Kichik ofis uchun MikroTik routerini asosiy sozlash
Amaliyot4 daqInnovialabs tahririyati
Qisqacha
Standart konfiguratsiyadan boshlang, parolni almashtiring va internetdan boshqaruvni yoping, WAN, LAN va DHCP ni sozlang, standart firewall ni o‘chirmang, mehmonlarni alohida tarmoqqa ajrating va export hamda backup ni muntazam saqlang.
Qisqa javob
Kichik ofisda MikroTik bir necha qadamda sozlanadi: RouterOS ni yangilash, o‘z administratoringizni yaratish, internetdan boshqaruvni yopish, WAN va LAN ni sozlash, DHCP ni yoqish, standart firewall ni qoldirish, mehmon tarmog‘ini yaratish va konfiguratsiyani saqlash. Yangi boshlovchilardagi muammolarning aksariyati RouterOS murakkabligidan emas, balki o‘chirib yuborilgan firewall qoidalari va zaxira nusxa yo‘qligidan kelib chiqadi.
1-qadam. Xavfsiz boshlanish
Routerga LAN porti orqali Winbox yoki WebFig bilan ulaning. Agar qurilmada standart konfiguratsiya (defconf) bo‘lsa, undan boshlagan ma’qul: unda LAN uchun bridge, DHCP, NAT va asosiy firewall allaqachon bor.
Darhol quyidagilarni bajaring:
- RouterOS ni yangilang (System → Packages), so‘ng RouterBOARD proshivkasini (System → RouterBOARD).
- Yangi foydalanuvchi yarating — full guruhida va kuchli parol bilan, keyin standart admin ni o‘chiring yoki nomini o‘zgartiring.
- Keraksiz servislarni o‘chiring (IP → Services): telnet, ftp, www (faqat Winbox ishlatsangiz), api.
- Discovery va MAC orqali kirishni faqat LAN interfeyslari bilan cheklang.
/ip service disable telnet,ftp,api,api-ssl
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN
Tajriba qilayotganda Safe Mode ni yoqing (Winbox dagi tugma yoki terminalda Ctrl+X): router bilan aloqa uzilsa, o‘zgarishlar avtomatik bekor qilinadi.
2-qadam. WAN va LAN
WAN — provayder kabeli ulanadigan port. Ulanish turiga qarab bu DHCP-klient, statik IP yoki PPPoE bo‘ladi. Manzil, shlyuz va login provayderdan olinadi.
LAN — qolgan portlar va Wi-Fi birlashtirilgan bridge. Unga, masalan, 192.168.88.1/24 manzilini bering va bridge LAN interfeyslar ro‘yxatida, provayder porti esa WAN ro‘yxatida ekanini tekshiring. Firewall qoidalari shu ro‘yxatlarga tayanadi.
Internetga chiqish uchun srcnat zanjirida out-interface-list=WAN bilan NAT masquerade kerak. Defconf da u allaqachon bor.
3-qadam. DHCP va DNS
- LAN-bridge da DHCP Setup ustasi orqali DHCP Server ni ishga tushiring.
- Manzillar pulini ajrating va statik qurilmalar uchun undan tashqarida diapazon qoldiring: printerlar, NAS, kameralar.
- Muhim qurilmalar uchun IP ni qurilmaning o‘zida qo‘lda yozish o‘rniga static lease dan foydalaning.
- IP → DNS bo‘limida Allow Remote Requests ni faqat firewall ishlab turganda yoqing, aks holda router butun internet uchun ochiq DNS-rezolverga aylanadi.
4-qadam. Standart firewall
Defconf qoidalari — oqilona asos. Ularning mantig‘i:
| Zanjir | Nima qiladi |
|---|---|
| input | established/related ni qabul qiladi, invalid ni tashlaydi, ICMP ga ruxsat beradi, LAN dan kelmagan hamma narsani taqiqlaydi |
| forward | o‘rnatilgan ulanishlarni tezlashtiradi (fasttrack), invalid ni tashlaydi va port yo‘naltirilmagan WAN dan kiruvchi trafikni bloklaydi |
O‘z qoidalaringizni ehtiyotkorlik bilan qo‘shing va tartibiga e’tibor bering: RouterOS ularni yuqoridan pastga, birinchi moslik topilguncha tekshiradi.
5-qadam. Mehmon tarmog‘i
Mehmonlarga buxgalteriya kompyuterlari va printerlarga kirish kerak emas. Minimal sxema:
- Mehmon Wi-Fi uchun alohida bridge yoki VLAN va o‘z subneti.
- Alohida DHCP Server va pul.
- Internetga chiqish uchun NAT.
- Mehmon tarmog‘idan ofis tarmog‘iga trafikni taqiqlash.
- input zanjirida mehmonlarga faqat DHCP va DNS ga ruxsat berish, routerni boshqarishga emas.
/ip firewall filter add chain=forward in-interface=bridge-guest out-interface=bridge action=drop comment="guest to LAN"
Kerak bo‘lsa, mehmonlar tezligini Simple Queues orqali cheklang.
6-qadam. Konfiguratsiya zaxirasi
Ikki nusxa tayyorlang va ularni routerdan tashqarida saqlang:
- export — o‘qiladigan
.rscskript, solishtirish va boshqa qurilmaga ko‘chirish uchun qulay. - backup — xuddi shu qurilmada tiklash uchun binar fayl.
/export file=office-config
/system backup save name=office-backup encryption=aes-sha256 password=MurakkabParol
RouterOS versiyasiga qarab parollar va kalitlar alohida parametrsiz export ga tushmasligi mumkin. Har bir muhim o‘zgarishdan keyin nusxa saqlang.
Yangi boshlovchilarning keng tarqalgan xatolari
- Butun firewall ni o‘chirib yuborish, chunki «nimadir ishlamadi». Router internetdan ochiq qoladi.
- Winbox va WebFig WAN dan standart portlarda ochiq.
- Quick Set va qo‘lda sozlashni aralashtirish — Quick Set ba’zi qoidalarni qayta yozib yuborishi mumkin.
- Zaxirasiz Reset Configuration va defconf ni saqlamaslik.
- Portlarni (RDP, kameralar) VPN o‘rniga to‘g‘ridan-to‘g‘ri internetga ochish.
- RouterOS ni yangilab, RouterBOARD proshivkasini yangilamaslik yoki aksincha.
- Hujjatlar yo‘qligi: qaysi manzillar band qilingani va qoida nima uchun qo‘shilgani hech kimga noma’lum.