Продолжение предыдущих статей по организации единой локальной сети.
Содержание:
Создание домашней сети на базе устройств MikroTik: Часть 1
Создание домашней сети на базе устройств MikroTik: Часть 2 — Настройка hAP ac
Создание домашней сети на базе устройств MikroTik: Часть 3 — Настройка RB750Gr3 hEX (Вы тут)
Создание домашней сети на базе устройств MikroTik: Часть 4 — Создание OpenVPN туннеля
Создание домашней сети на базе устройств MikroTik: Часть 5 — Создание EoIP туннеля
Создание домашней сети на базе устройств MikroTik: Часть 6 — Firewall защита доступа
Создание домашней сети на базе устройств MikroTik: Часть 7 — Firewall правильное перенаправление портов в сети с двумя шлюзами
Создание домашней сети на базе устройств MikroTik: Часть 8 – Установка и настройка MikroTik DUDE Network Monitor

Мы настроили наш основной роутер hAP ac для работы со статическим IP провайдера и провели базовую настройку не затрагивая настройку защищенного туннеля (VPN).
Произведем настройку для роутера hEX RB750Gr3. (hEX S похож на него)
Суть и методика настройки не особо отличается от настройки модели hAP ac. В этой модели просто нет Wi-Fi.

Подключим роутер к ПК/Ноутбуку через порт 2, а кабель провайдера в порт Internet.
Красным – интернет / Синим – локальный

На ПК для сетевого интерфейса устанавливаем статический IP 192.168.88.5 и маску сети 255.255.255.0
Это нужно если у роутера отсутствует IP адрес.

Открываем утилиту WinBox (Подробнее: и ). Сбрасываем все заводские настройки, они нам не понадобятся!
Сброс настроек Консольно:
/system reset-configuration no-defaults=yes skip-backup=yes
Подтверждаем сброс настроек.
После этой процедуры, у роутера не будет IP адреса, поэтому подключаемся по MAC адресу.
Все настройки будут сброшены, начнем настройку:

1. Настраиваем сетевые интерфейсы
Все также, как и для hAP ac.
Данный роутер будет располагаться территориально далеко, например в другом городе, соответственно все настройки делаем для используемого провайдера.
Все интерфейсы RJ45 входят в один свич(switch1) поэтому нам нужно отделить порт для провайдера, и порты для локальных соединений.
Выбираем интерфейс ether1 и переименовываем его в WAN
Меняем имя порта ether1 Консольно:
/interface ethernet
set name=WAN

Выбираем интерфейс ether2 и переименовываем его в LAN1-Ethernet
Т.к все сетевые порты у нас находятся в свиче, мы можем сделать один из портов ведущим(Мастер порт), а остальные ведомыми(Слейв порты). По сути получится, как будто каждый из портов это один и тот же порт.
Из-за изменений в прошивке 6.41 в работе Сетевых мостов старый метод не работает. У сетевых портов исключили параметр Master Port.
Теперь в сетевой мост необходимо добавлять интерфейсы по отдельности.
Меняем имя порта ether2 Консольно:
/interface ethernet
set name=LAN1-Ethernet
Остальные ether3, ether4 и ether5 переименовываем соответствующе LAN2-Ethernet, LAN3-Ethernet, LAN4-Ethernet
Для остальных делаем по аналогии Консольно:
/interface ethernet
set name=LAN2-Ethernet
set name=LAN3-Ethernet
set name=LAN4-Ethernet

2. Создадим сетевой мост
Сетевой мост будет служить основным интерфейсом, который соберет в себе все наши локальные интерфейсы. Т.е. нужно добавить к новому сетевому мосту все нужные интерфейсы.
Также мы помним, что мы сделали мастер порт и часть портов привязали к нему, соответственно все второстепенные порты добавлять не нужно.

Создадим сам сетевой мост. Назовем его LAN-Bridge
В этом меню можно создавать сетевые мосты Настраиваем сетевой мост Начнем добавлять порты.
Добавляем все наши локальные порты На данный момент в сетевой мост мы добавим только Мастер порт. В дальнейшем мы добавим в этот мост специальный интерфейс туннеля, но об этом позже.
В момент добавления интерфейса LAN1-Master Вас может отключить от роутера, в этом нет ничего страшного, просто подключаемся снова.

