Инструкции по настройке mikrotik

Оглавление

Настройка модуля CAPsMan

В меню теперь будет отображаться новый пункт CAPsMan. В него нужно зайти и сделать контроллер активным. Путь выглядит следующим образом: CAPsMan — InterFace — Manage — поставить галочку напротив пункта Enable.

Далее во вкладе Channel нужно прописать необходимую информацию о WiFi. Потом во вкладке Datapath указать только название bridge1. Если поставить галочку напротив local-forwarding, то управление трафиком будет передано непосредственно удаленным точкам доступа. Если же галочка снята, то трафиком управляет контроллер.

Следующий этап — в разделе Security нужно выставить настройки безопасности.

В завершении потребуется перейти во вкладку Развертывание (Provisioning). Тут необходимо указать правило развертывания конфигурации. Первое поле трогать не нужно, а в графе Action указать, что в работе будут задействованы по умолчанию динамические интерфейсы.

Процесс подключения точки WiFi к CAPsMAN.

Подключение точки CAP к CAPsMAN может осуществляться на канальном уровне Layer2 используя mac-адреса и на сетевом уровне Layer3 используя ip-адреса. Подключение на основе Layer3 может пригодиться когда точка доступа и CAPsMAN находятся в разных сегментах сети.

Чтобы подключиться к CAPsMAN точка доступа запускает процесс обнаружения и создает список обнаруженных CAPsMAN. Обнаружение происходит с использованием:

  • Списка ip-адресов
  • списка CAPsMAN полученного от DHCP сервера
  • широковещательных запросов на уровне Layer 2 и Layer 3;

После построения списка доступных CAPsMAN точка выбирает к кому из них подключиться на основе следующих правил:

  • список имен разрешенных в CAPsMAN Names;
  • контроллер точек доступа доступный по MAC предпочтительнее доступного по IP.

После того как точка доступа CAP выбрала к какому контроллеру подключаться происходит процесс аутентификации. Возможны следующие варианты:

  • На CAPsMAN и CAP нет сертификатов — подключение без аутентификации;
  • Сертификат только у CAPsMAN — аутентификация возможна в случае следующей настройки на менеджере require-peer-certificate=no;
  • CAPsMAN и CAP имеют доверенные сертификаты — взаимная аутентификация.

В случае использования сертификата CAP может дополнительно проверить значение CommonName в сертификате от CAPsMAN. Параметр caps-man-certificate-common-names содержит список разрешенных значений CommonName. Если список пуст, то CAP не будет проверять это поле CommonName.

В случае разрыва соединения между CAP и CAPsMAN потеря связи будет обнаружена через 10-20 секунд.

Запрещаем клиентам гостевой сети доступ к сети администрации

Запретим клиентам доступ из одной сети в другую.

  1. Откройте меню IP — Routes.
  2. Перейдите на вкладку Rules.
  3. Нажмите синий плюсик.
  4. В поле Src. Address введите подсеть 192.168.88.0/24
  5. В поле Dst. Address введите открытую подсеть 192.168.1.0/24
  6. В списке Action выберите drop.
  7. Нажмите OK.

Этим правилом мы запретили доступ из гостевой подсети 192.168.1.0/24 в административную подсеть 192.168.88.0/24.

Теперь добавим еще одно правило, чтобы запретить доступ из административной подсети 192.168.88.0/24 в гостевую подсеть 192.168.1.0/24, т.е наоборот.

  1. Нажмите синий плюсик.
  2. В поле Src. Address введите подсеть 192.168.1.0/24
  3. В поле Dst. Address введите открытую подсеть 192.168.88.0/24
  4. В списке Action выберите drop.
  5. Нажмите OK.

Настройка MikroTik Capsman WiFi на частоте 2,4 и 5ГГц

Оборудование MikroTik существенно отличается от своих конкурентов наличием в прошивке менеджера управления WiFi сетями Capsman. Он выступает в качестве центрального контроллера для все WiFi точек, является носителем конфигурации. А сам роутер в это время обрабатывает пакеты. Удобно, не правда ли?

