MikroTik для профессионалов: правильная настройка с нуля до production [2026]

Подготовка и философия правильной настройки

Прежде чем лезть в команды, давайте договоримся о принципах. Профессиональная настройка MikroTik — это не набор правил файрвола, а продуманная архитектура, которую можно масштабировать и поддерживать.

Сброс настроек: не просто кнопка, а стратегия

Многие недооценивают важность правильного сброса. От выбора метода зависит, с каким «багажом» вы стартуете.

Три уровня сброса MikroTik

Каждый уровень решает свою задачу:

# Уровень 1 — мягкий сброс (удаляет только конфигурацию)
/system reset-configuration

# Уровень 2 — полный сброс (без дефолтной конфигурации)
/system reset-configuration no-defaults=yes

# Уровень 3 — аппаратный сброс (когда софт не отвечает)
# Удержание кнопки: 5 сек — сброс, 10 сек — режим Netinstall

Когда какой сброс применять

• Для нового роутера: уровень 2 (никогда не доверяйте заводским настройкам — там может быть что угодно)
• Для переезда конфигурации: уровень 1 + восстановление бекапа
• Для кирпича: уровень 3 + Netinstall (последняя надежда перед обращением к паяльнику)

Бекапирование перед сбросом (обязательный ритуал)

Даже если вы уверены, что сейчас всё удалите — сделайте бекап. Проверено на собственном опыте после фразы «а что там было в DHCP Option 66?».

# Экспорт в текстовом виде (можно редактировать, искать)
/export file=backup_pre_reset

# Бинарный бекап (содержит сертификаты, пароли)
/system backup save name=backup_pre_reset

# Скачать с роутера через SFTP или WinBox

Именование интерфейсов — признак профессионала

Проблема новичков: открываешь чужую конфигурацию и видишь ether1, ether2, wlan1. Через месяц уже сам не помнишь, куда что воткнуто.

Решение: говорящие имена интерфейсов. Это не просто косметика — это самодокументируемая конфигурация.

# Базовое переименование
/interface set ether1 name=WAN
/interface set ether2 name=LAN_OFFICE
/interface set ether3 name=LAN_SERVERS
/interface set ether4 name=LAN_TRUNK_SWITCH
/interface set wlan1 name=WIFI_GUEST
/interface set wlan2 name=WIFI_STAFF

# Для моделей с SFP
/interface set sfp1 name=UPLINK_DATACENTER

Почему это важно:

• Понятные правила файрвола: out-interface=WAN читается лучше, чем out-interface=ether1
• Лёгкая поддержка другими админами: новичок сразу понимает топологию
• Самодокументируемая конфигурация: экспорт становится читаемым без комментариев
• Меньше ошибок при настройке: сложно перепутать WAN и LAN

Подключение к провайдеру: разбор сценариев

90% проблем с MikroTik начинаются на этапе «подключить интернет». Давайте разберём правильные паттерны для разных типов подключений.

DHCP-клиент (самый частый случай)

Если ваш провайдер выдаёт настройки автоматически — это самый простой вариант. Но даже тут есть нюансы.

# Базовая настройка DHCP-клиента
/ip dhcp-client add interface=WAN disabled=no

# С дополнительными параметрами (рекомендуется)
/ip dhcp-client add interface=WAN disabled=no \
  add-default-route=yes \
  use-peer-dns=yes \
  use-peer-ntp=yes

# Проверка полученных настроек
/ip dhcp-client print detail

# Проверка маршрутов
/ip route print where gateway-status=active

# Тест связности
/ping 8.8.8.8 count=10

PPPoE — особенности для MikroTik

PPPoE требует создания виртуального интерфейса. Многие делают это через Quick Set, но мы же профессионалы.

# Создание PPPoE-клиента
/interface pppoe-client add \
  name=pppoe-out \
  interface=WAN \
  user=ваш_логин \
  password=ваш_пароль \
  add-default-route=yes \
  use-peer-dns=yes \
  disabled=no

# Проверка статуса подключения
/interface pppoe-client print
/interface pppoe-client monitor pppoe-out

Критически важный нюанс: MTU и MRU

PPPoE добавляет 8 байт заголовка к Ethernet-фрейму. Если не настроить MTU/MRU, будут проблемы с крупными пакетами: сайты грузятся частично, VPN отваливается, файлы не качаются.

# Правильная настройка MTU/MRU для PPPoE
/interface pppoe-client set pppoe-out \
  mtu=1480 \
  mru=1480

# Альтернативный вариант (зависит от провайдера)
/interface pppoe-client set pppoe-out \
  mtu=1492 \
  mru=1492

Static IP — когда нужен контроль

Статический IP обычно используется в бизнес-тарифах и дата-центрах. Здесь важна точность.

# Настройка статического IP
/ip address add \
  address=77.88.55.123/24 \
  interface=WAN

# Добавление шлюза по умолчанию
/ip route add \
  gateway=77.88.55.1 \
  distance=1

# Настройка DNS вручную
/ip dns set \
  servers=8.8.8.8,8.8.4.4 \
  allow-remote-requests=yes

NAT — не просто «masquerade»

NAT (Network Address Translation) — это то, что позволяет вашей локальной сети выходить в интернет под одним внешним IP. Но между «работает» и «работает правильно» огромная пропасть.

Masquerade vs SRC-NAT — в чём разница

Это два способа сделать одно и то же, но с разными последствиями для производительности.

# Masquerade — для динамических IP (дом, офис с DHCP/PPPoE)
/ip firewall nat add \
  chain=srcnat \
  action=masquerade \
  out-interface=WAN

# SRC-NAT — для статических IP (провайдеры, дата-центры)
/ip firewall nat add \
  chain=srcnat \
  action=src-nat \
  to-addresses=77.88.55.123 \
  out-interface=WAN

Когда что использовать:

Тип подключения	Рекомендуемый NAT	Причина
DHCP-клиент	Masquerade	IP может меняться, masquerade адаптируется автоматически
PPPoE	Masquerade	IP интерфейса меняется при переподключении
Static IP	SRC-NAT	IP не меняется, SRC-NAT быстрее на 10-15%
Несколько WAN	SRC-NAT на каждый	Точный контроль исходящего IP

Когда Masquerade убивает производительность

На мощных каналах (>300 Мбит/с) masquerade создаёт значительную нагрузку на CPU, потому что каждый пакет требует проверки текущего IP интерфейса.

Решение — связка FastTrack + Masquerade. FastTrack обрабатывает установленные соединения в обход файрвола напрямую в железе (offloading).

# Включение FastTrack для established соединений
/ip firewall filter add \
  chain=forward \
  action=fasttrack-connection \
  connection-state=established,related \
  comment="FastTrack для производительности"

# Разрешение остальных established соединений
/ip firewall filter add \
  chain=forward \
  action=accept \
  connection-state=established,related

# NAT как обычно
/ip firewall nat add \
  chain=srcnat \
  action=masquerade \
  out-interface=WAN

Destination NAT (проброс портов) для профи

DST-NAT используется для доступа извне к внутренним серверам: веб-серверу, камерам, RDP.

# Проброс HTTP на внутренний веб-сервер
/ip firewall nat add \
  chain=dstnat \
  protocol=tcp \
  dst-port=80 \
  in-interface=WAN \
  action=dst-nat \
  to-addresses=192.168.1.100 \
  to-ports=80

# Проброс диапазона портов (например, для FTP)
/ip firewall nat add \
  chain=dstnat \
  protocol=tcp \
  dst-port=21,10000-10100 \
  in-interface=WAN \
  action=dst-nat \
  to-addresses=192.168.1.101

# Проброс с изменением порта (3389 снаружи -> 3390 внутри)
/ip firewall nat add \
  chain=dstnat \
  protocol=tcp \
  dst-port=3389 \
  in-interface=WAN \
  action=dst-nat \
  to-addresses=192.168.1.102 \
  to-ports=3390

Hairpin NAT — доступ изнутри по внешнему IP

Классическая проблема: вы пробросили порт 80 на сервер 192.168.1.100, но из локальной сети не можете зайти на сервер по внешнему IP. Нужен Hairpin NAT.

# Разрешаем локальной сети обращаться к себе через WAN IP
/ip firewall nat add \
  chain=srcnat \
  src-address=192.168.1.0/24 \
  dst-address=192.168.1.0/24 \
  protocol=tcp \
  dst-port=80 \
  action=masquerade \
  comment="Hairpin NAT для внутреннего доступа"

Настройка локальной сети: IP-адресация и VLAN

Правильная структура локальной сети — это фундамент масштабируемости. Сегодня у вас 10 пользователей, через год — 100, а архитектура уже заложена.

Базовая настройка IP на интерфейсах

Начнём с простого — один офис, две подсети (компьютеры и серверы).

# IP для офисной сети
/ip address add \
  address=192.168.1.1/24 \
  interface=LAN_OFFICE \
  comment="Офисные рабочие места"

# IP для серверной сети
/ip address add \
  address=10.0.0.1/24 \
  interface=LAN_SERVERS \
  comment="Внутренние серверы"

Выбор подсетей — не случайность

• 192.168.x.0/24 — для простых офисных сетей (до 254 устройств)
• 10.x.0.0/16 — для больших сетей с филиалами (до 65534 устройств)
• 172.16-31.x.0/16 — когда первые два заняты или конфликтуют с VPN

VLAN для среднего уровня

VLAN (Virtual LAN) позволяет разделить одну физическую сеть на несколько логических. Это не просто сегментация, это безопасность и контроль.

Типичный кейс: офис с гостевой сетью и корпоративной на одном кабеле.

# Создание VLAN-интерфейсов
/interface vlan add \
  name=VLAN10_CORP \
  vlan-id=10 \
  interface=LAN_OFFICE

/interface vlan add \
  name=VLAN20_GUEST \
  vlan-id=20 \
  interface=LAN_OFFICE

# Назначение IP на VLAN
/ip address add \
  address=192.168.10.1/24 \
  interface=VLAN10_CORP \
  comment="Корпоративная сеть"

/ip address add \
  address=192.168.20.1/24 \
  interface=VLAN20_GUEST \
  comment="Гостевая сеть"

Настройка свитча для VLAN (важно!)

VLAN на роутере — это полдела. Свитч должен понимать VLAN, иначе получите полную кашу.

# Если у вас управляемый MikroTik свитч (CRS-серия)
/interface bridge add name=bridge-vlan vlan-filtering=yes

# Добавляем порты в bridge
/interface bridge port add bridge=bridge-vlan interface=ether2
/interface bridge port add bridge=ether2 interface=ether3 pvid=10
/interface bridge port add bridge=bridge-vlan interface=ether4 pvid=20

# Разрешаем VLAN на bridge
/interface bridge vlan add bridge=bridge-vlan tagged=ether2 vlan-ids=10
/interface bridge vlan add bridge=bridge-vlan tagged=ether2 vlan-ids=20
/interface bridge vlan add bridge=bridge-vlan untagged=ether3 vlan-ids=10
/interface bridge vlan add bridge=bridge-vlan untagged=ether4 vlan-ids=20

DHCP — не только раздача адресов

DHCP-сервер — это мозг вашей сети. Он не просто раздаёт IP, он управляет всей инфраструктурой.

Базовая настройка DHCP-сервера

# Создание пула адресов
/ip pool add \
  name=dhcp_pool_office \
  ranges=192.168.1.100-192.168.1.200

# Создание DHCP-сервера
/ip dhcp-server add \
  name=dhcp_office \
  interface=LAN_OFFICE \
  address-pool=dhcp_pool_office \
  disabled=no

# Настройка сетевых параметров для DHCP
/ip dhcp-server network add \
  address=192.168.1.0/24 \
  gateway=192.168.1.1 \
  dns-server=192.168.1.1 \
  domain=office.local \
  comment="Офисная сеть"

Продвинутые опции DHCP

Резервации по MAC (для принтеров, серверов)

Устройствам, к которым обращаются по IP, нужны статические адреса. Но прописывать вручную на каждом принтере — боль. Делаем через DHCP-резервации.

# Резервация IP для принтера
/ip dhcp-server lease add \
  address=192.168.1.50 \
  mac-address=AA:BB:CC:DD:EE:FF \
  comment="HP LaserJet Бухгалтерия"

# Резервация с выдачей имени хоста
/ip dhcp-server lease add \
  address=192.168.1.51 \
  mac-address=11:22:33:44:55:66 \
  client-id=print-color \
  comment="Epson Цветной офис"

DHCP Option 66/67 — PXE-загрузка

Для бездисковых терминалов, сетевой установки ОС или IP-телефонов нужны специальные DHCP-опции.

# Option 66 — TFTP-сервер для IP-телефонов
/ip dhcp-server option add \
  name=tftp-server \
  code=66 \
  value="'192.168.1.10'"

# Option 67 — имя boot-файла
/ip dhcp-server option add \
  name=boot-file \
  code=67 \
  value="'pxelinux.0'"

# Применение к сети
/ip dhcp-server network set [find address=192.168.1.0/24] \
  dhcp-option=tftp-server,boot-file

DHCP Relay — для больших сетей

Когда у вас несколько подсетей, не нужен DHCP-сервер в каждой. DHCP Relay пересылает запросы на центральный сервер.

# На удалённом роутере (филиал)
/ip dhcp-relay add \
  name=relay-to-hq \
  interface=LAN_BRANCH \
  dhcp-server=10.0.0.1 \
  local-address=192.168.50.1 \
  disabled=no

DHCP Lease — мониторинг и алерты

Полезно знать, кто и когда получил IP. Особенно когда начинаются проблемы типа «кто-то жрёт весь канал».

# Просмотр активных аренд
/ip dhcp-server lease print where status=bound

# Просмотр по MAC
/ip dhcp-server lease print where mac-address~"AA:BB"

# Экспорт списка для анализа
/ip dhcp-server lease export file=leases_$(date +%Y%m%d)

Wi-Fi на MikroTik — боль и радость

Wi-Fi в MikroTik — это отдельная песня. Кто-то говорит «отлично», кто-то «никогда больше». Правда, как всегда, посередине.

Особенности Wi-Fi в RouterOS

Что нужно знать о чипсетах

MikroTik использует разные чипсеты в зависимости от модели. От чипсета зависит всё: скорость, стабильность, фичи.

Модель	Чипсет Wi-Fi	Особенности	Производительность
hAP lite	AR9331	2.4 ГГц, одно ядро	До 30 Мбит/с реальных
hAP ac²	QCA9984	Dual-band, 802.11ac Wave 2	До 400 Мбит/с на 5 ГГц
hAP ax²	IPQ4019	Wi-Fi 6, MU-MIMO	До 600 Мбит/с
Audience	IPQ6010	Wi-Fi 6E, 6 ГГц	До 1.2 Гбит/с

Настройка точки доступа (базовый уровень)

Простейшая конфигурация — одна точка, одна сеть.

# Настройка security profile (профиль безопасности)
/interface wireless security-profiles add \
  name=wifi-staff \
  mode=dynamic-keys \
  authentication-types=wpa2-psk \
  wpa2-pre-shared-key=StrongPassword2026! \
  group-ciphers=aes-ccm \
  unicast-ciphers=aes-ccm

# Настройка Wi-Fi интерфейса
/interface wireless set wlan1 \
  mode=ap-bridge \
  band=2ghz-g/n \
  channel-width=20/40mhz-XX \
  frequency=auto \
  ssid=IT_Office_Staff \
  security-profile=wifi-staff \
  disabled=no

# Для 5 ГГц (если поддерживается)
/interface wireless set wlan2 \
  mode=ap-bridge \
  band=5ghz-a/n/ac \
  channel-width=20/40/80mhz-XXXX \
  frequency=auto \
  ssid=IT_Office_5G \
  security-profile=wifi-staff \
  disabled=no

CAPsMAN — централизованное управление точками

CAPsMAN (Controlled AP System Manager) — это когда один MikroTik управляет всеми точками доступа. Идеально для офисов и распределённых сетей.

Настройка CAPsMAN Manager (центральный роутер)

# Включение CAPsMAN
/caps-man manager set \
  enabled=yes \
  ca-certificate=auto \
  certificate=auto

# Создание конфигураций для точек
/caps-man configuration add \
  name=cfg-staff-2ghz \
  mode=ap \
  ssid=Office_Staff \
  country=russia \
  installation=indoor \
  security.authentication-types=wpa2-psk \
  security.passphrase=StrongPassword2026!

/caps-man configuration add \
  name=cfg-staff-5ghz \
  mode=ap \
  ssid=Office_Staff_5G \
  country=russia \
  installation=indoor \
  channel.band=5ghz-a/n/ac \
  channel.width=20/40/80mhz-XXXX \
  security.authentication-types=wpa2-psk \
  security.passphrase=StrongPassword2026!

# Provisioning — автоматическое применение настроек
/caps-man provisioning add \
  action=create-dynamic-enabled \
  master-configuration=cfg-staff-5ghz \
  slave-configurations=cfg-staff-2ghz

Настройка CAP (управляемая точка доступа)

# На каждой точке доступа (hAP, cAP)
/interface wireless cap set \
  enabled=yes \
  discovery-interfaces=bridge \
  interfaces=wlan1,wlan2 \
  caps-man-addresses=192.168.1.1

Оптимизация Wi-Fi для среднего офиса

Анализ эфира перед настройкой

Не ставьте Wi-Fi вслепую! Сначала посмотрите, какие каналы заняты соседями.

# Сканирование доступных сетей
/interface wireless scan wlan1 duration=10

# Мониторинг текущего состояния
/interface wireless monitor wlan1

Выбор канала — наука, а не рандом

• 2.4 ГГц: используйте только каналы 1, 6, 11 (они не перекрываются)
• 5 ГГц: больше вариантов, но избегайте DFS-каналов (52-144) если рядом аэропорт или военная база — будут отключения при обнаружении радаров

# Жёсткая фиксация канала (после анализа)
/interface wireless set wlan1 frequency=2437 # Канал 6 (2.4 ГГц)
/interface wireless set wlan2 frequency=5180 # Канал 36 (5 ГГц)

Band Steering и Airtime Fairness

Band Steering подталкивает двухдиапазонные устройства на 5 ГГц, разгружая 2.4 ГГц.

# Включение band steering (только для dual-band AP)
/interface wireless set wlan1 band-steering=prefer-5ghz

Airtime Fairness не даёт старым медленным устройствам (802.11g) тормозить всю сеть.

# Включение airtime fairness
/interface wireless set wlan1 wds-mode=disabled frame-lifetime=0

Гостевой Wi-Fi через VLAN

Классическая задача: гости должны иметь интернет, но не должны видеть офисную сеть.

# Создание VLAN для гостей
/interface vlan add \
  name=VLAN_GUEST \
  vlan-id=100 \
  interface=bridge

# IP для гостевой сети
/ip address add \
  address=192.168.100.1/24 \
  interface=VLAN_GUEST

# Настройка Wi-Fi для гостей с VLAN
/interface wireless set wlan2 \
  mode=ap-bridge \
  ssid=IT_Guest_WiFi \
  vlan-id=100 \
  vlan-mode=use-tag \
  security-profile=guest-profile

# DHCP для гостей
/ip pool add name=pool-guest ranges=192.168.100.10-192.168.100.200
/ip dhcp-server add name=dhcp-guest interface=VLAN_GUEST address-pool=pool-guest
/ip dhcp-server network add address=192.168.100.0/24 gateway=192.168.100.1 dns-server=8.8.8.8

# Файрвол: гости видят только интернет
/ip firewall filter add \
  chain=forward \
  src-address=192.168.100.0/24 \
  dst-address=192.168.0.0/16 \
  action=drop \
  comment="Блокируем гостям доступ к локалке"

/ip firewall filter add \
  chain=forward \
  src-address=192.168.100.0/24 \
  dst-address=10.0.0.0/8 \
  action=drop

DNS и DHCP — связка для профи

DNS-сервер на MikroTik

MikroTik может быть кэширующим DNS-сервером. Это ускоряет работу и даёт контроль.

Базовая настройка кэширующего DNS

# Настройка DNS с upstream-серверами
/ip dns set \
  servers=8.8.8.8,8.8.4.4,77.88.8.8 \
  allow-remote-requests=yes \
  cache-size=4096KiB \
  cache-max-ttl=1d

# Проверка работы кэша
/ip dns cache print

DNS over HTTPS (DoH) — приватность

DoH шифрует DNS-запросы, защищая от подслушивания провайдером.

# Включение DoH (RouterOS 7.x)
/ip dns set \
  use-doh-server=https://dns.cloudflare.com/dns-query \
  verify-doh-cert=yes

# Альтернативные DoH-серверы
# Google: https://dns.google/dns-query
# Quad9: https://dns.quad9.net/dns-query

Статические DNS-записи

Для внутренних сервисов удобно иметь человеческие имена.

# Добавление статических записей
/ip dns static add \
  name=print-server.office.local \
  address=192.168.1.50

/ip dns static add \
  name=nas.office.local \
  address=192.168.1.100

/ip dns static add \
  name=mail.office.local \
  address=192.168.1.110

DHCP + DNS = динамические имена хостов

MikroTik автоматически регистрирует имена DHCP-клиентов в DNS. Можно пинговать устройства по именам!

# Включение регистрации DHCP lease в DNS
/ip dhcp-server set [find] add-arp=yes

# Теперь можно:
# ping laptop-director
# ssh admin@workstation-it

Специфика популярных моделей MikroTik

MikroTik hAP ac² — настройка для офиса

hAP ac² — одна из самых популярных моделей для офисов на 20-50 человек.

Особенности модели:

• 5 гигабитных портов
• Dual-band Wi-Fi (2.4 + 5 ГГц, 802.11ac)
• CPU: QCA9558 716 МГц
• RAM: 128 MB
• Поддержка CAPsMAN

Типовая конфигурация:

# 1. Сброс и именование
/system reset-configuration no-defaults=yes
/interface set ether1 name=WAN
/interface set ether2 name=LAN
/interface set wlan1 name=WIFI_2G
/interface set wlan2 name=WIFI_5G

# 2. Bridge для LAN
/interface bridge add name=bridge-local

# 3. Добавление портов в bridge
/interface bridge port add bridge=bridge-local interface=LAN
/interface bridge port add bridge=bridge-local interface=WIFI_2G
/interface bridge port add bridge=bridge-local interface=WIFI_5G

# 4. IP на bridge
/ip address add address=192.168.88.1/24 interface=bridge-local

# 5. DHCP-клиент на WAN
/ip dhcp-client add interface=WAN disabled=no

# 6. NAT
/ip firewall nat add chain=srcnat action=masquerade out-interface=WAN

# 7. DNS
/ip dns set servers=8.8.8.8,8.8.4.4 allow-remote-requests=yes

# 8. DHCP-сервер
/ip pool add name=dhcp-pool ranges=192.168.88.10-192.168.88.254
/ip dhcp-server add name=dhcp1 interface=bridge-local address-pool=dhcp-pool
/ip dhcp-server network add address=192.168.88.0/24 gateway=192.168.88.1 dns-server=192.168.88.1

# 9. Wi-Fi настройка
/interface wireless security-profiles add \
  name=office-wifi \
  authentication-types=wpa2-psk \
  wpa2-pre-shared-key=Office2026Secure!

/interface wireless set WIFI_2G \
  mode=ap-bridge band=2ghz-g/n ssid=Office_2G \
  security-profile=office-wifi disabled=no

/interface wireless set WIFI_5G \
  mode=ap-bridge band=5ghz-a/n/ac ssid=Office_5G \
  security-profile=office-wifi disabled=no

MikroTik hAP lite — работа с ограничениями

hAP lite — бюджетная модель для дома или небольшого склада. Но у неё есть жёсткие ограничения.

Характеристики:

• CPU: QCA9531 650 МГц (однопоточный)
• RAM: 32 MB (критически мало!)
• Wi-Fi: только 2.4 ГГц, 802.11n
• Порты: 4x Fast Ethernet (100 Мбит/с)

Что НЕЛЬЗЯ делать на hAP lite:

• ❌ Включать FastTrack (парадоксально, но перегружает слабый CPU)
• ❌ Использовать DoH
• ❌ Поднимать VPN-серверы
• ❌ Ставить >50 правил файрвола
• ❌ Подключать >20 Wi-Fi клиентов одновременно

Оптимальная конфигурация:

# Минималистичный подход для hAP lite
/system reset-configuration no-defaults=yes

# Интерфейсы
/interface set ether1 name=WAN
/interface bridge add name=bridge-lan
/interface bridge port add bridge=bridge-lan interface=ether2,ether3,ether4,wlan1

# IP и DHCP
/ip address add address=192.168.10.1/24 interface=bridge-lan
/ip pool add name=dhcp ranges=192.168.10.10-192.168.10.100
/ip dhcp-server add interface=bridge-lan address-pool=dhcp
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1

# WAN
/ip dhcp-client add interface=WAN disabled=no

# NAT (без FastTrack!)
/ip firewall nat add chain=srcnat action=masquerade out-interface=WAN

# Wi-Fi (минимум функций)
/interface wireless set wlan1 mode=ap-bridge ssid=Home band=2ghz-g/n disabled=no

MikroTik с LTE — мобильный интернет и резерв

Модели с LTE (wAP LTE kit, LtAP) используются как основной канал (дача, стройка) или резервный (failover для офиса).

# Настройка LTE-модема
/interface lte set lte1 \
  apn=internet \
  pin=1234 \
  disabled=no

# Проверка статуса
/interface lte monitor lte1

# Failover: если основной WAN упал — переключаемся на LTE
/ip route add \
  gateway=192.168.1.1 \
  distance=1 \
  comment="Основной WAN"

/ip route add \
  gateway=lte1 \
  distance=2 \
  comment="Резервный LTE"

Траблшутинг: 10 проблем среднего уровня

1. «Интернет есть, но торренты не качают»

Причина: Connection tracking переполнен, NAT helpers мешают.

# Проверка connection tracking
/ip firewall connection print count-only

# Увеличение лимита (если позволяет RAM)
/ip firewall connection tracking set max-entries=65536

# Отключение NAT helpers (если не нужны FTP/SIP)
/ip firewall service-port set ftp disabled=yes
/ip firewall service-port set h323 disabled=yes
/ip firewall service-port set sip disabled=yes

2. «Wi-Fi падает при нагрузке»

Причина: Thermal throttling — чипсет перегревается и снижает мощность.

• Проверьте температуру: /system health print
• Обеспечьте вентиляцию (не закрывайте в шкафу)
• Снизьте TX power: /interface wireless set wlan1 tx-power=15

3. «Не работает доступ изнутри по внешнему IP»

Причина: Нет Hairpin NAT.

Решение — см. раздел «Hairpin NAT» выше.

4. «Медленный DNS»

Причина: Upstream DNS-серверы далеко или перегружены.

# Тест скорости DNS
/tool dns-query name=google.com server=8.8.8.8
/tool dns-query name=google.com server=77.88.8.8

# Выбираем самые быстрые серверы
# Для России: 77.88.8.8, 77.88.8.1 (Яндекс), 1.1.1.1 (Cloudflare)

5. «Пропадают пакеты на PPPoE»

Причина: MTU/MRU mismatch.

Решение — см. раздел «PPPoE — особенности для MikroTik».

6. «CAPsMAN не видит точки доступа»

Причина: Discovery интерфейсы не настроены или VLAN блокирует.

# На точке доступа
/interface wireless cap set discovery-interfaces=bridge

# На CAPsMAN Manager
/caps-man manager print

# Проверка, видит ли CAP Manager
/caps-man remote-cap print

7. «Роутер перезагружается сам»

Причина: RAM переполнена, connection tracking limits.

# Проверка использования RAM
/system resource print

# Если RAM >80% — уменьшаем connection tracking
/ip firewall connection tracking set max-entries=32768

8. «Не применяются правила файрвола»

Причина: Неправильный порядок правил или FastTrack пропускает пакеты мимо.

# FastTrack должен быть ПЕРЕД специфичными правилами файрвола
# Проверка порядка:
/ip firewall filter print

# Перемещение правила
/ip firewall filter move [find comment="моё правило"] destination=0

9. «SMB/SAMBA тормозит через Wi-Fi»

Причина: Multicast не обрабатывается, IGMP Snooping не настроен.

# Включение IGMP Snooping на bridge
/interface bridge set bridge-local igmp-snooping=yes

10. «Не работает VLAN через свитч»

Причина: Порты свитча в режиме access, а не trunk.

# На управляемом свитче MikroTik
/interface bridge vlan print
# Убедитесь, что trunk-порты помечены как tagged

Полезные ресурсы и дополнительное обучение

Официальная документация MikroTik

• MikroTik Wiki — исчерпывающая документация
• Официальный форум — решения экзотических проблем
• Курсы MTCNA/MTCRE — официальная сертификация

Курсы и обучение

Если хотите прокачаться системно:

• MTCNA (MikroTik Certified Network Associate) — базовый уровень, обязательно для профессионалов
• MTCRE (MikroTik Certified Routing Engineer) — продвинутая маршрутизация, OSPF, BGP
• MTCWE (MikroTik Certified Wireless Engineer) — углублённо про Wi-Fi

Скрипты для автоматизации

Бекап в Telegram (автоматический)

# Скрипт отправки бекапа в Telegram
/system script add name=telegram-backup source={
  :local botToken "YOUR_BOT_TOKEN"
  :local chatID "YOUR_CHAT_ID"
  /system backup save name=backup-daily
  :delay 2s
  /tool fetch mode=https url="https://api.telegram.org/bot$botToken/sendMessage?chat_id=$chatID&text=Backup%20complete" keep-result=no
}

# Добавление в расписание (каждый день в 3 ночи)
/system scheduler add name=daily-backup interval=1d start-time=03:00:00 on-event=telegram-backup

Мониторинг LTE-сигнала

# Скрипт проверки уровня сигнала LTE
/system script add name=lte-monitor source={
  :local rssi [/interface lte monitor lte1 once as-value]->"rssi"
  :if ($rssi < -90) do={
    :log warning "LTE signal weak: $rssi dBm"
  }
}

/system scheduler add name=lte-check interval=5m on-event=lte-monitor

Заключение: путь от настройки до мастерства

MikroTik — это не просто роутер, это конструктор для сетевого инженера. В этой статье мы разобрали фундаментальные вещи, которые работают в реальных проектах — от офиса на 50 человек до распределённой сети магазинов.

Ключевые моменты, которые нужно запомнить:

• ✅ Всегда начинайте с no-defaults — чистый старт без мусора
• ✅ Именуйте интерфейсы — через месяц скажете спасибо
• ✅ Masquerade vs SRC-NAT — выбирайте исходя из типа подключения
• ✅ FastTrack + Masquerade — производительность в два раза выше
• ✅ VLAN — не сложно, но требует понимания trunk/access портов
• ✅ CAPsMAN — must-have для управления несколькими точками
• ✅ DNS на роутере — контроль и ускорение
• ✅ Знайте ограничения вашей модели — hAP lite ≠ hAP ac²

Что осталось за кадром?

Эта статья — фундамент. Но MikroTik — это целая вселенная. В следующих материалах разберём:

• 🔐 Файрвол и безопасность: защита от DDoS, Port Knocking, GeoIP-блокировки
• 🌐 VPN-серверы: WireGuard, OpenVPN, IPSec — что выбрать и как настроить
• 📊 Мониторинг и графики: интеграция с Zabbix, Grafana, The Dude
• 🚀 Продвинутая маршрутизация: OSPF, BGP для провайдеров
• ⚡ QoS и приоритизация: как сделать, чтобы Zoom не лагал, когда кто-то качает торренты