3. Разрешим нашему роутеру обрабатывать DNS
Разрешаем обработку DNS запросов

Консольно:
/ip dns set allow-remote-requests=yes cache-size=4096

4. Подключение к провайдеру
У меня и второй Интернет провайдер предоставляет интернет по DHCP. Т.е. необходимо настроить DHCP клиент на порт в который вставлен кабель провайдера (WAN)
Находим нужное меню и добавляем новое правило Параметров не много В столбце IP Address мы должны увидеть IP от провайдера.

5. Доступ в интернет
Для того, чтобы наши клиенты могли выходить в сеть интернет, нам необходимо указать, через какой интерфейс они будут это делать.
Эти настройки делаются через Межсетевой экран (Firewall)
Переходим в межсетевой экран и добавляем правило Указываем основные параметры Указываем еще один параметр В принципе этого достаточно, чтобы на роутере уже появился интернет. Но у клиентов его не будет т.к. еще нет IP адреса и локального DHCP сервера.

Консольно:
/ip firewall nat
add chain=srcnat out-interface=WAN action=masquerade

6. IP адрес роутера
Теперь назначим нашему роутеру IP адрес.
Мы определили, что в Локации 2 будет следующий разброс:
IP адрес роутера: 192.168.88.2
IP адреса для клиентов: 192.168.88.30 — 192.168.88.59
29 адресов должно хватить для всех устройств в квартире, даже с избытком.
Переходим в меню IP адресов Добавляем IP адрес для нашего сетевого моста Так мы указываем, что IP адрес 192.168.88.2 привязать к интерфейсу LAN-Bridge

Консольно:
/ip address
add address=192.168.88.2/24 interface=LAN-Bridge

7. DHCP Сервер для локальных клиентов
Для того, чтобы наши клиенты могли подключаться к нашему роутеру и получать от него IP адреса и другие параметры, необходимо настроить DHCP сервер.
Первоначально укажем Pool IP адресов
Переходим в меню диапазонов IP адресов Добавляем обозначенный диапазон

Теперь добавляем сам DHCP сервер
Переходим в меню DHCP серверов Задаем настройки DHCP сервера Осталось еще указать для какой сети и какие дополнительные параметры будут получать подключенные клиенты.
Указываем дополнительные параметры Каждый подключенный клиент будет получать от DHCP сервера набор параметров:
Шлюз и DNS — В нашем случае и тем и другим будет выступать сам роутер.

Настройка роутера hEX (RB750Gr3) завершена.
Далее мы рассмотрим создание туннеля для связки двух роутеров и организации единой локальной сети с сетевой маской 255.255.255.0 (24)
Создание домашней сети на базе устройств MikroTik: Часть 4 — Создание OpenVPN туннеля

Список всех статей в хронологическом порядке: История статей

Поддержка блога Если Вам не безразлична судьба блога или Вы просто хотите отблагодарить Автора за его труд, смело переходите на страницу Поддержки, там описана вся информация, по тому, как это сделать проще простого =)

UPD: 02.10.2018
Внесены правки в настройки проводных сетевых интерфейсов и сетевого моста из-за выхода прошивки 6.42.9 (Long-Term)
Как я уже рассказывал я пользуюсь исключительно прошивками ранее (Bugfix), которые сейчас изменены на ветку (Long-Term) т.е. длительной поддержки.
Подробнее прочитать про Bridge Hardware Offloading можно на Wiki MikroTik Switch_Chip_Features (Bridge_Hardware_Offloading)

Важное замечание. На данном роутере Bridge Hardware Offloading поддерживается через switch chip MT7621
Но для его включения необходимо отключить у самого интерфейса бриджа IGMP Snooping и выбрать Protocol mode = none на вкладке STP
Поэтому если вы используете IGMP или STP/RSTP/MSTP и хотите получить аппаратную разгрузку бриджа, вам необходимо другое оборудование.

What’s new in 6.42.9 (2018-Sep-27 05:19) Important note!!! Backup before upgrade!
RouterOS v6.41 and above contains new bridge implementation that supports hardware offloading (hw-offload).
This update will convert all interface «master-port” configuration into new bridge configuration, and eliminate «master-port” option as such.
Bridge will handle all Layer2 forwarding and the use of switch-chip (hw-offload) will be automatically turned on based on appropriate conditions.
The rest of RouterOS Switch specific configuration remains untouched in usual menus.
Please, note that downgrading below RouterOS v6.41 will not restore «master-port” configuration, so use backups to restore configuration on downgrade.

