RouterOS: Настройка системы

Записки и примеры конфигураций IOS/RouterOS

Модератор: ROOT

RouterOS: Настройка системы

Сообщение ROOT » 29 ноя 2024, 20:43

Оглавление


Подготовка
Управление оборудованием MikroTik осуществляется при помощи нескольких инструментов
  • WinBox — утилита, позволяющая администрировать устройства MikroTik со встроенной операционной системой RouterOS и вести наблюдение за их работой. Данная утилита доступна под операционные системы Windows, MacOS и с недавних пор Linux
  • WebFig — веб-интерфейс для доступа к настройкам RouterOS, который используется как альтернатива утилите WinBox. WebFig и WinBox имеют схожие интерфейсы и позволяют получить доступ к большинству возможностей RouterOS. Для использования веб-интерфейса нужен только браузер с поддержкой JavaScript. Поддерживает работу по протоколам как HTTP так и HTTPS
  • SSH — стандартный способ настройки поддерживается и оборудованием MikroTik. Именно этот способ управления будет основным в этой серии заметок
  • Telnet — так же доступен, но не рекомендован к использованию в боевых условиях из-за своей небезопасности (рекомендуется отключать при начальной настройке)
Для начала скачиваем WinBox с сайта MikroTik под нужную Вам операционную систему и необходимой разрядности. Если на рабочей станции, с которой планируется осуществлять управление, включен firewall, то нужно открыть udp port 5678 для работы с протоколом MikroTik Neighbor Discovery Protocol MNDP. Этот шаг очень важен и даёт возможность находить соседние устройства (Neighbor) и подключаться по MAC-адресам.
Начальная настройка
При помощи WinBox подключаемся к устройству по MAC-адресу с именем admin и пустым паролем. В случае если будет предложено поменять пароль, устанавливаем новый пароль. Далее переходим IP => Addresses и настраиваем IP адрес на интерфейсе к которому подключились проводом. Это пожалуй два желательных действия которые нужно сделать для обеспечения доступа по SSH. Вся дальнейшая работа по настройке маршрутизатора будет проходить в CLI по SSH


Установим скорость и дуплекс на всех интерфейсах, а так же зададим соответствующие комментарии
Код: выделить все
/interface ethernet {
   set [ find default-name=ether1 ] advertise=100M-baseT-full comment="WAN PORT" disable-running-check=no
   set [ find default-name=ether2 ] advertise=100M-baseT-full comment="On Bridge" disable-running-check=no
   set [ find default-name=ether3 ] advertise=100M-baseT-full comment="On Bridge" disable-running-check=no
}

Создаём МОСТ с admin-mac взятом с интерфейса ether2
Код: выделить все
:global BridgeName "bridge1"
:global SourceInterface "ether2"
:global AdminMac [/interface ethernet get [find where name=$SourceInterface] mac-address]
/interface bridge add admin-mac=$AdminMac comment="LAN Bridge" name=$BridgeName
/interface bridge port add bridge=$BridgeName interface=$SourceInterface
/interface bridge port add bridge=$BridgeName interface=ether3
# удаляем за собой переменные
:set sourceInterface
:set BridgeName
:set AdminMac

распределяем интерфейсы по interface-list'ам
Код: выделить все
/interface list {
   add comment=ISP name=WAN_IF
   add comment="Local NetWork" name=LAN_IF
}
/interface list member {
   add comment=ISP interface=ether1 list=WAN_IF
   add comment="Local NetWork" interface=bridge1 list=LAN_IF
}

&&&Задаем адрес, шлюз IPv4 и dns servers. Задаем адрес и шлюз IPv6
Код: выделить все
/ip/address add address=195.0.1.14/24 comment="WAN IPv4 Address" interface=ether1 network=195.0.1.0
/ip address add address=10.10.10.254/24 comment="LAN IPv4 Address" interface=bridge1 network=10.10.10.0
/ip/route add comment="Def route to ISP IPv4" disabled=no dst-address=0.0.0.0/0 gateway=195.0.1.254 routing-table=main suppress-hw-offload=no
/ipv6/address add address=2000:2cc0:13b1:3333::14 advertise=no interface=ether1
/ipv6/route add disabled=no distance=1 dst-address=::/0 gateway=2000:2cc0:13b1:3333::1 routing-table=main scope=30 suppress-hw-offload=no target-scope=10

Примечание: При некоторых условиях доступ по MAC-адресу к сброшенному устройству невозможен. У меня эта ситуация возникла из-за работы RouterOS на виртуальной машине VirtualBox. WinBox на хостовой машине (linux) выдавал сообщение об ошибке "ERR: Could not connect, MacConnection syn timeout." Доступ был получен по link local address ipv6. Эта же проблема отсутствовала при попытке подключиться с гостевой системы Windows



DHCP- Server
Создадим пул IP адресов, сервер, сеть и укажем передаваемые параметры для выдачи клиентам локальной сети 10.10.10.0/24
Код: выделить все
/ip pool add comment="ranges addesses for Lan" name=dhcp_pool0 ranges=10.10.10.100-10.10.10.253
/ip dhcp-server add address-pool=dhcp_pool0 comment="Server For Lan" interface=bridge1 lease-time=1d name=dhcp1
/ip dhcp-server network add address=10.10.10.0/24 comment="Network config for Lan" dns-server=10.10.10.254 domain=test.ru gateway=\
      10.10.10.254 ntp-server=10.10.10.254

Для авторизации ssh по ключу передаем его на роутер
Код: выделить все
scp .ssh/id_route.pub ros:
ssh ros

Затем импортируем переданный ключ на роутере и задаём предпочтительный тип (Ed25519) для генерации ключа.
Код: выделить все
/user/ssh-keys import user=admin public-key-file=id_route.pub
/user/ssh-keys print
/ip/ssh set host-key-type=ed25519