В рассмотренной конфигурации будет присутствовать оба модуля WiFi на частотах 2,4 и 5ГГц. Но если же конфигурация имеет поддержку лишь одного модуля WiFi, нужно описать только его.

/caps-man manager
set enabled=yes upgrade-policy=require-same-version

Upgrade Policy = require same version версия RouterOS точки доступа должна быть точно такой же как и версия прошивки контроллера CAPsMAN.

Настройка находится в CAPsMAN->Channels

/caps-man channel
add band=2ghz-b/g/n name=channel-24

/caps-man channel add band=5ghz-a/n/ac name=channel5

Datapath как настройка будет общая для обоих модулей WiFi, т.к. оба модуля имеют принадлежность к Bridge через Ports.

Настройка находится в CAPsMAN->Datapaths

/caps-man datapath
add bridge=bridge-1 client-to-client-forwarding=yes name=\
datapath

Local Forwarding – трафик, который будет приходить от клиента будет обрабатываться контроллером Capsman(чек бокс не установлен) или самой точкой доступа(с активным чек боксом). Это можно применять для разгрузки центрального маршрутизатора, который помещает виртуальные интерфейсы, созданные CAPsMAN, в локальный бридж(Bridge). Local Forwarding не подходит для гостевой сети. В случае с гостевой сетью, параметр Local Forwarding минует бридж(Bridge) и тем самым обрабатывает пакет только на L2. Как следствие – процессор не задействуется и нельзя воспользоваться Firewall.

!!! Если параметр активирован, все остальные настройки в разделе datapath не будут восприниматься подключенной точкой доступа.

Client To Client Forwarding – разрешение обмена трафика между клиентами. Для примера: в гостевой сети необходимо запретить такой обмен, а вот в локальной сети – разрешить.

Настройка находится в CAPsMAN->Security Cfg.

/caps-man security
add authentication-types=wpa2-psk encryption=aes-ccm \
group-key-update=1h name=security passphrase=123456678

В этом разделе нужно добавить две отдельные конфигурации, но суть их в одном – указать ссылки на произведенные ранее настроить в разделах Channels, Datapaths, Security Cfg. Будет рассмотрена конфигурация для частоты 2,4ГГц, а 5ГГц настраивается по абсолютной аналогии.

Настройка находится в CAPsMAN->Configurations

Поддержи автора статьи, сделай клик по рекламе ↓↓↓

/caps-man configuration
add channel=channel-24 datapath=datapath mode=ap name=\
cfg-24 rx-chains=0,1,2,3 security=security \
ssid=MikrotikConfigUkr tx-chains=0,1,2,3

Настройка находится в CAPsMAN->Provisioning

/caps-man provisioning
add action=create-enabled hw-supported-modes=b,gn \
    master-configuration=cfg-24

/caps-man provisioning
add action=create-enabled hw-supported-modes=an,ac \
master-configuration=cfg-5

Сравнение MikroTik Mesh vs Tp-Link, Asus, Tenda, Zyxel, Mercusys, Linksys, D-Link

Рынок продукции Mesh систем настолько широкий, что можно запутаться в выборе производителя. Невооруженным взглядом можно определить, что комплекты отличаются количеством устройств и ценой. Как правило:

  • комплекты с низкой ценой и максимальным количеством единиц Mesh устройств обладают заниженными скоростными характеристиками. До 100Мб;
  • дорогие комплекты это ТОП по аппаратной начинке, которые выдают большую скорость. Свыше 200Мб.

Именно эти два свойства Mesh системы, стоимость и выходная скорость, определяют выбор при покупке. Учитывая разную природу этих свойств, сложно составить однозначный рейтинг Mesh систем. Однако описание основных характеристик прекрасно группируется в таблицу.