Если вы нашли ошибку, пожалуйста, выделите фрагмент текста и нажмите Ctrl+Enter.

Судя по статистике продаж, Mikrotik hAP lite — самый популярный роутер из нашего ассортимента. Причин тому можно найти великое множество, но две из них, на наш взгляд, самые значительные: во-первых, он стоит всего $20, во-вторых, это Mikrotik. В сумме получается «Mikrotik за $20», что действительно впечатляет.

Выскажем свое мнение о нем наперед: роутер более чем достоин внимания. Работает он очень стабильно, скорости проводного и беспроводного соединений обеспечивает вполне соответствующие заявленным, а функционал у него сравним с топовыми роутерами Cisco/Juniper, уходящие ценниками в заоблачные тысячи долларов. Недостатки тоже присутствуют: у него всего 4 порта Ethernet (включая порт WAN), радиомодуль слабоват и не поддерживает стандарт 802.11ac. Впрочем, тут как в известном пошлом анекдоте: «Ну а что вы хотели за 20 долларов?»

Итак, давайте приручим героя нашего материала. Наши исходные условия — это провайдер, выдающий нам динамический IP-адрес. Приступим:
1. Включаем кабель провайдера в 1-й порт роутера
2. Включаем кабель от компьютера в любой оставшийся свободным порт
3. Как и всем устройствам Mikrotik, по умолчанию hAP Lite присвоен IP-адрес 192.168.88.1. Присвоим нашему компьютеру сетевые настройки из той же подсети. Например, адрес 192.168.88.10, маску 255.255.255.0, шлюз 192.168.88.1, DNS 192.168.88.1:

4. Зайдем на роутер через браузер:

Тут сделаем небольшое отступление: в hAP Lite Mikrotik реализовала конфигурацию по умолчанию, которая предусматривает быстрый старт. На роутере уже настроено получение динамического адреса на 1-м интерфейсе, включен DHCP-сервер, настроен бридж между портами. По сути, в нашей топологии роутер заработал как положено сразу после включения. Впрочем, мы тут не за этим собрались, поэтому…

5. Выполним сброс роутера до заводских настроек. Для этого нажмем над секцией System кнопку Reset Configuration:

6. Отмечаем галочкой параметр No Default Configuration и нажимаем Reset Configuration:

7. Подтверждаем наше намерение:

8. Примерно через минуту роутер перезагрузится. Тут возникает небольшая заминка: после сброса роутера с удалением дефолтной конфигурации, ему больше не будет присвоен IP-адрес, и зайти на него браузером не удастся. Не беда, на этот случай у Mikrotik предусмотрено специальное приложение для настройки — WinBox. Скачиваем его с сайта в разделе Useful tools and utilities:

9. WinBox не требует установки. Запускаем его и в нижней части нажимаем на вкладку Neighbors. В списке ниже должны появиться все устройства Mikrotik в пределах широковещательного домена. В нашем случае это будет единственный герой статьи. Кликаем на его MAC-адрес (это важно!), после чего нажимаем кнопку Connect в верхней части экрана:

10. Перед нами предстает во всей красе интерфейс роутера. Окно RouterOS Default Configuration закрываем нажатием Ок:

11. В меню слева нажимаем Interfaces. Отметим, что в пустой конфигурации на роутере отключен беспроводной интерфейс. Он называется wlan1. Выделяем его и нажимаем синюю галочку в верхней части окна. Это пригодится нам в недалеком будущем:

12. Двойным кликом открываем интерфейс ether2, меняем ему название на ether2-master и нажимаем Ок:

13. Теперь открываем интерфейс ether3, и меняем параметр Master Port на ether2-master:

14. Повторяем тоже самое действие для интерфейса ether4: открываем его и меняем параметр Master Port на ether2-master.

