Настройка роутеров MikroTik: интернет, Wi-Fi, локальная сеть

Наверно это одна из самых лучших фирм, которая выпускает не просто качественное оборудование, но при этом по приемлемой цене. Хочется отметить, что при низкой цене вы получаете друга, который будет с вами долгое время. Но есть небольшое «но» – функционал у каждой такой коробочки настолько широк, что зачастую даже опытные пользователи стопорятся в его запуске.

Но это с другой стороны и плюс. Вот у меня есть домашний роутер от ZyXEL, да он неплох, но функции у него настолько урезаны, что зачастую, если хочешь что-то сделать – то просто не можешь, так как в нем не заложены такие функции.

То ли дело MikroTik, у него присутствует огромный ряд функций, что способно превратить его в настоящий мини-сервер. Операционная система RouterOS у большинства моделей очень похожа, поэтому эта инструкция поможет большинству обладателей этих чудных коробочек. Но сразу уточню важный момент: у совсем новых моделей с Wi-Fi 6 и Wi-Fi 7 часть меню может называться не «Wireless», а «WiFi». Логика настройки остается такой же – мы создаем интернет-подключение, локальную сеть, DHCP, NAT, защиту и Wi-Fi, но названия отдельных пунктов могут немного отличаться.

Настройка MikroTik не так сложна, как кажется на первый взгляд, просто надо выполнить достаточно много шагов, которые могут запутать первопроходца. Сегодня мы разберем пошаговую инструкцию для чайников, как настроить аппарат от фирмы MikroTik.

Важно перед началом. Если роутер уже работал у вас дома или в офисе, перед сбросом лучше сохранить резервную копию. После полного сброса пропадут настройки интернета, Wi-Fi, пароли, проброс портов, VPN, гостевые сети и любые правила Firewall. Если не знаете, что было настроено раньше, хотя бы сфотографируйте текущие параметры или сделайте экспорт конфигурации. Более подробно про сброс MikroTik к заводским настройкам можно почитать тут.

Внешний вид и особенности

Давайте рассмотрим его поподробнее, перед тем как разберем вопрос.

У нас есть вход для питания, кнопка сброса настроек, индикаторы и несколько Ethernet-портов. На разных моделях внешний вид может отличаться: где-то есть USB для модема или накопителя, где-то есть SFP-порт для оптики, а где-то вообще нет Wi-Fi. Поэтому не пугайтесь, если ваша коробочка выглядит не так, как на фото. Главное – понять, какой порт вы будете использовать под интернет, а какие порты оставите для домашней локальной сети.

Дальше есть специальный порт PoE, который предназначен для питания по витой паре. Для этого в коробке может быть отдельный разветвитель с двумя концами: кабель на выход RJ45 и питание. Но PoE есть не на всех моделях, и работает оно по-разному: одни устройства умеют получать питание через Ethernet, другие умеют питать соседнее устройство, а некоторые поддерживают оба варианта. Если вы питаете роутер через PoE-инжектор, это не значит, что порт нельзя использовать для передачи данных. Просто учитывайте, куда у вас воткнут кабель провайдера, а куда идет питание.

Не путайте PoE и интернет. PoE – это питание по кабелю, а WAN – это порт, через который приходит интернет. Иногда они могут быть на одном физическом порту, например через PoE-инжектор, но это не одно и то же. Если провайдерский кабель подключен через инжектор, то данные все равно приходят в Ethernet-порт роутера, просто вместе с питанием.

Подключение

Устанавливаем аппарат, подключаем питание. Провод от провайдера и кабель, который будет идти к ноутбуку или компьютеру, можно втыкать в любой из портов с надписью Ethernet, если мы настраиваем устройство с нуля. Но для порядка я советую сразу выбрать схему: например, ether5 – интернет, а ether1-ether4 – домашняя сеть. Так вы не запутаетесь в дальнейших шагах.

Если вы настраиваете MikroTik впервые и боитесь полностью ручной настройки, можно сначала попробовать стандартную конфигурацию через Quick Set. Но в этой статье я показываю именно ручной способ, потому что он понятнее: вы сами увидите, где создается мост, где включается DHCP, где появляется NAT и почему без Firewall лучше не оставлять роутер в интернете. Обычная настройка роутера для дома описана отдельно – вот общая инструкция по настройке Wi-Fi роутера, если вам нужно сравнить MikroTik с более простыми моделями.