Таблица сравнения Mesh систем разных производителей

Модель Цена за ед. 3-ий модуль Наличие 5ГГц Наличие 1Гб
TP-LINK Deco M4 61$ + +
TP-LINK Deco M5 84$ + + +
Tenda Nova MW5s 38$ + +
Tenda Nova MW6 58$ + +
Asus MAP-AC1300 76$ + + +
Asus Lyra MAP-AC2200 118$ + + +
Asus ZenWiFi AX 220$ + + +
Asus ZenWiFi XD4 135$ + + +
ZYXEL Multy X 187$ + + +
ZYXEL Multy U 128$ + + +
Mercusys Halo S12 33$ +
Linksys Velop 95$ + +
D-Link COVR-C1202 45$ + +
Ubiquiti AFI-INS 144$ + +
Ubiquiti AFI-INS 144$ + +
MikroTik Audience 158$ + + +
MikroTik hAP ac2 61$ + +

Есть вопросы или предложения по настройке Mesh в MikroTik? Активно предлагай свой вариант настройки! →

Настройка контроллера MikroTik CAPsMAN

Как настроить роутер MikroTik для раздачи интернета мы останавливаться не будем. Это подробно описано в статье Простая настройка MikroTik с помощью QuickSet. Переходим к настройке CAPsMAN.

Сначала активируем CAPsMAN:

  1. Откройте меню CAPsMAN и перейдите на вкладку Interfaces.
  2. Нажмите кнопку Manager.
  3. В появившемся окне поставьте галочку Enable.
  4. Нажмите кнопку OK.

Выполняем настройку Wi-Fi канала:

  1. Перейдите на вкладку Channels.
  2. Нажмите синий плюсик.
  3. В появившемся окне в поле Name укажите название канала. Я назвал его channel2, поскольку он будет для частоты 2,4ГГц. Для частоты 5ГГц я буду использовать название channel5.
  4. В поле Width можете указать ширину канала 20Mhz. Ширина 40Mhz и 80Mhz пока не поддерживается. Мы оставили это поле пустым.
  5. В поле Band укажите стандарты, в которых будет работать Wi-Fi точка. Для большей совместимости ставим стандарты b/g/n.
  6. В поле Extension Channel указывается, в какую сторону от указанной частоты будет распределяться наш канал. Мы оставили это поле пустым.
  7. В поле Tx Power укажите выходную мощность Wi-Fi, например, 20 dBm (100 мВт). Оставлять это поле пустым не желательно, поскольку в этом случае устройства будут работать на максимальной мощности, а это нужно далеко не всегда.
  8. Нажмите кнопку OK.

У нас двухдиапазонные устройства, поэтому аналогичным образом настраиваем Wi-Fi канал для частоты 5ГГц. Если ваши устройства поддерживают только 2,4ГГц, то пропустите данный шаг.

В итоге получаем два канала: channel2 и channel5.

Настраиваем пароль для подключения к Wi-Fi сети:

  1. Перейдите на вкладку Security Cfg.
  2. Нажмите синий плюсик.
  3. В появившемся окне в поле Name укажите название профиля. Мы оставили без изменения security1.
  4. В поле Autentification Type укажите типа авторизации WPA2 PSK.
  5. В Encryption выберите алгоритм aes ccm.
  6. В списке Group Encryption выберите алгоритм aes ccm.
  7. В поле Passphrase введите пароль для подключения к Wi-Fi точке.
  8. Нажмите кнопку OK.

Настраиваем режим обработки данных Datapaths:

  1. Перейдите на вкладку Datapaths
  2. Нажмите синий плюсик.
  3. В поле Name оставляем имя без изменения datapath1.
  4. В списке Bridge выберите бридж интерфейс.
  5. В поле Local Forwarding ничего не указываем, чтобы наша система работала в режиме Manager Forwarding Mode. Пару слов об этих режимах.В режиме Local Forwarding Mode обработка и перенаправление данных клиентов осуществляется непосредственно на Wi-Fi точках доступа, а не на роутере.В режиме Manager Forwarding Mode все данные клиентов передаются на роутер, где производится их обработка. В этом случае CAPsMAN полностью контролирует перенаправление данных, включая обмен данными между клиентами. Мне этот режим больше понравился, но он создает больше нагрузку на сеть и роутер.
  6. Поставьте галочку Client To Client Forwarding, чтобы разрешить клиентам обмениваться данными друг с другом.
  7. Нажмите OK.

