# Первичная настройка MikroTik RouterOS ##### Первичная настройка #### Перед началом ##### Что вам понадобится - MikroTik роутер - Компьютер с Ethernet-портом (желательно), но настройка через WiFi также возможна, если устройство имеет встроенную точку доступа WiFi - Ethernet-кабель - Интернет-соединение от вашего интернет-провайдера (ISP) - 30-60 минут непрерывного времени ##### Ключевые понятия **Стандартная конфигурация:** Предварительно загруженные настройки, которые могут не подходить под ваши нужды **Мост (Bridge):** Виртуальный интерфейс, который соединяет несколько физических портов **DHCP:** Автоматическое присвоение IP-адресов устройствам **NAT:** Трансляция сетевых адресов — позволяет нескольким устройствам использовать одно интернет-соединение **Брандмауэр:** Правила безопасности, контролирующие сетевой трафик ##### Выберите метод настройки В этом руководстве показаны оба метода: WinBox (графический) и CLI (текстовый). **Новички:** Следуйте инструкциям WinBox **Продвинутые пользователи:** Используйте команды CLI (представлены в блоках кода) #### Обзор быстрого старта Это руководство поможет вам шаг за шагом настроить ваш MikroTik роутер: - **Подключение:** Физическое подключение и доступ через WinBox - **Оценка:** Работа с существующей или изменённой конфигурацией - **Интернет:** Получение доступа в интернет - **Локальная сеть:** Настройка IP-адресов и DHCP - **NAT:** Позволяет устройствам использовать одно интернет-соединение - **Безопасность:** Защита роутера и сети - **Беспроводная сеть:** Настройка WiFi (если применимо) - **Тестирование:** Проверка работоспособности *Каждый шаг строится на предыдущем. Выполняйте их по порядку для достижения наилучших результатов.* #### Совет: сохраняйте прогресс После каждого крупного раздела делайте резервную копию вашей конфигурации: **CLI метод:** ``` /export file=backup-step3 ``` **WinBox метод:** - Меню Файлы → Backup - Назовите файл понятно (например, "after-internet-setup") - Нажмите Backup Если что-то пойдёт не так, вы сможете восстановить конфигурацию: Файлы → Выберите файл резервной копии → Restore... #### Подключение к роутеру Большинство MikroTik роутеров поставляются с предустановленной конфигурацией, и вы можете использовать этот раздел для подключения к ним. Исключение — профессиональные устройства серии CCR, для них используйте следующий раздел. #### Шаг 1: Физическое подключение - Подключите Ethernet-кабель от вашего компьютера к любому порту, кроме ether1 на роутере MikroTik - Подключите интернет-кабель к порту ether1 (это будет ваш WAN/интернет-порт) - Включите роутер и подождите минуту для полной загрузки #### Шаг 2: Загрузка WinBox Если у вас нет WinBox: - Перейдите на mikrotik.com/download - Скачайте WinBox (подходит для Windows, macOS 12 или новее, Linux) - Запустите winbox.exe (установка не требуется) #### Шаг 3: Поиск роутера с помощью обнаружения соседей (Neighbor Discovery) - Откройте WinBox - Нажмите кнопку "..." рядом с полем "Connect To:" - Ваш роутер должен появиться во вкладке "Neighbors" - Двойным щелчком выберите IP адрес роутера для подключения (если IP адрес 0.0.0.0 и подключение не работает, попробуйте дважды щелкнуть MAC-адрес) - Имя пользователя: admin, пароль оставьте пустым или проверьте наклейку на устройстве #### Шаг 4: Понимание стандартной конфигурации При первом подключении может появиться всплывающее окно о стандартной конфигурации: - **Для начинающих:** Сохраните стандартную конфигурацию — она обеспечивает базовую безопасность и функциональность - **Стандартная настройка включает:** Основные правила брандмауэра, DHCP сервер и защиту беспроводной сети - **Вы можете ее безопасно настроить**, следуя этому руководству, не удаляя стандартных настроек Удаление стандартной конфигурации уберет все правила безопасности. Делать это должны только опытные пользователи. #### Роутер без стандартной конфигурации (только для продвинутых пользователей) Если роутер не имеет стандартной конфигурации, есть несколько вариантов. Мы выберем метод, который лучше всего подходит для наших требований. Подключите интернет-кабель к порту ether1 роутера и ПК к любому порту, кроме ether1. Запустите WinBox и найдите роутер через обнаружение соседей. Если роутер появится в списке, выберите его MAC-адрес и нажмите **Connect**. Самый простой способ убедиться, что роутер чист, — выполнить в CLI команду: ``` /system reset-configuration no-defaults=yes skip-backup=yes ``` Или из WinBox: [![1.