Первоначальная настройка роутера MikroTik с нуля (RouterOS 7)

В этой статье мы рассмотрим пример типовой настройки роутера MikroTik под управлением современной RouterOS v 7 с нуля как с помощью утилиты WinBox, так и с помощью команд терминала. Мы пошагово разберем полную чистую настройку роутера, начиная с очистки заводской конфигурации, обновления прошивки, настройки локальной и беспроводной Wi-Fi Wi-Fi, подключения к интернету, правила файервола и базовые аспекты безопасности. Гайд будет хорошим стартом для начинающих администраторов, которые хотят запустить роутер MikroTik в качестве шлюза для дома или небольшой локальной офисной сети.

В качестве примера мы будем использовать роутер MikroTik hAP ax³. Это мощный производительный двухдиапазонный Wi-Fi 6 роутер домашнего и полупрофессионального (SOHO) сегмента. Наличие 4 ядерного процессора и 1 Гб памяти позволяет без проблем настраивать на нем сложные конфигурации, держать несколько VPN туннелей, и запускать и контейнеры Docker. На роутере установлена RouterOS 7 с максимальным уровнем лицензии (6).

Роутер оборудован 5 портами:

• Первый порт ( ether1 ) единственный высокоскоростной 2.5 GbE и поддержкой передачи питания PoE-In и PoE-Out
• Четыре оставшихся порта ( ether2 – ether5 ) – обычные порты 1 GbE

В классической конфигурациях обычно порт ether1 роутеров Mikrotik используется для подключения к интернету (WAN), а остальные порты смотрят в локальную сеть LAN. Если у вас в локальной сети нет высокоскоростных устройств с поддержкой 2.5 Гбит/с и не требуется использование Power over Ethernet, то можно остаться на классической конфигурации портов (в этой статье именно такая конфигурация). Кроме того, в этой модели роутеров порт 1 (2.5 Gb) и порты 2-5 (1Gb) подключены через разные встроенные контроллеры. При такой конфигурации портов WAN и LAN вы получите максимальную скорость аппаратной коммутации между портами LAN (L2 свитчинг), и высокую скорость аппаратного ускорений маршрутизации (L3 роутинг / FastTrack) без лишней нагрузки на CPU.

Сброс настроек, обновление RouterOS

Для управления роутером Mikrotik мы будем использовать актуальную версию WinBox 4, скачать которую можно на сайте производителя.

1. Итак, подключаем LAN кабель в любой порт роутера, кроме первого и запускаем утилиту WinBox.
2. Перейдите на вкладку Neighbors. Здесь будут отображаться все устройства MikroTik в вашей локальной сети, которые обнаружены с помощью широковещательного запроса по протоколу MNDP (MikroTik Neighbor Discovery Protocol) или LLDP. Эти способы обнаружения позволяют найти роутер MikroTik в локальной сети, даже если ему не назначен IP адрес.
3. Щелкните по обнаруженному роутеру MikroTik. Подключение к роутеру выполняется по его MAC адресу
4. Имя пользователя по умолчанию admin. Пароль пользователя указывается на заводском стикере на самом устройстве и в бумажной инструкции по эксплуатации (в старых моделях роутеров пароль пустой).
   
5. По умолчанию роутер уже преднастроен, в него залита начальная типовая конфигурация. Но мы сбросим текущие настройки и начнем конфигурацию с нуля. Так мы избавимся от ненужных правил и нам будет проще обеспечить полный контроль над конфигурацией роутера. Идем в левом меню в System -> Reset Configuration. Выберите опции No Default Configuration и Do not backup. Нажмите Reset Configuration, после чего роутер будет перезагружен.
   
   
   Консольная команда сброса настроек и очистки конфигурации роутера:
   /system reset-configuration no-defaults=yes skip-backup=yes
   
6. После перезагрузки опять подключаемся к роутеру, но уже с пустым паролем. При первом входе обязательно задайте новый надежный пароль.
7. Сразу обновим установленные пакеты RouterOS. Список установленных пакетов отображается в разделе System -> Packages.
8. У меня установлены следующие пакеты: routeros, container, wifi-qcom.
   
