Простая настройка Mikrotik через Quick Set
Quick Set — это мастер автоматической конфигурации, который помогает быстро, не погружаясь в глубины тонкой настройки RoS, настроить роутер и начать им пользоваться. В зависимости от устройства, вам могут быть доступны несколько шаблонов:
Дальше мы будем в основном настраивать HomeAP\WISP AP, но советы пригодятся и в других конфигурациях.
Безопасность
Конфигурация по умолчанию уже не дает подключаться к роутеру из внешней сети, но основывается защита только на пакетном фильтре. Не забываем, про установку пароля на пользователя admin. Поэтому, в дополнение к фильтрации и паролю, я делаю следующие:
Доступность на внешних интерфейсах
Отключаю не нужные в домашней сети (и не во всех не домашних сетях) сервисы, а оставшиеся ограничиваю областью действия, указывая адреса, с которых можно к этим сервисам подключится.
Следующим шагом, будет ограничение на обнаружение роутера с помощью поиска соседей. Для этого, у вас должен быть список интерфейсов, где данный протокол может работать, настроим его:
Добавим в список discovery интерфейсы, на которых мы хотим, чтобы протокол Neighbors Discovey работал.
Теперь настроим работу протокола, указав список discovery в его настройках:
В простой, домашней конфигурации, в списке discovery могут быть интерфейсы, на которых может работать протокол доступа по MAC адресу, для ситуаций, когда IP не доступен, поэтому настроим и эту функцию:
Теперь, роутер станет «невидимым» на внешних интерфейсах, что скроет информацию о нем (не всю конечно), от потенциальных сканеров, и даже, лишит плохих парней легкой возможности получить управление над роутером.
Защита от DDoS
Теперь, добавим немного простых правил в пакетный фильтр:
И поместим их после правила defcon для протокола icmp.
Результатом будет бан на сутки для тех, кто пытается открыть более 15 новых соединений в секунду. Много или мало 15 соединений, вопрос спорный, тут уже сами подбирайте число, я выбрал 50 для корпоративного применения, и таких банит у меня 1-2 в сутки. Вторая группа правил гораздо жестче, блокирует попытки соединений на порт ssh(22) и winbox(8291), 3-и попытки за минуту, и отдыхай сутки ;). Если вам необходимо выставить DNS сервер в интернет, то подобным правилом можно отсекать попытки DNS Amplification Attacks, но решение не идеальное, и ложно-положительных срабатываний бывает много.
RFC 1918
RFC 1918 описывает выделение адресных пространств для глобально не маршрутизируемых сетей. Поэтому, имеет смысл блокировать трафик от\к таким сетям, на интерфейсе, который смотрит к провайдеру, за исключением ситуаций, когда провайдер выдает вам «серый» адрес.
Поместите эти правила ближе к началу и не забудьте, добавить в список WAN интерфейс, смотрящий в сторону провайдера.
Довольно спорная технология, которая позволяет приложениям попросить роутер пробросить порты через NAT, однако, протокол работает без всякой авторизации и контроля, этого просто нет в стандарте, и часто является точкой снижающей безопасность. Настраивайте на свое усмотрение:
SIP Conntrack
Кроме всего прочего, стоит отключить модуль conntrack SIP, который может вызывать неадекватную работу VoIP, большинство современных SIP клиентов и серверов отлично обходятся без его помощи, а SIP TLS делает его окончательно бесполезным.
Динамические и вложенные списки интерфейсов
Эта функция появилась совсем недавно (с версии 6.41), и она очень удобная. Однако, есть неприятный баг (я о нём сообщил, но его еще не исправили), суть в том, что после презапуска роутера, правила файрволла, которые используют эти списки, не работают для интерфейсов входящих в дочернии списки. Лечится передобавлением дочерних списков. Автоматизация простая:
В Sheduler на событие start пишем скрипт (списки интерфейсов для конфигурации с балансировкой):
В городской среде, когда эфир крайне зашумлен, имеет смысл отказаться от каналов в 40MGhz, это увеличивает удельную мощность сигнала на канале, так как 40MGHz канал по сути, это два канала по 20MGHz.
Bridge & ARP
Если у вас роутер раздает интернет и дает клиентам настройки по DHCP, имеет смысл установить настройку arp=reply-only, а в DHCP Server включить add-arp=yes
Такая настройка помешает выставить IP адрес вручную, так как роутер согласится работать только с той парой MAC-IP, которую выдавал сам.
