Routery Mikrotik stanowi\u0105 ciekaw\u0105 alternatyw\u0119 dla rozwi\u0105za\u0144 Cisco, za u\u0142amek ich ceny. Mo\u017cliwo\u015bci konfiguracyjne s\u0105 ogromne, routery te pracuj\u0105 na specjalnie przygotowanym do tego celu systemie operacyjnym RouterOS, pochodnym Linuksa. Konfiguracj\u0119 mo\u017cna przeprowadzi\u0107 na kilka sposob\u00f3w: poprzez interfejs web, za pomoc\u0105 specjalnie przygotowanego programu Winbox oraz za pomoc\u0105 konsoli np. poprzez ssh lub telnet. Najbardziej uniwersalnym i pewnym rozwi\u0105zaniem jest Winbox, daj\u0105cy dost\u0119p do routera bez skonfigurowanych adres\u00f3w IP. W Winbox mo\u017cna pracowa\u0107 w interfejsie graficznym jak i w konsoli. Interfejs graficzny jest wygodny, ale warto po\u015bwi\u0119ci\u0107 kilka chwil na zapoznanie si\u0119 ze sk\u0142adni\u0105 polece\u0144 w trybie konsoli. Konfiguracja jest szybsza, prostsza, mo\u017cna przygotowa\u0107 sobie w pliku tekstowym zestaw komend do masowego wdra\u017cania na innych routerach.<\/p>\n
Artyku\u0142 jest do\u015b\u0107 d\u0142ugi, wi\u0119c zosta\u0142 podzielony na nast\u0119puj\u0105ce cz\u0119\u015bci:<\/p>\n
\u2308admin@MikroTik\u2309 >?
\nlub 2x TAB
\nmo\u017cna u\u017cywa\u0107 w ka\u017cdym poziomie komend np: ip address ? \u2308Enter\u2309<\/p>\n
Podpowiedzi\/uzupe\u0142nienia wpisywanych komend – TAB<\/p>\n
\u2308admin@MikroTik\u2309 > ip \u2308Enter\u2309
\n\u2308admin@MikroTik\u2309 ip > address \u2308Enter\u2309
\n\u2308admin@MikroTik\u2309 ip address > To jest teraz nasz bie\u017c\u0105cy poziom
\n\u2308admin@MikroTik\u2309 ip address > .. \u2308Enter\u2309
\n\u2308admin@MikroTik\u2309 ip > .. \u2308Enter\u2309
\n\u2308admin@MikroTik\u2309 > najwy\u017cszy poziom – root level
\n\u2308admin@MikroTik\u2309 ip address > \/ \u2308Enter\u2309
\n\u2308admin@MikroTik\u2309 > najwy\u017cszy poziom – root level<\/p>\n
Wy\u015bwietlenie bie\u017c\u0105cej konfiguracji interfejs\u00f3w:<\/strong> Wy\u015bwietlenie aktualnie zdefiniowanych adres\u00f3w IP:<\/strong> Wy\u015bwietlenie tablicy routingu:<\/strong> Wy\u015bwietlenie ustawionych serwer\u00f3w DNS:<\/strong> \u2308admin@MikroTik\u2309 >user set admin password=twoje-haslo<\/p>\n \u2308admin@MikroTik\u2309 >system reset-configuration no-defaults=yes<\/p>\n \u2308admin@MikroTik\u2309 >system identity set name=Router<\/p>\n Konfiguracja zegara systemowego routera:<\/strong> Dodanie adresu IP interfejsu:<\/strong> Zmiana adresu interfejsu (wcze\u015bniej print i wtedy wiadomo jaki numer ma interfejs (1)):<\/strong> Usuni\u0119cie adresu interfejsu (numer z print):<\/strong> Zmiana adresu MAC interfesju:<\/strong> Wy\u0142\u0105czenie interfejsu:<\/strong> W\u0142\u0105czenie interfejsu:<\/strong> Nadawanie nazwy interfejs\u00f3w:<\/strong> Tworzenie mostka:<\/strong> Dodanie interfejs\u00f3w do mostka:<\/strong> Przypisanie adresu IP mostkowi:<\/strong> Konfiguracja, blokowanie port\u00f3w lub ca\u0142ego switch’a (3 – to numer portu):<\/strong><\/p>\n \u2308admin@MikroTik\u2309 >interface ethernet switch port print<\/p>\n \u2308admin@MikroTik\u2309 >interface ethernet switch port set vlan-mode=disabled 3<\/p>\n \u2308admin@MikroTik\u2309 >interface wireless set 0 band=2ghz-b\/g\/n channel-width=20\/40mhz-ht-above disabled=no distance=indoors ht-rxchains=0,1 ht-txchains=0,1 l2mtu=2290 mode=ap-bridge ssid=siec_wifi wireless-protocol=any<\/p>\n \u2308admin@MikroTik\u2309 >interface wireless security-profiles set default authentication-types=wpa-psk,wpa2-psk eap-methods=passthrough mode=dynamic-keys supplicant-identity=MikroTik wpa-pre-shared-key=”moje_tajne_has\u0142o” wpa2-pre-shared-key=”moje_tajne_has\u0142o”<\/p>\n Tworzenie puli adres\u00f3w dla DHCP:<\/strong> Konfiguracja serwera DHCP:<\/strong> Uruchomienie klienta DHCP na porcie WAN:<\/strong> Dodanie VLAN na okre\u015blonym porcie:<\/strong> Przypisanie VLAN 10 do mostka:<\/strong> Przypisanie adresu VLAN 20:<\/strong> Dodanie trasy domy\u015blnej 0.0.0.0 (lub innego wpisu sieci)<\/strong> Usuni\u0119cie konkretnej trasy z tablicy routingu (numer z print)<\/strong> Krok 1<\/span> – dodanie i odblokowanie instancji (najlepiej nazwa default, w obu routerach tak samo):<\/strong><\/p>\n \u2308admin@MikroTik\u2309 >routing ospf instance add name=default<\/p>\n Dodanie wirtualnego interfejsu (bridge np. loopback) i nadanie go jako router-id:<\/strong><\/p>\n \u2308admin@MikroTik\u2309 > interface bridge add name=loopback<\/p>\n \u2308admin@MikroTik\u2309 > ip address add address=10.255.255.1\/32 interface=loopback<\/p>\n \u2308admin@MikroTik\u2309 > routing ospf instance set 0 router-id=10.255.255.1<\/p>\n Dodanie fizycznych interfejs\u00f3w do OSPF (ze zmian\u0105 kosztu):<\/strong><\/p>\n \u2308admin@MikroTik\u2309 > routing ospf interface add interface=ether1 cost=10<\/span><\/p>\n \u2308admin@MikroTik\u2309 > routing ospf interface add interface=ether2 cost=20 <\/span><\/p>\n Krok 2<\/span> – Konfiguracja strefy OSPF (w obu routerach b\u0119dzie ta sama np. backbone – domy\u015blna):<\/strong> \u2308admin@MikroTik\u2309 \/routing ospf network> add network=210.13.1.0\/28 area=backbone<\/p>\n \u2308admin@MikroTik\u2309 \/routing ospf network> add network=10.10.1.0\/30 area=backbone<\/p>\n \u2308admin@MikroTik\u2309 \/routing ospf network> add network=10.10.1.4\/30 area=backbone<\/p>\n Weryfikacja OSPF<\/strong><\/span> \u2308admin@MikroTik\u2309 >routing ospf instance print<\/p>\n Wy\u015bwietlenie informacji o rozpoznanych s\u0105siednich routerach:<\/strong><\/p>\n \u2308admin@MikroTikR1\u2309 >routing ospf neighbor print<\/p>\n Sprawdzenie aktualnej tablicy routingu:<\/strong><\/p>\n \u2308admin@MikroTik_CE1\u2309 > ip route print<\/p>\n Uwaga! Routing dynamiczny wymaga czasu na rozprzestrzenienie si\u0119 informacji o sieci! Odczekaj minut\u0119 od zmian do test\u00f3w!<\/p>\n Uaktywnienie protoko\u0142u na danym interfejsie:<\/strong><\/p>\n \u2308MikroTik\u2309 routing rip> set redistribute-connected=yes<\/p>\n \u2308MikroTik\u2309 routing rip interface> enable ether1<\/p>\n \u2308MikroTik\u2309 routing rip interface> print<\/p>\n Dodawanie s\u0105siad\u00f3w:<\/strong><\/p>\n \u2308MikroTik\u2309 routing rip neighbour> add address=10.0.0.1<\/p>\n \u2308MikroTik\u2309 routing rip neighbour> print<\/p>\n Dodawanie sieci:<\/strong><\/p>\n \u2308admin@MikroTik\u2309 \/routing rip network> add network=192.168.20.0\/24<\/p>\n Dodanie SNAT czyli maskarada:<\/strong> Konfiguracja DNS:<\/strong> Blokowanie stron po adresie IP:<\/strong> Blokowanie stron w warstwie 7:<\/strong><\/p>\n Przyk\u0142adowa konfiguracja dla youtube:<\/span> regaxp dla facebook i youtube: <\/strong>^.+(youtube.com|facebook.com).*$<\/p>\n Uaktywnienie powy\u017cszej regu\u0142ki w firewall: w akcji dajemy drop<\/strong> lub reject<\/strong> (drop zadzia\u0142a zawsze, ale jest za wolne i cz\u0119\u015b\u0107 ruchu przejdzie)<\/p>\n Aktywacja blokady w okre\u015blonych godzinach (zadzia\u0142a tak\u017ce w innych wpisach w firewall):<\/strong> \/ip firewall filter add action=reject chain=forward layer7-protocol=youtube time=5h-23h59m59s,sun,mon,tue,wed,thu,fri,sat<\/p>\n Blokowanie konkretnych port\u00f3w lub ich zakresu:<\/strong><\/p>\n \/ip firewall filter Przekierowanie dowolnego portu na okre\u015blony adres wewn\u0119trzny:<\/strong><\/p>\n \/ip firewall dst-nat add src-address=0.0.0.0 dst-port=4662 protocol=tcp action=nat to-dst-address=x.x.x.x to-dst-port=4662 Nadanie adresowi y.y.y.y z sieci lokalnej zewn\u0119trznego adresu IP. x.x.x.x to jest adres z dost\u0119pnej puli adres\u00f3w zewn\u0119trznych:<\/strong><\/p>\n \/ip address add address=x.x.x.x\/24 interface=ether1 Blokowanie p2p na danym adresie:<\/strong><\/p>\n \/ip firewall rule forward add src-address=x.x.x.x p2p=all-p2p action=drop<\/p>\n Konfiguracja Proxy:<\/strong> \/ip firewall nat Blokowanie stron web:<\/strong> Zablokuje to stron\u0119 http:\/\/www.facebook.com. Mo\u017cemy blokowa\u0107 tylko dla okre\u015blonego \u017ar\u00f3d\u0142a src-address. B\u0119dzie blokowany tylko konkretny \u017ar\u00f3d\u0142owy adres IP lub sie\u0107.<\/p>\n Zatrzymanie \u015bci\u0105ganie plik\u00f3w takich jak .mp3, .exe, .zip, .rar,\u2026itp.:<\/strong> Routery Mikrotik stanowi\u0105 ciekaw\u0105 alternatyw\u0119 dla rozwi\u0105za\u0144 Cisco, za u\u0142amek ich ceny. Mo\u017cliwo\u015bci konfiguracyjne s\u0105 ogromne, routery te pracuj\u0105 na specjalnie przygotowanym do tego celu systemie operacyjnym RouterOS, pochodnym Linuksa. Konfiguracj\u0119 mo\u017cna przeprowadzi\u0107 na kilka sposob\u00f3w: poprzez interfejs web, za pomoc\u0105 specjalnie przygotowanego programu Winbox oraz za pomoc\u0105 konsoli np. poprzez ssh lub telnet. Najbardziej…<\/p>\n","protected":false},"author":1,"featured_media":449,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[4,160,159,161],"tags":[80,78,79,75,76,77],"_links":{"self":[{"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts\/448"}],"collection":[{"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=448"}],"version-history":[{"count":10,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts\/448\/revisions"}],"predecessor-version":[{"id":504,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/posts\/448\/revisions\/504"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=\/wp\/v2\/media\/449"}],"wp:attachment":[{"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=448"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=448"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/kapica.it\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=448"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n\u2308admin@MikroTik\u2309 >interface ethernet print<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip address print<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip route print<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip dns print<\/p>\nZmiana has\u0142a admina<\/span><\/h3>\n
Ca\u0142kowity reset ustawie\u0144 (usuwa adresy IP interfejs\u00f3w! dost\u0119p tylko przez MAC!)<\/span><\/h3>\n
Zmiana nazwy routera<\/span><\/h3>\n
Zegar systemowy<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >system clock set time-zone-name=Europe\/Warsaw
\n\u2308admin@MikroTik\u2309 >system ntp client set enabled=yes mode=unicast primary-ntp=212.244.36.227 secondary-ntp=212.244.36.228<\/p>\nDodawanie, edycja i usuwanie adres\u00f3w IP, interfejsy<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >ip address add interface=ether1 address=10.130.0.124 netmask=255.255.0.0 network=10.130.0.0 broadcast=10.130.255.255
\nlub kr\u00f3cej:
\n\u2308admin@MikroTik\u2309 >ip address add interface=ether1 address=10.130.0.124\/16<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip address print
\n\u2308admin@MikroTik\u2309 >ip address set 1 address=192.168.1.20\/24<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip address remove 1<\/p>\n
\n\u2308admin@MikroTik\u2309 >interface ethernet set ether1 mac-address=xx.xx.xx.xx.xx<\/p>\n
\n\u2308admin@MikroTik\u2309 >interface disable ether5<\/p>\n
\n\u2308admin@MikroTik\u2309 >interface enable ether1<\/p>\n
\n\u2308admin@MikroTik\u2309 >interface ethernet set 0 name=WAN
\n\u2308admin@MikroTik\u2309 >interface ethernet set 1 name=eth2
\n\u2308admin@MikroTik\u2309 >interface ethernet set 2 name=eth3
\n\u2308admin@MikroTik\u2309 >interface ethernet set 3 name=eth4
\n\u2308admin@MikroTik\u2309 >interface ethernet set 4 name=eth5
\n\u2308admin@MikroTik\u2309 >interface wireless set 0 name=wlan1<\/p>\nMostki<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >interface bridge add auto-mac=no l2mtu=1594 name=bridge-local protocol-mode=rstp<\/p>\n
\n\u2308admin@MikroTik\u2309 >interface bridge port add bridge=bridge-local interface=wlan1
\n\u2308admin@MikroTik\u2309 >interface bridge port add bridge=bridge-local interface=eth3
\n\u2308admin@MikroTik\u2309 >interface bridge port add bridge=bridge-local interface=eth4<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip address add address=192.168.2.1\/24 comment=”” interface=bridge-local<\/p>\nWbudowany switch<\/span><\/h3>\n
Konfiguracja WIFI<\/span><\/h3>\n
DHCP serwer<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >ip pool add name=default-dhcp ranges=192.168.2.101-192.168.2.130<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip dhcp-server add address-pool=default-dhcp disabled=no interface=bridge-local name=default
\n\u2308admin@MikroTik\u2309 >ip dhcp-server network add address=192.168.2.0\/24 comment=”” dns-server=192.168.2.1 gateway=192.168.2.1<\/p>\nDHCP klient<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >ip dhcp-client add comment=”” disabled=no interface=WAN<\/p>\nVLAN<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >interface vlan add interface=eth2 l2mtu=1594 name=”VLAN 10″ vlan-id=10
\n\u2308admin@MikroTik\u2309 >interface vlan add interface=eth2 l2mtu=1594 name=”VLAN 20″ vlan-id=20<\/p>\n
\n\u2308admin@MikroTik\u2309 >interface bridge port add bridge=bridge-local interface=”VLAN 10″<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip address\u00a0 add address=10.0.2.1\/24 interface=”VLAN 20″<\/p>\nRouting statyczny<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >ip route add dst-address=0.0.0.0\/0 gateway=10.0.0.1<\/p>\n
\n\u2308admin@MikroTik\u2309 >ip route remove
\nnumbers: 0<\/p>\nRouting dynamiczny – OSPF<\/span><\/h3>\n
\nstrefa backbone jest stworzona automatycznie i nie trzeba jej dodawa\u0107 ponownie
\n<\/strong>
\nKrok 3<\/span> – Dodanie do OSPF sieci, kt\u00f3re router ma obs\u0142ugiwa\u0107:<\/strong><\/p>\n
\nWy\u015bwietlenie informacji o instancjach:<\/strong><\/p>\nRouting dynamiczny RIP<\/span><\/h3>\n
NAT<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >ip firewall nat add action=masquerade chain=srcnat out-interface=WAN<\/p>\nDNS<\/span><\/h3>\n
\n\u2308admin@MikroTik\u2309 >ip dns set primary-dns=8.8.8.8<\/p>\nFirewall – blokowanie
\n<\/span><\/h3>\n
\n\/ip firewall filter
\nadd action=drop chain=forward comment=”Blokowanie IP Facebook” dst-address=74.119.76.0\/22
\nadd action=drop chain=forward comment=”Blokowanie IP Facebook” dst-address=173.252.64.0\/18
\nadd action=drop chain=forward comment=”Blokowanie IP Facebook” dst-address=204.15.20.0\/22
\nadd action=drop chain=forward comment=”Blokowanie IP Facebook” dst-address=66.220.144.0\/20
\nadd action=drop chain=forward comment=”Blokowanie IP Facebook” dst-address=69.171.224.0\/19<\/p>\n
\n\/ip firewall layer7-protocol add name=youtube regexp=”(GET \/videoplayback?|GET \/crossdomain.xml)”<\/p>\n
\n<\/strong>\/ip firewall filter add action=reject chain=forward layer7-protocol=youtube<\/p>\n
\nW przyk\u0142adzie poni\u017cej – we wszystkie dni tygodnia w godzinach od 5.00 do 23:59:59, podajemy czas od-do w formacie \u2308godz\u2309 h \u2308min\u2309 m \u2308sek\u2309 s, bez spacji w ca\u0142ym wpisie czasu.<\/span><\/p>\n
\nadd action=drop chain=forward comment=”” disabled=no dst-port=445 protocol=tcp
\nadd action=drop chain=forward comment=”” disabled=no dst-port=445 protocol=udp
\nadd action=drop chain=forward comment=”” disabled=no dst-port=135-139 protocol=tcp
\nadd action=drop chain=forward comment=”” disabled=no dst-port=135-139 protocol=udp<\/p>\n
\n(Czyli w skr\u00f3cie wszystko co wchodzi na port 4662 na MT zostanie przekierowane na adres x.x.x.x)<\/p>\n
\n\/ip firewall dst-nat add dst-address=x.x.x.x\/32 action=nat to-dst-address=y.y.y.y
\n\/ip firewall src-nat add src-address=y.y.y.y\/32 action=nat to-src-address=x.x.x.x<\/p>\nBlokowanie przez PROXY<\/span><\/h3>\n
\n\/ip proxy
\nenabled: yes
\nsrc-address: 0.0.0.0
\nport: 8080
\nparent-proxy: 0.0.0.0:0
\ncache-drive: system
\ncache-administrator: „webmaster”
\nmax-disk-cache-size: none
\nmax-ram-cache-size: none
\ncache-only-on-disk: no
\nmaximal-client-connections: 1000
\nmaximal-server-connections: 1000
\nmax-object-size: 512KiB
\nmax-fresh-time: 3d<\/p>\n
\nchain=dstnat protocol=tcp dst-port=80 action=redirect to-ports=8080
\n\/ip firewall filter
\nchain=input in-interface=<Your WAN Port> src-address=0.0.0.0\/0 protocol=tcp dst-port=8080 action=drop<\/p>\n
\n\/ip proxy access
\ndst-host=www.facebook.com action=deny<\/p>\n
\n\/ip proxy access
\npath=*.exe action=deny
\npath=*.mp3 action=deny
\npath=*.zip action=deny
\npath=*.rar action=deny
\n
\nBlokada po fragmencie nazwy URL:<\/strong>
\n\/ip proxy access
\ndst-host=:mail action=deny
\n(B\u0119d\u0105 blokowane wszystkie strony zawieraj\u0105ce s\u0142owo „mail” w adresie strony.)<\/p>\n","protected":false},"excerpt":{"rendered":"