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/hA2ICSyRL0ARAAaD-1.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/hA2ICSyRL0ARAAaD-1.png) #### Настройка IP доступа Поскольку MAC-соединение иногда бывает нестабильным, первым делом настройте роутер для IP-соединения: - Создайте мост (bridge) и добавьте к нему порты; - Назначьте IP-адрес мостовому интерфейсу; - Настройте DHCP сервер. Настройка моста и IP-адреса — простая процедура: ``` /interface bridge add name=bridge1 /interface bridge port add interface=ether2 bridge=bridge1 /ip address add address=192.168.88.1/24 interface=bridge1 ``` Если вы предпочитаете использовать WinBox/WebFig: - Откройте окно **Bridge**, вкладка **Bridge** должна быть активна; - Нажмите кнопку **+**, чтобы открыть диалог создания; введите имя моста или оставьте *bridge1*, нажмите **OK**; - Перейдите на вкладку **Ports**, нажмите **+**; выберите интерфейс *ether2* и мост *bridge1*, затем **OK**; - Закройте диалог моста; - Перейдите в меню **IP** → **Addresses**; Нажмите **+**, введите IP-адрес *192.168.88.1/24*, выберите интерфейс *bridge1*, нажмите **OK**. [![add_bridge.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/XVLBIkByIejpgQZb-add-bridge.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/XVLBIkByIejpgQZb-add-bridge.png) [![add_bridge_port.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/KAr1wM8X4xuAVrKo-add-bridge-port.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/KAr1wM8X4xuAVrKo-add-bridge-port.png) [![ip_addr_add.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/AobfZSxxUMK45UqK-ip-addr-add.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/AobfZSxxUMK45UqK-ip-addr-add.png) Далее перейдите к настройке DHCP сервера. Для простоты выполните команду `setup`: ``` [admin@MikroTik] > ip dhcp-server setup Select interface to run DHCP server on dhcp server interface: bridge1 Select network for DHCP addresses dhcp address space: 192.168.88.0/24 Select gateway for given network gateway for dhcp network: 192.168.88.1 Select pool of ip addresses given out by DHCP server addresses to give out: 192.168.88.2-192.168.88.254 Select DNS servers dns servers: 192.168.88.1 Select lease time lease time: 1800 ``` Обратите внимание: большинство параметров определяется автоматически, просто нажимайте Enter. Инструмент настройки также доступен в WinBox/WebFig: - Перейдите в окно **IP → DHCP Server**, убедитесь, что активна вкладка **DHCP**; - Нажмите кнопку **DHCP Setup**; - Выберите *bridge1* как интерфейс DHCP сервера, продолжите настройку по мастеру. [![dhcp_setup.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/gK8hqj6nXp0wLdZp-dhcp-setup.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/gK8hqj6nXp0wLdZp-dhcp-setup.png) После этого, подключенный ПК должен получить динамический IP-адрес. Можно закрыть WinBox и переподключиться к роутеру по IP-адресу *192.168.88.1*. #### Настройка подключения к Интернету Для выхода в Интернет необходимо определить, какой тип подключения вам нужен: - **DHCP/Dynamic IP:** Большинство кабельных модемов, часть оптоволоконных подключений. Просто подключаете кабель и получаете интернет автоматически. - **Static IP:** Для бизнес-подключений и некоторых домашний оптоволоконных подключений. Провайдер предоставляет фиксированный IP, шлюз и DNS. - **PPPoE:** DSL и некоторые оптоволоконные провайдеры. Провайдер даёт логин и пароль для подключения. **Если не уверены, выбирайте DHCP — он подходит примерно для 80% домашних подключений.** ##### Опция A: DHCP (самая распространённая) Это самый простой и популярный способ настройки в домашних сетях. Добавьте DHCP-клиента на интерфейс, подключённый к интернету: ``` /ip dhcp-client add disabled=no interface=ether1 ``` После добавления клиента вы должны увидеть назначенный IP-адрес и его статус bound: ``` [admin@MikroTik] > ip dhcp-client print Columns: INTERFACE, USE-PEER-DNS, ADD-DEFAULT-ROUTE, STATUS, ADDRESS # INTERFACE USE-PEER-DNS ADD-DEFAULT-ROUTE STATUS ADDRESS 0 ether1 yes yes bound 1.2.3.100/24 ``` ##### Опция B: Статический IP Если провайдер выдал фиксированные параметры, например: - IP: 1.2.3.100/24 - Шлюз: 1.2.3.1 - DNS: 8.8.8.8 Настроить их в RouterOS вручную: ``` /ip address add address=1.2.3.100/24 interface=ether1 /ip route add gateway=1.2.3.1 /ip dns set servers=8.8.8.8 ``` ##### Опция C: PPPoE подключение PPPoE обычно динамически назначает IP, DNS и маршрут. Провайдер даёт логин и пароль: ``` /interface pppoe-client add disabled=no interface=ether1 user=me password=123 \ add-default-route=yes use-peer-dns=yes ``` В WinBox/WebFig: - В окне **PPP** выберите вкладку **Interfaces** и нажмите "+"; - Выберите **PPPoE Client**; - Назначьте имя и интерфейс *ether1*; - Перейдите на вкладку **Dial Out**, введите логин, пароль и другие параметры; - Нажмите **OK** для сохранения. [![pppoe_client_01.