Mikrotik настройка

Подключите Mikrotik к компьютеру через Ethernet-порт и откройте WinBox. Введите IP-адрес роутера (обычно 192.168.88.1), логин admin и оставьте поле пароля пустым. Если соединение не устанавливается, проверьте, совпадает ли подсеть вашего ПК с адресом Mikrotik.

Перейдите в раздел IP → DHCP Server и нажмите DHCP Setup. Выберите интерфейс, через который раздаётся сеть (например, bridge-local), укажите диапазон адресов (например, 192.168.88.100-192.168.88.200) и настройки DNS. Это займёт меньше минуты, и клиенты сразу получат автоматические IP.

Для настройки интернета откройте IP → Firewall, перейдите на вкладку NAT и добавьте правило masquerade для внешнего интерфейса (например, ether1). Убедитесь, что в IP → Routes есть маршрут по умолчанию через ваш шлюз провайдера.

Чтобы ограничить скорость для пользователей, используйте Queues. В Simple Queues укажите IP-адрес или подсеть, затем задайте max-limit (например, 10M/5M для загрузки/отдачи). Правила начнут работать сразу после применения.

Подключение к Mikrotik через WinBox

Скачайте WinBox с официального сайта Mikrotik. Убедитесь, что выбрана последняя версия для стабильной работы.

Откройте WinBox и введите IP-адрес Mikrotik в поле Connect To. Если устройство в локальной сети, выберите его из списка в разделе Neighbors.

Используйте логин admin и оставьте поле пароля пустым при первом подключении. Если пароль уже изменён, введите текущие данные.

Нажмите Connect для доступа к интерфейсу. При первом входе система предложит сменить пароль – сделайте это сразу для безопасности.

Если устройство недоступно по IP, попробуйте подключиться по MAC-адресу. В поле Connect To введите MAC в формате XX:XX:XX:XX:XX:XX и нажмите Connect.

Для удалённого подключения укажите внешний IP или доменное имя роутера в WinBox, предварительно настроив доступ в разделе IP → Services.

Сохраните сессию, нажав Save в окне WinBox. Это позволит быстро подключаться в будущем без повторного ввода данных.

Настройка базовых параметров интерфейсов

Откройте WinBox и перейдите в раздел Interfaces. Здесь отображаются все физические и логические интерфейсы устройства.

Для настройки Ethernet-порта:

• Дважды кликните на интерфейс (например, ether1).
• В поле Name укажите понятное название, например, LAN или WAN.
• Установите MTU в значение 1500 (стандарт для Ethernet). Для PPPoE уменьшите до 1492.
• Если порт подключен к провайдеру, включите опцию Auto Negotiation.

Назначьте IP-адрес интерфейсу:

1. Перейдите в IP → Addresses.
2. Нажмите +, выберите интерфейс из списка.
3. Введите адрес и маску, например: 192.168.88.1/24 для локальной сети.

Проверьте состояние интерфейса:

• Зеленый индикатор в списке интерфейсов означает активное подключение.
• Если статус running отсутствует, проверьте кабель и настройки дуплекса.

Для Wi-Fi-интерфейсов:

• В разделе Wireless выберите интерфейс wlan1.
• Укажите режим AP bridge для точки доступа.
• Задайте SSID и выберите частотный диапазон (2.4 GHz или 5 GHz).
• Настройте безопасность: используйте WPA2-PSK и надежный пароль.

Создание и настройка DHCP-сервера

Откройте WinBox и перейдите в раздел IP → DHCP Server. Нажмите DHCP Setup, чтобы запустить мастер настройки.

Выбор интерфейса и диапазона адресов

Укажите интерфейс, на котором будет работать DHCP (например, bridge-local). Затем задайте пул IP-адресов для клиентов, например 192.168.88.100–192.168.88.200. Оставьте маску подсети по умолчанию (24), если сеть не требует изменений.

В поле Gateway введите основной шлюз (часто это IP-адрес самого MikroTik). DNS-серверы можно указать как локальные (192.168.88.1) или публичные (8.8.8.8).

Дополнительные параметры

В разделе Lease Time установите время аренды адреса. Для домашних сетей подойдет 1d (сутки), для публичных Wi-Fi – 30m (30 минут).

Если нужно зарезервировать IP для устройств, перейдите в IP → DHCP Server → Leases, найдите нужный MAC-адрес и нажмите Make Static. Это предотвратит смену IP у принтеров или серверов.

Проверьте работу DHCP командой /ip dhcp-server lease print. Если клиенты не получают адреса, убедитесь, что на интерфейсе включен DHCP-сервер и нет конфликтов с другими серверами в сети.

Настройка NAT и проброс портов

Откройте WinBox, зайдите в IP → Firewall → NAT и нажмите «+», чтобы добавить новое правило. Выберите chain=srcnat, укажите интерфейс WAN (out-interface=ether1) и задайте действие action=masquerade. Это включит NAT для выхода в интернет.

Для проброса портов создайте правило в разделе IP → Firewall → NAT с параметрами:

Проверьте работу проброса командой в терминале: /ip firewall nat print. Если правило не применяется, убедитесь, что в разделе IP → Services нужный порт не занят (например, www-ssl для 443).

Для безопасности добавьте фильтр в Firewall → Filter Rules, разрешающий только нужные IP-адреса или подсети. Укажите src-address и dst-port, чтобы ограничить доступ.

Конфигурация простого межсетевого экрана

Откройте Winbox, перейдите в раздел IP → Firewall и создайте новое правило в цепочке input. Укажите протокол tcp, добавьте порты 22, 80, 443 для доступа к роутеру и веб-интерфейсу. В поле Action выберите accept.

Блокировка нежелательного трафика

Добавьте правило выше разрешающих, установите Chain в input и выберите drop в поле Action. Включите параметр invalid в закладке Extra, чтобы отсечь поврежденные пакеты.

Для защиты локальной сети перейдите в цепочку forward. Разрешите внутренний трафик, указав интерфейс LAN в In. Interface и выбрав accept. Добавьте правило с drop для всех остальных подключений.

Ограничение доступа извне

Создайте правило в цепочке input с действием drop для интерфейса WAN. Исключите из блокировки только те порты, которые должны быть доступны (например, 80 для веб-сервера).

Проверьте настройки через Tools → Ping и убедитесь, что внешние запросы к закрытым портам отклоняются. Сохраните конфигурацию в разделе Files, чтобы быстро восстановить правила при сбое.

Управление пользователями и доступом

Создайте отдельных пользователей для каждого администратора, чтобы контролировать доступ к настройкам MikroTik. Перейдите в System → Users, нажмите Add New и укажите логин, пароль и группу.

Настройка прав доступа

Группы определяют, какие разделы интерфейса доступны пользователю. Например:

• full – полный доступ ко всем функциям.
• read – только просмотр настроек без изменений.
• write – редактирование, но без доступа к системным разделам.

Для ограниченного доступа создайте новую группу в System → Groups. Отметьте галочками нужные разрешения, например, ssh, web или winbox.

Безопасное подключение

Отключите вход по умолчанию через admin без пароля. В IP → Services измените параметры для ssh, winbox и api:

• Оставьте только доверенные IP-адреса в Available From.
• Измените стандартные порты (например, 22 для SSH).

Используйте Secret вместо пароля в настройках пользователя – это включит шифрование учетных данных.