Настройка роутера микротик RB751/RB951 на примере провайдера InterZet

47
21

nastroika_mikrotik_interzetВ распоряжении имеется роутер RB751U, который в свою очередь подключен к провайдеру Interzet. В нашу задачу входит, стандартным образом настроить подключение к сети провайдера, локальную и беспроводную сети, правила firewall для безопасной работы в интернет, ну и освоить другие полезные фишки которые пригодятся нам в будущей работе.

Для лучшего понимания процесса настройки, кроме традиционных скриншотов интерфейса RouterOS через Winbox параллельно буду выкладывать CLI-команды, как если бы настройка производилась в терминале или по SSH.

Скачиваем Winbox, подключаемся по IP или mac-адресу нажав клавишу «три точки». Логин: admin. Пароль отсутствует.

winbox-first-startПри первом входе в устройство, система предупредит что был запущен скрипт автоматической конфигурации, который сбрасывает роутер к заводским настройкам по умолчанию, после которых нужно лишь прописать свои ip адреса, добавить nat-правило и роутер готов к работе. Или же воспользоваться быстрой настройкой микротика при помощи мастера (Quick Set), который поможет настроить все буквально за пару минут.

winbox-default-configuration-scriptНо перед нами стоит задача — понять логику работы роутера. Поэтому мы поэтапно пройдемся по всем шагам настройки с 0-ля. Соответственно, во время появления окошка «RouterOS Default Configuration» нажимаем «Remove Configuration» или если вы сразу этого не сделали, то аналогичную операцию можно выполнить из пункта меню «System» – «Reset Configuration», выбрав там настройку «No Default Configuration» или в терминале выполнив команду:

После чего роутер автоматически перезагрузится и можно будет начинать настройку с чистого листа. Снова заходим в Winbox, видим что подключение доступно только по mac. Подключаемся.

1) Настройка основных интерфейсов:

Конфигурация сетевых интерфейсов Микротик предполагает, что первый порт устройства ether1 используется как WAN для подключения к сети провайдера, последующие порты ether2, ether3 и.т.д. используются для подключения компьютеров к локальной сети. Переходим в меню Interface. Буква R — напротив означает что интерфейс включен, что соответствует активным светодиодам на самом устройстве, X — выключен.

winbox-interfaces-first-startДля того что бы не путаться мы можем либо переименовать интерфейсы изменив поле Name, либо можем задать комментарий, при помощи поля Comment. Интерфейсу ether1 присвоим комментарий WAN, ether2 — LAN-Master. В терминале:

После чего картинка примет следующий вид:

winbox-comment-ether1-ether2Затем настроем коммутацию между портами объединив их в свитч, назначив основной lan порт роутера ether2 в качестве мастера а остальные порты ether3, ether4 и.т.д в качестве подчиненных slave. Для этого перейдем в настройки интерфейсов с ether3 по ether5 и в поле Master Port выберем порт ether2.

winbox-add-ether-interfaces-to-switch

После чего картинка примет следующий вид. Как видим напротив интерфейсов с ether3 по ether5 стоит буква S (Slave) — ведомый.

winbox-mikrotik-interfacesТеперь что бы локальные компьютеры подключенные проводом к роутеру и по Wi-Fi видели друг друга, необходимо объединить беспроводной и проводные интерфейсы в локальный мост.

Для этого в основном меню переходим на вкладку Bridge. Нажимаем Add. В появившемся окне New Interface задаем имя моста например: bridge1 нажимаем ОК.

winbox-add-bridge-interfaceЗатем переходим на вкладку ports и добавляем главный Ethernet порт свитча ether2 (LAN-Master) нажимаем ОК, затем таким же образом добавляем Ethernet порт wlan1. Получим следующее:

winbox-bridge-portsЧто бы выполнить тоже самое в  терминале, набираем команду и задаем имя моста:

2) Настройка адресации в MikroTik

Открываем меню IP, затем подменю Addresses. В открывшемся окне Address List нажимаем Add (красный крестик). В открывшемся окне New Address в поле Address вводим адрес и маску локальной сети, например: 192.168.3.1/24 или если вы не знаете длину префикса маски то набираем 192.168.3.1/255.255.255.0 и маска автоматически будет преобразована в 24.