Что такое WISP AP, CAP, CPE, HomeAP на MikroTik?
Для начала давайте разберёмся, что же такое режим WISP? Это определённый мод маршрутизатора, при котором он может принимать интернет сигнал и подключаться к сети провайдера путём радиоволн по стандартам Wi-Fi. Если раскрыть аббревиатуру, то она звучит так – «Wireless Internet Service Provider», что дословно можно перевести как «беспроводной интернет сервис провайдера».
Данная технология достаточно редкая, но появилась давно. Давайте покажу на примере. У провайдера есть большая антенна с мощным передатчиком на несколько квадратных километров. Клиент настраивает роутер и подключается к беспроводной сети. То есть в данном случае роутер принимает сигнал не через WAN порт по проводу, а именно путём Wi-Fi сигнала.
Далее при подключении он принимает сигнал и распределяет на все сегменты сети: на компьютеры, ноутбуки телефону и т.д. Интернет раздаётся как по проводам, так и по WiFi. Теперь перед настройкой роутера, именно в этом режиме сразу – скажу, что проблемой является в разных названиях модов. Компании, которые выпускают эти аппараты, по разному называют этот «мод» из-за чего клиент может запутаться. Также не все роутеры имеют данный режим и поддерживают его, поэтому перед покупкой обязательно убедитесь, что он сможет работать как повторитель WISP.
MikroTik
WISP AP на роутере MikroTik – что это такое? У «Микротик» данный «мод» обозначает немного другое значение. Раз вы задаетесь таким вопросом, то скорее вы уже приступили к настройке этого чудного аппарата через «Quick Set». Эта функция позволяет быстро настроит роутер без муторных, педантичных конфигураций. Можно сказать некий «Быстрый старт».
В верхней части можно выбрать несколько вариантов:
Для настройки заполняем конфигурацию в левом блоке «Wireless» для настройки беспроводного мода. Вписываем имя сети и пароль от неё. Чтобы появилась строка ввода пароля укажите типа шифрования как WPA2 и WPA. Тут ничего сложного нет все как на других роутерах.
Справа идут настройки IP, маски и DNS адресов. По идее эти настройки роутер должен получать от провайдера. Тогда просто ставим режим «Automatic». Если у вас статический IP с маской, то ставим «Static» и вписываем данные с листа. В разделе «Local Network» идёт настройка «айпи» адреса шлюза или нашего Микротика и диапазон локальных адресов.
WISP на других маршрутизаторах
«AP client router» на ASUS
На аппаратах Асус к сожалению название не адаптивно и не понятно. Может быть это связано с переводом. Но на русской версии мод называется «Беспроводной сетевой адаптер». Для настройки вы можете использовать «Быструю настройку» – просто нажмите на волшебную палочку в левом углу окна. Или нажмите на «Режим работы» в самой верхней части на главной странице.
TP-Link
На TP-Link можно включить двумя способами. Заходим в «Operation Mode» или по-русски – «Рабочий режим». Далее выбираем наш мод. После этого переходим в «Сеть» – «WAN» и ставим динамический IP.
Второй способ – заходим в «Беспроводной режим». Теперь нажимаем «Включить WDS». Далее все просто, нужно просто подключиться к беспроводной сети провайдера. Для этого впишите данные вай-фай.
Zyxel Keenetic
FAQ по настройке wi-fi в Mikrotik
Слева выбираем Wireless, попадаем в основное меню Wireless Tables.
На вкладке Interfaces, по мимо существующего беспроводного интерфейса Atheros AR92xx можно создавать виртуальные точки доступа (Virtual AP), создать интерфейс объединяющий два беспроводных интерфейса в один (Nstream Dual) или WDS интерфейс для подключения к другой точке доступа.
Кроме прочего имеются такие полезные опции как сканер беспроводных сетей (Scanner), оценка состояния загруженности эфира и выбора оптимальной частоты (Freq. Usage), юстировка антенны (Alignment), беспроводной сниффер (Wireless Sniffer), мощный сканер wi-fi-устройств, базовых станций и их SSID (Wireless Snooper).
Сначала рассмотрим параметры основного беспроводного интерфейса Wireless (Atheros 11N) c назначенным именем wlan1.
I) Interfaces
Вкладка «General» (основные настройки)
ARP ( Address Resolution Protocol) — протокол определения адреса, предназначенный для определения MAC-адреса по известному IP-адресу;
PCI Info — Информация о шине PCI;
Вкладка «Wireless» (Advanced Mode)
Вкладка «Data Rates»
Здесь задаются настройки канальных скоростей (оставляем по умолчанию. default);
Supported Rates — канальные скорости, которые поддерживаются беспроводным интерфейсом;
Basic Rates — канальные скорости, на которые передается служебный трафик;
Вкладка «Advanced» (дополнительные настройки)
Max Station Count — Максимально возможное количество подключенных клиентов, включая WDS-подключения. Актуально, только для режимов AP;
Вкладка «HT»
Здесь задаются основные настройки приёмников и передатчиков.
Вкладка «WDS» (Wireless Distribution System)
Технология WDS, позволяет расширить зону покрытия беспроводной сети путем объединения нескольких WiFi точек доступа в единую сеть без необходимости наличия проводного соединения между ними;
Вкладка «Nstreme»
На этой вкладке задаются настройки поллингового (polling «опрос готовности устройств») протокола. Поллинговый протокол в основном используется для передачи данных в беспроводных сетях на большие расстояния. Для этого используется механизм циклического опроса клиентов сети друг за другом, чтобы узнать есть ли у них данные для передачи по радиоканалу. Если такие данные есть то устройству предоставляется разрешение на их передачу. Все другие устройства в это время молчат. Если при опросе у клиента нет данных для передачи то происходит опрос следующего клиента и так далее по очереди.
Enable Nstreme – включает фирменный» (проприетарный) поллинговый протокол Mikrotik;
Enable Polling – включает динамический опрос подключенных клиентов;
Disable CSMA – отключает режим контроля несущей и обнаружения коллизий;
Framer Policy – выбирает режим упаковки маленьких пакетов в большие. Оптимальное значение – Dynamic Size;
Framer Limit – размер пакета, оптимальное значение 3200;
Вкладка «Tx Power» (Advanced)
В этой вкладке производится настройка мощности Wi-Fi передатчика.
Для ручной установки мощности передачи рекомендуется использовать режим card rates. При использовании в помещениях нет смысла использовать большие значения.
Вкладка «Status»
На этой вкладке отображаются параметры подключения, которые помогут оценить качество работы соединения «точка-точка», и сделать корректировку настроек в случае необходимости.
Band – частота, на которой работает базовая станция;
Frequency – частота, на которой соединился клиент;
Registered Client — количество зарегистрированных клиентов (устройств);
Overall Tx CCQ – усреднённый CCQ (качество канала на передачу/прием) только на передачу Tx. На базовой станции он показывает усреднённые значения по качеству передачи на всех подключившихся wi-fi клиентах;
Вкладка «Traffic»
Статистика по трафику. Сколько получено/отдано и.т.д.
II) Nstream Dual
III) Access List
Далее идет вкладка Access List где можно разрешить или запретить определенным клиентам доступ к wi-fi сети по mac-адресу.
IV) Registration
Для этого сначала на вкладке Registration необходимо обнаружить клиента, затем скопировать его mac-адрес, перейти на вкладку Access List и указать его в поле MAC Address.
MAC Address – MAC адрес устройства;
Interface – интерфейс к которому будет производится подключение;
Signal Strength Range – диапазон уровня сигнала, при котором возможно подключение;
AP Tx Limit – ограничение скорости этого подключения;
Authentication – возможность авторизации. Если убрать галочку, устройство с этим MAC адресом, не сможет подключиться к вашей сети;
Forwarding – возможность обмена информацией с другими участниками локальной сети. Если убрать галочку с этого пункта, то пользователь этого устройства не будет иметь доступа к общим сетевым ресурсам;
Private Key – возможность установки персонального ключа шифрования для устройства с данным MAC адресом;
Private Pre Shared Key – персональный ключ шифрования;
Time – а в этом разделе, можно указать временной диапазон, в рамках которого будет возможно подключение этого устройства;
Чтобы включить возможность доступа по правилам Access List, на вкладке Interfaces, необходимо открыть свойства беспроводного интерфейса, где на вкладке Wireless, убрать галочку с параметра Default Authenticate.
