Первый запуск RouterOS: подключение через WinBox и настройка интерфейсов

Новый MikroTik из коробки — это чистый лист: заводской IP 192.168.88.1 на одном порту, минимальный firewall и никакой конфигурации под твою сеть. Прежде чем устройство станет полноценным маршрутизатором в инфраструктуре, его нужно правильно инициализировать: подключиться, обновить систему, сбросить лишнее, объединить порты в bridge и выдать интерфейсам осмысленные имена. В этой статье разберём процесс на примере роутера rtr-edge01, который мы готовим для сети 192.168.10.0/24 в домене itpages.lab.local.

Работать будем через WinBox — это самый быстрый способ достучаться до свежего устройства, потому что он находит роутер по MAC-адресу даже без IP-адресации в нужной подсети. Позже, когда базовая настройка будет готова, ты сможешь администрировать устройство и через SSH, и через веб-интерфейс, а WinBox останется удобным инструментом для повседневной работы: он показывает загрузку интерфейсов в реальном времени и позволяет редактировать конфигурацию в привычных таблицах, а не только в командной строке.

Подключение через WinBox

Подключи компьютер напрямую к одному из портов MikroTik — кроме порта с заводским IP, если хочешь сразу увидеть устройство и по IP, и по MAC. Запусти WinBox, открой вкладку Neighbors — программа находит устройства в локальном broadcast-домене и показывает их MAC-адрес, IP-адрес, идентичность и версию RouterOS.

Кликни по MAC-адресу нужного устройства (это важно на первом запуске, потому что IP может быть ещё не настроен или конфликтовать с твоей сетью) и подключись с логином admin и пустым паролем — на заводской прошивке это стандартная связка. Современные версии RouterOS при первом входе попросят сразу задать пароль администратора — не пропускай этот шаг. Если вкладка Neighbors ничего не находит, проверь, что сетевая карта компьютера не блокирует широковещательные пакеты второго уровня — некоторые корпоративные антивирусы и брандмауэры Windows делают это по умолчанию, и тогда протокол обнаружения MikroTik просто не доходит до WinBox.

Обновление RouterOS и firmware

Сразу после первого входа стоит проверить наличие обновлений. Заводская прошивка часто отстаёт от актуального стабильного релиза на несколько версий, а в новых релизах закрывают в том числе уязвимости в firewall и в самом протоколе WinBox — откладывать обновление не стоит, особенно если роутер со временем будет смотреть в интернет. В терминале WinBox выполни:

/system package update check-for-updates
/system package update download

После загрузки пакетов система предложит перезагрузку — соглашайся, обновление применится автоматически. Отдельно стоит обновить firmware загрузчика (RouterBOOT), который живёт независимо от пакета RouterOS:

/system routerboard print
/system routerboard upgrade

Команда routerboard upgrade требует ещё одной перезагрузки, чтобы новая версия загрузчика вступила в силу — сделай её сразу вслед за обновлением пакетов, одной перезагрузкой закроешь оба апдейта.

Сброс к заводским настройкам (если устройство уже настраивалось)

Если роутер бывший в употреблении или содержит демо-конфигурацию, лучше начать с чистого листа. Открой терминал в WinBox и выполни:

/system reset-configuration no-defaults=yes skip-backup=yes

Устройство перезагрузится с абсолютно пустой конфигурацией, без демо-firewall и без bridge между портами. Это чуть более трудоёмкий путь, чем оставить заводской конфиг, зато ты точно знаешь, что происходит на каждом интерфейсе — а это критично, когда роутер уходит в продакшен. Если хочешь сохранить заводские правила firewall как отправную точку и только убрать демо-адресацию, используй флаг no-defaults=no — RouterOS применит стандартный шаблон конфигурации заново.

Отключение лишних сервисов обнаружения

Заводская конфигурация держит включёнными сервисы, удобные при первой настройке, но лишние в продакшене: Neighbor Discovery (тот самый, который находит устройство через WinBox) и MAC-Telnet. Оба работают на втором уровне сети и не фильтруются обычным IP-firewall, поэтому их стоит ограничить только доверенными интерфейсами:

/interface list add name=LAN-only
/interface list member add list=LAN-only interface=bridge-lan

/ip neighbor discovery-settings set discover-interface-list=LAN-only

После этого обнаружение по MAC продолжит работать из локальной сети для последующего администрирования, но перестанет откликаться на внешнем порту.

Смена пароля администратора

Следующий обязательный шаг на чистом устройстве — закрыть пустой пароль. Через терминал:

/user set admin password=StrongP@ssw0rd2026
/user set admin name=admin

Если планируешь несколько администраторов, сразу создай именные учётные записи вместо общего admin — так проще потом разбираться, кто и что поменял в конфигурации:

/user add name=n.petrov group=full password=AnotherStr0ngPass

Учётную запись admin при этом не удаляй — оставь её как аварийный доступ на случай проблем с групповыми политиками, но убедись, что у неё сложный уникальный пароль, который не пересекается с паролями именных аккаунтов.

Присвоение имени устройству

Осмысленное имя экономит время в списке Neighbors и в логах централизованного мониторинга, особенно когда роутеров в сети становится больше одного.

