Настройка mikrotik cpe wifi

Обновлено: 06.07.2024

Подключаем роутер к сети, подаем питание и запускаем на компьютере winbox.

Переходим на вкладку Neighbors и ждем, когда утилита найдет наш роутер.

Либо подключаемся по 192.168.88.1 или по MAC.

При первом подключении выбрать - Remove Configuration

или System - Reset Configuration (No Default Configuration)

Первоначальная настройка Quick Set:

Quick Set — это мастер автоматической конфигурации, который помогает быстро, не погружаясь в глубины тонкой настройки RoS, настроить роутер и начать им пользоваться.

В зависимости от устройства, вам могут быть доступны несколько шаблонов:

1. CAP — Режим управляемой точки доступа, требует наличия настроенного CAPsMAN

2. CPE (Customer Premises Equipment) — режим WiFi клиента, когда интернет вам приходит по WiFi и раздается на LAN порт(ы).

3. Home AP (Home Access Point)- маршрутизатор/точка доступа офисной или домашней сети.

4. WiSP AP (Wireless Internet Service Provider Access Point)- отличается от режима Home AP поддержкой проприетарных протоколов WiFi TDMA - nv2 и nstream.

5. PTP Bridge (Point to point bridge)- режим беспроводного радиомоста между двумя сетями (PtP). Возможно подключение только одного клиента. Если маршрутизатор подключен со стороны провайдера, то он выступает в роли Server AP, если со стороны клиента, то в роли Client AP (CPE).

6. Basic AP — Почти пустая конфигурация, подходит для развертывания автономно управляемых точек доступа (без CAPsMAN)

Часть 1. Настройка локальной сети:

1. Включаем wlan1

2. Cоздаём новые списки интерфейсов

Interfaces - Interface List - Lists - add New Interface List - Name: LAN

Interfaces - Interface List - Lists - add New Interface List - Name: WAN

3. Создаём Bridge

/interface bridge add admin-mac=00:00:00:00:00:00 auto-mac=no name=bridge1

4. Добавляем интерфейсы в bridge1

Bridge - Ports - New Bridge Port - Interface: ether2, ether3. Bridge: bridge1

5. Назначаем сетевые настройки для bridge1

IP - Adresses - add New Address - Adresses: 192.168.6.1/24,

6. Создаём DHCP сервер

7. Настройка WiFi

Wireless - WiFi Interfaces - Wireless - SSID: name, Security Profiles: default

Wireless - Security Profiles - default - Mode: dynamic keys,

Authentification Types: WPA2 PSK, WPA2 Pre-Shared Key: password wifi

8. Отключение лишних сервисов

9. Смена пароля администратора, создание новой учётной записи

10. Присваиваем уникальное имя роутеру

Часть 2. Настройка интернета от провайдера:

11. Включаем NAT

12. Создаём подключение по правилам провайдера

Вариант 1. DHCP Client

Вариант 2. Статический IP

Нужно указать адрес на интерфейсе, указать DNS сервер и настроить маршрут по умолчанию.

Dst. Address: 0.0.0.0/0 (все существующие IP адреса, т.е. отправлять запросы на любые адреса)

Check Gateway: ping (способ проверки доступности шлюза)

Distance: 1 (приоритет маршрута, чем меньше цифра, тем выше приоритет)

Вариант 3. PPPoE Client

13. Проверка соединения

14. Настройка системного времени

System - Clock - устанавливаем вручную время, дату и часовой пояс

15. Удалённое подключение к роутеру по DDNS

Часть 3. Настройка Firewall:

16. IP - Firewall

add chain=input action=accept connection-state=established

add chain=forward action=accept connection-state=established

add chain=input action=accept connection-state=related

add chain=forward action=accept connection-state=related

add chain=input action=accept src-address=192.168.6.0/24 in-interface=!ether2

add chain=forward action=accept protocol=tcp in-interface=ether2 dst-port=45000

add chain=forward action=drop connection-state=invalid

add chain=forward action=accept in-interface=!ether2 out-interface=ether2

Создаём правила фильтрации трафика

/ip firewall filter add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!bridge1

add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked

add action=accept chain=input comment="Allow L2TP IPSEC ports" port=1701,500,4500 protocol=udp

add action=accept chain=input comment=WinBox dst-port=9045 protocol=tcp

add action=accept chain=input comment=www disabled=yes dst-port=6753 protocol=tcp

add action=accept chain=forward comment="Allow access inside LAN" in-interface=ether1 out-interface=bridge1 src-address=192.168.6.0/24

add action=drop chain=input comment="Drop all BOGON from Domolan" in-interface=Domolan src-address-list=BOGON

add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!bridge1

add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid

/ip firewall nat

add action=masquerade chain=srcnat out-interface=Domolan

add action=dst-nat chain=dstnat dst-address=188.126.47.102 dst-port=8554 protocol=tcp to-addresses=192.168.6.9 to-ports=554

В предыдущей статье мы рассмотрели базовую настройку точки доступа. Далее расскажем, как из нашего MikroTik сделать клиента WiFi а также покажем реализацию репитера (моста) в двух вариантах.

Существуют некоторые нюансы использования, рассмотрим их:

Режим station – не работает если у вас wlan1 находится в бридже с другими интерфейсами. Почему? Есть одно очень важное правило: нельзя бриджевать сеть за клиентом, это один из самых важных принципов 802.11.
Режим station bridge – работает только если у вас точкой доступа и клиентом выступают Mikrotik устройства. В данном случае у вас будет честный L2, т.к. полноценный линк по воздуху, аналогично если бы вы подключили устройства по ethernet. Данный режим хорош тем, что снимает ограничения с описанного выше правила.
Режим station pseudobridge – создает NAT на втором уровне, подставится mac точки. В этом режиме вы можете подключиться к AP не Mikrotik и добавить wlan в бридж, при этом у вас все будет работать. Но не удивляйтесь выданным адресам на вашем DHCP сервере, т.к. там будут разные IP адреса с одним mac.
Режим station pseudobridge clone – не работает. Ранее он занимался тем же самым что и просто pseudobridge, но только NAT был для адреса первого пройденного устройства.

Если вы хотите углубить свои знания по работе с роутерами MikroTik, то наша команда рекомендует пройти курсы которые сделаны на основе MikroTik Certified Network Associate и расширены автором на основе опыта . Подробно читайте ниже.

Основная идея состоит в том, чтобы использовать L3. Ведь подумайте, если вы добавляете все интерфейсы в бридж, то кадры приходящие и уходящие через wlan будут обрабатывать ЦП, а это не его задача. Его задача L3, делайте маршрутизируемую сеть.

Демонстрационный стенд представлен следующими устройствами:

AP на Android;
Mikrotik hap ac с RouterOS 6.46.6;
Ноутбук с карточкой 2.4 GHz.

Настройка WiFi клиента

Первым делом создадим bridge1 и добавим в него все интерфейсы кроме wlan1 и wlan2. Настроим DHCP 192.168.10.0/24 сервер на данном мосту. Включим DNS сервер и настроим NAT через wlan1.

Создадим профиль безопасности:

Зададим название профиля;
Укажем какие протоколы безопасности использовать;
Пароль для подключения.

Далее открываем вкладку wireless – connect list – добавить правило.

Данный лист содержит список настроек, который говорит к каким точкам и при каких условиях подключаться – если стоит галочка connect, или не подключаться – если не поставим данную галочку. Интерпретируем скриншот, подключайся к AP с названием MikrotikLab через wlan1 с паролем, указанным в следующем профиле безопасности по протоколу 802.11. Далее открываем список интерфейсов, нас интересует первый и переходим на вкладку general. Не забываем про Advanced Mode.

Выбираем следующие настройки:

Mode – station;
Band – 2GHz -G/N;
Frequency – 2412;
SSID – можно не трогать;
Wireless Protocol – 802.11;
Security Profile – ранее созданный;
Country – russia3.