Как зайти в MikroTik? Настройка происходит как с Web-интерфейса, так и с помощью специализированной программы WinBox. Я считаю, что с программы управление и настройка куда удобнее, чем с веб-страницы. На текущий день WinBox доступен не только для Windows, но и для macOS и Linux. На Windows чаще всего его даже не нужно устанавливать – скачали файл, запустили и подключились.

1. Заходим на официальный сайт MikroTik и скачиваем программу WinBox – https://MikroTik.com/download.

2. Запускаем WinBox.
3. Теперь надо найти нашу машину. Для этого переходим на «Neighbors». Нажимаем на кнопочку «Refresh». Ждем, пока в таблице начнет отображаться наш аппарат. Нажимаем по MAC-адресу найденного устройства.

4. Теперь оно начало отображаться в верхней части окна. Обычно надо вписать «admin» в поле «Login», а поле «Password» оставить пустым. Но на новых MikroTik пароль по умолчанию может быть уникальным и напечатанным на наклейке устройства или на карточке в коробке. Если пустой пароль не подходит – посмотрите наклейку, упаковку и QR-код.
5. Далее вам будет предложено использовать настройки по умолчанию. Я бы этого не советовал делать в рамках этой инструкции, так как конфигурация роутера очень обширна и часто бывает, что стандартные настройки не подходят. Особенно это касается случая, когда надо вручную выбрать WAN-порт, настроить свой DHCP, свой Firewall или нестандартное подключение провайдера. В общем нажимаем «Remove Configuration» – сами все настроим.

Теперь просто ждем, пока роутер сбросит конфиг до заводских. Иногда бывает, что этого не происходит, тогда в терминале можно выполнить команду:

/system reset-configuration no-defaults=yes skip-backup=yes

После этого он перезагрузится с нулевой конфигурацией.

Не оставляйте пустую конфигурацию без защиты. После «Remove Configuration» на роутере может не быть нормальных правил Firewall. Это значит, что при неправильной настройке админка может оказаться доступной со стороны интернета. Ниже я отдельно добавил раздел про базовую защиту, его лучше не пропускать.

ПРИМЕЧАНИЕ! Все ниже перечисленные инструкции по настройке роутера MikroTik подходят для большинства устройств именно на RouterOS: RB951G-2HND, RB750R2, hEX Lite, hEX S, RB4011, RB2011, RB3011, RB1100, CCR, CRS с RouterOS, hAP, hAP ac, hAP ax и других похожих моделей. Но это не инструкция для Ubiquiti, Keenetic, TP-Link и чистых SwOS-коммутаторов MikroTik. У них другая операционная система или другое меню.

Обновление ОС

Я бы рекомендовал сразу же установить актуальную прошивку. Это важно не только ради новых функций, но и ради исправления ошибок безопасности. У MikroTik лучше не сидеть на очень старой RouterOS, особенно если устройство смотрит в интернет.

Есть два нормальных способа обновления: через WinBox в разделе «System» – «Packages» – «Check For Updates» или вручную через скачанный файл с сайта. Для домашнего роутера обычно выбирают ветку Stable. Для очень важного офиса, где главное – не новые функции, а спокойная работа, часто выбирают Long-term. Testing и Development обычному пользователю не нужны.

1. Зайдите на официальный сайт – https://www.MikroTik.com/download.
2. В разделе «RouterOS» выбираем нашу систему. Архитектура будет отображаться в верхней части открытого окна WinBox. Например, это может быть arm, arm64, mipsbe, tile или другая архитектура.

3. Скачиваем Stable-версию или Long-term, если вам нужна максимально спокойная ветка обновлений.
4. Теперь в WinBox слева выбираем раздел меню «Files».

5. Открываем папку с прошивкой. Зажимаем левой кнопкой мыши и перетаскиваем файл в окно «File List».
6. Теперь надо перезагрузить зверя. Просто идем в меню «System» и выбираем из дополнительного меню «Reboot».
7. Надо будет подождать, пока коробочка перезагрузится.
8. Теперь переходим в «System» и нажимаем на «RouterBOARD». В случае если в последних строчках значения разные – жмем «Upgrade». Если одинаковые, то ничего не делайте. После обновления RouterBOARD желательно еще раз перезагрузить устройство.

Как понять, что обновление прошло нормально? После перезагрузки зайдите в «System» – «Resources» и посмотрите версию RouterOS. Потом откройте «System» – «RouterBOARD» и сравните текущую и доступную версию прошивки платы. Если роутер работает, интернет поднялся, а в логах нет постоянных ошибок, значит можно двигаться дальше.

Настройка портов

При сбросе настроек все порты становятся равнозначные и их надо настроить. На стандартных маршрутизаторах от других компаний идет один порт для интернета и остальные для локального подключения устройств. Обычно это 1 WAN и 4 или более LAN-портов. Здесь вы можете настроить любой порт в режиме WAN или LAN. Также можно использовать хоть несколько WAN-портов, если у вас два провайдера или резервный интернет.

Итак, наша задача – настроить несколько LAN-портов и 1 WAN, то есть интернет-порт. Если какой-то порт используется для PoE-питания, все равно смотрите по вашей схеме: через него могут идти и данные. Я для примера буду считать, что интернет воткнут в пятый порт, а остальные порты объединяются в локальную сеть.

1. Все локальные порты я буду объединять мостом. Их у меня будет 4 штуки, если интернет на ether5.
2. Открываем «Bridge» и жмем на плюсик. И сразу «ОК» – менять ничего не надо, оставляем по стандарту. Обычно мост получит имя bridge1.

3. Теперь тут же идем в «Ports» и нажимаем на плюс.

4. Вылезет окошко «Bridge Port». В поле «Interface» выбираем все порты, кроме того, который вы будете использовать для интернета. Я буду использовать в качестве доступа к интернету пятый порт. Поэтому сначала выбираю первый порт ether1 и жму «ОК». Потом опять жму плюс и выбираю уже второй порт ether2, пока не добавлю все локальные порты в один bridge.

Если у вас есть Wi-Fi-интерфейс, его тоже нужно будет привязать к локальной сети. На старых моделях беспроводной интерфейс обычно называется wlan1, на новых – может быть wifi1 или wifi2. Логика такая же: если Wi-Fi должен быть в вашей домашней сети, он должен оказаться в этом же bridge или работать через настройки, которые в итоге подключают его к LAN.

Настройка IP интерфейса

Если у вас офис или небольшая организация, то стоит задать IP роутера под маску сети, которую вы используете. Особенно это полезно, когда на рабочих компьютерах уже проставлены статические IP-адреса.

Для дома чаще всего удобно использовать адрес вроде 192.168.88.1/24, 192.168.1.1/24 или 192.168.0.1/24. Важно, чтобы сеть роутера не конфликтовала с сетью провайдера или другого роутера. Например, если перед MikroTik уже стоит модем с адресом 192.168.1.1, то самому MikroTik лучше дать другую подсеть, например 192.168.88.1/24. Иначе устройства могут путаться, где локальная сеть, а где внешний шлюз.

1. Переходим во вкладку «IP».
2. Теперь беспощадно выбираем раздел «Addresses».

3. Нажимаем на плюсик и вписываем новый адрес маршрутизатора. Если в вашей сети используются статические адреса, то поставьте третью цифру, как у рабочих компьютеров. Можете выбрать такое же значение, как у меня. Обязательно нажмите на «Interface» и выберите мост, который мы создали ранее из совокупности портов.

Пример: если я хочу, чтобы роутер был доступен по адресу 192.168.88.1, я вписываю 192.168.88.1/24 и выбираю bridge1. Число /24 означает обычную домашнюю маску 255.255.255.0. Это значит, что устройства в сети будут получать адреса примерно из диапазона 192.168.88.2 – 192.168.88.254.

Интернет

Настроек очень много, но я постараюсь рассказать про самые популярные. Перед настройкой посмотрите договор, личный кабинет провайдера или сообщение от мастера. Вам нужно понять тип подключения: динамический IP, статический IP, PPPoE, L2TP, PPTP или подключение через модем. Если провайдер выдал логин и пароль, почти всегда их надо куда-то вводить, а если ничего не выдал – чаще всего используется динамический IP.

Если есть привязка MAC-адреса

Об этом можно узнать в договоре или позвонив в техническую поддержку. Такая функция сейчас используется реже, чем раньше, но все еще встречается. Наша задача – установить привязанный MAC-адрес к роутеру. Откройте терминал.

Теперь вписываем команду:

/interface ethernet set ether5 mac-address=XX:XX:XX:XX:XX:XX

Замените XX:XX:XX:XX:XX:XX на MAC-адрес, который зарегистрирован у провайдера. Также замените ether5 на номер порта, который используется у вас для интернета. Я использую пятый порт, но вы можете использовать ether1, ether2, ether3 или ether4.

Если провайдер разрешает менять привязку через личный кабинет, лучше сделать это официально, а не клонировать MAC-адрес. Клонирование помогает быстро запустить интернет, но потом можно самому забыть, что на роутере стоит чужой MAC. Особенно это неудобно, когда вы меняете оборудование или отдаете старый роутер другому человеку.

Динамический IP

1. Переходим во вкладку «IP».
2. Далее выбираем «DHCP Client», в качестве которого выступает наш роутер.

3. Опять нажимаем на полюбившийся синий крестик.
4. Теперь во вкладке «Interface» надо выбрать тот порт, который вы оставили для интернета и которого нет в нашем bridge1. Как я уже говорил ранее, я оставил пятый порт для этого, поэтому выбираю его.

5. В самом конце давайте проверим, какой IP мы получили. Для этого переходим в раздел «IP», после этого выбираем «Addresses». Появится наше подключение по интерфейсу моего пятого порта. У вас может отображаться другой порт, смотря какой вы выбрали для интернета. Просто нажмите на него, и вы увидите полученный адрес.

Теперь надо настроить DHCP, чтобы интернет раздавался по локальной сети. Но сам по себе полученный адрес еще не означает, что интернет уже есть на телефонах и ноутбуках. Роутер сначала должен получить внешний адрес, потом выдать адреса локальным устройствам, потом включить NAT и Firewall. Это нормальная цепочка, поэтому не перескакивайте через шаги.

3G/4G модем

Инструкция схожа с динамическим подключением. Только надо выбрать другой интерфейс.

1. IP.
2. DHCP Client.
3. + (add).
4. В «Interfaces» выбираем LTE-интерфейс, например lte1.

Если интернет не появится, то для начала активируйте модем стандартным образом на компьютере, а потом снова попробуйте поймать адрес как в инструкции выше. На некоторых модемах еще надо прописать APN оператора. Это делается в разделе «Interfaces» – «LTE» или в настройках LTE APN. APN лучше брать на сайте оператора или в личном кабинете, потому что у разных операторов он отличается.

Еще момент: не каждый USB-модем нормально работает с каждой моделью MikroTik. Бывает, что модем определяется как флешка, требует переключения режима или вообще не поддерживается. Если модем нужен для постоянного интернета, я бы сначала проверил совместимость конкретной модели модема и RouterOS, а уже потом покупал связку для дома или дачи.

Настройка L2TP/PPTP

1. Сначала делаем настройку получения динамического адреса как в первой инструкции.
2. Ищем в левом меню раздел «PPP» и нажимаем по нему.
3. Теперь надо добавить соединение, для этого нажимаем на плюс и выбираем «PPTP Client» или «L2TP Client».

4. В первой вкладке указываем имя подключения. Теперь идем во вторую.

5. Берем листочек от провайдера с информацией и заполняем первые три строчки. Профиль устанавливаем по умолчанию, а таймаут в значение 60. Также в поле «Default Route Distance» ставим 1.

Про PPTP отдельно. PPTP считается устаревшим и слабым с точки зрения безопасности. Если это просто тип подключения к интернету от провайдера, используем то, что выдал провайдер. Но если вы сами выбираете VPN для удаленного доступа, лучше смотреть в сторону WireGuard, IKEv2/IPsec или L2TP с IPsec, если оно поддерживается вашей схемой.

PPPoE

Это частое подключение, которое используется не только с ADSL-модемами, но и с обычным кабельным или оптическим интернетом. Если перед MikroTik стоит отдельный модем или терминал провайдера, он часто должен быть настроен в мостовой режим работы, то есть Bridge. В этом случае логин и пароль PPPoE вводятся именно на MikroTik.

1. Выбираем раздел «PPP».
2. Нажимаем на красный как борщ крестик для добавления режима.
3. Выбираем из выпадающего списка именно наш вариант с приставкой «Client».

4. Указываем имя соединения.
5. В интерфейсе надо выбрать тот порт, к которому подключен кабель провайдера или модем. Этот порт не находится в нашем bridge1.

6. Идем на вторую вкладку.
7. Указываем логин и пароль, которые написаны в договоре поставщика услуг. Обязательно поставьте галочку «Use Peer DNS», если хотите автоматически получать DNS от провайдера. И далее нажимаем «ОК». Если после этого напротив нового подключения появилась буква «R», то интернет есть. В противном случае могут быть проблемы у провайдера, с логином и паролем или с настройками модема.

Если PPPoE не поднимается, проверьте три вещи. Первое – правильно ли указан интерфейс, потому что PPPoE надо запускать на WAN-порту, а не на bridge. Второе – нет ли лишнего пробела в логине или пароле. Третье – не требует ли провайдер VLAN ID. Если в договоре указано что-то вроде «VLAN 10», «VLAN 35» или «802.1Q», то сначала нужно создать VLAN-интерфейс на WAN-порту и уже поверх него запускать PPPoE.

Статический IP

Для начала достаньте настройки от провайдера. Они должны быть в договоре. Там обязательно должны быть указаны: статический IP, маска, шлюз и DNS.

1. Опять идем в «IP».
2. Решительно выбираем раздел «Addresses».
3. Опять на крестик. Теперь, дорогие мои друзья, во вкладке «Interface» надо выбрать интернет WAN-порт. Я выбираю пятый. Тут же вписываем статический IP-адрес, который предоставляет провайдер. Ну и не забываем про маску.

4. Осталось добавить шлюз. Во вкладке «IP» выбираем «Routes». Устанавливаем провайдерский шлюз в поле «Gateway».
5. По идее интернет уже должен гулять по вашему роутеру, но не спешите радоваться, так как мы забыли добавить DNS. Без них вы не сможете обращаться к сайтам по привычным символьным или URL-адресам. Но давайте все-таки проверим, есть ли контакт с интернетом. Зайдите в терминал.

6. Давайте пропингуем DNS от Google. Вписываем команду ping 8.8.8.8 и нажимаем Enter.

7. Если соединение есть, то вы увидите доставленные пакеты.
8. В том же разделе «IP» переходим в пункт «DNS».

9. Вписываем адрес DNS. Если их два или более, нажимаем на стрелочку. Ставим галочку «Allow Remote Requests», если хотим, чтобы локальные устройства могли использовать сам роутер как DNS-сервер.

Все, интернет есть, для пущей уверенности можете зайти в терминал и проверить поддержку URL-адресов. Для этого можете вписать команду с известным вам адресом: «ping google.com» или «ping yandex.ru». Но интернет есть только внутри этой нехитрой коробочки, чтобы он разлился и на другие устройства, надо настроить DHCP.

Подсказка по DNS. Если вы включаете «Allow Remote Requests», обязательно позже закройте доступ к DNS со стороны интернета через Firewall. Для локальной сети это удобно: телефоны и компьютеры спрашивают DNS у роутера. Но если DNS будет открыт наружу, роутер могут использовать в чужих сетевых атаках.

Настройка DHCP-сервера для локальных устройств

Эта штучка не только будет раздавать интернет, но также распределять IP-адреса в автономном режиме.

1. Опять в той же вкладке «IP» переходим на «DHCP Server».
2. Выбираем вторую кнопку «DHCP Setup».

3. В строке выбираем наш созданный ранее мост, в который входят все локальные LAN-порты.
4. Нажимаем далее.
5. В первом окне вам будет предложено установить диапазон адресного пространства, в автономном режиме будет поставлена подсеть роутера. В моем случае это девятая подсеть. Просто нажимаем далее.
6. Позже указывается шлюз, который будет использоваться другими устройствами. Если вы делаете настройку для дома, то оставляйте поле по стандарту. Там будет стоять IP этого роутера. Опять идем далее.
7. Теперь вы можете поставить, какие адреса будут выдаваться устройствам. Например, иногда нужно зарезервировать адреса для камер видеонаблюдения, сетевых принтеров, телевизоров или NAS. Но для дома в этом часто нет необходимости, просто опять идем «Далее».

8. В самом конце указываем DNS-адрес, который будет использоваться. Оставляем адрес роутера и идем дальше.

Все, локальная сеть настроена и телефоны, планшеты, телевизоры и другие сетевые устройства смогут подключиться в единое сетевое пространство. Но интернета пока нет, остался последний штрих – настроить NAT.

Если вам нужны постоянные адреса для отдельных устройств, делайте не ручной IP на каждом телефоне или телевизоре, а DHCP Reservation. Смысл простой: устройство получает адрес автоматически, но роутер всегда выдает ему один и тот же IP по MAC-адресу. Это удобно для камер, принтеров, домашних серверов и проброса портов. Если вы потом поменяете схему сети, все такие адреса проще контролировать прямо в MikroTik.

NAT

Если говорить простым языком, то эта функция позволяет распределять интернет между подключенными устройствами в локальной сети. Ваш телефон получает внутренний адрес вроде 192.168.88.25, а сайт в интернете видит внешний адрес вашего роутера. NAT как бы подменяет внутренние адреса на внешний, чтобы несколько домашних устройств могли работать через одно подключение провайдера.

1. Идем в нашу любимую вкладку «IP».
2. Теперь выбираем «Firewall».
3. Переходим на вкладку «NAT» и нажимаем на плюс.

4. В поле «Chain» выбираем «srcnat». В выходном интерфейсе «Out. Interface» надо указать порт или подключение, через которое роутер выходит в интернет. Если у вас динамический IP или статический IP на ether5 – указываем ether5. Если интернет через PPPoE – указываем созданный PPPoE-интерфейс, например pppoe-out1.

5. В четвертой вкладке «Action» в первом поле из выпадающего меню выбираем «masquerade».

Ура, теперь интернет гуляет по проводам, но пока беспроводной режим не настроен. Осталось подправить конфиг Wi-Fi-сети и можно полноценно им пользоваться.

Если вам когда-нибудь понадобится открыть доступ к камере, серверу или игре из интернета, это уже отдельная настройка NAT – проброс портов. Сразу все порты открывать нельзя, потому что это небезопасно. Лучше открывать только конкретный порт и только на конкретное устройство. Более подробно про проброс портов на MikroTik написано здесь.

Базовая защита Firewall

Этот раздел я бы не пропускал. NAT сам по себе не является полноценной защитой админки роутера. Если после сброса вы настраиваете MikroTik с нуля, надо хотя бы закрыть доступ к самому роутеру со стороны интернета. Иначе снаружи могут начать стучаться в WinBox, SSH, WebFig, DNS и другие службы.

Самый простой принцип такой: из локальной сети к роутеру можно, из интернета к роутеру нельзя. Для примера я использую bridge1 как локальную сеть и ether5 как WAN. Если у вас WAN называется иначе, замените его на свой интерфейс. Если интернет через PPPoE, в правилах вместо ether5 указывайте ваш PPPoE-интерфейс.

Можно добавить правила через «IP» – «Firewall» – «Filter Rules», но новичку быстрее вставить команды в терминал:

/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="Allow established to router"
add chain=input action=drop connection-state=invalid comment="Drop invalid to router"
add chain=input action=accept protocol=icmp comment="Allow ping"
add chain=input action=accept in-interface=bridge1 comment="Allow LAN to router"
add chain=input action=drop in-interface=ether5 comment="Drop WAN to router"
add chain=forward action=accept connection-state=established,related,untracked comment="Allow established forward"
add chain=forward action=drop connection-state=invalid comment="Drop invalid forward"
add chain=forward action=accept in-interface=bridge1 out-interface=ether5 comment="Allow LAN to internet"
add chain=forward action=drop in-interface=ether5 comment="Drop WAN to LAN"

Проверьте интерфейс WAN. В примере стоит ether5, потому что выше я выбрал пятый порт для интернета. Если вы подключили интернет в ether1 или используете pppoe-out1, команды надо изменить под вашу схему. Неправильный интерфейс в Firewall может привести к тому, что защита не сработает или локальная сеть потеряет доступ в интернет.

После добавления правил проверьте, что интернет работает на компьютере и телефоне. Потом попробуйте зайти в WinBox из локальной сети. Если все открывается из дома, но не торчит наружу, значит базовая защита уже стала намного лучше. Для сложных схем с VLAN, гостевыми сетями, VPN и IPv6 правила надо дорабатывать отдельно.

Wi-Fi

На старых моделях MikroTik настройка Wi-Fi находится в разделе «Wireless». На новых моделях с современными драйверами меню может называться «WiFi». Если у вас нет раздела «Wireless», не паникуйте – скорее всего, у вас новая ветка настройки беспроводной сети.