На вкладке Registration отображается информация от подключенных к wifi устройствах, с указанием интерфейсов, к которым они подключены.
V) Connect List
На вкладке Connect List задаются правила для доступа к базовым станциям.
VI) Security Profile
Открываем профиль по умолчанию.
Вкладка «General»
Authentication-types – методы авторизации, для подключения устройств к точке доступа старых устройств необходимо добавить поддержку WPA;
WPA-Pre-Shared Key – ключ для подключения к точки доступа по методу WPA(пароль на Wi-Fi);
WPA2-Pre-Shared Key – ключ для подключения к точки доступа по методу WPA2(пароль на Wi-Fi);
Group Key Update — Как часто точка доступа будет обновлять ключ шифрования WPA, WPA2;
Вкладка «Radius»
Авторизация при помощи Radius сервера.
MAC Accounting;
EAP Accounting;
Вкладка «EAP»
Вкладка «Static Keys»
Данный раздел актуален если используется static keys optional и static-keys-required на вкладке «General».
Что такое WISP AP, CAP, CPE, HomeAP на MikroTik?
Для начала давайте разберёмся, что же такое режим WISP? Это определённый мод маршрутизатора, при котором он может принимать интернет сигнал и подключаться к сети провайдера путём радиоволн по стандартам Wi-Fi. Если раскрыть аббревиатуру, то она звучит так — «Wireless Internet Service Provider», что дословно можно перевести как «беспроводной интернет сервис провайдера».
Данная технология достаточно редкая, но появилась давно. Давайте покажу на примере. У провайдера есть большая антенна с мощным передатчиком на несколько квадратных километров. Клиент настраивает роутер и подключается к беспроводной сети. То есть в данном случае роутер принимает сигнал не через WAN порт по проводу, а именно путём Wi-Fi сигнала.
Далее при подключении он принимает сигнал и распределяет на все сегменты сети: на компьютеры, ноутбуки телефону и т.д. Интернет раздаётся как по проводам, так и по WiFi. Теперь перед настройкой роутера, именно в этом режиме сразу — скажу, что проблемой является в разных названиях модов. Компании, которые выпускают эти аппараты, по разному называют этот «мод» из-за чего клиент может запутаться. Также не все роутеры имеют данный режим и поддерживают его, поэтому перед покупкой обязательно убедитесь, что он сможет работать как повторитель WISP.
MikroTik
WISP AP на роутере MikroTik — что это такое? У «Микротик» данный «мод» обозначает немного другое значение. Раз вы задаетесь таким вопросом, то скорее вы уже приступили к настройке этого чудного аппарата через «Quick Set». Эта функция позволяет быстро настроит роутер без муторных, педантичных конфигураций. Можно сказать некий «Быстрый старт».
В верхней части можно выбрать несколько вариантов:
Для настройки заполняем конфигурацию в левом блоке «Wireless» для настройки беспроводного мода. Вписываем имя сети и пароль от неё. Чтобы появилась строка ввода пароля укажите типа шифрования как WPA2 и WPA. Тут ничего сложного нет все как на других роутерах.
Справа идут настройки IP, маски и DNS адресов. По идее эти настройки роутер должен получать от провайдера. Тогда просто ставим режим «Automatic». Если у вас статический IP с маской, то ставим «ic» и вписываем данные с листа. В разделе «Local Network» идёт настройка «айпи» адреса шлюза или нашего Микротика и диапазон локальных адресов.
WISP на других маршрутизаторах
«AP client router» на ASUS
На аппаратах Асус к сожалению название не адаптивно и не понятно. Может быть это связано с переводом. Но на русской версии мод называется «Беспроводной сетевой адаптер». Для настройки вы можете использовать «Быструю настройку» — просто нажмите на волшебную палочку в левом углу окна. Или нажмите на «Режим работы» в самой верхней части на главной странице.
На TP- можно включить двумя способами. Заходим в «Operation Mode» или по-русски — «Рабочий режим». Далее выбираем наш мод. После этого переходим в «Сеть» — «WAN» и ставим динамический IP.
Второй способ — заходим в «Беспроводной режим». Теперь нажимаем «Включить WDS». Далее все просто, нужно просто подключиться к беспроводной сети провайдера. Для этого впишите данные вай-фай.
Zyxel Keenetic
Как настроить MikroTik
Подключение к MikroTik:
Подключаем роутер к сети, подаем питание и запускаем на компьютере winbox.
Переходим на вкладку Neighbors и ждем, когда утилита найдет наш роутер.
Либо подключаемся по 192.168.88.1 или по MAC.
При первом подключении выбрать — Remove Configuration
или System — Reset Configuration (No Default Configuration)
Первоначальная настройка Quick Set:
Quick Set — это мастер автоматической конфигурации, который помогает быстро, не погружаясь в глубины тонкой настройки RoS, настроить роутер и начать им пользоваться.
В зависимости от устройства, вам могут быть доступны несколько шаблонов:
1. CAP — Режим управляемой точки доступа, требует наличия настроенного CAPsMAN
2. CPE (Customer Premises Equipment) — режим WiFi клиента, когда интернет вам приходит по WiFi и раздается на LAN порт(ы).
3. Home AP (Home Access Point)- маршрутизатор/точка доступа офисной или домашней сети.
4. WiSP AP (Wireless Internet Service Provider Access Point)- отличается от режима Home AP поддержкой проприетарных протоколов WiFi TDMA — nv2 и nstream.
5. PTP Bridge (Point to point bridge)- режим беспроводного радиомоста между двумя сетями (PtP). Возможно подключение только одного клиента. Если маршрутизатор подключен со стороны провайдера, то он выступает в роли Server AP, если со стороны клиента, то в роли Client AP (CPE).
6. Basic AP — Почти пустая конфигурация, подходит для развертывания автономно управляемых точек доступа (без CAPsMAN)
Часть 1. Настройка локальной сети:
Interface — Interface List — wlan1 Enable
2. Cоздаём новые списки интерфейсов
Interfaces — Interface List — Lists — add New Interface List — Name: LAN
Interfaces — Interface List — Lists — add New Interface List — Name: WAN
Bridge — Bridge — New Interface — Name: bridge1
4. Добавляем интерфейсы в bridge1
Bridge — Ports — New Bridge Port — Interface: ether2, ether3…, Bridge: bridge1
5. Назначаем сетевые настройки для bridge1
IP — Adresses — add New Address — Adresses: 192.168.6.1/24,
6. Создаём DHCP сервер
IP — DHCP Server — DHCP — DHCP Setup
Wireless — WiFi Interfaces — Wireless — SSID: name, Security Profiles: default
Wireless — Security Profiles — default — Mode: dynamic keys,
Authentification Types: WPA2 PSK, WPA2 Pre-d Key: password wifi
8. Отключение лишних сервисов
9. Смена пароля администратора, создание новой учётной записи
10. Присваиваем уникальное имя роутеру
Часть 2. Настройка интернета от провайдера:
12. Создаём подключение по правилам провайдера
Вариант 1. DHCP Client
IP — DHCP Client — add New DHCP Client
Вариант 2. Статический IP
Нужно указать адрес на интерфейсе, указать DNS сервер и настроить маршрут по умолчанию.
— настраиваем IP адрес порта в сторону провайдера
IP — Addresses — add New Address
Addresses: 10.4.15.64/24 где /24 = 255.255.255.0
— настраиваем маршрут по умолчанию
Dst. Address: 0.0.0.0/0 (все существующие IP адреса, т.е. отправлять запросы на любые адреса)
Check Gateway: ping (способ проверки доступности шлюза)
Distance: 1 (приоритет маршрута, чем меньше цифра, тем выше приоритет)
Вариант 3. PPPoE Client
Dial Out — User: 111 Password: 222
13. Проверка соединения
14. Настройка системного времени
System — — устанавливаем вручную время, дату и часовой пояс
System — SNTP Client (ntp1.stratum2.ru, ntp2.stratum2.ru…)
15. Удалённое подключение к роутеру по DDNS
Часть 3. Настройка Firewall:
add chain=input action=accept protocol=icmp
add chain=forward action=accept protocol=icmp
— Разрешаем установленные подключения
add chain=input action=accept connection-e=established
add chain=forward action=accept connection-e=established
— Разрешаем связанные подключения
add chain=input action=accept connection-e=
add chain=forward action=accept connection-e=
— Разрешаем все подключения из нашей локальной сети
add chain=input action=accept src-address=192.168.6.0/24 in-interface=!ether2
— Разрешаем входящие подключения для торрента
add chain=forward action=accept protocol=tcp in-interface=ether2 dst-port=45000
— Запрещаем инвалидные подключения
add chain=input action=drop connection-e=invalid
add chain=forward action=drop connection-e=invalid
— Запрещаем все остальные входящие подключения
add chain=input action=drop in-interface=ether2
— Разрешаем доступ из локальной сети в интернет
add chain=forward action=accept in-interface=!ether2 out-interface=ether2
— Запрещаем все остальные подключения
Создаём правила фильтрации трафика
/ip firewall filter add action=drop chain=input =»defconf: drop all not coming from LAN» in-interface-list=!bridge1
add action=accept chain=input =»defconf: accept established,,untracked» connection-e=established,,untracked
add action=accept chain=forward =»defconf: accept established,, untracked» connection-e=established,,untracked
add action=accept chain=input =»Allow L2TP IPSEC ports» port=1701,500,4500 protocol=udp
add action=accept chain=input =WinBox dst-port=9045 protocol=tcp
add action=accept chain=input =www disabled=yes dst-port=6753 protocol=tcp
add action=accept chain=forward =»Allow access inside LAN» in-interface=ether1 out-interface=bridge1 src-address=192.168.6.0/24
add action=drop chain=input =»Drop all BOGON from Domolan» in-interface=Domolan src-address-list=BOGON
add action=drop chain=input =»defconf: drop all not coming from LAN» in-interface-list=!bridge1
add action=drop chain=forward =»defconf: drop invalid» connection-e=invalid
add action=masquerade chain=srcnat out-interface=Domolan
add action=dst-nat chain=dstnat dst-address=188.126.47.102 dst-port=8554 protocol=tcp to-addresses=192.168.6.9 to-ports=554
Просмотр/сохранение текущей конфигурации в терминале:
/export compact file=nameconfig
Часть 4. Настройка специальных алгоритмов:
17. Настройка отправки
18. Передача логов по
19. Контроль доступности любого удалённого хоста
20. Настройка действий по расписанию
Manual:Quickset
Applies to RouterOS: v5.15+
Summary
Quickset is a simple configuration wizard page that prepares your router in a few clicks. It is the first screen a user sees, when opening the default IP address 192.168.88.1 in a web browser.
Quickset is available for all devices that have some sort of default configuration from factory. Devices that do not have configuration must be configured by hand. The most popular and ed mode is the HomeAP (or HomeAP dual, depending on the device). This Quickset mode provides the simplest of terminology and the most common options for the home user.
Modes
Depending on the router model, different Quickset modes might be available from the Quickset dropdown :
HomeAP
This is the mode you should use if you would like to quickly configure a home access point.
Wireless
Internet
Local Network
If you want to access your local network (and your router) from the internet, use a secure VPN tunnel. This option gives you a domain name where to connect to, and enables PPTP and L2TP/IPsec (the second one is ed). The username is ‘vpn’ and you can specify your own password. All you need to do is enable it here, and then provide the address, username and password in your laptop or phone, and when connected to the VPN, you will have a securely encrypted connection to your home network. Also useful when travelling — you will be able to browse the internet through a secure line, as if connecting from your home. This also helps to avoid geographical restrictions that are set up in some countries.
System
How is Quickset different from the Webfig tab, where a whole bunch of new s appear? If you need more options, do not use any Quickset settings at all, click on «Webfig» to open the advanced configuration interface. The full ality is unlocked. Can I use Quickset and Webfig together? While settings that are not conflicting can be configured this way, it is not ed to mix up these s. If you are going to use Quickset, use only Quickset and vice versa. What’s is difference between Router and Bridge mode? Bridge mode adds all interfaces to the bridge allowing to forward Layer2 packets (acts as a hub/switch). In Router mode packets are forwarded in Layer3 by using IP addresses and IP routes (acts as a router). In HomeAP mode, should the 2GHz and 5GHz network names be the same, or different? If you prefer that all your client devices, like TV, phones, game consoles, would automatically select the best preferred network, set the names identically. If you would like to force a client device to use the faster 5GHz 802.11ac connection, set the names unique.