/system identity set name=rtr-edge01

Создание bridge для LAN-портов

На большинстве моделей RouterOS с заводской конфигурацией порты уже объединены в bridge, но после сброса настроек этого нет — каждый порт живёт отдельно. Объединяем порты, которые пойдут в локальную сеть, в один bridge-интерфейс:

/interface bridge add name=bridge-lan

/interface bridge port add bridge=bridge-lan interface=ether2
/interface bridge port add bridge=bridge-lan interface=ether3
/interface bridge port add bridge=bridge-lan interface=ether4
/interface bridge port add bridge=bridge-lan interface=ether5

Порт ether1 в этой схеме мы оставляем свободным — он станет WAN-интерфейсом и будет настроен в следующей статье серии про подключение к интернету. Не добавляй его в bridge-lan, иначе внешняя сеть провайдера и локальная сеть окажутся в одном broadcast-домене, а это прямой путь к утечке трафика и атакам извне.

Настройка IP-адреса на LAN

Присваиваем bridge-lan адрес из нашей рабочей подсети:

/ip address add address=192.168.10.1/24 interface=bridge-lan network=192.168.10.0

Дальше стоит поднять DHCP-сервер, чтобы устройства в сети сразу получали адрес, шлюз и DNS автоматически:

/ip pool add name=pool-lan ranges=192.168.10.100-192.168.10.200

/ip dhcp-server add name=dhcp-lan interface=bridge-lan address-pool=pool-lan disabled=no

/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1

Заодно настрой DNS-клиент на самом роутере — это пригодится для резолва имён при обновлениях и для будущего DNS-relay в сторону клиентов сети:

/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

Базовые ограничения firewall до подключения к интернету

Даже до появления WAN-подключения имеет смысл включить минимальный набор правил firewall — он останется актуальным, когда роутер выйдет в интернет, и убережёт от случайных ошибок в дальнейшем. Достаточно базового набора цепочки input, который разрешает установленные и связанные соединения, пропускает ICMP для диагностики и роняет всё остальное с недоверенных интерфейсов:

/ip firewall filter add chain=input connection-state=established,related action=accept
/ip firewall filter add chain=input connection-state=invalid action=drop
/ip firewall filter add chain=input protocol=icmp action=accept
/ip firewall filter add chain=input in-interface-list=LAN-only action=accept
/ip firewall filter add chain=input action=drop

Подробный разбор правил firewall, в том числе защиту от сканирования портов и брутфорса, разберём отдельно в статье про firewall — здесь важно просто не оставить input полностью открытым уже на старте.

Проверка интерфейсов

Убедись, что все порты видны системе и физически подняты (флаг R означает running):

/interface print
/interface bridge port print

Если какой-то порт не в running-состоянии — проверь физическое подключение кабеля и настройки на противоположном конце (свитч, конечное устройство). Полезно также посмотреть скорость и дуплекс согласованного линка, особенно если позже заметишь странные просадки скорости:

/interface ethernet monitor ether2 once

Настройка времени и NTP

Правильное время критично для логов firewall, сертификатов VPN и корректной работы DHCP-аренды — если часы роутера уходят в сторону, потом сложно сопоставить события в логах с реальными атаками или сбоями. Задай часовой пояс и подключи NTP-клиент к внешним серверам времени:

/system clock set time-zone-name=Europe/Moscow

/system ntp client set enabled=yes
/system ntp client servers add address=pool.ntp.org
/system ntp client servers add address=ru.pool.ntp.org

Если в сети уже есть контроллер домена или другой авторитетный источник времени, лучше указать его вместо публичных пулов — так все устройства инфраструктуры будут синхронизированы между собой, а не просто близки к реальному времени.

Проверка доступа через SSH

WinBox отлично подходит для первичной настройки, но повседневное администрирование через SSH удобнее автоматизировать скриптами и держать в истории терминала. Убедись, что сервис включён и ограничен нужным списком интерфейсов:

/ip service print
/ip service set ssh port=22 disabled=no

/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes

Telnet, FTP и обычный HTTP на роутере в продакшене не нужны — это старые протоколы без шифрования, которые только увеличивают поверхность атаки. Оставь включёнными SSH, защищённый веб-интерфейс (www-ssl) и сам WinBox, а остальное отключи сразу, пока не забыл.

Сохранение резервной копии

После базовой настройки сразу сделай backup — это займёт секунду, а сэкономит часы при аварии:

/system backup save name=rtr-edge01-initial
/export file=rtr-edge01-initial-export

Экспорт в текстовом виде (.rsc) удобнее для просмотра и версионирования в git, бинарный backup — для быстрого восстановления всей конфигурации целиком, включая пользователей и сертификаты. Держи оба файла: текстовый — для аудита изменений, бинарный — как основной инструмент аварийного восстановления.

Частые ошибки и как их избежать

• Оставленный пустой пароль admin. Даже в лабораторной сети это открытая дверь: если устройство случайно окажется доступно снаружи (например, из-за неверного firewall на WAN), пустой пароль обнаружат за минуты автоматическим сканированием. Меняй пароль первым делом, до любой другой настройки.
• WAN-порт по ошибке добавлен в bridge-lan. Это сразу приводит к тому, что внешняя сеть провайдера получает прямой доступ к внутренним устройствам. Перед добавлением порта в bridge всегда сверяйся со схемой подключения и держи под рукой список интерфейсов на бумаге или в заметках.
• Забытый бэкап перед экспериментами. Если после серии изменений роутер перестал пускать по WinBox, откатиться без свежего backup будет намного дольше, чем настроить заново. Делай /system backup save перед любыми рискованными правками firewall или routing.
• Оставленные включёнными Telnet, FTP и обычный HTTP. Эти сервисы работают без шифрования и по умолчанию доступны с любого интерфейса, включая будущий WAN. Отключай их сразу на этапе первичной настройки, а не откладывай до статьи про firewall.

Автор — Команда IT-Pages