Данная инструкция поможет настроить роутер MikroTik с нуля. В материале рассмотрены только базовые действия: настройка локальной сети, подключение к интернету и минимальная настройка безопасности.
Мы не будем углубляться в сложные функции и дополнительные сценарии. Ниже приведены только те шаги, которые рекомендуется выполнить в первую очередь.
1. Настройка локальной сети
Настройка локальной сети начинается с объединения Ethernet-портов в Bridge. Для этого откройте раздел Bridge и перейдите на вкладку Bridge. Нажмите кнопку New, после чего в открывшемся окне нажмите OK.
Рисунок 1 – раздел Bridge
Далее в разделе Bridge перейдите на вкладку Ports, где необходимо поочередно добавить порты роутера в созданный сетевой мост. Для этого нажмите кнопку New и в открывшемся окне заполните параметры Interface и Bridge. В поле Interface укажите ether2, а в поле Bridge — ранее созданный мост bridge1, затем нажмите OK.
Повторите это действие для всех остальных портов, кроме ether1. Этот порт будет использоваться для подключения провайдера.
Рисунок 2 – добавление портов
Следующим шагом создайте Interface List. Для этого откройте раздел Interfaces и перейдите на вкладку Interface List. Нажмите Lists, затем в открывшемся окне нажмите кнопку New. В поле Name укажите имя списка, например LAN, и нажмите OK. Аналогичным образом можно сразу создать список WAN.
Рисунок 3 – раздел Interfaces
После этого добавьте интерфейсы в созданные списки. Во вкладке Interface List нажмите New и заполните параметры List и Interface. Для локальной сети в поле List выберите LAN, а в поле Interface — сетевой мост bridge1. Нажмите OK.
Затем повторите действие для внешнего интерфейса: в поле List выберите WAN, а в поле Interface укажите ether1.
Рисунок 4 – добавление листов интерфейсов
Далее назначьте локальному интерфейсу IP-адрес. Для этого откройте раздел IP → Addresses и нажмите New. В открывшемся окне заполните параметры Address и Interface. В поле Address укажите нужный IP-адрес, например 192.168.1.1/24, а в поле Interface выберите мост bridge1. После этого нажмите OK.
Обратите внимание: в поле Address используется формат IP/маска, например 192.168.1.1/24.
Рисунок 5 – раздел IP Addresses
Теперь настройте DHCP-сервер. Для этого перейдите в раздел IP → DHCP Server, нажмите кнопку DHCP Setup и последовательно заполните параметры мастера настройки.
Обратите внимание: большинство параметров будет заполнено автоматически. Как правило, вручную требуется проверить или изменить только параметры DHCP Server Interface и DNS Servers. Остальные значения обычно можно оставить без изменений и нажимать Next.
- DHCP Server Interface — выберите сетевой мост bridge1.
- DHCP Address Space — укажите сеть DHCP-сервера, например 192.168.1.0/24.
- Gateway for DHCP Network — укажите основной шлюз, обычно это локальный адрес самого роутера, например 192.168.1.1.
- Addresses to Give Out — задайте диапазон адресов, выдаваемых клиентам, например 192.168.1.2-192.168.1.254.
- DNS Servers — укажите адрес DNS-сервера. В базовом варианте можно использовать адрес роутера, например 192.168.1.1.
- Lease Time — задайте желаемый срок аренды IP-адреса.
Рисунок 6 – настройка DHCP
2. Настройка интернета
В зависимости от параметров, выданных провайдером, обычно используется один из трех основных способов подключения к интернету:
- подключение через DHCP от провайдера;
- подключение с использованием статического IP-адреса;
- подключение по протоколу PPPoE.
Рассмотрим каждый вариант по порядку.
Подключение интернета через DHCP от провайдера
Откройте раздел IP → DHCP Client, перейдите на вкладку DHCP Client и нажмите кнопку New. В открывшемся окне в поле Interface выберите порт ether1. Также убедитесь, что установлены флажки Use Peer DNS и Use Peer NTP, затем нажмите OK.
Рисунок 7 – подключение по DHCP от провайдера
Подключение интернета с использованием статического IP-адреса
Откройте раздел IP → Addresses и нажмите New. В открывшемся окне заполните параметры Address и Interface. В поле Address укажите статический IP-адрес, предоставленный провайдером, например 192.168.31.130, а в поле Interface выберите ether1. Нажмите OK.
Рисунок 8 – статический IP-адрес
После этого откройте раздел IP → Routes и нажмите New. В открывшемся окне заполните параметры Dst. Address и Gateway. В поле Dst. Address укажите 0.0.0.0/0, а в поле Gateway — основной шлюз, выданный провайдером, например 192.168.31.1. Нажмите OK.
Рисунок 9 – настройка маршрута для статического IP
Подключение интернета по протоколу PPPoE
Откройте раздел PPP, нажмите кнопку New и выберите PPPoE Client. В открывшемся окне на вкладке General заполните параметры Name и Interface. В поле Name укажите имя подключения, например pppoe-out1, а в поле Interface выберите порт ether1.
Затем перейдите на вкладку Dial Out и введите в поля User и Password логин и пароль, предоставленные провайдером. Также убедитесь, что установлены флажки Use Peer DNS и Add Default Route, после чего нажмите OK.
Рисунок 10 – подключение по протоколу PPPoE
Основные варианты подключения к провайдеру рассмотрены. Далее настройте DNS-сервер.
Для этого откройте раздел IP → DNS и добавьте в список предпочтительные DNS-серверы, нажав на значок + рядом с параметром Servers. Это могут быть DNS-серверы провайдера или публичные DNS-серверы. Если сетевые параметры получаются от провайдера по DHCP, его DNS-серверы будут отображаться в поле Dynamic Servers.
Если добавить собственные DNS-серверы вручную, они будут иметь более высокий приоритет. В данном примере используются публичные DNS-серверы. После этого установите флажок Allow Remote Requests и нажмите OK.
Рисунок 11 – настройка DNS
Следующий шаг — настройка NAT. Для этого откройте раздел IP → Firewall, перейдите на вкладку NAT и нажмите New. На вкладке General укажите параметры Chain и Out. Interface List. В поле Chain выберите srcnat, а в поле Out. Interface List — ранее созданный список интерфейсов WAN.
Затем перейдите на вкладку Action и в поле Action выберите masquerade, после чего нажмите OK.
Рисунок 12 – настройка NAT
Рисунок 12 – настройка NAT
3. Настройка безопасности
На завершающем этапе рекомендуется выполнить базовую настройку безопасности роутера.
Сначала настройте межсетевой экран. Для этого откройте раздел IP → Firewall и перейдите на вкладку Filter Rules.
Первым правилом разрешите соединения со статусами established, related и untracked. Для этого нажмите New. В открывшемся окне на вкладке General в поле Chain выберите input. В параметре Connection State нажмите значок + и отметьте значения established, related и untracked. Затем перейдите на вкладку Action, в поле Action выберите accept и нажмите OK.
После этого создайте аналогичное правило для цепочки forward.
Рисунок 13 – межсетевой экран
Далее разрешите протокол ICMP. Для этого создайте новое правило, на вкладке General в поле Chain выберите input, в поле Protocol укажите icmp, а в поле In. Interface List выберите WAN. На вкладке Action установите значение accept и нажмите OK.
Следующим шагом создайте правило, запрещающее все остальные подключения к роутеру со стороны внешней сети. Для этого на вкладке General в поле Chain выберите input, а в поле In. Interface List укажите WAN. На вкладке Action установите значение drop и нажмите OK.
Также создайте аналогичное правило для цепочки forward. Для этого на вкладке General в поле Chain выберите forward, в поле In. Interface List укажите WAN, а в параметре Connection NAT State установите отрицание и выберите значение dstnat. На вкладке Action также укажите drop и нажмите OK.
Рисунок 14 – запрет входящих подключений
В результате должна получиться базовая конфигурация межсетевого экрана.
Обратите внимание: данный набор правил является минимально необходимой базовой конфигурацией, обеспечивающей начальный уровень безопасности.
Рисунок 15 – минимальный межсетевой экран
Далее отключите ненужные сетевые службы. Для этого откройте раздел IP → Services и отключите все службы, кроме ssh и winbox, с помощью кнопки Disable.
Рисунок 16 – отключение сетевых служб
После этого ограничьте обнаружение MikroTik в сети только локальным сегментом. Для этого откройте раздел IP → Neighbors и нажмите Discovery Settings. В открывшемся окне в поле Interface выберите LAN, затем нажмите OK.
Рисунок 17 – обнаружение в сети
Дополнительно ограничьте обнаружение и подключение к MikroTik по MAC-адресу только локальной сетью. Для этого откройте раздел Tools → MAC Server и нажмите MAC Telnet Server. В открывшемся окне в поле Allowed Interface List выберите LAN и нажмите OK. Аналогично настройте MAC Winbox Server.
Рисунок 18 – дополнительные ограничения
Затем создайте новую учетную запись администратора. Для этого откройте раздел System → Users и нажмите кнопку New. В открывшемся окне заполните параметры Name, Group, Password и Confirm Password. В поле Name укажите имя пользователя, в поле Group выберите full, затем задайте пароль и подтвердите его. После этого нажмите OK.
Рисунок 19 – создание учетной записи
Подключитесь к роутеру под новой учетной записью и убедитесь, что вход выполняется корректно. После этого снова откройте раздел System → Users и отключите стандартную учетную запись admin.
Рисунок 20 – подключение к роутеру
Заключение
Базовая настройка MikroTik завершена. В рамках данной инструкции были выполнены основные действия: настройка локальной сети, подключение к интернету и применение минимальных мер безопасности.
Такой конфигурации достаточно для стабильной работы роутера в домашней сети или в небольшой офисной инфраструктуре.
