На нашем форуме просто необходима такая тема.

Mikrotik RouterOS

Разговор об аппаратном обеспечении маршрутизаторов ведётся в теме
Поговорим о маршрутизаторах Mikrotik. Аппаратные Routerboard и самодельные x86 роутеры

. .
		Mikrotik RouterOS - это специализированная операционная система на ядре Linux, предназначенная для построения мощных многофункциональных маршрутизаторов, файрволлов, мостов, vpn-серверов, станций и мостов wi-fi, хотспотов, управления качеством обслуживания и т.п. на базе обычных PC-машин с процессорами x86 или собственных аппаратных маршрутизаторов Mikrotik RouterBoard на процессорах PowerPC и Atheros. В отличие от множества свободных открытых проектов - это закрытая система, не позволяющая установку дополнительного программного обеспечения. Преимуществами MikroTik является возможность за небольшие деньги быстро развернуть решение профессионального класса, с хорошей производительностью, обширным функционалом и большим удобством работы с системой, сочетающим преимущества функционального консольного интерфейса (идеология, аналогичная Cisco) и графической утилиты для Windows (Winbox). MikroTik RouterOS считается одной из лучших программных реализаций маршрутизатора 3-го уровня для PC и используется во всём мире. В RouterOS реализовано много функций, существующим только в ОС для дорогих маршрутизаторов. Оценить возможности можно по брошюре What is RouterOS (PDF, 819KB) или MikroTik RouterOS™ Application Examples
.

Официальные ресурсы:
www.mikrotik.com
http://forum.mikrotik.com
http://wiki.mikrotik.com в wiki есть статьи и на русском языке
*Рекомендуются к изучению материалы регулярных тренингов "MikroTik User Meeting presentations" (MUM) http://wiki.mikrotik.com/wiki/Events
*Перевод "ROS - руководство пользователя" и несколько документов на русском языке по настройке ROS и решению некоторых задач.

Руководства и презентации MUMs (обязательны к изучению):
QoS. Best practice азбука QoS by Janis Megis QoS. Best practice / Лучшая практика - русскоязычный перевод
*Мнимая "ошибка" в шейпере Мегиса, см. тут и тут. Подробный разбор шейпера и вопроса необходимости маркировки соединений см. тут.
HTB QoS азбука Queue Trees (HTB) by Valens Riyadi Как работают деревья очередей HTB.
Load balance with masquerade network как балансируется траффик by Valens Riyadi and Janis Megis (и выжимка правил)
The Magic of IP Flow азбука движения траффика в роутере by Valens Riyadi
IP Flow. Routing, Mangle and QoS приведены примеры балансинга двух аплинков по NTH и шейпирование при наличии Web Proxy.
RouterOS Packet Flow wiki о работе шейпера и файрволла
User Manager by Sebastian Inacker, FMS (Germany)
RouterOS and USB Devices by Arnis Riekstins, MikroTik
Introduction to Layer7 filtering by Andrzej Bober and Jaroslaw Konieczny (Inter Projekt, Poland)
Radius - MikroTik UserManager VS FreeRadius and Net Flow logging how-to and resources by Martin Krug (Future Shop, Slovakia)

Некоторые важные статьи из Mikrotik WiKi
NetworkPro on Quality of Service
Схемы движения траффика в роутере, разбор The Magic of IP Flow, и ещё тут
Manual:PCC Балансировка траффика при нескольких аплинках (провайдерах). Более правильный вариант здесь.

"Библейский" цикл статей на DriverMania
Установка RouterOS Mikrotik: система работает, администратор отдыхает (RouterOS - мечта сисадмина)
Делим Интернет или QoS на Mikrotik
Объединяем офисы с помощью Mikrotik
Настраиваем биллинг UTM с Mikrotik

Неофициальные ресурсы
http://ru.wikipedia.org/wiki/MikroTik
http://en.wikipedia.org/wiki/Mikrotik - имеется сводная таблица современных RouterBoard
PCRouter.ru - один из первых русскоязычных ресурсов по Mikrotik. К сожалению подзаброшен
Блог Сергея Лаговского
Несколько статей на PCHelp.by
Микротик как шлюз в офисной сети (для начинающих)
Блог Greg Sowell, его Training Video и Video Tutorials. На англ. языке.
Сайт aitec.md Документация к ROS на русском языке для начинающих и подготовленных. Обучающие видеоролики.
Сайт asp24.com.ua Руководства по настройке RouterOS с иллюстрациями и пояснениями
Так же русскоязычную информацию можно найти на форумах mikrotik.by, nag.ru, ru-board.com, drivermania.ru, x-drivers.ru, sysadmin.ru
http://blog.butchevans.com/ - статьи по решениям популярных задач на англ.
YouTube - Mikrotik, YouTube - RouterOS множество видеороликов для начинающих

Решения частных задач
BgBilling: Настройка PPPoE и/или РРТР (VPN) на Mikrotik
Особенности настройки роутера для работы с Корбиной
Сборник ссылок
Соединяю два кампуса с совпадающими подсетями. Помогите разобраться с NAT Встречный NAT
Резервирование доступа в интернет на двух провайдерах
Интересный вариант user-friendly блокировки торрентов

Сторонняя полезная документация
Руководство по Iptables очень полезно для понимания работы файрволла в Микротике
ru.wikipedia.org/wiki/Iptables очень полезный учебник по Iptables
Модель OSI сетевая модель взаимодействия
Список портов TCP и UDP
Здесь и здесь о MTU/MSS (проблема - сайты открываются не все или частично)
Настройка NAS на основе ROS в связке с Ideco АСР (биллинг), Queue Tree, SSH, без сброса user session (очень подробно)
Multicast routing для IPTV - как работает IPTV по IGMP-протоколу

Wi-Fi
Реальная скорость Wi-Fi. Как получить максимальную? и максимальные реальные скорости передачи по WiFi
Нюансы защиты беспроводных сетей
Wi-Fi: неочевидные нюансы на примере домашней сети
.

---

Файлы конфигурации
Внимание! Для сохранения информации из конфига микротика или быстрого занесения в конфиг можно воспользоваться экспортом/импортом текстовых конфигов в файл.
Это осуществляется в консоли или в окне "New Terminal" в графической утилите WinBox.
/export file=myconfig.rsc
/import file=myconfig.rsc
Чтобы не экспортировать все настройки, а только необходимое, то пишем примерно так (экспортируем IP-адрес, Mangle, NAT и Filter файрволла):
/ip address export file=myip.rsc, /ip firewall mangle export file=mymangle.rsc, /ip firewall nat export file=mynat.rsc, /ip firewall filter export file=myfilter.rsc
Расширение файла можно не указывать. Имена файлов любые желаемые (на англ).

---

Заметки

• DNS - При работе в винбоксе, при вносе админом в панели настроек адресов в формате URL, винбокс использует DNS-резольвер компа(!), на котором он запущен. В то же время, встроенный в винбокс telnet использует уже внутренний DNS микротика. Это объясняет "странность", когда URL не распознаются микротиком при настройке.
• WinBox - Если роутер находится в отдалённой сети, рекомендуется в фильтре файрволла создать в самом верху разрешительное правило для подключения WinBox (Input TCP 8291) - правило спасёт от ошибок в процессе настройки роутера (когда можно случайно запретить доступ винбоксу). Если роутер находится в одной физической сети с админским компьютером, к роутеру можно подключиться винбоксом по MAC-адресу (кнопка справа от строки ввода адресов в винбоксе) - этот тип подключения работает в обход файрволла с помощью /tool mac-server, файрволл на компе не должен фильтровать широковещательный траффик mycomp<->255.255.255.255, UDP 5678<->5678 & any<->20561.
• Смена MAC-адреса - для смены нужно сначала распечатать список интерфейсов
  /interface ethernet print, затем выбрать №№ нужного интерфейса и ввести команду
  /interface ethernet set №№ mac-address =XX:XX:XX:XX:XX:XX
• Программный сброс - для полного сброса всех(!) настроек роутера в консоли даём команду /system reset-configuration

---

FAQ этой темы:
Первоначально обсуждение Микротиков велось в теме FAQ: Выбор домашнего маршрутизатора (Было: Порекомендуйте беспроблемный маршрутизатор/роутер/firewall со встроенным коммутатором/концентратором) (часть 02) См. результаты поиска по слову Mikrotik и по слову Микротик
Жаркое обсуждение развернулось, начиная с этого поста (и, примерно до 80-й страницы), затем была создана настоящая тема.

Чтобы разговор был предметный, показываем свой конфиг (или часть конфига). Для этого делаем /export нужного (подробнее - см. выше) и вставляем в тему, оформляя тегом [соdе] [/соdе]

Ссылки темы
Пример рабочего шейпера

Что означает галка "Passtrough" в правилах файрволла
Пример базовых правил для защиты роутера и внутренней сети от соединений извне
Пример рабочих правил файрволла с применением Jump/Return
Ещё пример применения Jump и фильтрация при наличии PPTP, L2TP.
О фильтрации ICMP протокола
Блокировка P2P - добавление нового протокола уровня Layer7
Блокировка протокола uTP и протоколов P2P по времени суток
Блокируем рассылку спама изнутри, оставляем выход почтовым клиентам по SMTP.
Вариант блокировки нежелательных сайтов по URL

Служба времени NTP в Микротике А также сервер-клиенты Meinberg NTPD и OLXA SNTP

Запуск IPTV в случае, когда провайдер вещает мультикаст по IGMP Snooping с TTL=1.
IPTV, IGMP, Firewall - настройки IGMP Proxy и правила фильтрации IPTV в файрволле

Скрипт для работы с DYNDNS.ORG (альтернативный вариант при наличии "белого" IP, не использует запись в файл) - если у вас динамический "белый IP" и нужен доступ из интернета.

Скидываем логи на внешнюю флешку или microSD

Скрипты автоподключения VPN-соединения "Dual PPTP / Dual L2TP" в сетях Корбина/Билайн, NetByNet и других крупных сетях, использующих автоматику по DHCP и ротацию VPN-серверов при помощи DNS вариант PPTP | вариант L2TP, улучшенный вариант L2TP и "хитрости" DNS | как добавить этот скрипт в планировщик

Нюансы IPSEC - шифруем туннели при помощи IPSEC

---

В качестве оффтопа: "проблемы с сетью, но провайдер ничего не хочет делать" и как на него повлиять Роутер, билайн и домашняя сеть, #4

Исправлено: Ильясла, 22.08.2012 08:12

Сразу предупрежу: это не OpenSource-проект. Хотя система и на основе линукса, самому влезть в линуксовый шелл и что-то там наворотить в баше не представляется возможным. Вернее, всё возможно, но не штатными средствами, а с помощью прямого редактирования содержимого диска на другой машине.

Также, нет доступных пользователю средств создания собственных пакетов (файлы *.npk, имеющие проприетарный формат, в которых находятся программные модули). Расширение ОС и добавление функциональности делается силами разработчиков MikroTik.

Добавление от 03.02.2010 08:38:

Интерфейс пользователя в RouterOS имеет три варианта:
- web-интерфейс (минималистский вариант),
- telnet и ssh консоль (умеет вообще всё, но удобна для работы только адептам комстроки),
- утилита winbox (наиболее универсальная и наглядная вещь, имеющая к тому же встроенную поддержку текстовой консоли, если надо дать консольную команду).

Утилиту winbox можно скачать прямо с самого роутера, из его web-интерфейса. Она не требует обновления - утилита при своём запуске загружает с роутера все необходимые программные модули, требуемые для администрирования именно этой версии RouterOS. К сожалению, эта утилита работает только в Windows, поэтому пользователям юниксов и приравненных к ним либо придётся работать в консоли (привет линуксу), либо пользоваться виртуальной машиной (привет MacOS X)

Большим достоинством RouterOS является то, что администрировать её можно даже в том случае, если аппарату не присвоено никакого IP-адреса. Для этого в состав RouterOS входит MAC-сервер, позволяющий подключаться к аппарату из сегментов сети, непосредственно подключённых к нему, по его MAC-адресу. Так можно подключиться и с помощью winbox, и с помощью утилиты NeighborViewer, предоставляющей доступ к текстовой консоли по MAC-адресу.

Для доступа по MAC-адресу необязательно его знать - обе утилиты выполняют поиск доступных устройств и показывают их в виде списка, позволяя пользователю выбрать нужное устройство. Для этого используется опять же проприетарный протокол обнаружения (несложный - могу рассказать, если кому потребуется) и CDP (то есть, устройства Cisco Systems могут видеть аппараты с RouterOS и наоборот)

Исправлено: Джамаль, 03.02.2010 08:56

Джамаль
К сожалению, эта утилита работает только в Windows, поэтому пользователям юниксов и приравненных к ним либо придётся работать в консоли (привет линуксу), либо пользоваться виртуальной машиной (привет MacOS X)
Под Mac OS Winbox отлично работает через Crossover, на просторах интернета есть уже подготовленное приложение для Мака ( привет Windows)
http://wiki.mikrotik.com/wiki/MikroTik_WinBox_for_Mac_StandAlone

Decon

Тогда добавим пункт "через эмулятор"

Здравствуйте. У меня несколько вопросов.
Привезли вчера роутер 750G . Несколько часов занимался(а точнее мучался) с настройкой т.к. мало что в сетях понимаю. Со старым асусом 520 я как то справлялся не лазяя в непонятные настройки а в RouterOS непонятным оказалось практически всё.
своими силами глядя на инструкции в интернете смог настроить DHCP(во время этого несколько раз так менял его настройки что потом немог зайти в роутер )
файервол пока не трогал. за то сделал доступ к портам сервера контрстрайк на одном и компов.
http://clip2net.com/page/m0/3788278
1) Что такое мастер и слэйв? зачем это здесь нужно и что это даёт
2) Почему не видно как работают эти три слэйв интерфейса? Если что либо на них качать то этот показывается скоростью на мастер-интерфейсе №2 ..видно лишь что они вообще включены (буква R)
3) Что означает эта цифорка? на этом кабеле подключен комп с серверов игрушки контрстрайк. это какие то ошибки..это нормально?


4) у моего оператора идентефикация по маку. как сменить мак адрес в винбоксе? смог это сделать только через консоль
5) где в винбоксе сохранение файла настроек? если есть конечно
6) когда только новый подключил, свойства подключения на компе показали 1Гбит.. а щас то ли я что то настроил нетак то ли просто несудьба.. показывает 100Мбит. На настройку "скорость" в интерфейса никак не реагирует. что делать не знаю( карточка в компе точно гигабитная.. .

Hamar

Мастер и слейв - посмотри в пунктах Metarouter и Bonding. Если ты хочешь отдельные интерфейсы, то оттуда надо все порты поубирать. Это всё нужно для обеспечения отказоустойчивости и увеличения скорости интерфейсов.


Не видно, как они работают, потому, что вместо них работают мастеры. Пропадут мастеры - трафик побежит по слейвам

Мак-адрес меняется в менюшке интерфейса - делай на нём тык-тык, открывай самую первую вкладку и там меняй. Это делается на мастер-интерфейсах - слейвы, кажется, это не воспримут

Сохранение настроек не нужно - все настройки применяются сразу. Бэкап делается в окошке File - там есть кнопки Backup и Restore

Скорость - видимо, с кабелем что-то не то...

Добавление от 04.02.2010 19:41:

а DHCP настраивается простым мастером в окне DHCP-сервера - перед этим нужно присвоить интерфейсу IP-адрес, а потом нажать DHCP Setup, ответить на несколько простейших вопросов - и всё.

Джамаль
Hamar

Мастер и слейв - посмотри в пунктах Metarouter и Bonding. Если ты хочешь отдельные интерфейсы, то оттуда надо все порты поубирать. Это всё нужно для обеспечения отказоустойчивости и увеличения скорости интерфейсов.

посмотрел..не нашёл в этих пунктах ни одной записи. единственное что можно сделать это убрать параметр слэйв у самого интерфейса но после этого он не работает
но если это полезно то пусть будет


Мак-адрес меняется в менюшке интерфейса
у всех 5ти интерфейсов строчка мак адреса серая и не меняется.


а DHCP настраивается ... ..я хотел поменять дефолтную локальную сеть 192.168.88.0 на привычную мне 192.168.1.0 ..что то я там намудрил такое что пришлось свой адрес вручную прописывать чтоб к роутеру подключиться.

с кабелем.... сколько проводов нужно для гигабита? уж не восемь ли? и может там нужно идеальное соединение.. а то у меня он в двух местах из кусков скручен и изолентой обмотан. .

Добавление от 04.02.2010 20:02:

О... достал новый кабель..протощил по полу..воткнул в роутер... есть Гиг.. вопрос со скоростью решился.спасибо)

Hamar
посмотрел..не нашёл в этих пунктах ни одной записи

у всех 5ти интерфейсов строчка мак адреса серая и не меняется




Посмотрю завтра, что там такое...



что то я там намудрил такое что пришлось свой адрес вручную прописывать чтоб к роутеру подключиться

Винбокс и нейборвьюер умеют и по MAC-адресу коннектиться. Им IP-адреса пофиг




сколько проводов нужно для гигабита? уж не восемь ли? и может там нужно идеальное соединение.. а то у меня он в двух местах из кусков скручен и изолентой обмотан. .

Мдаа.... как всё запущено Да, нужны восемь идеальных проводов, перевитых попарно

Добавление от 04.02.2010 20:21:

Видимо, такие названия эзернетов присущи только RB750, бо у меня на RB600 таких пунктов не видать...

Добавление от 04.02.2010 20:32:

а маки нельзя менять, видимо, из соображений безопасности, чтобы до них могли добраться только более-менее спецы, знающие, что делают


Остальным желающим сменить МАС-адрес: для этого следует выполнить в терминале следующую команду:

/interface ethernet set <number> mac-address=01:23:45:67:89:AB

где <number> - номер интерфейса в списке ethernet-интерфейсов

Hamar
Ничего, привыкнете Там на самом деле всё логично и просто.

1) Master-Port - это функционал встроенного свитча. http://wiki.mikrotik.com/wiki/Switch_Chip_Features Вкратце говоря, Master-Port - это логическое соединение между ядром роутера и логикой свитча. Дает ускорение работы на сгруппированных в свитч интерфейсах.
На скриншоте - по крайней мере просто переименованы интерфейсы таким образом. Загляните в их свойства, и, для обычной работы роутера в свойствах интерфейсов сделайте "Master-Port"=none
2) Исходя из вышеизложенного, траффик проследить в данной конфигурации нельзя.
3) Ошибки приема (RX) с физического интерфейса
4) Только в консоли или в терминалке внутри винбокса.
5) Главное Меню - Files. Там есть полный backup и restore.
В читабельном виде можно получить при помощи команды export file=myconfig При этом символы \ в конце строк - это просто "знаки переноса" строки (для удобства). Для исполнения команд они не учитываются.
Для внесения настроек на место исполните команду import file=myconfig
6) Драный кабель =)


Джамаль
Видимо, такие названия эзернетов присущи только RB750, бо у меня на RB600 таких пунктов не видать...
Готовые коробочки сейчас идут с предустановленной конфигурацией "шлюз для малого офиса" и интерфейсы так поименованы.

Вот, например, дефолтный конфигурационный скрипт с RB450G

Исправлено: Ильясла, 05.02.2010 10:47

Ильясла
Готовые коробочки сейчас идут с предустановленной конфигурацией "шлюз для малого офиса" и интерфейсы так поименованы


Йасно. У нас не домашние коробочки, и поэтому там скрипт не объединяет порты в коммутатор.

Подскажите, возможно ли сконфигурировать 750G на 2 WAN с балансировкой нагрузки из WinBox?