Смотрим полученный результат
Код: выделить все
/ip/ssh print

Настраиваем пользователей
Код: выделить все
/user/add name=UserAdmin password=123456 group=full

Отключаем пользователя admin
Код: выделить все
/user/disable admin

Или удаляем его
Код: выделить все
/user/remove admin

Для изменения MAC адреса применим следующую команду
Код: выделить все
/interface/ethernet set ether1 mac-address=01:23:45:67:89:00

Для облегчения идентификации устройств настроим identity. Строка может быть любой, но удобней если она будет совпадать с доменным именем устройства
Код: выделить все
/system/identity set name=ros.test

Опция allow-remote-requests вывешивает 53 порт на все интерфейсы (кэширующий dns-сервер). Нужно прикрыть 53 порт на внешнем интерфейсе в Firewall
Код: выделить все
/ip dns set allow-remote-requests=yes cache-max-ttl=10m servers=195.0.1.254,2000:2cc0:13b1:3333::1

Настраиваем doh DNS сервера от Google
Код: выделить все
/tool fetch url=https://curl.se/ca/cacert.pem
/certificate import file-name=cacert.pem passphrase=""
/ip dns set allow-remote-requests=yes cache-max-ttl=10m use-doh-server=https://dns.google/dns-query verify-doh-cert=yes
/ip/dns/static {
   add address=8.8.8.8 comment="For doh-server" name=dns.google type=A
   add address=8.8.4.4 name=dns.google type=A
   add address=2001:4860:4860::8888 name=dns.google type=AAAA
   add address=2001:4860:4860::8844 name=dns.google type=AAAA
   add comment="forward requests to an authoritative server" forward-to=2000:2cc0:13b1:3333::3 match-subdomain=yes name=free-adm.ru type=FWD
   add forward-to=195.0.1.3 match-subdomain=yes name=free-adm.ru type=FWD   
}

Статические записи для google DNS были добавлены для установки связи с doh-server, так как не указаны сервера работающие по незащищённому 53 порту. Запись type=FWD направляет все запросы к хостам в домене free-adm.ru на авторитетный сервер отвечающий за зону.
Выставляем ограничение на службы и Отключаем неиспользуемые сервисы
Код: выделить все
/ip service {
   set telnet disabled=yes
   set api disabled=yes
   set api-ssl disabled=yes
   set ftp address=195.0.1.3/32,2000:2cc0:13b1:3333::3/128
   set www address=2000:2cc0:13b1:3333::/64,195.0.1.0/24
   set ssh address=195.0.1.0/24,2000:2cc0:13b1:3333::/64
   set www-ssl address=2000:2cc0:13b1:3333::/64,195.0.1.0/24 disabled=no
   set winbox address=195.0.1.0/24,2000:2cc0:13b1:3333::/64
}

Устанавливаем временную зону
Код: выделить все
/system clock set time-zone-autodetect=no time-zone-name=Europe/Moscow

Настраиваем NTP client и NTP server
Код: выделить все
/system/ntp/client set enabled=yes
/system/ntp/client servers add address=194.190.168.1
/system/ntp/server set enabled=yes manycast=yes use-local-clock=yes

Вывод текущей даты, времени и временной зоны
Код: выделить все
/system/clock print

Отключаем неиспользуемые сервисные порты (аналог helper)
Код: выделить все
/ip/firewall/service-port {
   set tftp disabled=yes
   set h323 disabled=yes
   set sip disabled=yes
   set pptp disabled=yes
}

Ограничиваем mac-server и mac-winbox списком интерфейсов, и отключаем mac-ping
Код: выделить все
/tool mac-server
set allowed-interface-list=LAN_IF
/tool mac-server mac-winbox
set allowed-interface-list=LAN_IF
/tool mac-server ping
set enabled=no

Активируем доступ к выделенной папке по протоколу SMB/CIFS
Код: выделить все
/ip smb users add name=serg
/ip smb set enabled=yes interfaces=bridge1
/ip smb shares set [ find default=yes ] directory=sata1 disabled=no

Ограничиваем область видимости для протокола MNDP локальной сетью
Код: выделить все
/ip/neighbor/discovery-settings/set discover-interface-list=LAN

Подключаемся к Radius Server для авторизации на устройстве
Код: выделить все
/radius add address=195.0.1.3 comment="Login Radius Server" service=login src-address=195.0.1.14
/user/aaa set default-group=full use-radius=yes

Настраиваем отображение статистики по сетевым интерфейсам, а так же по загрузке CPU, RAM и Disk
Код: выделить все
/tool graphing interface
add interface=ether1
add interface=bridge1
/tool graphing resource
add

Обновление системы RouterOS
Можно выбрать ветку из которой будет производиться обновление
  • development
  • long-term
  • stable
  • testing
Код: выделить все
/system package update/set channel=stable

Проверить наличие обновление
Код: выделить все
/system package update/check-for-updates

Установить обновление
Код: выделить все
/system package update/install

Обновление аппаратной прошивки
Проверить наличие обновлений аппаратной прошивки:
Код: выделить все
/system/routerboard/print

Установить обновления аппаратной прошивки в случае ее наличия:
Код: выделить все
/system/routerboard/upgrade

Перезагрузить маршрутизатор.
Администрирование Fedora Linux + настройка сети и прочая IT-Ботва


Для желающих поддержать
Карта SB: 5469 4009 6510 2267


Лучше ужасный конец, чем ужас без конца!
Аватар пользователя
ROOT
Администратор
 
Сообщений: 436
Зарегистрирован: 01 авг 2011, 09:36
Откуда: Моск. обл., г. Железнодорожный

Вернуться в CISCO / MikroTik

Кто сейчас на форуме

Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 1

cron