اولین کانفیگ میکروتیک از صفر: اینترنت، شبکهٔ داخلی، DHCP و NAT

روتر میکروتیک نو با یک کانفیگ پیش‌فرض می‌آید: پورت اول به اینترنت، بقیهٔ پورت‌ها شبکهٔ داخلی با آدرس 192.168.88.1، DHCP روشن و یک فایروال پایه. برای خانه همین کافی است. ولی برای دفتر بهتر است بدانید هر قطعه چه می‌کند، و بهترین راهش یک بار ساختن همه‌چیز از صفر است.

ورود اول

1. کامپیوتر را با کابل به یکی از پورت‌های داخلی (نه پورت ۱) وصل کنید.
2. WinBox را باز کنید؛ در تب Neighbors روتر با MAC آدرسش دیده می‌شود. روی آن کلیک کنید و وارد شوید.
3. کاربر admin است. دستگاه‌های جدید رمز اختصاصی دارند که روی برچسب دستگاه چاپ شده؛ دستگاه‌های قدیمی رمز خالی دارند و باید همان لحظه رمز بگذارید.

Quick Set یا دستی؟

Quick Set یک صفحهٔ ساده است که اینترنت، وای‌فای و رمز را در یک فرم می‌گیرد و برای خانه خوب است. اما اگر بعداً VPN، چند شبکه یا صف اضافه کنید، Quick Set ممکن است تنظیمات دستی شما را به هم بریزد. برای دفتر، یا Quick Set را فقط بار اول استفاده کنید و بعد سراغش نروید، یا از صفر شروع کنید:

/system/reset-configuration no-defaults=yes skip-backup=yes

ساختن کانفیگ قدم‌به‌قدم

فرض: ether1 به مودم یا لینک اینترنت وصل است و ether2 تا ether5 شبکهٔ داخلی‌اند.

۱. bridge برای شبکهٔ داخلی

bridge چند پورت را به یک شبکهٔ واحد تبدیل می‌کند، مثل یک سوییچ:

/interface/bridge/add name=bridge-lan
/interface/bridge/port/add bridge=bridge-lan interface=ether2
/interface/bridge/port/add bridge=bridge-lan interface=ether3
/interface/bridge/port/add bridge=bridge-lan interface=ether4
/interface/bridge/port/add bridge=bridge-lan interface=ether5
/interface/list/add name=WAN
/interface/list/add name=LAN
/interface/list/member/add list=WAN interface=ether1
/interface/list/member/add list=LAN interface=bridge-lan

لیست‌های WAN و LAN بعداً در فایروال به کار می‌آیند: به جای اسم پورت، می‌گویید «هر چیزی که از WAN می‌آید».

۲. آدرس شبکهٔ داخلی

/ip/address/add address=192.168.10.1/24 interface=bridge-lan

۳. اینترنت: یکی از این سه حالت

مودم با DHCP (رایج‌ترین حالت پشت مودم ADSL/VDSL/فیبر):

/ip/dhcp-client/add interface=ether1 use-peer-dns=no add-default-route=yes

PPPoE (وقتی مودم bridge است و نام کاربری اینترنت را روی روتر می‌زنید):

/interface/pppoe-client/add name=pppoe-out1 interface=ether1 user="USERNAME" \
    password="PASSWORD" add-default-route=yes use-peer-dns=no disabled=no
/interface/list/member/add list=WAN interface=pppoe-out1

IP ثابت (لینک اختصاصی یا دیتاسنتر):

/ip/address/add address=203.0.113.10/29 interface=ether1
/ip/route/add dst-address=0.0.0.0/0 gateway=203.0.113.9

۴. DNS

/ip/dns/set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

با allow-remote-requests=yes روتر برای دستگاه‌های داخلی DNS می‌شود و جواب‌ها را کش می‌کند. ولی این یعنی پورت ۵۳ روتر باز است؛ فایروال مقالهٔ بعد باید جلوی درخواست DNS از اینترنت را بگیرد، وگرنه روتر شما ابزار حمله‌های DNS دیگران می‌شود.

۵. DHCP برای دستگاه‌های داخلی

/ip/pool/add name=lan-pool ranges=192.168.10.100-192.168.10.250
/ip/dhcp-server/add name=lan-dhcp interface=bridge-lan address-pool=lan-pool
/ip/dhcp-server/network/add address=192.168.10.0/24 gateway=192.168.10.1 \
    dns-server=192.168.10.1

آدرس‌های ۲ تا ۹۹ را برای دستگاه‌هایی که IP ثابت لازم دارند (پرینتر، سرور، دوربین) خالی گذاشتیم.

۶. NAT

همهٔ دستگاه‌های داخلی با یک IP عمومی به اینترنت می‌روند:

/ip/firewall/nat/add chain=srcnat out-interface-list=WAN action=masquerade

از این لحظه اینترنت کار می‌کند. ولی هنوز تمام نشده‌ایم: روتر هیچ فایروالی ندارد.

چک‌لیست بعد از کانفیگ

1. فایروال بگذارید؛ مقالهٔ بعد یک فایروال آماده دارد.
2. سرویس‌های اضافه را خاموش کنید و دسترسی مدیریت را به شبکهٔ داخلی محدود کنید (چک‌لیست امن‌سازی).
3. ساعت درست: /system/clock/set time-zone-name=Asia/Tehran و /system/ntp/client/set enabled=yes servers=pool.ntp.org. لاگ با ساعت غلط به درد نمی‌خورد.
4. اسم دستگاه: /system/identity/set name=office-gw؛ وقتی چند روتر دارید، خیلی کمک می‌کند.
5. بکاپ بگیرید (بکاپ خودکار).