Базовая настройка MikroTik: пошаговая инструкция для RouterOS 7

Эта инструкция — базовая настройка MikroTik для небольшого офиса: роутер раздаёт интернет в локальную сеть, закрыт от входа снаружи и хранит резервную копию конфигурации. Команды даны для RouterOS 7. Их можно выполнять в терминале Winbox (кнопка New Terminal) или по SSH. То же самое делается мышью в Winbox: пути меню совпадают с командами, например /ip address — это IP → Addresses.

Схема в примерах: ether1 — подключение к провайдеру, ether2–ether5 — локальная сеть 192.168.10.0/24, адрес роутера 192.168.10.1. Подставьте свои интерфейсы и адреса. Настройка роутера MikroTik других серий отличается в основном названиями портов.

С чего начинается настройка MikroTik: сброс или заводская конфигурация

Модели серий hAP, hEX и похожие приходят с заводской конфигурацией: ether1 — WAN с DHCP-клиентом, остальные порты объединены в bridge с адресом 192.168.88.1, работают DHCP-сервер, NAT и разумный firewall. У старших моделей и коммутаторов такой конфигурации может не быть. Заводскую можно взять за основу и только поправить. Если роутер достался «с историей» или вы хотите понимать каждую строку, сбросьте его без конфигурации:

/system reset-configuration no-defaults=yes skip-backup=yes

После такого сброса у роутера нет IP-адресов. Подключайтесь в Winbox по MAC-адресу: на вкладке Neighbors устройство видно с любого порта, к которому подключён компьютер.

Обновление RouterOS и прошивки

Сначала обновите систему: в новых версиях закрыты известные уязвимости. Для обновления нужен интернет. При заводской конфигурации и DHCP у провайдера он, скорее всего, уже есть; если вы сбросили роутер начисто, вернитесь к этому шагу после раздела о подключении к провайдеру.

/system package update set channel=stable
/system package update check-for-updates
/system package update install

Роутер перезагрузится. Затем обновите загрузчик RouterBOOT до версии, соответствующей RouterOS, и перезагрузите роутер ещё раз:

/system routerboard print
/system routerboard upgrade
/system reboot

В выводе print сравните current-firmware и upgrade-firmware: если они совпадают, загрузчик обновлять не нужно.

Локальная сеть: bridge, IP-адрес и DHCP-сервер

Bridge и списки интерфейсов

Bridge объединяет LAN-порты в один сегмент, как обычный коммутатор. Списки интерфейсов WAN и LAN нужны для правил firewall: правила ссылаются на список, и при смене провайдера их не придётся переписывать.

/interface bridge add name=bridge
/interface bridge port add bridge=bridge interface=ether2
/interface bridge port add bridge=bridge interface=ether3
/interface bridge port add bridge=bridge interface=ether4
/interface bridge port add bridge=bridge interface=ether5
/interface list add name=WAN
/interface list add name=LAN
/interface list member add list=WAN interface=ether1
/interface list member add list=LAN interface=bridge

Если у роутера есть Wi-Fi, добавьте в bridge и беспроводной интерфейс — в зависимости от модели и драйвера он называется wlan1 или wifi1. В заводской конфигурации bridge и списки уже есть; проверьте их командами /interface bridge port print и /interface list member print.

IP-адрес, DHCP-сервер и DNS

/ip address add address=192.168.10.1/24 interface=bridge
/ip pool add name=lan-pool ranges=192.168.10.100-192.168.10.200
/ip dhcp-server add name=lan-dhcp interface=bridge address-pool=lan-pool lease-time=1d disabled=no
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
/ip dns set allow-remote-requests=yes

Почему не 192.168.0.x или 192.168.1.x: такие адреса стоят на домашних роутерах по умолчанию, и при подключении сотрудников по VPN сети совпадут. Если работаете с заводской конфигурацией и меняете адресацию, поправьте адрес на bridge, пул и запись в /ip dhcp-server network. Принтерам и серверам выдайте постоянные адреса вне пула — вручную или статической арендой в /ip dhcp-server lease.

Параметр allow-remote-requests делает роутер DNS-сервером для локальной сети. Снаружи DNS должен быть закрыт — это сделает firewall ниже.

Подключение к провайдеру и NAT

Адрес по DHCP

/ip dhcp-client add interface=ether1 disabled=no

По умолчанию клиент получает адрес, шлюз и DNS провайдера.

Статический адрес

/ip address add address=203.0.113.10/30 interface=ether1
/ip route add dst-address=0.0.0.0/0 gateway=203.0.113.9
/ip dns set servers=203.0.113.53,203.0.113.54

Адреса в примере условные — возьмите настоящие из договора с провайдером.

PPPoE

/interface pppoe-client add name=pppoe-out1 interface=ether1 user=LOGIN password=PASSWORD add-default-route=yes use-peer-dns=yes disabled=no
/interface list member add list=WAN interface=pppoe-out1

При PPPoE в интернет смотрит интерфейс pppoe-out1, поэтому его тоже добавляем в список WAN.

NAT

Маскарадинг подменяет внутренние адреса внешним адресом роутера — без него устройства локальной сети не выйдут в интернет:

/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade comment="NAT"

Проверьте связь с самого роутера: /ping 8.8.8.8 count=4 проверяет канал, /ping ya.ru count=4 — ещё и DNS. Затем убедитесь, что сайты открываются на компьютере в локальной сети.

Базовый firewall

Цепочка input защищает сам роутер, forward — трафик, который проходит через него. Логика простая: пропускаем ответы на уже установленные соединения, отбрасываем мусор, разрешаем нужное и запрещаем всё остальное. Правила проверяются сверху вниз, поэтому порядок важен.

/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="input: established, related"
add chain=input action=drop connection-state=invalid comment="input: drop invalid"
add chain=input action=accept protocol=icmp comment="input: ICMP"
add chain=input action=accept in-interface-list=LAN comment="input: from LAN"
add chain=input action=drop comment="input: drop all other"
add chain=forward action=fasttrack-connection connection-state=established,related comment="forward: fasttrack"
add chain=forward action=accept connection-state=established,related,untracked comment="forward: established, related"
add chain=forward action=drop connection-state=invalid comment="forward: drop invalid"
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="forward: drop new from WAN"

Последнее правило forward отбрасывает новые соединения из интернета, кроме тех, что вы сами пробросите через dst-nat. Fasttrack ускоряет обработку, но такие соединения обходят очереди и часть правил: если будете ограничивать скорость или настраивать IPsec, учтите это. В заводской конфигурации похожие правила с пометкой defconf уже есть — сравните их с этим списком, а не добавляйте второй набор.

Защита от подбора паролей

Лучшая защита от подбора — не открывать управление в интернет: правило «drop all other» уже закрывает Winbox, SSH и веб-интерфейс со стороны WAN. Для доступа снаружи используйте VPN. Если без прямого доступа никак, разрешите его только с известных адресов. Правило должно стоять выше «drop all other» — посмотрите его номер в выводе print и подставьте в place-before (в примере это 4):

/ip firewall address-list add list=mgmt-allowed address=198.51.100.25
/ip firewall filter print
/ip firewall filter add chain=input action=accept in-interface-list=WAN src-address-list=mgmt-allowed protocol=tcp dst-port=8291 place-before=4 comment="Winbox from trusted"

Для SSH, открытого всем, иногда используют приём со ступенчатыми списками адресов: после нескольких новых подключений за короткое время адрес попадает в чёрный список. Но белый список и VPN надёжнее и проще.

Доступ к роутеру: сервисы, пользователь, Winbox

Лишние сервисы

/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes
/ip service set api disabled=yes
/ip service set api-ssl disabled=yes
/ip service set winbox address=192.168.10.0/24
/ip service set ssh address=192.168.10.0/24

Оставляем Winbox и SSH и разрешаем их только из локальной сети — это второй рубеж после firewall. Если пользуетесь веб-интерфейсом, не отключайте www, а ограничьте его тем же параметром address. Когда появится VPN, добавьте в address и его подсеть. Если выше вы разрешили Winbox с доверенного внешнего адреса, добавьте его и сюда, например address=192.168.10.0/24,198.51.100.25/32, — иначе сервис не пустит подключение, даже если firewall его пропустил.

Доступ по MAC и обнаружение соседей

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN
/tool bandwidth-server set enabled=no

Так роутер принимает подключения по MAC-адресу и сообщает о себе только в локальной сети, а не в сети провайдера.

Отдельный пользователь вместо admin

/user add name=netadmin group=full password="CHANGE-ME-long-passphrase"

Зайдите в Winbox под новым пользователем, убедитесь, что всё доступно, и только потом отключите admin:

/user set admin disabled=yes

Имя admin перебирают первым. У многих новых устройств его пароль напечатан на наклейке, но отдельные учётные записи всё равно удобнее: у каждого администратора своя, и в журнале видно, кто что менял.

Время и резервная копия

NTP и часовой пояс

/system identity set name=office-gw
/system clock set time-zone-autodetect=no time-zone-name=Europe/Moscow
/system ntp client set enabled=yes
/system ntp client servers add address=pool.ntp.org

Точное время нужно для журналов, сертификатов и расписаний. Для Краснодарского края подходит пояс Europe/Moscow. Имя устройства (identity) помогает не перепутать роутеры в Winbox и журналах.

Export и backup

/export show-sensitive file=config-2026-10-15
/system backup save name=backup-2026-10-15 password="CHANGE-ME"

Это два разных файла. Export — текстовый список команд: его можно прочитать, сравнить с прошлой версией и применить на другом роутере после правки имён интерфейсов. Backup — двоичный снимок для восстановления на том же устройстве, целиком, с пользователями и паролями. Ключ show-sensitive включает в export пароли и ключи, поэтому храните такой файл так же бережно, как пароли.

Файлы появятся в разделе Files в Winbox. Скачайте их на компьютер или в хранилище: копия, которая лежит только на роутере, при его поломке бесполезна. Делайте новую копию перед каждым изменением.

Проверка после базовой настройки MikroTik

• компьютер в локальной сети получает адрес 192.168.10.x и открывает сайты;
• с внешнего адреса не открываются Winbox, SSH и веб-интерфейс — проверьте, например, с мобильного интернета;
• в /ip service включены только нужные сервисы с ограничением по адресу;
• admin отключён, у вас есть своя учётная запись;
• время на роутере правильное — /system clock print;
• файлы export и backup хранятся не только на роутере.

Следующий шаг обычно — VPN для филиалов и удалённых сотрудников: о выборе протокола и правилах доступа — в статье VPN для офиса. Если планируете Wi-Fi на нескольких точках, пригодится материал о бесшовном Wi-Fi.

Для компании базовая настройка — только начало: роутер нужно обновлять, смотреть журналы, менять правила под новые сервисы и держать свежую копию конфигурации. Если в штате нет своего администратора, удобнее поручить это специалистам: настроим и будем обслуживать сеть компании, перед каждым изменением сделаем копию и план отката, а схему сети и доступы передадим вам.