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/jm1GyoNLehNlnaWm-pppoe-client-01.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/jm1GyoNLehNlnaWm-pppoe-client-01.png) [![pppoe_client_02.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/VOVr8w6uvWqeFOrW-pppoe-client-02.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/VOVr8w6uvWqeFOrW-pppoe-client-02.png) Теперь WAN-интерфейс — *pppoe-out1*, а не *ether1*. #### Проверка подключения По окончании настроек вы сможете выходить в интернет с роутера. Проверьте IP-соединение с помощью ping: ``` [admin@MikroTik] > /ping 8.8.8.8 SEQ HOST SIZE TTL TIME STATUS 0 8.8.8.8 56 55 14ms399us 1 8.8.8.8 56 55 18ms534us 2 8.8.8.8 56 55 14ms384us ``` Также проверьте DNS-запрос: ``` [admin@MikroTik] > /ping google.com SEQ HOST SIZE TTL TIME STATUS 0 142.250.74.14 56 55 14ms475us 1 142.250.74.14 56 55 14ms308us 2 142.250.74.14 56 55 14ms238us ``` При правильной настройке оба ping успешно проходят. В случае ошибки обратитесь к разделу устранения неполадок. #### Настройка NAT На данном этапе ПК ещё не может выходить в интернет, так как локальные адреса не маршрутизируются в интернет. Удалённые хосты не знают, как ответить на ваши локальные адреса. Решение — изменить исходный адрес пакетов на публичный IP роутера, используя правило NAT: ``` /ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade ``` Если публичный интерфейс — PPPoE, LTE или другой, то вместо *ether1* укажите соответствующий интерфейс. Такой NAT защищает клиентов за роутером от прямого доступа из интернета. ##### Проброс портов (Port Forwarding) Для доступа к локальным клиентам из интернета по определённому порту (например, для RDP на IP 192.168.88.254), добавьте правило dstnat: ``` /ip firewall nat add chain=dstnat protocol=tcp port=3389 in-interface=ether1 \ action=dst-nat to-address=192.168.88.254 ``` #### Защита роутера Роутер теперь доступен извне, поэтому важно защитить его от взломов. ##### Основная настройка безопасности (выполните в первую очередь) #### 1. Установите пароль администратора Без пароля любой может получить доступ к роутеру. #### 2. Проверьте, что включены основные правила брандмауэра Большинство домашних устройств имеют базовый брандмауэр. Не отключайте правила, добавляйте при необходимости. #### 3. Отключите управление с интернета Это актуально для серии CCR, где firewall не настроен по умолчанию. Если нужен удалённый доступ, лучше использовать IPsec или Wireguard, а не открывать порты. ##### Настройка пароля пользователей Рекомендуется создать надёжный пароль, содержащий: - Не менее 12 символов; - Цифры, символы, заглавные и строчные буквы; - Исключить слова из словаря. Команда для установки пароля пользователя: ``` /user set 0 password="!={Ba3N!40TуX+GvKBzjTLIUcx/," ``` Или задать пароль для текущего пользователя: ``` /password old-password: ******** new-password: **************************** confirm-new-password: **************************** ``` Учтите, что забытый пароль невозможно восстановить — придётся сбросить настройки или переустановить систему роутера! Вы можете добавить новых пользователей с полными или ограниченными правами в меню `/user`: ``` /user add name=myname password=mypassword group=full /user remove admin ``` Рекомендуется создать нового пользователя и отключить или удалить стандартного *admin*. #### MAC доступ По умолчанию MAC сервер работает на **всех интерфейсах**. Чтобы ограничить MAC доступ с WAN, отключите default all и добавьте LAN интерфейс: ``` /interface list add name=LAN /interface list member add list=LAN interface=bridge1 /tool mac-server set allowed-interface-list=LAN /tool mac-server mac-winbox set allowed-interface-list=LAN ``` Из WinBox/Webfig: - Перейдите **Interfaces → Interface List → Lists**; - Добавьте список с именем *LAN*; - В секции Interface List добавьте в список *LAN* интерфейс *bridge1*; - В меню **Tools → Mac Server** установите список *LAN* для MAC Telnet Server и MAC Winbox Server; - Сохраните настройки. #### [![interface_list.