Коротко по отличиям. «Wireless» – это старое меню для многих популярных моделей 2.4 ГГц и 5 ГГц. «WiFi» – новое меню для современных устройств и новых драйверов. В старом меню чаще настраивают WPA2-PSK, AES и wlan1. В новом меню можно встретить WPA3, конфигурационные профили и интерфейсы wifi1/wifi2. Если нужна отдельная подробная инструкция именно по беспроводной сети, посмотрите статью про настройку Wi-Fi на MikroTik.

1. Переходим в раздел беспроводной сети «Wireless».

2. Как вы видите, сеть там уже есть, но она спит. Чтобы ее разбудить, просто выделите ее, а потом нажмите на галочку.

3. Теперь после сна находим вкладку «Security Profiles». Здесь мы установим пароль и зададим тип шифрования.

4. Вписываем имя профиля. В качестве режима устанавливаем динамические ключи.
5. Для обычной домашней сети лучше использовать WPA2-PSK и AES-CCM. Старый WPA лучше не включать, если у вас нет совсем древних устройств, потому что он слабее по безопасности. WEP и TKIP тоже не используем.
6. Ниже будет две строчки для пароля. Придумайте сложный пароль, но тот, который вы запомните. Не используйте чисто цифровые пароли – это чревато взломами. Нормальный пароль – это хотя бы 12-16 символов, где есть буквы и цифры. Нажимаем «ОК».
7. Теперь переходим на первую вкладку интерфейсов.
8. Два раза нажмите по этому соединению левой кнопкой мыши, пока не откроются настройки. Переходим во вторую вкладку. А теперь по пунктам, что ставить:

Mode: ap_bridge
Band: 2GHz-B/G/N
Channel Width: 20MHz
Frequency: auto или свободный канал
SSID: тут будет название вашей сети
Scan List: default
Wireless Protocol: 802.11
Security Profile: ваш профиль безопасности
WPS Mode: disabled
Bridge Mode: enabled
VLAN Mode: no tag
VLAN ID: 1

9. Убедитесь, что галочки напротив «Default Authenticate» и «Default Forward» стоят.
10. Нажимаем «ОК».

Для 2.4 ГГц я бы не ставил ширину 40 МГц без необходимости. В многоквартирном доме она часто делает только хуже: соседних сетей много, эфир забит, скорость прыгает. Ширина 20 МГц обычно стабильнее. Канал можно выбрать вручную после сканирования эфира, но для новичка допустимо оставить auto и потом проверить, как сеть работает в реальности.

Если у вас двухдиапазонный MikroTik, настройте отдельно 2.4 ГГц и 5 ГГц. Для 2.4 ГГц оставляем совместимость и дальность, а для 5 ГГц получаем скорость выше, но радиус обычно меньше. Названия сетей можно сделать одинаковыми, чтобы устройства сами переключались, или разными, например Home и Home_5G. Для новичка разные имена часто понятнее: сразу видно, к какому диапазону подключен телефон или ноутбук.

Если хотите дать интернет гостям и при этом не пускать их к вашим компьютерам, телевизору и NAS, нужна отдельная гостевая сеть. Просто создать второй SSID мало – его надо отделить от основной сети правилами и адресацией. Подробная инструкция есть здесь: настройка гостевого Wi-Fi на MikroTik.

Установка пароля от администраторской панели

1. Заходим во вкладку «System» и переходим в «Users».
2. Теперь вы увидите пользователя. На старых устройствах у него может вообще не быть пароля, а на новых пароль может быть заводским и указанным на наклейке.
3. Нажимаем правой кнопкой и далее переходим в самый низ в раздел пароля. Теперь просто устанавливаем значение.

4. Но лучше создать нового пользователя. Нажимаем на крестик и указываем данные:
   1. Name – логин, под которым вы будете заходить.
   2. Group – группа доступа, указываем full, если это ваш основной администратор.
   3. Password и Confirm Password – два раза впишите сложный пароль.
5. Старого пользователя лучше выключить. Просто выделяем его и жмем на крестик рядом с галочкой.

Минимум по безопасности после настройки. Поменяйте пароль администратора, отключите лишние службы в «IP» – «Services», не открывайте WinBox в интернет без VPN, проверьте правила Firewall и обновляйте RouterOS. Для дома этого уже достаточно, чтобы не оставить роутер совсем голым.

В разделе «IP» – «Services» можно отключить то, чем вы не пользуетесь. Например, если вы заходите только через WinBox, вам не нужны открытые Telnet и FTP. WebFig тоже можно отключить, если вы им не пользуетесь. Чем меньше служб доступно, тем меньше шанс, что кто-то будет пытаться подобрать пароль или использовать старую уязвимость.

Проверка после настройки

После всех шагов я советую пройти небольшой чек-лист. Он помогает быстро понять, где именно ошибка, если интернет не заработал.

• Роутер доступен из локальной сети. Вы можете зайти в WinBox по MAC-адресу или IP-адресу роутера.
• WAN получил адрес. В «IP» – «Addresses» или в статусе PPPoE видно, что подключение поднялось.
• Пинг по IP проходит. В терминале выполните ping 8.8.8.8. Если ответы идут, внешний доступ уже есть.
• Пинг по имени проходит. Выполните ping google.com. Если IP пингуется, а имя нет – проблема в DNS.
• Клиенты получают адреса. На компьютере или телефоне должен быть адрес из вашей локальной сети, например 192.168.88.x.
• NAT включен. В «IP» – «Firewall» – «NAT» должно быть правило masquerade на правильный WAN-интерфейс.
• Wi-Fi защищен паролем. Сеть не должна быть открытой, WPS лучше отключить.

Если что-то не работает, не меняйте сразу все подряд. Сначала проверяйте по цепочке: кабель провайдера, WAN-адрес, маршрут, DNS, DHCP, NAT, Firewall. Так проще найти одну конкретную ошибку, а не создать еще пять новых.

Частые вопросы

Можно ли настроить MikroTik через браузер, без WinBox?

Да, можно. Для этого используется WebFig, то есть веб-интерфейс RouterOS. Но я все равно советую WinBox, потому что он удобнее показывает соседние устройства, умеет подключаться по MAC-адресу и обычно быстрее работает при первичной настройке. Через браузер лучше заходить уже после того, как вы задали IP-адрес роутера и нормально подняли локальную сеть.

 

Почему после настройки DHCP интернет на телефоне все равно не работает?

DHCP только выдает устройству локальный IP, шлюз и DNS. Для выхода в интернет еще нужен рабочий WAN и NAT. Проверьте, получил ли сам MikroTik интернет от провайдера, проходит ли ping 8.8.8.8 из терминала роутера и есть ли правило masquerade в NAT. Если пинг с роутера есть, а с телефона нет, чаще всего ошибка в NAT, DHCP или Firewall.

 

Что лучше выбрать для дома – удалить конфигурацию или оставить стандартную?

Если вам нужен быстрый запуск и у вас обычный динамический IP, можно оставить стандартную конфигурацию и настроить все через Quick Set. Если вы хотите понять RouterOS, сделать свою схему портов, настроить PPPoE, VLAN, гостевые сети или строгий Firewall, лучше настраивать вручную. Главное – не забыть после удаления конфигурации добавить защитные правила.

 

Нужно ли включать WPA3 на MikroTik?

Если ваша модель и ваши устройства поддерживают WPA3, его можно использовать. Но у некоторых старых телефонов, ноутбуков, телевизоров и умных устройств с WPA3 бывают проблемы. Для обычного дома безопасный и совместимый вариант – WPA2-PSK с AES и сложным паролем. Если все устройства новые, можно пробовать смешанный режим WPA2/WPA3.

 

Почему WinBox не видит роутер в Neighbors?

Проверьте кабель, питание, сетевую карту компьютера и временно отключите VPN или сторонний firewall на ПК. Иногда помогает подключиться напрямую кабелем к одному из LAN-портов и нажать «Refresh». Если роутер уже был настроен раньше, его могли перевести в другую сеть или запретить обнаружение. В крайнем случае помогает сброс, но перед этим помните, что старые настройки будут удалены.

 

Можно ли открыть доступ к WinBox из интернета?

Технически можно, но я не советую так делать. Гораздо безопаснее поднять VPN и заходить в админку только через него. Если открыть WinBox наружу, роутер начнут сканировать и пытаться подобрать пароль. Для домашнего пользователя это лишний риск.

Видео инструкция

YouTube