Базовая настройка роутера MikroTik для небольшого офиса
Практика4 минРедакция Innovialabs
Коротко
Начните с дефолтной конфигурации, смените пароль и закройте доступ к управлению из интернета, настройте WAN, LAN и DHCP, не удаляйте стандартный firewall, вынесите гостей в отдельную сеть и регулярно сохраняйте export и backup.
Короткий ответ
Для небольшого офиса MikroTik настраивается за несколько шагов: обновить RouterOS, создать своего администратора, закрыть управление со стороны интернета, настроить WAN и LAN, включить DHCP, оставить стандартный firewall, сделать гостевую сеть и сохранить конфигурацию. Большинство проблем у новичков возникает не из-за сложности RouterOS, а из-за удалённых правил firewall и отсутствия бэкапа.
Шаг 1. Безопасный старт
Подключитесь к роутеру через Winbox или WebFig со стороны LAN-порта. Если на устройстве есть стандартная конфигурация (defconf), лучше начать с неё: в ней уже есть bridge для LAN, DHCP, NAT и базовый firewall.
Сразу сделайте следующее:
- Обновите RouterOS через System → Packages и затем прошивку RouterBOARD через System → RouterBOARD.
- Создайте нового пользователя с группой full и надёжным паролем, затем отключите или переименуйте стандартного admin.
- Отключите ненужные сервисы в IP → Services: telnet, ftp, www (если пользуетесь только Winbox), api.
- Ограничите обнаружение и MAC-доступ только LAN-интерфейсами.
/ip service disable telnet,ftp,api,api-ssl
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN
При экспериментах включайте Safe Mode (кнопка в Winbox или Ctrl+X в терминале): если вы потеряете связь с роутером, изменения откатятся сами.
Шаг 2. WAN и LAN
WAN — порт, в который приходит провайдер. В зависимости от подключения это DHCP-клиент, статический IP или PPPoE. Данные (адрес, шлюз, логин) берутся у провайдера.
LAN — bridge, в который объединены остальные порты и Wi-Fi. Назначьте ему адрес, например 192.168.88.1/24, и убедитесь, что bridge входит в список интерфейсов LAN, а порт провайдера — в список WAN. На этих списках держатся правила firewall.
Для выхода в интернет нужен NAT masquerade в цепочке srcnat с out-interface-list=WAN. В defconf он уже есть.
Шаг 3. DHCP и DNS
- Запустите DHCP Server на LAN-bridge через мастер DHCP Setup.
- Выделите пул адресов и оставьте вне его диапазон для статических устройств: принтеров, NAS, камер.
- Для важных устройств используйте static lease вместо ручной настройки IP на самом устройстве.
- В IP → DNS включите Allow Remote Requests только при работающем firewall, иначе роутер станет открытым DNS-резолвером для всего интернета.
Шаг 4. Firewall по умолчанию
Стандартные правила defconf — разумная основа. Логика у них такая:
| Цепочка | Что делает |
|---|---|
| input | принимает established/related, отбрасывает invalid, разрешает ICMP, запрещает всё, что пришло не из LAN |
| forward | ускоряет уже установленные соединения (fasttrack), отбрасывает invalid и запрещает входящие из WAN без проброса портов |
Добавляйте свои правила аккуратно и следите за порядком: RouterOS проверяет их сверху вниз до первого совпадения.
Шаг 5. Гостевая сеть
Гостям не нужен доступ к бухгалтерии и принтерам. Минимальная схема:
- Отдельный bridge или VLAN для гостевого Wi-Fi со своей подсетью.
- Отдельный DHCP Server и пул.
- NAT для выхода в интернет.
- Запрет трафика из гостевой сети в офисную.
- В цепочке input разрешить гостям только DHCP и DNS, а не управление роутером.
/ip firewall filter add chain=forward in-interface=bridge-guest out-interface=bridge action=drop comment="guest to LAN"
При необходимости ограничьте скорость гостей через Simple Queues.
Шаг 6. Бэкап конфигурации
Делайте две копии и храните их вне роутера:
- export — текстовый скрипт
.rsc, читаемый и удобный для сравнения и переноса. - backup — бинарный файл для восстановления на том же устройстве.
/export file=office-config
/system backup save name=office-backup encryption=aes-sha256 password=СложныйПароль
Учитывайте, что в зависимости от версии RouterOS пароли и ключи могут не попасть в export без отдельного параметра. Сохраняйте копию после каждого значимого изменения.
Частые ошибки новичков
- Удалили весь firewall, потому что «что-то не работало». Роутер становится открыт из интернета.
- Winbox и WebFig доступны из WAN на стандартных портах.
- Смешали Quick Set и ручную настройку — Quick Set может перезаписать часть правил.
- Reset Configuration без бэкапа и без опции сохранения defconf.
- Пробросили порты (RDP, камеры) напрямую в интернет вместо VPN.
- Обновили RouterOS, но не прошивку RouterBOARD, или наоборот.
- Нет документации: никто не знает, какие адреса закреплены и зачем добавлено правило.