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/UOJATZ2T1QKGwpwF-interface-list.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/UOJATZ2T1QKGwpwF-interface-list.png) [![int_list_port.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/5khIrW4HLvveu2Pc-int-list-port.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/5khIrW4HLvveu2Pc-int-list-port.png) [![mac_telnet_server.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/lNoilc9hzEL1ISIR-mac-telnet-server.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/lNoilc9hzEL1ISIR-mac-telnet-server.png) #### Обнаружение соседей (Neighbor Discovery) Протокол MikroTik Neighbor Discovery показывает другие MikroTik роутеры в сети. Отключите его на публичных интерфейсах: ``` /ip neighbor discovery-settings set discover-interface-list=LAN ``` #### Настройка IP доступа Хотя firewall защищает роутер от внешних сетей, можно ограничить доступ по IP-адресам: ``` /user set 0 address=x.x.x.x/yy ``` где *x.x.x.x/yy* — ваш IP или подсеть для разрешения доступа. На публичном интерфейсе в firewall разрешите только ICMP (ping/traceroute), IP Winbox и ssh: ``` /ip firewall filter add chain=input action=accept connection-state=established,related,untracked comment="accept established,related,untracked" add chain=input action=drop connection-state=invalid comment="drop invalid" add chain=input in-interface=ether1 action=accept protocol=icmp comment="accept ICMP" add chain=input in-interface=ether1 action=accept protocol=tcp port=8291 comment="allow Winbox" add chain=input in-interface=ether1 action=accept protocol=tcp port=22 comment="allow SSH" add chain=input in-interface=ether1 action=drop comment="block everything else" ``` Если вместо ether1 используется PPPoE, LTE или другой интерфейс, замените в правилах *ether1* на соответствующий. В WinBox/WebFig: - Откройте IP → Firewall → Filter Rules; - Добавьте правило с chain=input, выберите connection state с галочками для *established*, *related* и *untracked*; - Выберите действие accept и сохраните. [![firewall_filter_add.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/4itts6MgnB4YL1eB-firewall-filter-add.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/4itts6MgnB4YL1eB-firewall-filter-add.png) [![firewall_filter_add_wb.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/KpKuvVX3HCxo84Ud-firewall-filter-add-wb.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/KpKuvVX3HCxo84Ud-firewall-filter-add-wb.png) Повторите, добавляя другие необходимые правила. #### Административные сервисы Хотя firewall защищает роутер, вы можете отключить ненужные сервисы RouterOS: ``` /ip service disable telnet,ftp,www,api ``` Измените стандартные порты сервисов, чтобы снизить число случайных попыток входа по SSH: ``` /ip service set ssh port=2200 ``` Каждый сервис можно ограничить по IP адресам: ``` /ip service set winbox address=192.168.88.0/24 ``` #### Другие сервисы - Сервер пропускной способности для тестов между MikroTik роутерами следует отключать в продакшене: ``` /tool bandwidth-server set enabled=no ``` - Если не нужен DNS-кэш, его можно отключить: ``` /ip dns set allow-remote-requests=no ``` - Отключайте неиспользуемые интерфейсы для снижения риска несанкционированного доступа: ``` /interface set ether13 disabled=yes ``` (Где "ether13" - имя неиспользуемого интерфейса) - Включите сильное шифрование SSH: ``` /ip ssh set strong-crypto=yes ``` - Проверьте отключение следующих сервисов (они по умолчанию отключены): - MikroTik кэш-прокси: `/ip proxy set enabled=no` - MikroTik socks-прокси: `/ip socks set enabled=no` - MikroTik UPNP: `/ip upnp set enabled=no` - MikroTik динамическое имя (IP Cloud): `/ip cloud set ddns-enabled=no update-time=no` #### Настройка беспроводной сети Для удобства будет выполнена мостовая настройка беспроводной сети, чтобы проводные и беспроводные устройства находились в одной Ethernet-домене вещания. Важно защитить беспроводную сеть, для начала создайте профиль безопасности: ``` /interface wireless security-profiles add name=myProfile authentication-types=wpa2-psk mode=dynamic-keys \ wpa2-pre-shared-key=1234567890 ``` В Winbox/WebFig: - Откройте окно **Wireless** и перейдите на вкладку **Security Profile**. [![winbox_wlan_sec_profile.