width - ставим ширину канала 20/40MHz Ce , чтобы получить максимальную скорость передачи данных с устройствами, поддерживающими ширину канала 40 МГц.
    Иногда устройства, не поддерживающие ширину канала 40 МГц, не могут подключиться при данных настройках. В этом случае попробуйте выставить ширину канала 20MHz.
  • Country - выбор страны можно оставить пустым. Для лучшей совместимости с устройствами Apple, говорят, лучше выбрать страну United States.
  • Security - настройки безопасности. Для лучшей безопасности ставим галочку только напротив WPA2 .
  • Encryption - выберите алгоритм шифрования только aes ccm ;
  • Wi-Fi Password - введите пароль для подключения к Wi-Fi точке не менее 8-ми символов.

Выбор режима работы

В разделе Configuration необходимо выбрать режим работы беспроводной точки MikroTik.

Режим Router — используют, когда Wi-Fi точку подключают напрямую к кабелю провайдера. В этом случае вам нужно скрыть клиентов, которые подключаются к Wi-Fi точке в отдельную подсеть. Иначе потребовалось бы заключать договор с провайдером на подключение каждого клиента к интернету. В этом режиме интернет-провайдер не видит абонентов, находящихся за беспроводной точкой. Wi-Fi точка играет роль интернет шлюза для клиентов.

Режим Bridge — используют, когда Wi-Fi точку подключают к роутеру. В этом режиме роутер раздает автоматические сетевые настройки клиентам, подключающимся к Wi-Fi точке. При этом абоненты, подключенные к роутеру по кабелю и к беспроводной точке, находятся в одной подсети и могут передавать данные друг другу.

Настройка работы в режиме Router

В разделе Configuration выберите режим работы Router .

Если ваш провайдер выдает сетевые настройки автоматически по DHCP, то в разделе Internet

  • Address Acquisition - выберите Automatic ;
  • MAC Address

Если провайдер использует статические сетевые настройки, в разделе Internet сделайте следующие настройки:

  • Address Acquisition - выберите Static ;
  • IP Address - введите IP адрес, который вам выдал провайдер. Обычно статические настройки указаны в договоре с провайдером;
  • Netmask - укажите маску;
  • Gateway - введите адрес шлюза;
  • DNS Servers - укажите адреса DNS серверов;
  • MAC Address - оставляем без изменений. Если провайдер блокирует доступ по MAC адресу, измените его на разрешенный. Обычно это MAC адрес сетевой карты компьютера или роутера.

Если провайдер использует соединение по PPPoE, в разделе Internet сделайте следующие настройки:

  • Address Acquisition - выберите PPPoE ;
  • PPPoE User - введите имя пользователя;
  • PPPoE Password - введите пароль;
  • PPPoE Service Name - введите имя сервиса;
  • MAC Address - оставляем без изменений. Если ваш провайдер блокирует доступ по MAC адресу, измените его на разрешенный. Обычно это MAC адрес сетевой карты компьютера или роутера.

Теперь выполним настройку локальной сети в разделе Local Network :

  • IP Address - указываем IP адрес Wi-Fi точки. Оставим стандартный 192.168.88.1 ;
  • Netmask - выберем стандартную маску для нашей подсети 255.255.255.0 ;
  • DHCP Server - поставьте галочку, чтобы включить DHCP сервер. Он позволит автоматически раздавать сетевые настройки подключающимся клиентам;
  • DHCP Server Range - диапазон IP адресов, которые будут выдаваться подключающимся клиентам. Вводим диапазон 192.168.88.2-192.168.88.254 ;
  • NAT - ставим галочку, чтобы разрешить подключающимся клиентам выход в интернет.

Настройка работы в режиме Bridge

Выберите в разделе Configuration режим работы Bridge .

Если вы хотите, чтобы Wi-Fi точка получала сетевые настройки от роутера автоматически по DHCP, то в разделе Bridge

  • Address Acquisition - выберите Automatic ;
  • MAC Address -оставляем без изменений.

Мне больше нравится указывать IP адрес Wi-Fi точки вручную, чтобы потом точно знать где ее искать. Поэтому я использую статические сетевые настройки.

Если вы используете статические сетевые настройки, в разделе Bridge выполните следующие настройки:

  • Address Acquisition - выберите Static ;
  • IP Address - введите IP адрес Wi-Fi точки. Он должен быть из одной подсети с роутером;
  • Netmask - выберите маску 255.255.255.0 ;
  • Gateway - введите IP адрес шлюза (IP адрес вашего роутера);
  • DNS Servers - укажите адреса DNS серверов. Можно указать адрес роутера или адрес DNS сервера Google 8.8.8.8 .

Смена стандартного пароля администратора

Чтобы никто, кроме администратора, не смог зайти в настройки Wi-Fi точки, нужно поставить пароль. По умолчанию пароля нет.

Для этого в разделе System в поле Password введите новый пароль и подтвердите его в поле Confirm Password .

В конце нажимаем кнопку OK , чтобы сохранить все настройки.

Теперь Wi-Fi точку MikroTik можно подключить к кабелю провайдера или роутеру, в зависимости от типа вашего подключения.

В конце не забудьте изменить настройки сетевой карты вашего компьютера на необходимые.

Сброс настроек

Если вы что-то перемудрили с настройками и не можете попасть на устройство, выполните его сброс к заводским настройкам.

  1. Отключите питание;
  2. Зажмите и держите кнопку Reset ;
  3. Подайте питание;
  4. Дождитесь пока начнет мигать индикатор;
  5. Отпустите кнопку Reset ;
  6. После перезагрузки подключитесь к устройству с помощью программы Winbox по MAC адресу, т.к. у устройства может быть IP адрес 0.0.0.0. В этом случае вы не сможете попасть в настройки через Web-интерфейс по стандартному IP адресу 192.168.88.1.
  7. В Winbox в появившемся окне нажмите кнопку OK , чтобы применить настройки по умолчанию. В некоторых прошивках данное окно может не появится, а сразу применится стандартная конфигурация.

Quick Set - это мастер автоматической конфигурации, который помогает быстро, не погружаясь в глубины тонкой настройки RoS, настроить роутер и начать им пользоваться. В зависимости от устройства, вам могут быть доступны несколько шаблонов:

Безопасность

Конфигурация по умолчанию уже не дает подключаться к роутеру из внешней сети, но основывается защита только на пакетном фильтре. Не забываем, про установку пароля на пользователя admin. Поэтому, в дополнение к фильтрации и паролю, я делаю следующие:

Доступность на внешних интерфейсах

Отключаю не нужные в домашней сети (и не во всех не домашних сетях) сервисы, а оставшиеся ограничиваю областью действия, указывая адреса, с которых можно к этим сервисам подключится.

Следующим шагом, будет ограничение на обнаружение роутера с помощью поиска соседей. Для этого, у вас должен быть список интерфейсов, где данный протокол может работать, настроим его:

/interface list add exclude=dynamic name=discover

Добавим в список discovery интерфейсы, на которых мы хотим, чтобы протокол Neighbors Discovey работал.

Теперь настроим работу протокола, указав список discovery в его настройках:

В простой, домашней конфигурации, в списке discovery могут быть интерфейсы, на которых может работать протокол доступа по MAC адресу, для ситуаций, когда IP не доступен, поэтому настроим и эту функцию:

Теперь, роутер станет «невидимым» на внешних интерфейсах, что скроет информацию о нем (не всю конечно), от потенциальных сканеров, и даже, лишит плохих парней легкой возможности получить управление над роутером.

Защита от DDoS

Теперь, добавим немного простых правил в пакетный фильтр:

/ip firewall filter add action=jump chain=forward connection-state=new in -interface-list=ISP jump-target=anti-DDoS add action=jump chain=input connection-state=new in -interface-list=ISP jump-target=anti-DDoS add action=drop chain=forward connection-state=new src-address-list=BAN-DDoS add action=return chain=anti-DDoS dst-limit=15,15,src-address/10s add action=add-src-to-address-list address-list=BAN-DDoS address-list-timeout=1d chain=anti-DDoS add action=jump chain=input connection-state=new dst-port=22,8291 in -interface-list=ISP jump-target=anti-BruteForce-3 protocol=tcp add action=drop chain=forward connection-state=new src-address-list=BAN-BruteForce-3 add action=return chain=anti-BruteForce-3 dst-limit=4/1m,1,src-address/1m40s add action=add-src-to-address-list address-list=BAN-BruteForce-3 address-list-timeout=1d chain=anti-BruteForce-3

И поместим их после правила defcon для протокола icmp.

Результатом будет бан на сутки для тех, кто пытается открыть более 15 новых соединений в секунду. Много или мало 15 соединений, вопрос спорный, тут уже сами подбирайте число, я выбрал 50 для корпоративного применения, и таких банит у меня 1-2 в сутки. Вторая группа правил гораздо жестче, блокирует попытки соединений на порт ssh(22) и winbox(8291), 3-и попытки за минуту, и отдыхай сутки;). Если вам необходимо выставить DNS сервер в интернет, то подобным правилом можно отсекать попытки DNS Amplification Attacks, но решение не идеальное, и ложно-положительных срабатываний бывает много.

RFC 1918

RFC 1918 описывает выделение адресных пространств для глобально не маршрутизируемых сетей. Поэтому, имеет смысл блокировать трафик от\к таким сетям, на интерфейсе, который смотрит к провайдеру, за исключением ситуаций, когда провайдер выдает вам «серый» адрес.

/ip firewall address-list add address=10.0.0.0/8 list="RFC 1918" add address=172.16.0.0/12 list="RFC 1918" add address=192.168.0.0/16 list="RFC 1918" /ip firewall filter add action=drop chain=input comment="Drop RFC 1918" in -interface-list=WAN src-address-list="RFC 1918" add action=drop chain=forward comment="Drop RFC 1918" dst-address-list="RFC 1918" out-interface-list=WAN add action=drop chain=output comment="Drop RFC 1918" dst-address-list="RFC 1918" out-interface-list=WAN

Поместите эти правила ближе к началу и не забудьте, добавить в список WAN интерфейс, смотрящий в сторону провайдера.

UPnP

Довольно спорная технология, которая позволяет приложениям попросить роутер пробросить порты через NAT, однако, протокол работает без всякой авторизации и контроля, этого просто нет в стандарте, и часто является точкой снижающей безопасность. Настраивайте на свое усмотрение:

SIP Conntrack

Кроме всего прочего, стоит отключить модуль conntrack SIP, который может вызывать неадекватную работу VoIP, большинство современных SIP клиентов и серверов отлично обходятся без его помощи, а SIP TLS делает его окончательно бесполезным.

Динамические и вложенные списки интерфейсов

Эта функция появилась совсем недавно (с версии 6.41), и она очень удобная. Однако, есть неприятный баг (я о нём сообщил, но его еще не исправили), суть в том, что после презапуска роутера, правила файрволла, которые используют эти списки, не работают для интерфейсов входящих в дочернии списки. Лечится передобавлением дочерних списков. Автоматизация простая:

В Sheduler на событие start пишем скрипт (списки интерфейсов для конфигурации с балансировкой):

/interface list set ISP1TUN include="" set ISP include="" set TUN include="" :delay 2 set ISP1TUN include=ISP1,TUN1 set ISP include=ISP1 set TUN include=TUN1

WiFi

В городской среде, когда эфир крайне зашумлен, имеет смысл отказаться от каналов в 40MGhz, это увеличивает удельную мощность сигнала на канале, так как 40MGHz канал по сути, это два канала по 20MGHz.

Bridge & ARP

Если у вас роутер раздает интернет и дает клиентам настройки по DHCP, имеет смысл установить настройку arp=reply-only, а в DHCP Server включить add-arp=yes

Такая настройка помешает выставить IP адрес вручную, так как роутер согласится работать только с той парой MAC-IP, которую выдавал сам.

P.S. статья взята от сюда https://habrahabr.ru/post/353730/

Мы рассмотрим пример когда беспроводные сети будут настроены на отдельном маршрутизаторе (роль точки доступа), на котором будут настроены только беспроводные сети и он будет подключен к основному маршрутизатору на котором уже настроена локальная сеть и который служит шлюзом в сеть Интернет. Через консоль показан конфигурационный файл настройки с нуля. Настройки Wi-Fi сетей соотвествуют настройкам рассмотренным в предыдущих примерах и являются повторение для данной конфигурации.

Главные особенности настройки:



* * : модель, артикул, информация по процессору (архитектура, частота, количество ядер), уровень лицензии, объем ОЗУ и ПЗУ, наличие модулей Wi-Fi на разных частотах и коэффициенты усиления встроенных антенн и многое другое. Всего более 30-ти параметров для каждого из 151-го устройства в списке.

Через графический интерфейс

Настройка точки доступа Wi-Fi на устройстве МикроТик - Скриншот 1

Настройка точки доступа Wi-Fi на устройстве МикроТик - Скриншот 2

Настройка точки доступа Wi-Fi на устройстве МикроТик - Скриншот 3

Настройка точки доступа Wi-Fi на устройстве МикроТик - Скриншот 4

Настройка точки доступа Wi-Fi на устройстве МикроТик - Скриншот 5

Через консоль

/interface bridge add mtu=1500 name=bridge-local /interface ethernet set [ find default-name=ether1 ] name=ether1-LAN1-master set [ find default-name=ether2 ] master-port=ether1-LAN1-master name=\ ether2-LAN1 set [ find default-name=ether3 ] master-port=ether1-LAN1-master name=\ ether3-LAN1 set [ find default-name=ether4 ] master-port=ether1-LAN1-master name=\ ether4-LAN1 set [ find default-name=ether5 ] master-port=ether1-LAN1-master name=\ ether5-LAN1 /interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik add authentication-types=wpa2-psk eap-methods="" mode=dynamic-keys name=\ profile_local_wi-fi supplicant-identity="" wpa2-pre-shared-key=\ Pass66word! add authentication-types=wpa2-psk eap-methods="" mode=dynamic-keys name=\ profile_guest_wi-fi supplicant-identity="" wpa2-pre-shared-key=Pass55word! /interface wireless set [ find default-name=wlan1 ] adaptive-noise-immunity=ap-and-client-mode \ band=2ghz-b/g/n channel-width=20/40mhz-Ce country=russia disabled=\ no distance=indoors frequency=auto frequency-mode=regulatory-domain \ hw-protection-mode=rts-cts mode=ap-bridge noise-floor-threshold=-100 \ security-profile=profile_local_wi-fi ssid=Main wireless-protocol=\ 802.11 wmm-support=enabled wps-mode=disabled add disabled=no mac-address=00:00:00:00:00:00 master-interface=\ wlan1 name="Guest Wi-Fi" security-profile=profile_guest_wi-fi ssid=\ Guest wds-cost-range=0 wds-default-cost=0 wmm-support=enabled wps-mode=disabled /ip pool add name=dhcp_pool_local ranges=172.16.18.101-172.16.18.150 add name=dhcp_pool_guest ranges=10.11.12.101-10.11.12.150 /ip dhcp-server add address-pool=dhcp_pool_guest disabled=no interface="Guest Wi-Fi" \ lease-time=12h name=dhcp_guest /interface bridge port add bridge=bridge-local interface=ether1-LAN1-master add bridge=bridge-local interface=wlan1 /ip address add address=172.16.18.5/24 interface=bridge-local network=172.16.18.0 add address=10.11.12.1/24 interface="Guest Wi-Fi" network=10.11.12.0 /ip dhcp-server network add address=10.11.12.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.11.12.1 /ip dns set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4 /ip firewall filter add chain=forward comment="Deny guest reguests" dst-address=172.16.18.0/24 src-address=10.11.12.0/24 connection-state=new action=drop add chain=forward comment="Deny guest reguests" dst-address=10.11.12.0/24 src-address=172.16.18.0/24 connection-state=new action=drop /ip firewall nat add action=masquerade chain=srcnat out-interface=bridge-local src-address=\ 10.11.12.0/24 /ip route add distance=1 gateway=172.16.18.1 /system identity set name="AIR1"

Проверка

При подключении к сети с SSID Main должен быть доступ в Интернет и локальную сеть. При подключении к сети с SSID Guest должен быть доступ только в Интернет.

Научиться работать с MikroTik можно с помощью видеокурса " ". Помимо всех тем из официальной программы MikroTik MTCNA курс содержит много дополнительного материала. Курс сочетает теоретическую часть и практику – настройку маршрутизатора по техническому заданию. Поддержку по курсу оказывает его автор Дмитрий Скоромнов, который является официальным тренером MikroTik (TR0680) и по совместительству автором этой Wiki.
Полезные материалы по теме MikroTik:
* * : модель, артикул, информация по процессору (архитектура, частота, количество ядер), уровень лицензии, объем ОЗУ и ПЗУ, наличие модулей Wi-Fi на разных частотах и коэффициенты усиления встроенных антенн и многое другое. Всего более 30-ти параметров для каждого из 151-го устройства в списке.

Internet для современных людей стал не только незаменимым и необходимым атрибутом, но и предметом первой значимости, заменив собой большое количество других вещей, используемых ранее. Поэтому качественный и скоростной Интернет дорогого стоит. Для построения беспроводной сети необходимо только проверенное, надежное оборудование и интегратор, который воплотит Ваш проэкт. Приобрести необходимое сетевое оборудование wi fi для вашей сети в свободной продаже не так просто. Не теряйте Ваше время на поиски зря, обратитесь в Интернет магазин сайт . У нас вы найдете активное и пассивное оборудование в широком ассортименте от мировых брендов. Оборудование wi-fi для ресторана и гостиниц, витая пара для наружной прокладки, оптический кабель, PON оборудование, PON устройства, OLT устройства, оборудование CWDM и многoе другoе представлено в нашем он-лайн интернет каталоге Мстрим.

Мы сотрудничаем только с проверенными производителями ИТ рынка- Ubiquiti, Mikrotik, Cambium Networks, D-link, Hikvision, Furuno, Ajax, Ok-net, ICOM, Sailor, Zenitel, Cobham и именно по-этому все оборудование для радиосвязи, морской навигации, беспроводной или локальной сети, представленные в нашем магазине, соответствуют самым высоким стандартам качества. Заказать wifi интернет оборудование можно как в розницу так и оптом (мы сотрудничаем с интернет провайдерами, интеграторами и реселлерами). Для постоянных клиентов в интернет магазине Mstream действует гибкая система скидок и отсрочек по платежу. Цены на wi-fi интернет оборудование порадуют даже розничных покупателей. Наша задача не только развиваться самим, но и помогать развивать бизнес наших клиентов. Wi fi пространство Украины еще не настолько развито и занято и наша цель это глобальная интеграция новых технологий и разработок на украинском рынке технологий.

Купив у нас оборудование для wi-fi сети , вы гарантировано получаете очень надежные, качественные и долговечные решения от лучших мировых производителей и брендов беспроводной техники в самые короткие сроки. Огромный ассортимент и прямые поставки оборудования Wifi от производителя позволяют нам, как системному интегратору, удовлетворить любые проекты наших клиентов- создание локальной сети wi fi. Профессиональные консультанты предоставят полную консультацию при выборе нужного сетевого оборудования с учетом индивидуальных проектов и пожеланий клиента, что сэкономит ваши силы и время. Доставка сетевого оборудования по всем городам Украины - Одесса, Киев, Харьков, Херсон, Кривой Рог, Кропивницкий, Николаев, Днепропетровск, Запорожье, Винница, Чернигов, Черкассы, Полтава, Мариуполь, Львов, Тернополь, Краматорск, Новомосковск, а так же Приднестровье, Тирасполь, Молдова (Moldova) и другие.

Копирование любой информации с сайта без размещения активной обратной ссылки запрещено.