Основы настройки MikroTik RouterOS: пошаговая инструкция для дома и малого офиса - VEK-IT

Кому подходит эта инструкция

Материал рассчитан на системных администраторов малого офиса, домашних инженеров и IT-специалистов, которые берут в работу устройство MikroTik на RouterOS 7 впервые или хотят привести базовую конфигурацию к понятному и надёжному виду. Подойдёт для бюджетных офисов до ~50 устройств (зависит от модели и лицензии), но не покрывает высоконагруженные дата‑центры или крупные провайдерские конфигурации.

Что подготовить перед началом

Устройство MikroTik (RouterBOARD, hAP, CCR и т.д.) с RouterOS 7 (проверить версию и пакет wireless при необходимости).
Кабели: один для WAN (подключение к модему/оптоволокну/MBU), один или несколько для LAN; переходник/адаптер USB‑Serial, если нужен консольный доступ.
ПК с Ethernet и/или доступ по Wi‑Fi, клиент SSH/WinBox/WebFig (браузер).
Схема сети и адресный план (см. примеры ниже).
Доступ к документации и актуальной прошивке (сайт MikroTik) и резервный план доступа на случай ошибок (консоль или физический доступ).

Типовая схема подключения

Минимальная схема: Интернет (модем провайдера) → WAN-порт MikroTik → LAN (коммутатор/мост) → клиенты. Для Wi‑Fi: точка доступа или встроенный радиоинтерфейс устройства.

WAN: порт, получающий публичный IP или работающий с PPPoE/L2TP/PPtP.
LAN: внутренний интерфейс/bridge с DHCP-сервером.
Management: либо VLAN/отдельная подсеть для управления, либо доступ по WinBox/WebFig с ограничением по адресу.

Первый вход — порядок действий

По умолчанию многие модели MikroTik имеют IP 192.168.88.1 и включённый DHCP на LAN. Однако это зависит от модели и образа. Поэтому сначала:

Подключитесь по Ethernet к одному из LAN‑портов и получите IP по DHCP (если он включён).
Откройте WinBox/WebFig или SSH (обычно порт 22/8291 для WinBox). Если WinBox недоступен, используйте serial/USB‑консоль.
Смените дефолтные пароли и настроьте время/часовой пояс.

Безопасность при первом входе

Не оставляйте административный доступ открытым в Интернет.
Создайте учётную запись с минимально необходимыми правами для регулярной работы и отдельный пользователь для экстренного доступа.
По возможности ограничьте доступ по IP (белый список) и используйте ключи SSH вместо паролей.

Практическая настройка: адресация, WAN, LAN, DHCP и DNS

Ниже — практические команды для RouterOS 7 (CLI). В примерах использован адресный план, который вы можете адаптировать под себя.

Пример адресного плана

WAN: динамический (DHCP от провайдера) или статический в примере — получаем от провайдера.
LAN (основная): 192.168.10.0/24 — шлюз 192.168.10.1
Wi‑Fi/Office: 192.168.10.0/24 (разные SSID в одной подсети или отдельная — по желанию)
Guest: 192.168.20.0/24 — изолированная подсеть для гостей
Management (опционально): 192.168.100.0/29 — для доступа админов

Создание bridge для LAN и настройка IP

/interface bridge add name=bridge-local
/interface bridge port add bridge=bridge-local interface=ether2
/interface bridge port add bridge=bridge-local interface=ether3
# Добавьте другие порты при необходимости
/ip address add address=192.168.10.1/24 interface=bridge-local comment="LAN gateway"

Настройка DHCP‑сервера

/ip pool add name=dhcp_pool ranges=192.168.10.10-192.168.10.200
/ip dhcp-server add name=dhcp1 interface=bridge-local lease-time=3d address-pool=dhcp_pool
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1

Настройка WAN (пример: динамический IP от провайдера)

# Предположим, что ether1 подключён к модему провайдера
/ip dhcp-client add interface=ether1 disabled=no
# Для статического IP используйте:
#/ip address add address=<ваш_IP>/mask interface=ether1

NAT для выхода в Интернет (masquerade)

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade comment="NAT for LAN to WAN"

DNS

Можно использовать DNS провайдера или публичные (например, 1.1.1.1 или 8.8.8.8). Настройка:

/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

Базовый firewall — фильтрация входящих и транзитных соединений

Ниже — минимальный набор правил для защиты роутера. Правила написаны для RouterOS 7 и предполагают, что ether1 — WAN, bridge-local — LAN.