Данный абзац следует читать только сильно интересующимся технической стороной вопроса! Если вы открыли статью только для того, чтобы иметь перед глазами шпаргалку по настройке, то его можно пропустить!
А теперь расшифруем сделанное в пунктах 12-14: в отличие от более привычных бытовых роутеров, в роутерах Mikrotik порты по умолчанию не входят в единую матрицу коммутации, т.е. не являются составными частями коммутатора как такового. Чтобы «собрать» их в логический коммутатор, существует 2 способа: программный и аппаратный. Программный — bridge — использует для коммутации центральный процессор роутера. Аппаратный использует специальный аппаратный чип коммутации, при этом CPU не используется. Таким образом для работы портов в режиме коммутатора само собой напрашивается использование чипа коммутации. Теперь к проделанному ранее: мы переименовали порт ether2 в ether2-master, чтобы наглядно видеть в конфигурационной консоли, какой порт является мастером для остальных, и сообщили роутеру, что порт ether2 является мастер-портом для двух других. Используя мастер-порт, мы задействовали чип коммутации, и CPU теперь не занимается обсчетом коммутации пакетов между портами ether2-ether4. Подробнее о чипах коммутации, их возможностях можно почитать тут: http://wiki.mikrotik.com/wiki/Manual:Switch_Chip_Features

15. Создадим бридж для интерфейсов, образующих контур локальной сети. Слева в меню нажимаем Bridge, в первой вкладке Bridge нажимаем +, в открывшемся окне вводим имя бриджа (например, LAN) и нажимаем Ok:

16. Переходим во вкладку Ports, нажимаем +, выбираем Interface — wlan1, Bridge — LAN, нажимаем Ок:

17. Повторяем процедуру для интерфейса ether2-master.

18. Ваш итоговый список портов в бридже должен выглядеть вот так:

19. Как упоминалось выше, в нашей топологии провайдер предоставляет нам динамический IP-адрес. Включим DHCP-клиент на WAN-порту роутера. Для этого открываем в меню слева IP -> DHCP Client и в появившемся окне нажимаем +:

20. Кабель провайдера у нас вставлен в 1-й порт роутера. Выбираем Interface — ether1, обязательно ставим параметр Add Default Route в положение Yes и нажимаем Ок:

21. Теперь в окне DHCP-клиента будет видно, на каком интерфейсе включен DHCP-клиент, и какой адрес он получил:

22. Включим NAT. Для этого в меню слева открываем IP -> Firewall, переходим во вкладку NAT, нажимаем +, в появившемся окне ставим параметр Chain в положение srcnat, параметр Out. Interface в положение ether1:

23. Не покидая окошка New NAT Rule, переходим во вкладку Action, и ставим параметр Action в положение masquerade, после чего нажимаем Ok:

24. Настроим DNS. В меню слева IP -> DNS. Наш провайдер уже выдал нам 2 динамических сервера, но их список можно дополнить (заполняются в параметре Servers) собственноручно. Главное в данном окошке не забыть поставить галочку Allow Remote Requests, после чего можно нажимать Ok:

25. Пора присвоить роутеру IP-адрес для работы в локальной сети. Идем в меню слева IP -> Addresses, в открывшемся окошке нажимаем + и вводим IP-адрес/маску подсети. В нашем случае мы будем использовать 192.168.88.1/24. Параметр Interface следует установить в положение LAN (это наш Bridge, созданный на шаге 15; у вас он может называться по-другому), после чего можно нажимать Ок:

Теперь наш список IP-адресов должен принять примерно такой вид (само собой, адрес на интерфейсе ether1 у вас будет другим):

26. Кстати, у нас на компьютере уже должен появиться доступ в интернет! Проверим:

Действительно появился! Но празднование отложим на потом.

27. Теперь настроим DHCP-сервер. Идем в меню слева IP -> DHCP Server, в открывшемся окне нажимаем DHCP Setup:

28. Выбираем в качестве интерфейса, на котором будет работать DHCP, наш бридж — LAN, жмем Next:

30. Указываем шлюз. У нас это 192.168.88.1. Нажимаем Next:

31. Определяем пул IP-адресов, которые будут выдаваться клиентам. Здесь советуем вам принять решение самостоятельно, исходя из топологии сети. Мы будем использовать диапазон 192.168.88.2-192.168.88.254, вводим и жмем Next:

32. Вводим DNS-серверы (у вас могут быть свои, либо используйте общедоступные DNS от Google или Яндекс), нажимаем Next:

33. Вводим срок аренды IP-адресов (можно не менять предложенный по умолчанию), нажимаем Next:

На этом настройка сервера DHCP закончена:

34. Теперь настроим WiFi. Нажимаем в меню слева на Wireless, в открывшемся окошке открываем двойным кликом интерфейс wlan1, и устанавливаем параметры:
— Mode — ap bridge
— Band — 2GHz-B/G/N
— SSID — вводим название вашей WiFi-сети
— Wireless Protocol — 802.11
— WPS Mode — disabled

После этого нажимаем Ок:

35. Теперь установим пароль для нашей сети. Перейдем во вкладку Security Profiles, откроем профиль default. Теперь:
— устанавливаем параметр Mode в положение dynamic keys
— ставим галочку WPA2 PSK в параметре Authentication Types
— ставим все галочки в Unicast Ciphers и Group Ciphers
— в поле WPA2 Pre-Shared Key вводим пароль от WiFi-сети
— нажимаем Ок

36. Подключимся к WiFi, проверим его работоспособность. Активные подключения можно посмотреть во вкладке Registration:

37. Теперь отключим все интерфейсы управления роутером, кроме WinBox (если это необходимо — оставьте себе нужные, но с точки зрения безопасности без применения брандмауэра не рекомендуем). Для этого идем в IP -> Services, выделяем ненужные сервисы и жмем красный крестик:

38. Осталось установить пароль администратора. Идем в System -> Users, входим в профиль пользователя admin, нажимаем Password, вводим пароль дважды в поля New Password и Confirm Password и жмем Ок:

На этом настройку роутера можно считать законченной. Вот теперь можно праздновать! Впрочем, для успокоения совести измерим скорость интернета (провайдер предоставляет нам канал 70/70 Мбит/с):

Неплохо!

Wi-Fi Protected Setup (WPS) — стандарт (и одноимённый протокол) полуавтоматического создания беспроводной сети Wi-Fi. Целью протокола WPS является упрощение процесса настройки беспроводной сети, поэтому изначально он назывался Wi-Fi Simple Config. Протокол призван оказать помощь пользователям, которые не обладают широкими знаниями о безопасности в беспроводных сетях, и как следствие, имеют сложности при осуществлении настроек. WPS автоматически обозначает имя сети и задает шифрование для защиты беспроводной Wi-Fi сети от несанкционированного доступа в сеть, при этом нет необходимости вручную задавать все параметры.

Начиная с RouterOS v6.25 заявлена поддержка WPS. Существуют два вида подключения по WPS — ввод PIN-кода и нажатие кнопки WPS на маршрутизаторе. Атакам подвержена только ранняя реализация с PIN-кодом, этот вид подключения разработчики MikroTik решили не реализовывать вообще. Второй способ подразумевает, что в момент подключения к точке доступа на нём программно или физически нажимается соответствующая кнопка и соединение клиента с точкой происходит полностью автоматически. Физическая кнопка для WPS появилась только в нескольких последних маршрутизаторах Mikrotik, во всех остальных её нужно нажимать программно.

Для того, что бы воспользоваться этим функционалом на маршрутизатор следует загрузить дополнительный пакет из Extra packages под названием Wireless CAPsMANv2 (wireless-cm2-*.npk), загрузить его на роутер и выполнить перезагрузку.

После перезагрузки в RouterOS появиться соответствующая кнопка:

И меню в wireless — interface — выбор интерфейса — wireless: WPS: выключено, включено, только виртуальная кнопка.

При подключении к точке доступа под паролем на вашем устройстве должно появиться сообщение, что кроме пароля также можно нажать кнопку WPS на маршрутизаторе. После нажатия на кнопку WPS клиент должен в течении двух минут подключиться к нашей точке по этому протоколу. Во избежание подключения сторонних клиентов лучше делать немного наоборот — сначала клиент пытается подключиться к точке доступа, затем администратор нажимает у себя WPS и клиент тут же мгновенно подключается к сети. Нажатие кнопки отображается в логе. Если никто не подключился вид будет такой:

• 12:48:32 wireless,info wlan_1: WPS virtual button pushed
• 12:50:32 wireless,info wlan_1: WPS button reset

Если подключение удалось:

Сразу после подключения статус WPS сбрасывается, для того, что-бы подключить еще одно устройство нужно еще раз нажимать эту кнопку (или программно или аппаратно).

Стоит сказать, из интерфейса WinBox можно нажимать WPS только для основной точки доступа, хотя их может быть сколько угодно (виртуальные). Для этого в терминале пишем interface wireless print , запоминаем номер нужного нам интерфейса, именно ему будет отправляться команда WPS. Допустим нам нужен номер 0: