Как настроить гостевой wifi на mikrotik

Wi-Fi:Настройка гостевой беспроводной сети Wi-Fi

В статьей разбирается настройка гостевой беспроводной сети с защитой WPA2 PSK. Пользователи которые подключаться к этой сети не будут иметь доступа в локальную сеть — им будет доступен только Интернет. Предполагается, что адресация и маршрутизация настроены, мы зададим лишь те настройки которые касаются гостевой сети. В этом примере предполагается, что гостевая сеть создается на том же маршрутизаторе который отвечает за выход в Интернет.

Полезные материалы по MikroTik

Углубленный курс "Администрирование сетевых устройств MikroTik" Онлайн-курс по MikroTik с дипломом государственного образца РФ. Много лабораторных работ с проверкой официальным тренером MikroTik. С нуля и до уровня MTCNA. 

На Telegram-канале Mikrotik сэнсей можно получить доступ к закрытой информации от официального тренера MikroTik. Подписывайтесь 

Через графический интерфейс

На «шаге 1» мы создаем конфигурацию безопасности гостевой сети и присваиваем ей имя profile_guest_wi-fi. Пароль задается в поле №6 WPA2 Pre-Shared Key. Пароль должен быть не менее 8 символов.

На «шаге 2» мы создаем виртуальный интерфейс, задаем ему имя (поле №4), далее нужно нажать кнопку Advanced Mode (поле №5) и перейти на вкладку Wireless (поле №6), в ней мы задаем имя беспроводной сети (поле №7), а также оптимальные параметры безопасности и производительности под цифрами 8 и 9.

На «шаге 3» мы создаем пул (массив) адресов для гостевой сети. Адресация в гостевой сети должна быть отличной от локальной.

На «шаге 4» и «шаге 5» показана настройка DHCP сервера под гостевую сеть. Адресация в гостевой сети должна быть отличной от локальной.

На «шаге 6» мы присваиваем адрес виртуальному интерфейсу беспроводной сети. Адресация в гостевой сети должна быть отличной от локальной.

При настройке файервола надо учитывать, что правила взаимосвязаны друг с другом. Это значит, что надо учитывать, что бы выше правил для блокировки трафика гостевой сети не оказалось правил, которые их разрешают.

На «шаге 7» мы создаем правила которые блокируют соединения между участниками локальной сети и гостевой сети. Должны быть созданы 2 правила в которых в полях Src.Address и Dst.Address (поля №4 и №6) должны быть зеркально (в первом правиле на месте Src.Address-адрес локальной сети, на месте Dst.Address — адрес гостевой сети, во втором правиле наоборот) прописаны адреса локальной и гостевой сетей. Для обоих правил должно быть выбрано действие drop (поля №8 и №10)

Через консоль

/interface wireless security-profiles add authentication-types=wpa2-psk eap-methods="" mode=dynamic-keys name=\ profile_guest_wi-fi supplicant-identity="" wpa2-pre-shared-key=Pass55word! /interface wireless add disabled=no mac-address=00:00:00:00:00:00 master-interface=\ wlan1 name="Guest Wi-Fi" security-profile=profile_guest_wi-fi ssid=\ client wds-cost-range=0 wds-default-cost=0 wmm-support=enabled wps-mode=disabled /ip pool add name=dhcp_pool_guest ranges=10.11.12.101-10.11.12.150 /ip dhcp-server add address-pool=dhcp_pool_guest disabled=no interface="Guest Wi-Fi" \ lease-time=12h name=dhcp_guest /ip address add address=10.11.12.1/24 interface="Guest Wi-Fi" network=10.11.12.0 /ip dhcp-server network add address=10.11.12.0/24 dns-server=10.11.12.1,8.8.8.8 gateway=10.11.12.1 /ip firewall filter add action=drop chain=forward comment="Deny guest requests" dst-address=172.16.18.0/24 src-address=10.11.12.0/24 add action=drop chain=forward comment="Deny guest requests" dst-address=10.11.12.0/24 src-address=172.16.18.0/24

Проверка

Вы должны подключиться к беспроводной сети и у вас должен быть доступ в сеть Интернет и не должно быть доступа в локальную сеть.

Полезные материалы по MikroTik

Углубленный курс "Администрирование сетевых устройств MikroTik" Онлайн-курс по MikroTik с дипломом государственного образца РФ. Много лабораторных работ с проверкой официальным тренером MikroTik. С нуля и до уровня MTCNA. 

На Telegram-канале Mikrotik сэнсей можно получить доступ к закрытой информации от официального тренера MikroTik. Подписывайтесь 

Настройка гостевой сети WiFi на Mikrotik

Опубликовано: 03.06.2020

Используемые термины: Mikrotik, WiFi. Оборудование Mikrotik поддерживает возможность создания гостевой беспроводной сети, подключившись к которой пользователь будет изолирован от локальной сети — он получит доступ только к Интернет. Настройку выполним в несколько этапов.

Прежде чем начать, необходимо, чтобы была выполнена базовая настройка роутера.

Создание гостевой сети

Переходим к настройке WiFi интерфейсов: Переходим на вкладку Security Profiles — кликаем по плюсу для создания нового профиля — задаем имя для профиля и настраиваем безопасность: * в данном примере будет создан профиль с названием profile_wifi_guest; разрешаем только WPA2; задаем ключ безопасности (пароль для подключения к WiFi). На вкладке WiFi Interfaces создаем новый виртуальный интерфейс (Virtual): На вкладке General задаем имя для нашей гостевой беспроводной сети: Переходим на вкладку Wireless — задаем SSID — выбираем реальный беспроводной интерфейс (Master Interface) и профиль безопасности, который мы создали ранее:

Настройка IP-адресации

Приступим к настройке гостевой подсети. Мы назначим WiFi интерфейсу отдельный IP-адрес и зададим настройки для DHCP. Переходим в раздел IP: . и Pool: На вкладке Pools создаем новый диапазон адресов: * в данном примере мы создали список адресов 172.16.10.2-172.16.10.254. Это диапазон для гостевых клиентов — при подключении компьютер будет получать один адрес из данного списка. Переходим в раздел IP — DHCP Server: На вкладке DHCP создаем новую настройку: * где Name — имя для настройки; Interface — сетевой интерфейс, на котором будет работать данная настройка DHCP; Address Pool — выбираем созданный нами пул адресов. Теперь переходим на вкладку Networks и создаем новую подсеть, которая соответствует нашему пулу: * где 172.16.10.0/24 — подсеть для клиентов гостевой WiFi; 172.16.10.1 — шлюз (это будет наш Mikrotik); 77.88.8.8 и 8.8.8.8 — публичные DNS от Яндекса и Google. Осталось назначить IP для самого микротика. Переходим в IP — Addresses: Создаем новый адрес: * мы создадим новый IP адрес 172.16.10.1, который будет назначен роутеру гостевому интерфейсу.

Блокируем доступ к локальной сети

Гостевая сеть настроена, но пока, ее клиенты могут получить доступ к ресурсам основной сети. Для запрета настроим правила брандмауэра. Переходим в IP — Firewall: На вкладке Filter Rules создаем новое правило: * мы должны создать правило в Chain forward; запрещающее запросы из локальной сети (192.168.88.0/24) в гостевую (172.16.10.0/24). В вашем случае это могут быть другие подсети. . а на вкладке Action мы должны выбрать drop: Теперь создаем еще одно аналогичное правило, только запрещающее запросы из гостевой сети в локальную: Перенесем созданные правила повыше: Готово.

Если в гостевой сети нет Интернета

1. Устройство, подключенное к WiFi получает IP-адрес автоматически, а не вручную.
2. Корректно заданы настройки для сервера DHCP — адрес шлюза, DNS, назначен правильный интерфейс, на котором будет раздача адресов.
3. Нет специально созданных правил Firewall, которые запрещают весь трафик.
4. Убедиться, что микротик, в принципе, раздает Интернет.

Ограничение и лимиты

Рассмотрим некоторые ограничения, которые можно наложить на гостевую сеть.

Скорость

Чтобы уменьшить пропускную способность нашей гостевой WiFi, переходим в раздел Queues:

На вкладке Simple Queues добавляем новую очередь и на вкладке General задаем имя для настройки и выбираем интерфейс, для которого вводим ограничения, также задаем лимиты на скорость:

• Name — имя нашего скоростного ограничения.
• Target — для чего задается ограничение. Можно выбрать конкретный интерфейс или ввести адрес подсети (например, 172.16.10.0/24).
• Max Limit — максимальная скорость передачи данных.
• Burst Limit — скорость в режиме turbo.
• Burst Threshold — скорость, при превышении которой активируется режим ограничения.
• Burst Time — время в секундах для расчета средней скорости.

Нажимаем OK для завершения настройки.

Время (расписание работы WiFi)

Для включения и выключения гостевой сети мы воспользуемся встроенным планировщиком и командами:

/interface wireless set [ find name=»Guest WiFi» ] disabled=yes

/interface wireless set [ find name=»Guest WiFi» ] disabled=no

* где Guest WiFi — имя нашей беспроводной сети; disabled=yes — выключаем WiFi-интерфейс; disabled=no — включает.

Переходим в раздел System:

. и Scheduler:

Создаем новую задачу по расписанию и указываем следующие настройки:

• Name — имя для задания.
• Start Time — время начала отработки. Предположим, в 8 утра.
• Interval — период отработки. В данном примере каждый день.
• On Event — что выполняем.

И следом создаем задание на выключение WiFi:

Записки IT специалиста

Настройка гостевого Wi-Fi на роутерах Mikrotik для одиночного роутера

• Автор: Уваров А.С.
• 23.01.2022

Wi-Fi сегодня для многих стал практически синонимом слова «интернет», беспроводной доступ воспринимается как нечто само собой разумеющееся, а его отсутствие вызывает недоумение и удивление. Мы привыкли к тому, что Wi-Fi есть на работе, в гостях, в публичных местах и т.д. и т.п. Но то, что хорошо обычному пользователю доставляет массу забот системному администратору — неконтролируемые пользовательские устройства в периметре локальной сети. Выход здесь один — создание гостевой Wi-Fi сети и изоляция ее от сети предприятия.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

В данной статье мы рассмотрим самый простой вариант — организацию гостевой Wi-Fi сети для одиночного роутера. Это может быть полезно для небольших предприятий и домашних сетей. Предприятиям полезно вынести в гостевую сеть как посетителей, так и личные устройства сотрудников. В домашних сетях тоже не следует раздавать доступ направо и налево всем друзьям и знакомым, ведь все что они хотят — это выйти в интернет, гостевая сеть прекрасный вариант сделать это не создавая угроз безопасности.

Далее подразумевается, что у вас уже есть настроенный роутер Mikrotik с основной Wi-Fi сетью, если это не так, то воспользуйтесь нашей статьей: Базовая настройка роутера MikroTik.

Настройка виртуального беспроводного интерфейса

Самым первым шагом создадим новый профиль безопасности, так как делать открытую гостевую сеть — это очень плохая идея, а для организаций еще и нарушение закона, требующего обязательную идентификацию пользователей. Для этого откроем Wireless — Security Profiles и добавим новый профиль. Настройки просты: Mode — dynamic keys, Authentication Types — WPA PSK2, WPA2 Pre-Shared Key — пароль доступа к сети, от 8 символов, Name — произвольное имя профиля, в нашем случае guest.

Команда для терминала, в качестве пароля мы задали 987654321:

/interface wireless security-profiles
add authentication-types=wpa2-psk eap-methods="" mode=dynamic-keys name=guest supplicant-identity="" wpa2-pre-shared-key=987654321

Теперь перейдем в Wireless — WiFi Interfaces и добавим новый виртуальный интерфейс, нажав на кнопку с плюсом и выбрав в выпадающем меню Virtual.

В открывшемся окне указываем режим работы интерфейса Mode — ap bridge, выбираем основной физический радиоинтерфейс Master Interface — wlan1, указываем желаемый SSID и выбираем созданный нами ранее для гостевой сети профиль безопасности в Security Profiles. Также снимаем флаг Default Forward что исключит общение гостевых устройств между собой. Остальные параметры оставляем по умолчанию.

В терминале настроек побольше, вам также потребуется указать MAC-адрес, который следует взять у физического беспроводного интерфейса.

/interface wireless
add default-forwarding=no disabled=no keepalive-frames=disabled mac-address=AA:BB:CC:DD:EE:FF \
master-interface=wlan1 multicast-buffering=disabled name=wlan2 security-profile=guest ssid=GUEST \
wds-cost-range=0 wds-default-cost=0 wps-mode=disabled

Если у вас двухдиапазонная точка доступа и вы желаете создать в каждом из них гостевые сети, то создайте еще один виртуальный беспроводной интерфейс и укажите в качестве Master Interface второй беспроводной адаптер. Рабочую частоту, ширину канала, мощность и прочие настройки виртуальный адаптер наследует от физического интерфейса. Т.е. гостевая сеть будет работать на том же канале и с такими же параметрами, как и основная.

После чего перейдем в Bridge и создадим новый сетевой мост, в параметре ARP укажем reply-only, что заставит роутер отвечать на канальном уровне только известным устройствам, что значительно ограничит самодеятельность в гостевой сети, так гости смогут работать только с настройками, полученными от роутера, самостоятельно настроить сетевые параметры не получится.

В командной строке это же действие:

/interface bridge
add arp=reply-only name=bridge2

Затем добавим в этот мост созданные нами виртуальные беспроводные интерфейсы, с помощью графического интерфейса в разделе Bridge — Ports или в консоли:

/interface bridge port
add bridge=bridge2 interface=wlan2

После чего назначим ему IP-адрес, для гостевой сети следует выбрать отдельный диапазон адресов, не пересекающийся с вашими сетями, в нашем примере это будет 192.168.134.0/24, адресом роутера в этом случае будет 192.168.134.1. Откроем IP — Addresses и добавим новый адрес, его следует указать в формате 192.168.134.1/24 (что соответствует маске 255.255.255.0), в поле Interface выберите интерфейс созданного на предыдущем шаге сетевого моста, у нас это bridge2.

Или выполните в терминале:

/ip address
add address=192.168.134.1/24 interface=bridge2 network=192.168.134.0

Если вам нужно несколько гостевых сетей с разным уровнем доступа, то создайте нужное количество виртуальных сетевых интерфейсов и мостов (по одному для каждой сети), а также присвойте каждой сети свой диапазон адресов.

Настройка базовых сетевых служб: DHCP, DNS, NAT

Для настройки DHCP-сервера воспользуемся мастером, для этого перейдем в IP — DHCP Server — DHCP и нажмем кнопку DHCP Setup, в открывшемся мастере выберем интерфейс — bridge2 и последовательно ответим на ряд вопросов, задав сеть, пул адресов, адрес шлюза и т.д.

А вот при указании DNS-сервера следует подумать, мы можем указать адрес роутера и использовать уже имеющуюся на нем службу, но в ряде случаев это может быть нежелательно, например, у вас имеются записи для внутренних служб, и вы не хотите их утечки во внешнюю сеть. Либо вам нужно дополнительно фильтровать содержимое, отдаваемое гостевым пользователям. В этом случае в качестве DNS-сервера можно указать адрес любого публичного сервиса, который подходит под ваши требования.

С другой стороны собственный DNS сервер позволяет самостоятельно блокировать некоторые ресурсы, более подробно вы можете прочитать об этом здесь.

После завершения работы мастера откройте созданную запись в IP — DHCP Server — DHCP и установите флаг Add ARP For Leases, теперь сервер будет динамически добавлять MAC-адреса клиентов, получивших аренду в ARP-таблицу, чтобы они могли работать в гостевой сети. По окончании аренды такая запись будет удалена и даже если клиент перенастроил свое устройство на статический адрес через некоторое время он потеряет доступ к сети. В связи с этим обратите внимание на параметр Lease Time, который задает время аренды адреса, по умолчанию это 10 минут, вполне разумный интервал, но вы можете как увеличить его (если это сеть для личных устройств сотрудников) или уменьшить, чтобы ускорить освобождение адресов.

Чтобы настроить DHCP-сервер в терминале выполните:

/ip pool
add name=dhcp_pool2 ranges=192.168.134.100-192.168.134.199
/ip dhcp-server network
add address=192.168.134.0/24 dns-server=192.168.134.1 gateway=192.168.134.1
/ip dhcp-server
add add-arp=yes address-pool=dhcp_pool2 disabled=no interface=bridge2 name=dhcp2

Для того, чтобы клиенты гостевой сети могли выходить в интернет, следует настроить NAT, перейдем в IP — Firewall — NAT и создадим новое правило: Chain — srcnat, Src. Address — 192.168.134.0/24 — диапазон гостевой сети, Out. Interface — внешний интерфейс, через который осуществляется выход в интернет, в нашем случае ether5. На закладке Action ставим действие masquerade.

Или в терминале:

/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether5 src-address=192.168.134.0/24

Теперь самое время сделать небольшую паузу и попробовать подключиться к нашей гостевой Wi-Fi сети, убедитесь, что устройство получает адрес и у него есть доступ в интернет.

Если вы нигде не ошиблись — все должно работать.

Изолируем гостевую сеть при помощи брандмауэра

Гостевая Wi-Fi сеть работает — и это хорошо, теперь самое время принять кое-какие меры безопасности. Прежде всего изолируем ее от основной сети. Открываем IP — Firewall — Filtres и создаем следующее правило: Chain — Forward, In. Interface — bridge2, Out. Interface — bridge1, на закладке Action ставим действие drop, тем самым полностью запретив транзитный трафик из гостевой сети в основную (bridge1).

В терминале:

/ip firewall filter
add action=drop chain=forward in-interface=bridge2 out-interface=bridge1

Теперь изолируем от гостевой сети сам роутер, все что нужно от него клиентам — это получение IP-адреса по DHCP и доступ к DNS-серверу устройства, ничего больше видеть они не должны. Ок, разрешаем доступ к DHCP-серверу, создаем еще одно правило: Chain — input, Protocol — udp, Dst. port — 67, In. Interface — bridge2, так как действие по умолчанию accept — просто сохраняем правило.

Если вы предоставляете гостям собственный DNS, то добавьте еще одно такое-же правило, но измените номер порта на 53 UDP, на котором работает служба имен, если же раздаете адреса внешних DNS-серверов, то открывать доступ к созданному не нужно. Затем создадим запрещающее правило, оно очень простое: Chain — input, In. Interface — bridge2, на закладке Action ставим действие drop. Теперь все остальные запросы к роутеру будут отклоняться.

Этот же набор правил в терминале:

/ip firewall filter
add action=accept chain=input dst-port=67 in-interface=bridge2 protocol=udp
add action=accept chain=input dst-port=53 in-interface=bridge2 protocol=udp
add action=drop chain=input in-interface=bridge2

Это минимальный набор правил для типовой конфигурации, в случае наличия дополнительных сетей и интерфейсов вам может потребоваться создать дополнительные правила с учетом особенностей вашей конфигурации. Общие принципы должны быть понятны из этого раздела: блокируем транзитный трафик из гостевой сети к остальным сетям и изолируем сам роутер.

Ограничение скорости в гостевой сети

Гостей может быть много, а исходящий канал не резиновый, тем более что современные мобильные устройства позволяют просматривать видео в высоких разрешениях, что может привести к повышенной нагрузке на сеть. Поэтому мы поступим просто — ограничим скорость гостевой сети, никаких сложных настроек производить не будем, просто сделаем одно ограничение на всех, как оно будет делиться между клиентами нас особо не волнует.

Для ограничения трафика используются очереди — Queues, обратите внимание, что для работы очередей должен быть отключен Fasttack. Перейдем в Queues — Simple Queues и создадим простую очередь. В поле Target укажем интерфейс гостевой сети — bridge2, Dst — интерфейс выхода в интернет, в нашем случае ether5. В Max Limit укажем ограничения для входящего и исходящего трафика, мы поставили по 10 Мбит/с.

В терминале:

/queue simple
add dst=ether5 max-limit=10M/10M name=queue1 target=bridge2

Теперь еще раз подключимся и проверим работу ограничений, несложно убедиться, что все работает так, как задумывалось:

Как видим, настроить гостевую Wi-Fi сеть на оборудовании Mikrotik совсем несложно, а широкие возможности RouterOS позволяют существенно повысить уровень ее безопасности, максимально ограничив гостям сетевые возможности.

Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.

Дополнительные материалы:

Mikrotik

1. Оборудование MikroTik класса SOHO. Общий обзор и сравнение возможностей
2. Производительность младших моделей Mikrotik hEX и hAP. Экспресс-тестирование
3. Базовая настройка роутера MikroTik
4. Расширенная настройка DNS и DHCP в роутерах Mikrotik
5. Автоматическое резервное копирование настроек Mikrotik на FTP
6. Проброс портов и Hairpin NAT в роутерах Mikrotik
7. Настройка IPTV в роутерах Mikrotik на примере Ростелеком
8. Настройка VPN-подключения в роутерах Mikrotik
9. Настройка черного и белого списков в роутерах Mikrotik
10. Настройка выборочного доступа к сайтам через VPN на роутерах Mikrotik
11. Настройка OpenVPN-сервера на роутерах Mikrotik
12. Безопасный режим в Mikrotik или как всегда оставаться на связи
13. Настройка Proxy ARP для VPN-подключений на роутерах Mikrotik
14. Настраиваем Port Knocking в Mikrotik
15. Резервирование каналов в Mikrotik при помощи рекурсивной маршрутизации
16. Настраиваем родительский контроль на роутерах Mikrotik
17. Настраиваем IKEv2 VPN-сервер на роутерах Mikrotik с аутентификацией по сертификатам
18. Расширенная настройка Wi-Fi на роутерах Mikrotik. Режим точки доступа
19. Mikrotik CHR — виртуальный облачный роутер
20. Настройка контроллера CAPsMAN (бесшовный Wi-Fi роуминг) на Mikrotik
21. Настройка VPN-подключения на роутерах Mikrotik если подсети клиента и офиса совпадают
22. Настраиваем использование DNS over HTTPS (DoH) на роутерах Mikrotik
23. Настройка PPTP или L2TP VPN-сервера на роутерах Mikrotik
24. Установка Mikrotik CHR на виртуальную машину Proxmox
25. Защита RDP от перебора паролей при помощи оборудования Mikrotik
26. Настройка SSTP VPN-сервера на роутерах Mikrotik
27. Настройка выборочного доступа к сайтам через VPN с автоматическим получением маршрутов по BGP на роутерах Mikrotik
28. Особенности эксплуатации CA на роутерах Mikrotik: резервное копирование, экспорт и импорт сертификатов
29. Настройка туннелей GRE и IPIP на роутерах Mikrotik
30. Правильное использование Fast Path и FastTrack в Mikrotik
31. DHCP Snooping — настройка защиты от неавторизованных DHCP-серверов на оборудовании Mikrotik
32. Работа оборудования Mikrotik в режиме беспроводной станции (клиента)
33. Используем режим ARP reply-only для повышения безопасности сети на оборудовании Mikrotik

The Dude

1. The Dude. Установка и быстрое начало работы
2. Централизованное управление обновлением RouterOS при помощи The Dude
3. Централизованный сбор логов Mikrotik на сервер The Dude

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Или подпишись на наш Телеграм-канал:

Как настроить гостевой wifi на mikrotik

Настройка гостевой сети Wi-Fi на MikroTik это задача которую нужно иногда решать сисадминам в средних и крупных компаниях. В MikroTik как раз есть для этого все инструменты. В самом простом случае надо создать VirtualAP навесить на неё IP адрес и настроить DHCP. Но мы ведь простых путей не ищем? Что нужно ещё сделать? Об этом данная статья.

Для тех кто не хочет тратить своё дорогое время на изучение данного мануала предлагаем нашу платную помощь.

Освоить MikroTik Вы можете с помощью онлайн-куса «Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Для примера будем рассматривать MikroTik с настройками по умолчанию: сеть 192.168.88.0/24, локальные интерфейсы входят в bridge, ether1 служит wan.

Идём в Wireless/WiFi Interfaces/Virtual:

Выбираем название сети: Guest

• Security Profile можно выбрать из имеющихся: default — без пароля вообще в новых версиях Router OS
• Default Forward — галочку можно снять. Это запретит обмен данными между гостевыми Wi-Fi клиентами

Аналогично создаём и настраиваем Virtual AP на 5 гГц сети:

Более подробно о настройке Wi-Fi интерфейсов на MikroTik можно почитать здесь

Теперь надо обьединить два виртуальных беспроводных интерфейса в бридж.

Добавляем два виртуальных беспроводных интерфейса в bridge1-guest:

Осталось прописать IP и настроить DHCP сервер на интерфейсе bridge1-guest:

Настроим DHCP сервер на интерфейсе bridge1-guest:

Настройка для малой сети завершена! Если вы хотите настроить ещё защиту от ручного назначения IP адресов пользователями читаем далее:

Отредактируем настройки полученого DHCP сервера:

Ставим галочку Add ARP For Leases, что позволит автоматически добавлять IP адрес в ARP таблицу роутера при получении IP.

На интерфейсе bridge1-guest надо выбрать reply-only в протоколе ARP:

Теперь даже если пользователь вручную назначит IP доступа к интернету у него не будет

Защитим основную сеть от проникновения из гостевой:

Идём IP/Firewall/Filter Rule:

В цепочке forward создаём правило запрещающее прохождение трафика из гостевой сети 192.168.89.0/24 в локальную 192.168.88.0/24

Перетаскиваем правило мышью на 1 место:

Осталось настроить ограничение скорости пользователям, но это уже описано в старой статье: настройка динамического шейпинга на MikroTik

Настраивать ограничения для доступа к MikroTik из гостевой сети в нашем случае не имеет смысл так как новый bridge1-guest не входит в список локальных в Interface List и доступа к нему и так нет.

Настройка завершена! Если вам не удалось настроить вы можете обратиться к нам за платной помощью Обратиться

Для Wi-Fi можно также настроить мак фильтрацию на MikroTik

Освоить MikroTik Вы можете с помощью онлайн-куса «Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.