Создаем новую конфигурацию для частоты 2,4ГГц.

  1. Перейдите на вкладку Configurations.
  2. Нажмите синий плюсик.
  3. В появившемся окне на вкладке Wireless в поле Name укажите название конфигурации cfg2.
  4. В списке Mode выберите режим работы ap — точка доступа.
  5. В поле SSID укажите название Wi-Fi точки, например, mikrotik2.
  6. Поставьте все галочки напротив HT Tx Chains и HT Rx Chains.

Перейдите на вкладку Channel и в списке Channel выберите наш канал на 2,4ГГц под названием channel2.

Перейдите на вкладку Datapath и выберите datapath1.

Перейдите на вкладку Security, укажите наш профиль безопасности security1 и нажмите кнопку OK.

По аналогии создайте новую конфигурацию для частоты 5ГГц. Если ваши устройства не поддерживают 5ГГц, то пропустите этот шаг.

В итоге получаем две конфигурации для 2,4 и 5ГГц.

Теперь необходимо настроить параметры развертывания Provisioning для частоты 2,4ГГц.

  1. Откройте вкладку Provisioning.
  2. Нажмите синий плюсик.
  3. В списке Hw. Supported Modes выберите стандарты gn. Это означает, что указанная конфигурация будет применяться для устройств с поддержкой g и n стандартов, т.е. работающих на частоте 2,4ГГц.
  4. В списке Action выберите create dynamic enabled, чтобы в контроллере CAPsMAN автоматически создавались интерфейсы подключаемых точек.
  5. В списке Master Configuration выберите конфигурацию для 2,4ГГц, т.е. cfg2.
  6. Нажмите OK.

Добавьте второе правило развертывания для частоты 5ГГц.

  1. Нажмите синий плюсик.
  2. В списке Hw. Supported Modes выберите стандарты an. Это означает, что указанная конфигурация будет применяться для устройств поддерживающих a и n стандарты, т.е. работающих на 5ГГц.
  3. В списке Action выберите create enabled.
  4. В списке Master Configuration выберите конфигурацию для 5ГГц, т.е. cfg5.
  5. Нажмите OK.

Настройка wifi точки доступа в mikrotik

Наш роутер почти готов к работе. Осталось только настроить wi fi точку доступа и можно про него забывать :). Настройка wifi в микротике заслуживает отдельной статьи. Там очень много нюансов и возможностей. Мы сейчас сделаем самую простую настройку, которая подойдет и полностью удовлетворит потребности домашнего wifi роутера. А для более глубоких познаний можно будет воспользоваться отдельным материалом на эту тему.

Первым делом активируем беспроводной интерфейс. По-умолчанию он выключен. Идем в раздел Wireless, выбираем wlan1 и жмем синюю галочку.

Интерфейс из серого станет светлым. Переходим на вкладку Security profiles, два раза жмем мышкой на строчку с профилем default. В поле Mode выбираем dynamic keys. Ставим галочки напротив WPA PSK и WPA2 PSK и aes ccm. В поля WPA Pre-Shared Key и WPA2 Pre-Shares Key вводим пароль от будущей беспроводной сети. Я рекомендую использовать длинный пароль (не меньше 12-ти символов) с цифрами и спецсимволами. Да, вводить не очень удобно, но после того, как я сам без проблем брутил хэши простых паролей, я убедился, что лучше поставить сложный пароль, если не хочешь, чтобы к твоему wifi кто-то подключался.

Сохраняем настройки. Возвращаемся на вкладку Interfaces и два раза жмем на wlan1, открываются настройки wifi интерфейса микротика. Переходим на вкладку Wireless. Выставляем настройки как у меня на скриншоте.