В списке Interface выбираем bridge1 (eсли у вас роутер MikroTik без Wi-Fi (RB750, RB750GL, RB450G), то в списке Interface выбираем главный интерфейс свитча ether2). Нажимаем ОК.

winbox-lan-addressТаким же образом добавляем ip настройки выданные провайдером и в качестве интерфейса выбираем ether1. Нажимаем ОК.

winbox-wan-address

Добавляем шлюз по умолчанию, для этого переходим в меню IP, затем подменю Routes нажимаем крестик, в поле Gateway указываем шлюз полученный от провайдера, нажимаем ОК.

winbox-add-gateway-addressЕсли маршрут поднялся правильно, то напротив адреса шлюза мы увидим запись reachable ether1. После чего подменю Route List примет следующий вид:

В терминале:

Теперь укажем DNS-серверы, для этого открываем меню IP, выбираем подменю DNS. В открывшемся окне DNS Settings в поле Servers: прописываем IP адрес основного DNS сервера, нажимаем стрелку «вниз», чтобы добавить дополнительное поле для ввода и вводим IP адрес альтернативного DNS сервера. Отмечаем галочку Allow Remote Requests;

winbox-dns-settingsНажимаем кнопку Static, и добавляем основной локальный адрес роутера, который будет подставляться клиентам по DHCP в качестве основного DNS. В поле Name пишем например router, в поле адрес указываем LAN ip, у нас это 192.168.3.1. Нажимаем OK.

winbox-dns-staticЗатем снова ОК для выхода и сохранения настроек.

В терминале, команды будут выглядеть так:

Теперь поменяем MAC-адрес на интерфейсе ether1 поскольку провайдер Interzet проверяет соответствие MAC и ip адреса. Делаем это при помощи следующей команды:

3. Настройка DHCP-сервера.

Для автоматической раздачи сетевых настроек клиентам у нас должен быть настроен DHCP сервер. Пeреходим в меню IP, выбираем подменю Pool, указываем имя пула и диапазон адресов для выдачи локальным клиентам. Нажимаем ОК.

winbox-dhcp-poolЗатем в IP/DHCP Server, нажатием крестика, добавляем DHCP Server. В поле Interface выбираем ранее созданный локальный мост bridge1, но если у вас роутер без wi-fi интерфейса то выберем просто главный локальный интерфейс свитча ether2 (LAN-Master). В поле Address Pool укажем ранее созданный диапазон адресов dhcp-pool. Нажимаем ОК.

winbox-dhcp-serverЗатем переходим на вкладку Networks и прописываем ip адрес локальной сети с маской, шлюз, маску 24 и dns server. Нажимаем ОК. Перезапустим сетевой интерфейс компьютера что бы получить новый адрес по DHCP.

winbox-dhcp-networkВсе тоже самое можно проделать при помощи мастера нажав на кнопку  DHCP Server последовательно нажимая далее.

При помощи команд DHCP-Server поднимается следующим образом:

4) Настройка Wi-Fi точки доступа MikroTik

Заходим во вкладку Wireless. Дважды щелкаем по интерфейсу Wlan1. Переходим на вкладку Wireless и нажимаем на кнопку Advanced Mode. Заполняем значения, как на рисунке. Более подробную информацию о параметрах можно просмотреть здесь.

winbox-wireless-advanced-modeЗатем переходим на вкладку Advanced и выставляем значения как на рисунке.

winbox-wireless-advanced-mainНа вкладке HT изменяем следующие параметры.

winbox-wireless-HTНажимаем ОК. Затем переходим на вкладку Security Profiles и выбираем профиль default.

winbox-wireless-security-profilesВыставляем режим и тип шифрования, задаем пароль. Нажимаем ОК.

winbox-wireless-security-profiles-settingsЗатем переходим на вкладку Interfaces и включаем интерфейс wlan1.

winbox-wireless-security-wlan1-enableДля выполнения тех же операций через терминал, набираем следующие команды:

На этом настройка wi-fi завершена.