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/3MFWYaIwaMQrLZOi-winbox-wlan-sec-profile.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/3MFWYaIwaMQrLZOi-winbox-wlan-sec-profile.png) Если в сети есть старые устройства, не поддерживающие WPA2 (например, Windows XP), можно разрешить WPA протокол. Но WPA и WPA2 ключи должны быть разными. Когда профиль безопасности готов, включите беспроводной интерфейс и задайте параметры: ``` /interface wireless enable wlan1; set wlan1 band=2ghz-b/g/n channel-width=20/40mhz-Ce distance=indoors \ mode=ap-bridge ssid=MikroTik-006360 wireless-protocol=802.11 \ security-profile=myProfile frequency-mode=regulatory-domain \ set country=latvia antenna-gain=3 ``` В WinBox/WebFig: - Откройте окно **Wireless**, выберите интерфейс wlan1 и нажмите кнопку *enable*; - Дважды щёлкните интерфейс для открытия настроек; - На вкладке **Wireless** нажмите кнопку *Advanced mode* справа для показа дополнительных параметров (переключит режим в *Simple mode* после нажатия); - Выберите параметры как на скриншоте, кроме страны и SSID; - На вкладке **HT** включите обе цепочки (~chains); - Примените настройки кнопкой **OK**. [![winbox_wlan_iface.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/HMY3vinQe28zixae-winbox-wlan-iface.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/HMY3vinQe28zixae-winbox-wlan-iface.png) Последний шаг — добавить беспроводной интерфейс в локальный мост, иначе клиенты не получат IP: ``` /interface bridge port add interface=wlan1 bridge=bridge1 ``` Теперь беспроводная сеть готова принимать клиентов, выдавать им IP и обеспечивать интернет-доступ. #### Защита клиентов Добавим базовые правила защиты для клиентов локальной сети: ``` /ip firewall filter add chain=forward action=fasttrack-connection connection-state=established,related \ comment="fast-track for established,related" add chain=forward action=accept connection-state=established,related \ comment="accept established,related" add chain=forward action=drop connection-state=invalid add chain=forward action=drop connection-state=new connection-nat-state=!dstnat \ in-interface=ether1 comment="drop access to clients behind NAT from WAN" ``` Правила похожи на входящие (input): принимаются установленные/связанные и отбрасываются недействительные пакеты. Первая строка с fasttrack позволяет значительно уменьшить нагрузку на CPU. Последнее правило блокирует новые соединения с WAN к LAN, если не используется dstnat. Это снижает риск атак на локальные хосты. Подробности и расширенные примеры настройки брандмауэров поищите в статье о построении первого брандмауэра. #### Блокировка нежелательных сайтов Иногда нужно запретить доступ к определённым сайтам (например, развлекательным, порнографическим) на работе. Для этого перенаправляют HTTP трафик на прокси и используют списки доступа для разрешения или блокировки сайтов. Для начала добавим правило NAT, которое перенаправляет HTTP трафик на встроенный прокси на порту 8080: ``` /ip firewall nat add chain=dst-nat protocol=tcp dst-port=80 src-address=192.168.88.0/24 \ action=redirect to-ports=8080 ``` Включаем прокси и запрещаем некоторые сайты: ``` /ip proxy set enabled=yes /ip proxy access add dst-host=www.facebook.com action=deny /ip proxy access add dst-host=*.youtube.* action=deny /ip proxy access add dst-host=:vimeo action=deny ``` Используя Winbox: - Перейдите в IP → Web Proxy; - Откроется окно настроек прокси, поставьте галочку "Enable" и нажмите "Apply"; - Нажмите кнопку "Access", добавьте новые правила с доменами сайтов и действием "deny"; - Повторите для других сайтов. #### [![winbox_ip_web_proxy.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/ET9SmoMFC1qW1A7a-winbox-ip-web-proxy.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/ET9SmoMFC1qW1A7a-winbox-ip-web-proxy.png) [![winbox_ip_web_proxy_access.png](https://wiki.alalkov.site/uploads/images/gallery/2025-11/scaled-1680-/FqFMulJnE9JYiirU-winbox-ip-web-proxy-access.png)](https://wiki.alalkov.site/uploads/images/gallery/2025-11/FqFMulJnE9JYiirU-winbox-ip-web-proxy-access.png) #### Устранение неполадок RouterOS содержит встроенные инструменты для диагностики, например, ping, traceroute, torch, packet sniffer, bandwidth test. Мы ранее использовали ping для проверки интернет-соединения.