9. Переходим на официальный сайт MikroTik и качаем последние версии соответствующих пакетов архитектуры arm64 (в моем случае) для вашего устройства. Я предпочитаю более активно развивающуюся ветку Stable (для более стабильной инфраструктуры используйте более медленный LongTerm канал обновлений).
   
10. Перейдите в раздел меню Files, нажмите Upload и по очереди загрузите .npk файлы с вашего компьютера.
    
11. Отправляем устройство в перезагрузку (System -> Reboot). При этом будут автоматически обновлены указанные пакеты (займет пару минут).
12. После обновления, проверьте что версия RouterOS и пакетов обновились. Осталось обновить загрузчик через System -> RouterBOARD -> Upgrade. Еще раз перезагрузите устройство.
    

После перезагрузки задайте удобное имя вашего роутера через System -> Identity или командой:

/system identity set name=gwDMCorp1

Настройка портов для LAN, базовые сетевые службы для локальной сети

Ранее мы писали, что порты роутера ether2- ether5 мы будем использовать для подключения устройств в нашей локальной сети.

Объединим эти порты в программный мост (bridge) с аппаратной разгрузкой.

1. Переходим в Bridge -> вкладка Bridge, добавьте bridge1 .
   
2. На вкладке Ports нужно добавить в новый мост интерфейсы ether2- ether5 .
   

/interface bridge
add name=bridge1
/interface bridge port
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=ether3
add bridge=bridge1 interface=ether4
add bridge=bridge1 interface=ether5

Перейдите в Interface -> Interface List, где нужно создать список интерфейсов WAN и LAN. В дальнейшем мы будем использовать для более удобной привязки правил к интерфейсам в зависимости от их назначения (например, в группу WAN в дальнейшем могут быть добавлены PPPoE, второй WAN или другие программные интерфейсы). В правой панели нажмите Lists в боковом и создайте списки.

После этого на этой же вкладке Interface List добавляем eth1 в список WAN, а bridge1 в LAN.

/interface list
add name=LAN
add name=WAN
/interface list member
add interface=bridge1 list=LAN
add interface=ether1 list=WAN

Далее настроим адресацию для вашей локальной сети. Допустим, ваша локальная LAN будет 192.168.50.0/24 с внутренним адресом роутера 192.168.50.1 .

IP роутера: IP -> Adressess -> создать новый 192.168.50.1/24 , интерфейс bridge1 .

/ip address
add address=192.168.50.1/24 interface=bridge1 network=192.168.50.0

Настройка внутреннего DHCP сервера, который будет выполнять выдачи IP адресов и настроек клиентам: IP -> DHCP Server -> в правой панели DHCP Setup. Выберите интерфейс для DHCP сервера — bridge1 . Затем укажите шлюз по-умолчанию ( 192.168.50.1 ), адресное пространство 192.168.50.0/24 , отключаем DHCP relay и указываем доступный пул динамической IP адресов для клиентов (например, 192.168.50.100-192.168.50.200 ).

Включите опцию Send DNS, чтобы передавать клиентам по DHCP настройки DNS серверов. Чтобы клиенты в LAN всегда использовать роутер в качестве DNS сервера (и не обращались к внешним DNS напрямую), укажите в списке DNS серверов внутренний IP адрес роутера (192.168.50.1). Время аренды можно увеличить с 00:30:00, например до 48 часов.

/ip pool
add name=dhcp_pool0 ranges=192.168.50.100-192.168.50.200
/ip dhcp-server
add address-pool=dhcp_pool0 interface=bridge1 lease-time=2d name=dhcp1
/ip dhcp-server network
add address=192.168.50.0/24 dns-server=192.168.50.1 gateway=192.168.50.1

Настройки DNS сервера, которые будет использовать роутер для разрешения имен: перейдите в IP -> DNS и укажите адреса DNS сервера вашего провайдера, или, к примеру адреса безопасных DNS серверов Яндекс: 77.88.8.2 и 77.88.8.88 . Разрешите клиентам использовать роутер в качестве DNS сервера, включив опцию Allow Remote Requests.


/ip dns
set allow-remote-requests=yes servers=77.88.8.2,77.88.8.88

Настройка Wi-Fi на роутере Mikrotik

В нашем роутере MikroTik hAP ax³ используется современный беспроводной пакет wifi-qcom. Поэтому все скриншоты и настройки беспроводных интерфейсов будут специфичные для этого модуля.

Перейдите в раздел Wi-Fi. По умолчанию тут уже созданы два беспроводных интерфейса, которые отключены по умолчанию (наш hAP ax2 — двухдиапазонный роутер).

Откройте настройки интерфейса для диапазона 5 ГГц:

1. Включите интерфейс wifi1 (General -> Enabled)
2. На вкладке Configuration задаем SSID (имя сети), соответствующий регион, тип установки Installation: Indoor
   
   .
3. На вкладке Channel выбираем задаем Band: максимальный стандарт 5GHz-AX, Channel width: 20/40/80MHZ
   
4. На вкладке Security разрешите безопасные типы аутентификации WPA2 PSK и WPA3 PSK. В Passphrase задайте пароль для подключения к Wi-Fi.
   

По аналогии включите и настройте интерфейс wifi2 для диапазона 2,4 ГГц.

• Band: 2ghz-ax
• Width: 20mhz

Если задать одинаковые SSID и пароль для Wi-Fi сети, роутер MikroTik hAP ax3 будет работать в режиме прозрачного переключением клиентов между диапазонами 2.4 и 5 ГГц .

/interface wifi
set [ find default-name=wifi1 ] channel.band=5ghz-ax .width=20/40/80mhz configuration.country=Russia .installation=indoor .mode=ap .ssid=WINI disabled=no security.authentication-types=wpa2-psk,wpa3-psk .passphrase=Massw*rdd1
set [ find default-name=wifi2 ] channel.band=2ghz-ax .width=20mhz configuration.country=Russia .installation=indoor .mode=ap .ssid=WINI disabled=no security.authentication-types=wpa2-psk,wpa3-psk .passphrase=Massw*rdd1

Затем перейдите в Bridge -> Ports и добавьте интерфейсы wifi1 и wifi2 в сетевой мост bridge, чтобы беспроводные клиенты получали адреса и те же настройки что и проводные клиенты из вашей LAN.

/interface bridge port
add bridge=bridge1 interface=wifi1
add bridge=bridge1 interface=wifi2

Настраиваем подключение к интернет-провайдеру (WAN)

Выше мы уже указывали, что в качестве WAN интерфейса, куда заходит интернет от провайдера, мы будем использовать порт ether1. Подключаем кабель от провайдера в порт ether1.

• Чаще всего провайдер назначает адреса клиентам динамически по DHCP. Включаем DHCP клиент на этом интерфейсе: IP -> DHCP Client -> добавить клиента -> выбрать внешний интерфейс ether1. В настройках оставить включенным опции Use Peer DNS и Add Default Route.
  

/ip dhcp-client add interface=ether1 name=WAN_Interface_DHCP_Client

Проверьте, что в IP -> Routes появился динамический маршрут по умолчанию через шлюз вашего провайдера.

• Или вы можете вручную назначить статический IP адрес, который выдал вам провайдер. Добавляется он через IP-> Addresses для интерфейса ether1. При ручном назначении IP адреса вам придется указать маршрут шлюзу провайдера через IP -> Routes для 0.0.0.0/0 . (где xx.xx.xx адреса нужно заменить на статический IP адрес, маску подсети и шлюз, которые выделит вам ваш интернет-провайдер).

/ip address
add address=xx.xx.xx.xx/24 interface=ether1 network=xx.xx.yyy.0
/ip route
add comment=route_to_ISP disabled=no dst-address=0.0.0.0/0 gateway=xx.xx.yyy.zzz routing-table=main

Если для подключения к провайдеру используется протокол PPPoE, нужно добавить новый PPPoE клиент в разделе PPP -> Interface -> New -> PPPoE client.

В настройках нужно указать физический интерфейс, через который вы подключаетесь к провайдеру (ether1) и на вкладке Dial-Out имя и пароль для подключения. Чтобы получать настройки DNS от провайдера нужно включить Use Peer DNS. Опция Add Default Route добавит маршрут по умолчанию.

Такой интерфейс pppoe также будет внешним. Поэтому перейдем на вкладке Interface -> Interface List и добавим интерфейс pppoe-out1 в список WAN.

/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 password=xxx use-peer-dns=yes user=yyy
/interface list member
add comment=WAN_int_pppoe interface=pppoe-out1 list=WAN

Теперь нужно разрешить доступ клиентам из LAN в интернет. Для этого используются правила NAT. Перейдите в IP -> Firewall -> вкладка Nat и добавьте правило:

Chain: srcnat
Out. Interface List: WAN

На вкладке Action включите masquerade.

/ip firewall nat add action=masquerade chain=srcnat out-interface-list=WAN

Проверьте, что клиенты из LAN при подключении автоматически получают сетевые настройки и получают доступ в интернет.

Настройка правил файервола MikroTik

Так как мы сбросили настройки роутера перед началом настройки, сейчас правила в файерволе пустые. Это означает, что разрешен любой трафик. Оставлять файервол в таком состоянии нельзя с точки зрения безопасности.

Создадим базовые правила файервола для типичной домашней или маленькой сети.

Перед настройкой правил файервола желательно включить в верней панели WinBox режим Safe Mode. Благодаря ему, если вы случайно заблокируете себе доступ, роутер вернет старые настройки, которые были до разрыва соединения.

Итак, в RouterOS есть несколько стандартных цепочек правил (chains):

• input — входящий трафик в сам роутер (управление, DNS запросы, SSH)
• forward — транзитный трафик, проходящий через роутер из одной сети в другую. Например, от устройств в LAN в Интернет.
• output — исходящий трафик из самого роутера (обновления, запросы к DNS серверах, получение времени по NTP)

Трафик обрабатывается файервола MikroTik по двум главным принципам: сверху вниз (последовательно) и до первого совпадения. Поэтому порядок правила в файерволе имеет значение.

Переходим в IP -> Firewall -> Filter Rules и добавляем правила для Input цепочки. Список правил представлен в таблице:

Пример ручного создания первого правила, которое разрешает трафик, который связан с уже установленным соединениями:

На вкладке General указываем:

Enabled: True

Comment: ACCEPT_IN ESTABLISHED RELATED (обязательно добавляйте комментарии к правилам, в дальнейшем это позволит как вам так и коллегам вам понять, для чего нужно правило)

Connection Type: включите опции established, related

Вкладке Action:
Action: Accept , разрешить правило (действие по-умолчанию)

Благодаря такому правилу, которое находится вверху цепочке input, роутер принимает ответные пакеты уже установленных соединений.

По аналогии создайте оставшиеся правила для цепочки Input.

/ip firewall filter
add action=accept chain=input comment="ACCEPT_IN ESTABLISHED RELATED" connection-state=established,related
add action=drop chain=input comment="DROP_IN INVALID" connection-state=invalid
add action=accept chain=input comment="ACCEPT_IN ICMP" protocol=icmp
add action=accept chain=input comment="ACCEPT_IN LAN Mgmt" in-interface-list=LAN
add action=drop chain=input comment="DROP_IN WAN" in-interface-list=WAN

Теперь создаем правила для цепочки forward. Это транзитные правила, для трафика который пересылается через роутер.

Когда вы будете добавлять новые правил в файервол, они будут добавляются в конец цепочки. По факту, после запрещающего правила. Всегда учитывает, что обработка идет сверху вниз, не забывайте перетягиванием поднимать новые правила согласно вашей логике выше по списку.

/ip firewall filter
add action=fasttrack-connection chain=forward comment="ACCEPT_FW_FT ESTABLISHED RELATED" connection-state=established,related
add action=accept chain=forward comment="ACCEPT_FW ESTABLISHED RELATED" connection-state=established,related
add action=drop chain=forward comment="DROP_FW INVALID" connection-state= invalid
add action=drop chain=forward comment="DROP_FW All from WAN" in-interface-list=WAN

Итак, мы реализовали простейшую закрытую конфигурацию файервола, когда устройства из LAN могут получать доступ в Интернет, но входящий трафик запрещен. Мы не рассматриваем в рамках этой статье сценарий с использованием порт-форвардинга/DSTNAN из интернета внутрь локальной сети.

Дополнительная защита роутера MiktoTik

Далее рассмотрим настройку дополнительных параметров, которые должны улучшить безопасность роутера. В идеале вы должны привести его к состоянию, когда любое управление возможно только из локальной сети и никакие сервисы не смотрят наружу.

Переходим в IP -> Services и выключаем все не нужные сервисы MikroTik (кроме динамических служб, они связаны с настроенными нами службами и выключить их не получится). Я оставлю включенными только SSH и WinBox, в их настройках ограничу доступ только из подсети LAN (Available From).

/ip service
set ftp disabled=yes
set ssh available-from=192.168.50.0/24
set telnet disabled=yes
set www available-from=192.168.50.0/24
set winbox available-from=192.168.50.0/24
set api disabled=yes
set api-ssl disabled=yes

MikroTik по умолчанию рассылает в сеть пакеты, которые позволяют обнаружить устройство через вкладку Neighbors в WinBox. Это стоит отключить для внешних (WAN) интерфейсов.

Идем в IP -> Neighbors -> кнопка справа Discovery Settings -> смените Interface на none (или выберите только доверенный локальный LAN-интерфейс).

/ip neighbor discovery-settings set discover-interface-list=LAN

Подключиться к MikroTik можно по MAC-адресу, даже если на нем не настроен IP-адрес. Это полезно для первой настройки, но небезопасно. Перейдите в Tools -> MAC Server. В разделе конфигурации откройте по очереди MAC Telnet Server, MAC WinBox Server и MAC Ping Server, отключите их или ограничьте доступ только локальным списком интерфейсов (LAN).

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/tool mac-server ping set enabled=no

Если у вас не используется IPv6, обязательно отключите его. Если вы оставите его включенным, имейте в виду что для него придется создать собственные правила в отдельном IPv6 файерволе. IPv4-правила его не защищают, что означает по-умолчанию трафик IPv6 не ограничивается. Перейдите в IPv6 -> Settings и включите опцию Disable IPv6.

Дополнительные службы, которые стоит проверить

• Bandwidth Test Server: Инструмент тестирования скорости. Если он не нужен, отключите его в Tools -> BTest Server (снимите галочку Enabled).
  
• UPnP: Автоматический проброс портов. Может использоваться вредоносным ПО внутри сети для открытия портов наружу в обход администратора. Проверьте в IP -> UPnP (должен быть выключен).
  
• Socks Proxy: Встроенный прокси-сервер. Проверьте в IP -> Socks (должен быть выключен).

Натсроим NTP сервер для получения времени от внешнего источника времени:

/system ntp client set enabled=yes
/system ntp client servers
add address=0.ru.pool.ntp.org
add address=1.ru.pool.ntp.org

Если IPv6 используется, настрой отдельный IPv6 firewall. IPv4-правила его не защищают.

После окончания настройки, сохраните полученную рабочую конфигурацию в RSC файл командой:

/export file=gwDMCorp1-2026-10-30 show-sensitive

После чего вы можете скачать его к себе на компьютер через раздел Files.

В статье мы постарались разобрать все типовые моменты, которые могут возникнуть при первой настройке роутера MikRotik для домашней или небольшой офисной LAN. Гайд не является исчерпывающей или ультимативной инструкцией по оптимальной настройке роутера MikroTik но должен стать хорошей отправной точкой для начала работу с этим оборудованием. Кроме физических роутеров, вы можете использовать виртуальные роутеры MikroTik Cloud Hosted Router (CHR) в виртуальных машинах.