5) Настройка безопасности доступа к маршрутизатору

Отключаем не нужные сервисы управления для доступа к устройству. Для этого переходим в меню IP\Services и последовательно отключаем их нажатием на крестик.

winbox-ip-service-listТак же зададим, фильтр подключений с определенного ip-адреса или сети задав его в поле «Available From».

winbox-ip-service-available-fromВ терминале порядок действий аналогичный: Выводим список сервисов, отключаем не нужные, разрешаем доступ к определенному сервису из сети 192.168.3.0/24

Отключаем поиск других устройств (соседей) по протоколам MNDP и CDP на внешних интерфейсах. На внутренних интерфейсах желательно так же отключить, но если нужен доступ к роутеру по mac-адресу, то оставляем локальный интерфейс. Для этого переходим в меню IP\Neighbors\Discovery Interfaces и отключаем все кроме внутренних интерфейсов LAN (ether2) или Bridge, нажатием на кнопку Disable.

winbox-ip-neighbors

Затем идем в меню Tools/MAC Server и на закладках Telnet Interfaces и WinBox Interfaces так же оставляем только внутренние интерфейсы и отключаем интерфейс «*all». Bridge оставляем, т.к. опять же перестает работать доступ по Winbox.

winbox-ip-mac-server-interfaces

Поменяем имя и пароль учетной записи администратора в меню System\Users. В поле Group — зададим права доступа. Возможные варианты: full — полный административный доступ, read — просмотр информации о настройках и событиях и выполнение команд, не затрагивающих конфигурацию роутера, write — изменение настроек и политик за исключением настроек пользователей системы.

winbox-user-password

6) Настройка фильтрации трафика, выхода в интернет

По умолчанию стандартный скрипт настраивает firewall таким образом, чтобы пропускать из локальной сети наружу любой трафик (mascarading), а снаружи только тот, который запрашивается локальными хостами (dnat), а также ping.

Начиная с RouterOS 6.23 скрипт автонастройки прописывает 6 правил фильтрации. Причем теперь в одном правиле можно задавать несколько состояний соединения (connection state), а так же появилось новое состояние соединения отвечающее за сетевую трансляцию адресов (connection NAT state).

В самом начале создадим правило запрещающее доступ к wan-интерфейсу с IP-адресов, которые не должны использоваться в таблицах маршрутизации в Интернет. (bogon-сети). Для этого сначала зададим список этих сетей в IP\Firewall\Address Lists:

winbox-ip-firewall-address-lists

Но обратим внимание, что наш провайдер выдает нам сетевые настройки, ip-адрес и dns-сервера, которых как раз попадают в некоторые из диапазонов. Поэтому отключаем их, иначе интернет у нас работать не будет :) Затем добавим само правило:

Следующее правило — защита от IP-спуфинга (ответ RST-пакетом на SYN-ACK-пакет, если он является первым в соединении):

Далее разрешим icmp, если необходимо, хотя я обычно не включаю:

Затем разрешаем прохождения трафика на маршрутизатор (цепочка: input) уже установленных (established) и связанных подключений (related):

И запрещаем любые другие входящие соединения на роутер.

Затем разрешим прохождение трафика через маршрутизатор (цепочка: forward) уже установленных (established) и связанных (related) подключений:

Любой другой трафик в цепочке forward запрещаем:

На выходе получим такую картинку:

winbox-firewall-settingsДля настройки выхода в интернет / маскарадинга (NAT), компьютеров указанных в группе ‘lan-access’ добавляем следующие правила:

В итоге компьютерам с ip адресами с 192.168.3.10, 192.168.3.11 будет разрешен доступ в сеть.

Если необходимо выполнить проброс портов из интернета на внутренний сервер/сервис в локальной сети (dnat) добавим следующую команду:

winbox-ip-dnatЕсли необходимо жестко задать ip-адрес с которого можно подключаться, то укажем его в поле Dst.Address.

7) Подключение и настройка usb-модема Yota 4G

Беспроводное подключение через модем Yota у нас будет в качестве резервного канала на случай выхода из строя основного провайдера.

Вставляем модем в usb-порт роутера. В списке интерфейсов должен появится новый интерфейс lte1.

Теперь переходим в меню ip\dhcp-client и выберем в списке интерфейс lte1.

winbox-dhcp-client-lte1В поле Add Default Router если оставить yes, будет создан маршрут по умолчанию, который в свою очередь отключит маршрут по основному провайдеру, если он есть. Что бы этого не произошло, и маршрут Yota был прописан в качестве дополнительного мы в поле Default Route Distance можем выставить значение 2 и тогда маршрут примет вид отключенного и будет таковым до тех пор пока, не упадет основной маршрут у которого Distance — 1. Но такой маршрут в последствии нельзя будет редактировать (например, задать комментарий), поэтому пока в поле Add Default Router поставим no и создадим маршрут сами.

На вкладке Status, убедимся так же, что роутер получил все необходимые настройки от  DHCP-сервера модема.

winbox-dhcp-client-lte1-statusПереходим в меню IP\Routers. Создаем новый маршрут, в поле Gateway укажем адрес — 10.0.0.1. Distance — 2 и комментарий — gw2.

winbox-ip-routes-addНажимаем ОК. Получим примерно следующую картинку.

winbox-ip-routes-lte1Здесь у меня первый маршрут (gw1), как раз таки приоритетный и рабочий, просто отключен и поэтому в статусе unreachable, а «ётовский» как раз активный.

Затем добавим два правила на firewall’е. Одно правило для маскарадинга (snat), другое запрещающее любой не разрешенный входящий трафик на интерфейсе lte1.

7) Настройка SNTP-клиента.

Для отображения корректного времени на устройстве, необходимо настроить SNTP-клиент который в свою очередь будет получать точное время от внешних ntp-серверов. Для этого переходим в меню System\SMTP Client отмечаем галку Enable и вводим ip-адреса первичного и вторичного серверов времени. Нажимаем ОК для сохранения настроек. Для получения самих адресов воспользуемся командой nslookup, например на адрес ru.pool.ntp.org.

winbox-system-sntp-clientsА вот для того что бы выставить корректный часовой пояс без ввода команд не обойтись. Для этого в терминале набираем:

Кроме вышеперечисленной команды, добавим сами серверы времени:

Посмотреть время на устройстве:

8) Настройка IPTV

Для того что бы настроить IPTV на роутере микротик необходимо предварительно добавить модуль multicast. Для этого переходим на сайт производителя. Выбираем серию устройств для которой будет скачивать пакет. В данном случае это mipsbe… RB700 series. Выбираем All package и скачиваем файл all_packages-mipsbe-x.xx.zip к себе на компьютер. Убедимся, что версия пакета соответствует текущей версии RouterOS, иначе придется обновить и систему тоже. (см. ниже).

Открываем архив all_packages-mipsbe-x.xx.zip и извлекаем от туда фаил multicast-x.xx-mipsbe.npk. В Winbox переходим в меню Files и перетаскиваем мышкой наш файл в окно Files List. Дожидаемся окончания процесса загрузки. Перезагружаем роутер.

Проверяем что пакет multicast установлен в System\Packages.

winbox-system-packagesЧто в свою очередь активирует новое дополнительное меню IGMP Proxy в разделе Routing. Открываем Settings и ставим галочку Quick Leave, что по идее должно увеличить скорость переключения каналов, нажимаем Apply для сохранения настроек.

winbox-routing-igmp-proxy-settings

Затем нажимаем «+» и создаем два IGMP Proxy интерфейса, один для внешней сети, который будет принимать поток многоадресной рассылки от провайдера, один для внутренней сети за микротиком, куда трафик будет дальше поступать к устройствам локальной сети.

Создаем первый IGMP proxy интерфейс, который смотрит в сеть провайдера, в нашем случае это ether1 (WAN), в поле Alternative Subnets укажем сеть вещания IPTV (если известна), если нет то поставим 0.0.0.0/0. Отметим галочку напротив Upsteam.

winbox-routing-igmp-proxy1

Теперь добавим второй IGMP proxy интерфейс, к которому подключены устройства внутренней сети, компьютер или IPTV-приставка. Задаем внутренний локальный интерфейс, нажимаем ОК.

winbox-routing-igmp-proxy2

Следующим шагом, необходимо создать правило на файрволе, разрешающее входящий IGMP-трафик, иначе ничего работать не будет. Для этого, в меню IP – Firewall, на вкладке Filter Rules, добавляем запись: Chain – input; Protocol — igmp; Action – accept. Помещаем созданное правило в начало списка, перед запрещающими.

Если, мы все правильно настроили, то на вкладке IGMP Proxy\MFC должны появиться динамические правила, а так же пакеты, идущие через них.

winbox-routing-igmp-mfcДля работы IPTV через wi-fi, нужно в свойствах беспроводного интерфейса wlan1 на вкладке Wireless выставить значение параметра Multicast Helper в Full.

winbox-wireless-multicast-helper-full

9) Обновление MikroTik RouterOS

Для выполнения процедуры обновления RouterOS скачиваем прошивку с официального сайта. Выбираем, для какой серии устройств будем скачивать пакет обновления. Нас интересует mipsbe… RB700 series. Выбираем Upgrade package. Скачиваем npk-фаил.
mikrotik-routersos-downloadsЗатем, переходим в меню Files и перетаскиваем мышкой наш фаил в окно Files List. Дожидаемся окончания процесса загрузки, после чего, файл должен отобразится в окне Files List.

winbox-download-npk-fileЗатем, перегружаем роутер. После перезагрузки версия RouterOS будет обновлена.

47 КОММЕНТАРИИ

  1. хорошо написано.
    вопрос если можно, а если несколько IP получать от провайдера по одной меди, с одного поток на интернет, со второго на АТС, как правильно настраивать?
    объединять в свич ван порты? присваивать каждому порту свой IP а потом прописывать что на какой порт? или прописывать оба адреса на один порт, но там вроде нет в роутинге привязки к IP там только можно указать порт.

    • Да можно и так и так, но я бы попробовал сначала сделать два ip-адреса на одном интерфейсе (порту) с одним физическим кабелем от провайдера. В роутинге можно прописать как ip-адрес так и физ интерфейс (порт).

  2. Спасибо за статью! Подскажите, а где я могу увидеть расшифровку всех аббревиатур (SNTP-клиента,CLI-команды т.д., т.п.)? Впервые хочу настроить, до этого не настраивал. Спасибо.

  3. Можно ли, привязать к МАС, адреса отдаваемые по DHCP, для сетевого принтера например, что бы не терялся?
    Спасибо за статью.

    • Да можно, а почему нет, сетевые принтеры такие же полноценные участники сети, только на сетевых принтерах обычно статику ставят!

  4. Прежде всего хочу выразить вам огромную благодарность за очень полезную информацию.

    Но остался один момент. Как мы знаем у нас скоро заблокируют всю сеть. Мой провайдер можно обойти через смену DNS, хотелось бы настроить, чтоб все устройства домашней сети могли беспрепятсвенно получать доступ к необходимым сайтам, а не к тем к которым разрешают цари.
    По настройкам вроде прописаны указанные днс, но по умолчанию все равно подтягиваются «Dynamic Servers» провайдера.
    См. скриншот: https://yadi.sk/i/nJ0_I_ISokmYF

    Заранее благодарю за помощь

    • Спасибо за отзыв, только зачем вы в поле DNS указали мои dns из статьи? )) Если вашего провайдера действительно можно обойти простой сменой днс, то и пропишите те днс серверы через которые вы хотите ходить, например общедоступные гугла: 8.8.8.8 и 8.8.4.4. Но судя по скриншоту, который у вас указан провайдер умеет перехватывать все dns-запросы и перенаправлять на свои dns (Dynamic Servers), тогда вариант только с указанием внешнего прокси сервера, через который доступ к нужным сайтам возможен.

  5. Очень доволен статьей! Благодарю!
    Есть один вопрос с vpn: можно ли организовать схему — 1 интерфейс к провайдеру 1, 2 интерфейс к провайдеру 2(1 основной и 2 резерв), но мне нужно подключаться как клиент к одному по vpn, а для другого быть сервером, да так, чтобы трафик между этими сетями тоже ходил?

    • Дмитрий, думаю такой вариант вполне реализуем, в микротике можно сделать практически все. Только не совсем понятна фраза «а для другого быть сервером, да так, чтобы трафик между этими сетями тоже ходил?» К одному интерфейсу-провайдеру вы подключаетесь по vpn, на втором интерфейсе-провайдере у вас весит какой-то сервис? И между какими сетями должен ходить трафик?

  6. Купил себе MikroTik. Нашел и прочитал статью. Не понимаю, зачем у микротиков все так сложно, чтобы задать обновление времени/часовой пояс/MAC для интерфейса требуется столько телодвижений, которые в других роутерах делаются на раз-два без мануалов?

    • Ну данные устройства позиционируются скорее для профессионалов, которым нужна тонкая настройка под множество разных задач, а так же понимание того как это все работает. Для рядовых пользователей и блондинок не вариант конечно :) Это все равно что использовать Linux в качестве основной оси на своем домашнем компьютере. За то в других роутерах нет такого богатого функционала, который предлагает RouterOS, а если и есть что-то подобное, то совсем за другие деньги.
      P.S. К тому же о надежности и бесперебойной работе этих устройств слагают легенды :)

  7. Спасибо за статью.
    Настроил VPN сеть (поднял сервер PPTP), подключение есть, сеть не видна. Одна подсеть 0, другая 1. Где копать дальше? Прокси, фаервол, проброс портов?
    Нужны-пи, кроме проброса портов, настройки для RDP?

    • Да верно, файрвол и проброс портов. PPTP не поднимал, но думаю настройки касаемо правил файрвола и ната аналогичны VPN Ipsec, а посему возможно поможет эта статья.

  8. Простите за некорректно заданный вопрос, и всё-же, как в МИКРОТИК скриптом отключить комп по сети

  9. Столкнулся с такой проблемой
    Один выход идет к соседу по кабелю и я поставил ему ограничения по ip адресу
    Все было хорошо пока он не поставил у себя роутер. После этого комп его контролирует скорость а устройства которые подключаються по wifi я не вижу и они начинают у меня забирать весь интернет
    Кто нибудь подскажите как можно это победить без доступа к соседскому роутеру.

    • Кто-нибудь помогите Владимиру, потому что я не фига не понял что у него там за схема мутная и насколько речь вообще идет о микротике :)

  10. День добрый… Думаю у Владимира ситуация такая: от его рутера идет кабель к соседу. Соседу дали 1 IP и остальные настройки… Сосед пользовался пользовался и ему кто-то нашептал, что можно поставить рутер с WiFi… Итого получилось что сосед полноценно пользуется всеми прелестями Интернета добродушного Владимира…

    Владимир: ограничивайте скорость соединения с привязкой на IP.. У ВАС же MikrotiK?!

  11. У меня такая проблема, есть коммутатор dlink des1210-28 и роутер mikrotik RB851G-2HnD
    Настроил интернет и wifi на роутере, подключил коммутатор а к коммутатор 10 компьютеров и транслятор камер
    Но в роутере я их не вижу
    И зайти на коммутатор тоже не могу, с чем это связано ? Подскажите как решить проблему, буду очень благодарен

    • Из ваших слов, сложно понять, в чем проблема. Неплохо бы знать какие ip-адреса и сети используете!? Что на LAN/WAN интерфейсе, что на коммутаторе если он управляемый, что на компьютерах, настроено. С компьютера на коммутатор заходите?

      • ip adress 192.168.88.1
        DHCP server range 192.168.88.10-192.168.88.254
        на компе никаких установок не делал
        дело в том, что когда я к микротику подключаю коммутатор, микротик не видит тех компов которые я подключил к коммутатору
        не понимаю в чем проблема может быть

        • Повторяю, коммутатор управляемый, у него есть ip-адрес, если да, он в той же сети что и микротик 192.168.88.0/24? Если с терминала на микротике (New Terminal) пинговать компы, тоже глухо?

          • Сложно сказать, надо смотреть. Скажу только что на микротике нет не каких особых настроек, особенно по дефолту которые бы как то ограничивали доступ к сетевым устройствам подключенным через коммутатор.

  12. здравствуйте, подскажите пожалуйста как в роутере микротик RB951 прописать статический адрес для каждого компьютера в локальной сети, спасибо.

    • Статический адрес прописывается на компьютерах в свойствах tcp/ip а не на микротике. На микротике можно поднять DHCP-сервер, который к слову по умолчанию работает и раздает динамические ip-адреса, которые можно зарезервировать за определенным mac-адресом сетевой карты компьютера/устройства. Но это не статика.

  13. Здравствуйте. Впервые настраиваю microtik и пока слаб во всей теории сетей. После настройки заметил одну серьёзную проблему. Speedtest показывает отличную download скорость, но нулевую upload. Не понимаю, в чём вообще может быть проблема? Подскажите куда копать :)

    • Здравствуйте, не уверен что проблема в микротике. Если вы работаете с дефолтной конфигурацией, то должно работать нормально. Думаю скорее это у вашего провайдера что-то. Сайты ведь в принципе открываются у вас? Попробуйте др. тесты посмотреть! На микротике зайдите в интерфейсы, выберете свой wan интерфейс, по умолчанию (ether1), затем на вкладку traffic и посмотрите, что у вас там реально приходит/уходит.

      • Тоже думал, что проблема не в микротике, если бы не одно «но». Если подключать кабель напрямую в компьютер без участия роутера, то со скоростью в обоих направлениях всё нормально, без всяких ограничений. А вот через роутер всё печально.
        Посмотрел я traffic, но ничего нового так и не узнал, там те же малые цифры, что и в speedtest показывает.
        Разве это может быть косяк провайдера, если провод напрямую в комп даёт полную скорость?

        • Дмитрий, ну тогда я бы проверил на другом роутере, желательно тоже Микротике. Скорость может быть полной, например во время скачивания/передачи, а вот счетчик к примеру, показывающий эту скорость может глючить!

          • У меня наоборот, перекос в другую сторону. Даунтлоад слабый, аплоад супер. А должно быть более менее ровно. Т.к. сразу же включаю после себя спидтест на телефоне жены у нее все ок, показатели более менее ровные. И у меня же, сильный перекос.

  14. Не вводится команда:
    /ip firewall nat add action=masquerade chain=srcnat out-interface=ether1 list=lan-access
    Буква l слова list подсвечивается красным. Опечатка или я что-то напортачил? Спасибо.

    • Нет, это моя кривая опечатка/копипаста. Данная строчка «list=lan-access» здесь, вообще лишняя. Спасибо заметили и отписались, поправил в статье.

  15. Приветствую! Спасибо за ваш труд. Разрешите вопрос? Как блокировать определенный ip в локалке? Скажем есть свитч в нулевой подсетке, его ip задан статикой. Шлюз ему дан микротика соответственно. Я хочу этот свитч обрубить временно, чтобы никакой внутренний трафик через него не смог пройти. Нужно это сделать именно средствами микротик. В файрволе чего только не перепробовал и друпил и реджектил, бесполезно. Трафик как шел так и идет..

    • Приветствую. Полностью обрубить свитч не получится. Свитч это как правило L2 устройство (канальный уровень), реже L3 (сетевой уровень) с ограниченным по сравнению с полноценным L3 маршрутизатором функционалом. Микротик, если речь идет о маршрутизаторе (к примеру RB951) это L3 устройство и вы при помощи протоколов более высокого уровня пытаетесь запретить что-то простому «тупому» коммутатору. Как вы собираетесь его идентифицировать, по его ip-адресу? Это адрес исключительно для диагностики\управления через web-интерфейс. Если железка умная то ограничивать трафик надо именно на ней, а не при помощи стороннего устройства. Что мешает запретить доступ к компам/сетке которая за этим свитчем?

Оставьте комментарий

Войти с помощью: 
Please enter your comment!
Please enter your name here