# Разрешаем установленные и связанные соединения
/ip firewall filter add chain=input connection-state=established,related action=accept comment="allow established related input"
/ip firewall filter add chain=forward connection-state=established,related action=accept comment="allow established related forward"

# Минимально: запрет всего входящего на WAN, кроме необходимых сервисов (например, VPN)
/ip firewall filter add chain=input in-interface=ether1 action=drop comment="drop all input from WAN"

# Разрешить ICMP (по желанию)
/ip firewall filter add chain=input protocol=icmp action=accept comment="allow icmp to router"

# Защита от сканирования и недопустимых пакетов
/ip firewall filter add chain=input connection-state=invalid action=drop comment="drop invalid"

# Разрешаем доступ к WinBox/SSH только с management подсети (пример)
/ip firewall filter add chain=input protocol=tcp dst-port=22 in-interface=!ether1 src-address=192.168.100.0/29 action=accept comment="ssh from management"
/ip firewall filter add chain=input protocol=tcp dst-port=8291 in-interface=!ether1 src-address=192.168.100.0/29 action=accept comment="winbox from management"
# Блокируем доступ к admin сервисам из WAN
/ip firewall filter add chain=input in-interface=ether1 action=drop comment="block admin access from wan"

Примечание: порядок правил важен. Всегда проверяйте правила по очереди и используйте безопасный доступ (консоль) при применении запретительных правил.

Wi‑Fi: настройка SSID, безопасность и радио

Конфигурация Wi‑Fi зависит от модели, наличия пакета wireless и аппаратного радио. На RouterOS 7 есть изменения в управлении радиомодулями и CAPsMAN. Ниже — общий пример настройки встроенного интерфейса wlan1 (если есть):

/interface wireless set wlan1 mode=ap-bridge ssid="Office-WiFi" band=2ghz-b/g/n disabled=no
/interface wireless security-profiles add name=sec1 authentication-types=wpa2-psk mode=dynamic-keys wpa2-pre-shared-key="<ваш_сложный_пароль>"
/interface wireless set wlan1 security-profile=sec1

Важно:

Не используйте WEP. Предпочтительны WPA2‑PSK или, при поддержке клиентами и точкой доступа, WPA3 или WPA2/WPA3 mixed mode.
Для корпоративной сети рассмотрите WPA2‑Enterprise с RADIUS.
При масштабировании используйте CAPsMAN (Central AP Manager) для централизованного управления — требует отдельной настройки и ресурсов.

Гостевая сеть

Гостевой SSID должен быть в отдельной подсети и изолирован от LAN. Пример для Guest 192.168.20.0/24:

/interface bridge add name=bridge-guest
/ip address add address=192.168.20.1/24 interface=bridge-guest
/ip pool add name=guest_pool ranges=192.168.20.10-192.168.20.200
/ip dhcp-server add name=dhcp-guest interface=bridge-guest lease-time=1d address-pool=guest_pool
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1
# NAT для гостя
/ip firewall nat add chain=srcnat out-interface=ether1 src-address=192.168.20.0/24 action=masquerade
# Ограничение доступа гостя к LAN
/ip firewall filter add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 action=drop comment="guest -> lan block"

Обновление прошивки и пакетов

Перед обновлением:

Проверьте аппаратную ревизию устройства и совместимость пакетов (RouterOS версии 7.x, лицензия, архитектура).
Сделайте резервную копию конфигурации.
Проверьте release notes и известные проблемы версии.

Обновление через CLI (базовый пример):

/system package update check-for-updates
/system package update download
# После загрузки пакетов нужен перезапуск
/system reboot

Возможны альтернативы через WinBox/WebFig. Никогда не обновляйте прошивку по незнакомому непроверенному источнику.

Резервное копирование и восстановление

Два основных вида бэкапа в RouterOS: текстовый экспорт (rsc) и бинарный бэкап (backup). Экспорт как текст удобен для просмотра и переносимости между версиями; бинарный файл — быстрый способ полного восстановления на тот же тип устройства.

# Текстовый экспорт
/export file=config-$([:pick [/system clock get date] 0 10])
# Бинарный бэкап
/system backup save name=backup1

# Скопировать файл на внешний сервер (пример SCP)
/tool fetch address=192.0.2.10 src-path=config-*.rsc mode=scp user=admin password="<пароль_не_используйте_в_реальном_тексте>" dst-path=/backups/

Не храните резервные копии с чувствительными паролями в общедоступных местах. Текстовый экспорт может содержать секреты; перед сохранением/отправкой замените или удалите их.

Диагностика типовых проблем

Нет доступа в Интернет: проверьте получение IP на WAN, маршрут по умолчанию (/ip route print), правило NAT, DNS.
DHCP не раздаёт адреса: убедитесь, что DHCP‑сервер включён и интерфейс в правильном bridge; проверьте пул адресов.
Wi‑Fi нестабилен: проверьте уровень сигнала, конфликты каналов, режимы 20/40/80 MHz, настройки RTS/fragment; переведите радио в конкретную ширину канала и частоту для диагностики.
Проблемы с входом в устройство после изменения firewall: используйте физический доступ или консоль; заранее сохраняйте конфигурации и план восстановления.

/ping 8.8.8.8
/tool traceroute 8.8.8.8
/tool bandwidth-test # для тестирования пропускной способности между роутерами (при поддержке)
/tool torch interface=ether1 # мониторинг трафика в реальном времени (осторожно на высоких скоростях)
/ip route print
/log print follow
/system resource print

WinBox vs WebFig vs CLI: различия и риски применения команд

WinBox — графическое приложение от MikroTik. Удобно для визуальной конфигурации, имеет Safe Mode (в более новых версиях) и быстрый доступ к частым настройкам. WinBox общается через порт 8291 и может показывать объекты, которых нет в WebFig. Риск: ошибки через GUI так же критичны, как и в CLI; безопаснее использовать Safe Mode при внесении правил, которые могут отрезать доступ.
WebFig — веб‑интерфейс, работает через браузер. Удобен, если нет WinBox, но иногда не отображает все настройки или отличается по расположению опций в разных версиях RouterOS.
CLI (SSH/serial) — самый предсказуемый и скриптуемый метод. Позволяет точно применять команды и сохранять экспортируемые конфигурации. Риски: опечатка в команде может привести к потере доступа; всегда имейте физический/консольный доступ и делайте резервные копии перед критичными изменениями.

Совет: для важных изменений используйте Safe Mode (WinBox) или делайте экспорт конфигурации перед изменением и имейте консольный доступ для отката.

Особенности настройки у TP‑Link и D‑Link (коротко)

Если в сети есть устройства других производителей, учтите отличия интерфейсов:

TP‑Link: часто доступен через tplinkwifi.net или IP 192.168.0.1 / 192.168.1.1. У большинства домашних моделей есть Setup Wizard и веб‑интерфейс; функционал может отличаться от моделей бизнес‑класса.
D‑Link: типично 192.168.0.1 или 192.168.1.1. Многие имеют Setup Wizard и упрощённые меню. В интерфейсах TP‑Link и D‑Link не все термины и пункты совпадают с MikroTik; не утверждайте, что меню одинаковы для всех моделей — всегда сверяйтесь с документацией конкретного устройства.

Чек‑лист для базовой готовности

Поменяли дефолтные пароли и создали учётные записи.
Назначили и проверили IP адреса на WAN и LAN.
Настроили DHCP для LAN и при необходимости для Guest.
Включили NAT для выхода в Интернет и проверили исходящий трафик.
Добавили базовые правила firewall: allow established/related, drop invalid, запрет входа из WAN на административные сервисы.
Настроили Wi‑Fi с безопасным шифрованием (WPA2/WPA3) и отдельную гостевую сеть.
Сделали резервную копию конфигурации и поместили её в защищённое хранилище.
Запланировали обновление прошивки и проверили совместимость.
Настроили базовую систему логирования и мониторинга (uptime/alerts).

Практический пример полного минимального сценария

Скрипт ниже собирает основные шаги в одном блоке — применяйте с пониманием, адаптируя интерфейсы и адреса под своё устройство. Запускайте только если уверены и имеете путь отката.

# Примерный скрипт для RouterOS 7 (адаптируйте под свои интерфейсы)
/interface bridge add name=bridge-local
/interface bridge port add bridge=bridge-local interface=ether2
/interface bridge port add bridge=bridge-local interface=ether3
/ip address add address=192.168.10.1/24 interface=bridge-local
/ip pool add name=dhcp_pool ranges=192.168.10.10-192.168.10.200
/ip dhcp-server add name=dhcp1 interface=bridge-local lease-time=3d address-pool=dhcp_pool
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=1.1.1.1
/ip dhcp-client add interface=ether1 disabled=no
/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade
/ip firewall filter add chain=input connection-state=established,related action=accept
/ip firewall filter add chain=input connection-state=invalid action=drop
/ip firewall filter add chain=input in-interface=ether1 action=drop
/interface wireless set wlan1 mode=ap-bridge ssid="Office-WiFi" disabled=no
/interface wireless security-profiles add name=sec1 authentication-types=wpa2-psk wpa2-pre-shared-key="Ваш_сложный_пароль"
/interface wireless set wlan1 security-profile=sec1

Предостережения и рекомендации

Не копируйте скрипты без адаптации под свои интерфейсы, имена портов и адреса.
Проверяйте аппаратную ревизию и наличие лицензии RouterOS (уровень влияет на возможности).
Не храните пароли в открытых экспортах. Перед отправкой конфигурации извлекайте или заменяйте секреты.

Источники и версия интерфейса

Далее — официальные ресурсы для проверки и углублённого изучения (актуально для RouterOS 7):

Версия интерфейса, на которую ориентирован материал: RouterOS 7.x (GUI и CLI могут незначительно отличаться в более ранних или будущих релизах). Всегда сверяйтесь с документацией для вашей модели и версии.

Часто задаваемые вопросы

Какие первые шаги при подключении нового MikroTik?

Подключитесь по Ethernet к LAN‑порту, получите IP от встроенного DHCP (если есть), зайдите в WinBox/WebFig/SSH, смените дефолтный пароль, проверьте время и версию RouterOS, затем сделайте базовую настройку WAN/LAN и резервную копию конфигурации.

Как настроить NAT для выхода в Интернет?

В RouterOS удобный способ — правило srcnat с action=masquerade для выхода в интернет через WAN-интерфейс, например: /ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade. Адаптируйте имя интерфейса под своё устройство.

Чем отличается WinBox от CLI и WebFig?

WinBox — десктопное GUI приложение, удобное для визуальной работы и имеет Safe Mode; WebFig — веб‑интерфейс; CLI — самый предсказуемый и скриптуемый способ. WinBox и WebFig могут по‑разному отображать некоторые настройки, поэтому при автоматизации и точной конфигурации предпочитайте CLI.

Как настроить гостевой Wi‑Fi и изолировать его от LAN?

Создайте отдельный bridge/интерфейс для гостевой подсети (например, 192.168.20.0/24), настройте DHCP, NAT для доступа в Интернет и правило firewall, блокирующее доступ из гостевой сети в основную LAN (forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 action=drop).

Как безопасно обновлять RouterOS?

Проверьте совместимость устройства и релиз‑ноты, сделайте резервную копию конфигурации, затем через /system package update проверить, скачать и перезагрузить устройство. При необходимости обновление можно провести через WinBox/WebFig. Не используйте неофициальные пакеты.

Что делать, если после изменения firewall нет доступа к устройству?

Используйте физический доступ или консоль (serial/USB), если есть; заранее имейте экспорт конфигурации и план отката. В будущем используйте Safe Mode при изменениях, которые могут отрезать доступ.