Обращаю внимание на следующие настройки:

  • SSID — имя вашей беспроводной сети. Пишите то, что хочется.
  • Frequency — частота, соответствующая одному из 12-ти каналов. Самое первое значение это первый канал и так далее. Тут рекомендуется выбрать тот канал, который в вашем конкретном случае менее всего занят другими точками доступа. Если вы не знаете что это за каналы и как их проверить, то не обращайте внимания, может выбрать любое значение из списка.

Сохраняете настройки, нажимая ОК. Все, wifi  точка доступа на mikrotik настроена, можно проверять. Запускаете любое устройство, ищете вашу сеть, вводите пароль доступа и проверяете интернет. Все должно работать.

На этом основная настройка микротика закончена, но я рекомендую выполнить еще несколько настроек для удобства и безопасности.

Подключение точек доступа

В моем повествовании участвуют две точки доступа с адресами 10.1.3.110 (xs-wl-office) и 10.1.3.111 (xs-wl-meeting), соединенные между собой по ethernet кабелю. Первая из них контроллер, вторая простая точка. Обе точки видят друг друга в локальной сети. Wifi интерфейс контроллера так же как и обычной точки подключается к capsman и берет у него настройки. То есть контроллер является одновременно и контроллером и рядовой точкой доступа. Даже комбинация из двух точек организует полноценную бесшовную wifi сеть на всей площади, которую покрывают их радио модули.

Подключение точек доступа CAP к контроллеру CAPsMAN возможно по двум разным уровням — Layer 2 или Layer 3. В первом случае точки доступа должны быть расположены физически в одном сегменте сети (физической или виртуальной, если это L2 туннель). То есть, если по-простому, подключены к одному свитчу. В них не обязательно настраивать ip адресацию, они найдут контроллер по MAC адресу.

Во втором случае подключение будет по протоколу IP (UDP). Нужно настроить IP адресацию и организовать доступность точек доступа и контроллера по IP адресам.

Для начала подключим отдельную wifi точку. Подключаемся к ней через winbox и переходим в раздел Wireless. Там нажимаем на CAP и указываем настройки.

Описание настроек CAP
Interfaces интерфейс, которым будет управлять контроллер
Certificate сертификат для авторизации, если используется
Discovery Interfaces интерфейс, по которому CAP будет искать контроллер
Lock to CAPsMAN привязать точку к конкретному мастеру
CAPsMAN Addresses IP адрес по которому CAP будет искать контроллер
CAPsMAN Names имя контроллера, который будет искать CAP, если не указано ничего, то поиск по имени не осуществляется
CAPsMAN Certificate Common Names список CommonNames сертификатов на контроллере, которые будет проверять CAP при подключении
Bridge bridge, к которому будет подключаться интерфейс, когда включена опция local forwarding
Static Virtual CAP создаст статические виртуальные интерфейсы вместо динамических и попытается повторно использовать тот же интерфейс при повторном подключении к CAPsMAN, если MAC-адрес будет тем же.

В моем случае я не стал указывать ip адрес контроллера, а просто указал бридж, на котором его стоит искать. Тут это бридж, в который объединены все интерфейсы точки. В частности, в этот бридж входит ethernet порт, через который точка доступа подключается к свитчу, в который подключен и контроллер. Если у вас не в одном широковещательном домене точка и контроллер, то Discovery Interfaces оставьте пустым, а в CAPsMAN Addresses введите ip адрес мастера.

Сохраняем настройки и проверяем. Если точка доступа корректно подключится к контроллеру, то на самой точке будет такая картина:

А на контроллере в списке Interfaces появится только что созданный радио интерфейс подключенной точки доступа:

Интерфейс назван в соответствии с настроенным ранее префиксом.

Если у вас по точка доступа упорно не подключается к контроллеру и вы никак не можете понять, в чем проблема, то первым делом проверьте, удалили ли вы дефолтную конфигурацию при первоначальной настройке точки. Она часто является причиной того, что точка доступа не подключается к capsman контроллеру.

Проделаем теперь то же самое на самом mikrotik контроллере — подключим его wifi интерфейс к capsman v2. Делается это абсолютно так же, как только что проделали на отдельной точке wifi.

Для примера, я подключил точку к контроллеру по ip адресу. После подключения смотрим картинку на контроллере. Должно быть примерно так:

Все, основные настройки закончены. Теперь эту конфигурацию можно разворачивать дальше на новые точки доступа и покрывать большую площадь единой бесшовной wifi сетью. Все подключенные клиенты будут отображаться на вкладке Registration Table с указанием точки, к которой они подключены.

Для удобного и наглядного анализа сети рекомендуется придумать осмысленную схему назначения имен точкам доступа и радио интерфейсам.

Ограничиваем скорость в гостевой Wi-Fi сети

Чтобы гости не заняли весь канал интернета, и сотрудникам организации было комфортно работать, необходимо настроить ограничения скорости для каждого клиента гостевой сети.

Допустим у нас есть входной интернет канал 100 Мбит/с. Для внутренней сети кафе достаточно минимальной скорости 20 Мбит/с. Остальные 80 Мбит/с мы выделим для гостевой сети. Каждому гостю сделаем ограничение скорости в 2 Мбит/с.

Перед настройкой необходимо убедиться, что на роутере в фаерволе отключен fasttrack. Эта технология появилась начиная с RouterOS 6.29 и позволяет увеличить производительность путем пересылки данных без их дополнительной обработки. Однако если она включена, то ограничения скорости не сработают. Обычно это проявляется так: скорость загрузки не срабатывает, а скорость отдачи работает. Поэтому fasttrack необходимо отключить, либо применить для подсети, в которой не будут действовать ограничения скорости.

  1. Откройте меню IP — Firewall.
  2. На вкладке Filter Rules выберите правило fasttrack connection.
  3. Нажмите красный крестик Disable, чтобы деактивировать правило.

Но мы не будем его деактивировать, а применим для внутренней сети администрации 192.168.88.0/24, в которой не будут действовать ограничения.

  1. Сделайте двойной щелчок по правилу, чтобы открыть его настройки.
  2. В поле Src. Address укажите сеть 192.168.88.0/24
  3. Нажмите кнопку OK.

Теперь приступаем к настройке ограничений скорости для гостевой подсети 192.168.1.0/24.

Добавим pcq очередь на загрузку с ограничением 2 Мбит/с.

  1. Откройте меню Queues.
  2. Перейдите на вкладку Queue Types.
  3. Нажмите синий плюсик.
  4. В поле Type Name укажите название очереди на загрузку pcq-download-2M.
  5. В списке Kind выберите pcq.
  6. В поле Rate укажите ограничение скорости на загрузку 2M (2 Мбит/с).
  7. Проверьте, что напротив Dst. Address стоит галочка.
  8. Нажмите кнопку OK.

Добавим pcq очередь на отдачу с ограничением 2 Мбит/с.

  1. Нажмите синий плюсик.
  2. В поле Type Name укажите название очереди на загрузку pcq-upload-2M.
  3. В списке Kind выберите pcq.
  4. В поле Rate укажите ограничение скорости на отдачу 2M (2 Мбит/с).
  5. Поставьте галочку напротив Src. Address.
  6. Уберите галочку напротив Dst. Address.
  7. Нажмите кнопку OK.

Теперь добавим правило с ограничениями скоростей.

  1. Перейдите на вкладку Simple Queues.
  2. Нажмите синий плюсик.
  3. В поле Name укажите название правила queue-free-limit-2M.
  4. В поле Target укажите нашу открытую подсеть 192.168.1.0/24
  5. В поле Max Limit в колонке Target Upload укажите максимальную скорость отдачи 80M (80 Мбит/с), которую мы выделяем на всю открытую подсеть.
  6. В поле Max Limit в колонке Target Download укажите максимальную скорость загрузки 80M (80 Мбит/с), которую мы выделяем на всю открытую подсеть.
     
  7. Перейдите на вкладку Advanced.
  8. В списке Queue Type в колонке Target Upload выберите pcq-upload-2M.
  9. В списке Queue Type в колонке Target Download выберите pcq-download-2M.
  10. Нажмите кнопку OK.

Теперь подключитесь к открытой Wi-Fi сети mikrotik2free или mikrotik5free, и проверьте скорость с помощью сайта www.speedtest.net или аналогичного мобильного приложения.

Настройка Wi-Fi подключения

Теперь выполним Wi-Fi подключение к базовой станции провайдера.

В разделе Wireless выполните следующие настройки:

  • В столбце Network Name — выберите название Wi-Fi точки, к которой нужно подключиться;
  • В поле WiFi Password — введите пароль для подключения к Wi-Fi точке, если он используется;
  • Нажмите кнопки Apply и Connect.

После произведенных настроек должен появиться Status: connected to ess и параметры подключения.

Если вы настраивали клиентскую точку на работу в подсети отличной от 192.168.88.xxx, то не забудьте в настройках сетевой карты компьютера изменить сетевые настройки на необходимую подсеть. Иначе у вас не будет доступа к интернету.

Настройка Firewall и безопасность сетей

Если firewall дефолтный, то его нужно донастроить, чтобы все работало. От него будем отталкиваться.

Если CAPsMAN контроллер работает на самом Wi-Fi устройстве, нужно разрешить входящий udp трафик на порты 5246,5247 с адреса 127.0.0.1 на 127.0.0.1 (сам на себя)

Внимание! Разрешающий правила нужно ставить до запрещающих!

Для остальных сетей нужно разрешить DNS (udp 53 порт)Объединяем их в Interfaces -> Interface ListСоздаем лист Bridge-Ext

Добавляем в Bridge-Ext: bridgeWork, bridgeHotSpot, bridgeGuest
IP -> Firewall разрешим входящий трафик с листа Bridge-Ext до udp 53

Создадим правило для bridgeWork

Chain: forwardIn. Interface: bridgeWork
Dst. Address List: До списка адресов

Address Lists можно заполнять вручную в IP -> Firewall -> Address Lists
Либо указывать в DHCP, если контроллер является таковым
Запрещаем трафик из списка интерфейсов Bridge-Ext в интерфейсы, кроме WAN

Запрещаем хождение трафика из списка LAN в Bridge-Ext

Часто задаваемые вопросы по теме статьи (FAQ)

Подходит ли Микротик для домашнего использования?

Я считаю, что Микротик стоит использовать только тем, кто может его самостоятельно настроить. Если вы не системный администратор, не разбираетесь в сетевых технологиях, лучше поставить какой-то роутер попроще. Я сталкивался с ситуациями, когда пользователь обращается к провайдеру с проблемами доступа в интернет. И когда он говорит провайдеру, что у него устройство Микротик, тех. поддержка провайдера отвечает, что мы не можем помочь с таким устройством. Разбирайтесь сами.

Какую ветку прошивки вы рекомендуете использовать?

Если вас не интересуют нововведения, которые появляются в новых версиях прошивки, я рекомендую использовать ветку long-term. Это самая стабильная версия, куда оперативно вносятся все обновления безопасности.

Можно ли запитать устройства Mikrotik через стандартный poe адаптер 802.3af?

Нет, у Mikrotik свой стандарт poe адаптеров, которые подходят только для устройств этой же фирмы. Он отличается от промышленного стандарта 802.3af, поэтому необходимо приобретать фирменные poe адаптеры Mikrotik.

Из-за чего часто возникают проблемы со связью у устройств компании Apple и роутеров Mikrotik?

Корень проблемы подключения apple устройств, в частности iphone, к микротикам кроется в механизме обновления dhcp leases в режиме сна. Когда iphone или другое устройство apple «засыпает», оно не может корректно обновить dhcp аренду, поэтому при выходе из режима сна wifi сеть бывает недоступна. Частичное решение этой проблемы — делать большой интервал обновления dhcp аренды — несколько часов или суток.