Применяем, включаем и смотрим на статус соединения.

Включаем DHCP клиента.

Проверим получение адреса и маршруты.

Все отлично, можно проверять доступность интернет с ноутбука.

Маленькая хитрость. Если вы собираетесь поехать отдохнуть и не хотите платить за каждое устройство использующее wifi гостиницы, то включайте pseudobridge, добавляйте его в общий бридж и наслаждайтесь выходом в интернет через Mikrotik. Конечно же вы не будите подключать ноутбук и телефон по кабелю, мы для этого сделаем отдельную виртуальную AP и соединим ее в тот же бридж – по сути репитер. Не забудьте перевесить DHCP-Client, отключить DHCP-Server и отключить NAT.

Настройка Mikrotik WiFi Repeater

В стандартном пакете прошивки мы можем настроить повторитель. Его настройка достаточно проста. На вкладке wireless выбираем Setup Repeater.

Интерфейс, на котором слушать эфир;
Имя точки доступа (регистр имеет значение);
Пароль;
MAC адрес – опционально.

Жмем Start и смотрим что происходит.

Включился wlan1;
Создался виртуальный интерфейс;
Профиль безопасности;
Новый бридж.

Это все конечно замечательно. Но, а что, если мне нужно повторять сеть не с тем же названием, что обычно не удобно, а другую. Допустим ловим MikrotikLab, а раздаем MikrotikLab-Rep01. Если у нас несколько репитеров, то сразу можно понять, кто куда подключен. Отключаем режим для ленивых, вычищаем созданные конфиги и изменим Mode на wlan 1 в Pseudobridge, указав Security Profile и включив Connect List.

Включаем и создаем виртуальную AP. Пароль от сети можно не менять.

Создаем bridge, обязательно отключим на нем STP и добавим оба интерфейса в него.

Теперь мы можем подключаться к SSID MikrotikLab-Rep01. Теперь вы знаете как просто настроить клиента и репитер (мост) на роутерах Микротик.

89 вопросов по настройке MikroTik

Вы хорошо разбираетесь в Микротиках? Или впервые недавно столкнулись с этим оборудованием и не знаете, с какой стороны к нему подступиться? В обоих случаях вы найдете для себя полезную информацию в курсе «Настройка оборудования MikroTik». 162 видеоурока, большая лабораторная работа и 89 вопросов, на каждый из которых вы будете знать ответ. Подробности и доступ к началу курса бесплатно тут.

Настройка интернета на роутерах Mikotik для простого пользователя задача непростая. Роутер Mikrotik снабжен своей собственной OC с интерфейсом на базе Linux. Здесь нет простых настроек, которые все привыкли видеть в большинстве роутеров, предназначенных для дома или малого офиса. Но для быстрой и более удобной настройки подключения роутера к интернету можно воспользоваться функцией "QuickSet".

Освоить MikroTik Вы можете с помощью онлайн-куса « Настройка оборудования MikroTik ». Курс основан на официальной программе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Переходим на вкладку Neighbors, выбираем устройство и жмем Connect.

При первом входе в интерфейс роутера появится предложение установить конфигурацию по умолчанию либо удалить ее. Рекомендую воспользоваться удалением базовыхнастроек и настроить все с нуля.

Если диалогового окна для сброса настроек при входе нет, то настройки можно сбросить здесь "System\Reset Configuration". Обязательно ставим галочку на пункте "No Default Configuration", чтобы после сброса не применялась настройка по умолчанию.

Быстрая настройка интернета с помощью QuickSet.

В мастере быстрой настройки "Quick Set" предусмотрено несколько режимов работы роутера:

CAP: Контролируемая точка доступа, которая управляется CAPsMAN сервером
CPE: Режим клиента, который подключается к точке доступа AP.
Home AP: Домашняя точка доступа. Этот режим подходит для упрощенной настройки доступа к интернету.
PTP Bridge AP: Создает точку доступа для подключения к ней удаленного клиента
PTP Bridge CPE и создания единой сети.
PTP Bridge CPE: Клиент для подключения к удаленной точки доступа PTP Bridge AP.
WISP AP: Режим похожий на Home AP, но предоставляет более продвинутые возможности.

Выбираем режим Home AP и приступаем к настройке роутера в качестве обычной точки доступа к интернету, которую можно использовать для небольшого офиса и дома.

Настраиваем WiFi.

Network Name: Название сети. Это название будут видеть тот кто подключается к вашей сети по WiFi.

Frequency: в обычной ситуации лучше оставить значение Auto. роутер сам подберет оптимальную частоту работы.

Band: Диапазон частот для домашнего роутера 2GHz-only-N. Если в сети есть старые устройства, работающие по протоколам 802.11b или 802.11g, тогда нужно будет выбрать режим 2GHz-B/G/N, но будет потеря в скорости соединения.

Use Access List (ACL): Используется для того чтобы ограничить доступ по WiFi. Прежде чем включать эту опцию необходимо создать список клиентов, которым разрешен доступ. Выбираем из списка подключенных клиентов и нажимаем кнопу Copy To ACL.

В обычной ситуации этой функцией лучше не пользоваться т.к. аутентификация по паролю обеспечивает достаточные ограничения.

WiFi Password: укажите здесь пароль для подключения к роутеру по WiFi.

WPS Accept: эта кнопка используется для упрощенного подключения устройств, которые поддерживают режим WPS. Такими устройствами могут быть принтеры или видеокамеры, на которых затруднен ввод пароля вручную. В первую очередь включить WPS нужно на подключаемом устройстве, а затем нажать кнопку роутера "WPS Accept".

Guest Network: эта функция позволяет создать отдельную гостевую сеть WiFi. Те, кто подключаются через гостевой WiFi, не будут иметь доступа к вашему роутеру, локальной сети и устройствам, находящимся в ней. Используйте гостевую сеть для повышения сетевой безопасности.

Задайте пароль в поле "Guest WiFi Password" и ограничение скорости на скачивание "Limit Download Speed"

Wireless Clients: здесь можно увидеть подключенные
в данный момент по WiFi устройства. В таблице показан MAC-адрес, IP-адрес, продолжительность подключения, качество сигнала и ACL (список разрешенных устройств)

Настраиваем интернет.

Здесь мы указываем те параметры подключения, которые нам передал провайдер интернета.

Port: Указываем физический порт, к которому подключен кабель провайдера

Adress Acquisition: указывем способ получения IP адреса. В моем случае адрес статический. При PPPoE подключении указываем логин, пароль и адрес pppoe-сервера.

MAC Address: физический адрес устройства, который будет видеть провайдер. Имеет смысл менять если вы Mikrotik ставите вместо другого роутера, а у провайдера на маршрутизаторе установлена привязка по mac-адресу.

MAC server / MAC Winbox: позволяет подключаться к роутеру используя его mac-адрес. Может пригодится при отладке или восстановлении, когда роутер недоступен по ip-адресу.

Discovery: позволяет распознавать роутер другими роутерами Mikrotik.

Настройка локальной сети.

IP Address: указываем ip-адрес устройства в нашей локальной сети.

Netmask: маску оставляем наиболее распространенную для большинства случаев 255.255.255.0.

Bridge All LAN Ports: объединяем все порты роутера в общий коммутационный узел, позволяя всем подключенным устройствам находится в одной сети и обнаруживать друг друга.

DHCP Server: включаем сервер автоматической раздачи ip-адресов устройствам, подключенным к роутеру.

NAT: должен быть включен для трансляции ip-адресов из локальных в публичные, иначе устройства локальной сети не получат возможность выйти в интернет.

UPnP: эту опцию лучше не активировать, если нет необходимости т.к. она позволяет выполнять автоматический проброс стандартных локальных портов в интернет. Порты лучше пробрасывать вручную, чтобы злоумышленники не знали их адреса.

Настройку VPN рассматривать в рамках данной статьи не будем. Отмечу лишь, что она так же доступна в QuickSet и может пригодится тем, кто использует VPN-туннели для объединения нескольких локальных сетей или устройств в одну частную сеть через интернет.

Настройка интернета вручную.

Настройка провайдера интернета на роутере Mikrotik вручную предполагает наличие у вас необходимых знаний в области сетевых технологий и более детального знания интерфейса Router OS и его консоли.

Сбрасываем настройки роутера в System > Reset Configuration .

Переименуем порт в списке интерфейсов "ether1-WAN", чтобы сразу было понятно к какому порту подключен провайдер.

Вариант для любителей консоли:

Меняем MAC-адрес если до Mikrotik работал другой роутер, а провайдер интернета сделал привязку на своем маршрутизаторе к mac-адресу. Вместо нулей пишите mac своего старого роутера.

Настройка WiFi.

Открываем в меню пункт Wireless, выбираем WiFi интерфейс и включаем, нажав галочку, если он неактивен.

Заходим в настройки интерфейса двойным кликом и выбираем вкладку Security Profiles. Создаем свой профиль или редактируем существующий.

Authentication Types: способ идентификации выбираем WPA2 PSK - он более надежен чем WPA, EAP - использует проверку подлинности внешнем сервером, актуален для корпоративных сетей;
Unicast Ciphers и Group Ciphers: тип шифрования включаем aes com - это более современный и быстрый тип шифрования, tkip стоит включать если на каком-то устройстве, вероятно устаревшем, возникают проблемы с подключением;
WPA2 Pre-Shared Key: задаем пароль для подключения к точке доступа WiFi.

Переходим на вкладку WiFi interfaces. В настройках беспроводного интерфейса, во вкладке Wireless прописываем следующие настройки для WiFi:

Mode: ap bridge, включаем режим точки доступа;
Band: 2GHz-only-N, этот способ вещания лучше всего подходит для большинства современных беспроводных устройств;
Frequency: Auto, режим автоматического выбора частоты вещания;
SSID: Вводим название беспроводной сети;
Wireless Protocol: 802.11;
Security Profile: default, выбираем тот который настроили ранее.

Настройка локальной сети.

Первый порт подключен к провайдеру. Оставшиеся порты будут использоваться для подключения устройств локальной сети. Для того чтобы порты находились в одной физической сети и могли коммутировать подключения их необходимо объединить в мост.

Создаем мост.

Для создания моста переходим в Bridge. Нажимаем плюсик и вписываем название моста, например "bridge-local".

Добавляем в мост порты. Открываем вкладку Ports. Жмем плюс и один за другим добавляем все порты, кроме того к которому подключен интернет, в мост bridge-local.

/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=wlan1

Присваиваем мосту IP-адрес. Пункт меню IP > Adresses.

Теперь у нас все порты, включая WiFi, закоммутированны и могут пересылать пакеты между собой. Остается настроить шлюз выхода в интернет.

Включаем сервер DHCP.

Определяем пул ip-адресов, которые будет раздавать DHCP server устройствам локальной сети. Выбираем в меню пункт IP/Pool. Через плюсик добавляем новый пул, вводим название и диапазон адресов.

Переходим к включению DHCP сервера IP > DHCP Server. Создаем новый DHCP сервер, указываем имя, интерфейс и пул адресов.

Во вкладке Networks указываем настройки, которые сервер будет передавать своим клиентам: адрес сети, маску сети, шлюз и DNS серверы. Маску лучше указывать сразу после адреса, через слеш.

После того как мы подготовили локальную сеть, можно перейти к настройке шлюза для выхода в интернет.

Настройка интернета.

Настройка подключения к интернету зависит от способа, предоставленного вам провайдером. Наиболее распространенный способ без использования статического ip адреса - подключение по технологии PPPoE. Так же рассмотрим часто используемые варианты с выделенным IP и динамическим получением IP-адреса от DHCP провайдера.

Подключение к провайдеру по PPPoE.

Открываем PPP и создаем новое соединение PPPoE Client. Интерфейс выбираем тот куда подключен провод провайдера.

На вкладке Dial Out вписываем имя и пароль для подключения. Отмечаем галочкой пункт Use Peer DNS, который обозначает что адреса DNS серверов будем получать от провайдера. Add Default Route добавляет маршрут, используемый по умолчанию, в таблицу маршрутизации.

Подключение к провайдеру по технологии PPTP или L2TP происходит способом аналогичным PPPoE. Разница лишь в том, что при добавлении PPTP Client или L2TP Client во вкладке Dial Out необходимо указать, помимо логина и пароля, адрес сервера.

Подключение по статическому IP.

Для образца возьмем такие параметры подключения, полученные от провайдера:
Адрес: 10.20.30.41
Маска: 255.255.255.248
Шлюз: 10.20.30.42
Для DNS используем серверы Google: 8.8.8.8, 8.8.4.4

Настраиваем IP-конфигурацию интерфейса, к которому подключен провод провайдера: IP > Adresses.

Добавляем маршрут для пакетов, направленных в интернет: IP > Routes. Адрес назначения для пакетов интернета Dst. Address: 0.0.0.0/0, шлюз Gateway: 10.20.30.42. Включаем проверку доступности шлюза Check Gateway: ping.

Добавляем адреса DNS-серверов. IP > DNS.

Настройка подключения по DHCP.

Этот вариант самый простой по настройке. Переходим IP > DHCP Client. Указываем интерфейс, подключенный к провайдеру. Остальные настройки оставляем как есть.

Отмеченные галочками Use Peer DNS и Use Peer NTP означают полчения от провайдера адресов DNS сервера и сервера синхронизации времени NTP. Add Default Roue добавляет маршрут, используемый по умолчанию, в таблицу маршрутизации.

После настройки подключения к провайдеру необходимо выполнить настройку NAT. NAT выполняет трансляцию локальных ip-адресов в публичный адрес, предоставленный провайдером. Если этого не сделать, то трафик в интернет уходить не будет.

Настройка NAT.

Добавляем в NAT правило трансляции локальных адресов.

IP > Firewall > Nat. Добавляем новое правило. Указываем, что трафик исходящий Chain: srcnat. Выбираем интерфейс исходящего трафика Out. Interface: Ether1-WAN или pppoe-out1, в зависимости от настройки подключения к провайдеру.

Далее переключаемся на вкладку Action и выбираем masquerade.

Теперь во всем трафике, идущем в интернет, локальные адреса преобразуются в публичный адрес провайдера и сервера-адресаты знают куда отвечать. А это значит, что интернет должен работать.

Остается один не менее важный вопрос - это безопасность вашего роутера. Для предотвращения взлома вашего роутера необходимо настроить Firewall. О том, как это сделать, читайте здесь.

Quick Set — это мастер автоматической конфигурации, который помогает быстро, не погружаясь в глубины тонкой настройки RoS, настроить роутер и начать им пользоваться. В зависимости от устройства, вам могут быть доступны несколько шаблонов:

CAP — Режим управляемой точки доступа, требует наличия настроенного CAPsMAN
CPE — Режим WiFi клиента, когда интернет вам приходит по WiFi
HomeAP [dual] — Режим домашней точки доступа, тут количество настроек уменьшено, а их названия приближены к сленгу «домашних пользователей»

Безопасность

Конфигурация по умолчанию уже не дает подключаться к роутеру из внешней сети, но основывается защита только на пакетном фильтре. Не забываем, про установку пароля на пользователя admin. Поэтому, в дополнение к фильтрации и паролю, я делаю следующие:

Доступность на внешних интерфейсах

Отключаю не нужные в домашней сети (и не во всех не домашних сетях) сервисы, а оставшиеся ограничиваю областью действия, указывая адреса, с которых можно к этим сервисам подключится.

Следующим шагом, будет ограничение на обнаружение роутера с помощью поиска соседей. Для этого, у вас должен быть список интерфейсов, где данный протокол может работать, настроим его:

Добавим в список discovery интерфейсы, на которых мы хотим, чтобы протокол Neighbors Discovey работал.

Теперь настроим работу протокола, указав список discovery в его настройках:

В простой, домашней конфигурации, в списке discovery могут быть интерфейсы, на которых может работать протокол доступа по MAC адресу, для ситуаций, когда IP не доступен, поэтому настроим и эту функцию:

Теперь, роутер станет «невидимым» на внешних интерфейсах, что скроет информацию о нем (не всю конечно), от потенциальных сканеров, и даже, лишит плохих парней легкой возможности получить управление над роутером.

Защита от DDoS

Теперь, добавим немного простых правил в пакетный фильтр:

И поместим их после правила defcon для протокола icmp.

Результатом будет бан на сутки для тех, кто пытается открыть более 15 новых соединений в секунду. Много или мало 15 соединений, вопрос спорный, тут уже сами подбирайте число, я выбрал 50 для корпоративного применения, и таких банит у меня 1-2 в сутки. Вторая группа правил гораздо жестче, блокирует попытки соединений на порт ssh(22) и winbox(8291), 3-и попытки за минуту, и отдыхай сутки ;). Если вам необходимо выставить DNS сервер в интернет, то подобным правилом можно отсекать попытки DNS Amplification Attacks, но решение не идеальное, и ложно-положительных срабатываний бывает много.

RFC 1918

RFC 1918 описывает выделение адресных пространств для глобально не маршрутизируемых сетей. Поэтому, имеет смысл блокировать трафик от\к таким сетям, на интерфейсе, который смотрит к провайдеру, за исключением ситуаций, когда провайдер выдает вам «серый» адрес.

Поместите эти правила ближе к началу и не забудьте, добавить в список WAN интерфейс, смотрящий в сторону провайдера.

А вот набор маршутов в «черную дыру»

Этот набор маршрутов направит весь трафик до сетей RFC 1918 в «черную дыру», однако, если будут маршруты с меньшей метрикой, то такой трафик пойдет через эти маршруты. Полезно для гарантии того, что приватный трафик не просочится во внешнюю сеть.
За совет благодарим achekalin

Довольно спорная технология, которая позволяет приложениям попросить роутер пробросить порты через NAT, однако, протокол работает без всякой авторизации и контроля, этого просто нет в стандарте, и часто является точкой снижающей безопасность. Настраивайте на свое усмотрение:

SIP Conntrack

Кроме всего прочего, стоит отключить модуль conntrack SIP, который может вызывать неадекватную работу VoIP, большинство современных SIP клиентов и серверов отлично обходятся без его помощи, а SIP TLS делает его окончательно бесполезным.

IPv6 туннели

Если вы не используете IPv6 или не хотите что-бы рабочие машины с Windows поднимали IPv6 туннели без спроса, тогда заблокируйте следующий трафик:

За совет опять благодарим achekalin

Динамические и вложенные списки интерфейсов

Эта функция появилась совсем недавно (с версии 6.41), и она очень удобная. Однако, есть особенность: глубина вложенности. Невозможно вложить вложенный список во вложенный список. Если вы так сделаете (фича такая) вам не сообщат о проблеме, просто такой список работать по факту не будет.

В городской среде, когда эфир крайне зашумлен, имеет смысл отказаться от каналов в 40MGhz, это увеличивает удельную мощность сигнала на канале, так как 40MGHz канал по сути, это два канала по 20MGHz.

Bridge & ARP

Если у вас роутер раздает интернет и дает клиентам настройки по DHCP, имеет смысл установить настройку arp=reply-only, а в DHCP Server включить add-arp=yes

Такая настройка помешает выставить IP адрес вручную, так как роутер согласится работать только с той парой MAC-IP, которую выдавал сам.

Читайте также: