راه‌اندازی اولیه میکروتیک برای شبکه دفتر

مبنای مستندات این صفحه RouterOS 7.26 است؛ عددی که مرجع رسمی هنگام بررسی در ۱۵ اکتبر ۲۰۲۶ نشان می‌دهد. این عدد نسخه آزمایش‌شده ما یا توصیه ارتقا به یک انتشار مشخص نیست. نسخه نصب‌شده و گزینه‌های موجود دستگاه خود را پیش از اجرا تطبیق دهید.

نمونه ما یک MikroTik hEX با تنظیمات پیش‌فرض Router است: ether1 به مودم یا روتر بالادست وصل می‌شود و ether2 تا ether5 سمت LAN هستند. محدوده LAN نمونه 192.168.88.0/24 است. بالادست باید اینترنت آماده و DHCP فعال در محدوده‌ای متفاوت، مثلاً 192.168.1.0/24، داشته باشد. نام پورت و تنظیم واقعی مدل خود را با این فرض تطبیق دهید.

این مراحل برای CHR، روتر بدون کانفیگ، اتصال PPPoE یا IP ثابت، شبکه دارای دامین، چند اینترنت یا انتقال شبکه در حال کار کافی نیست. اگر WAN و LAN هم‌پوشانی دارند یا تنظیم پیش‌فرض قبلاً عوض شده است، ادامه این نمونه مناسب نیست؛ ابتدا طرح آدرس‌دهی و راه حفظ دسترسی مشخص شود. شناخت میکروتیک و RouterOS پیش‌نیاز مفهومی این آموزش است.

در شروع، WAN را جدا نگه دارید و کامپیوتر مجاز را با کابل به ether2 وصل کنید؛ دریافت IP و DNS کامپیوتر خودکار باشد. WinBox را از وب‌سایت رسمی MikroTik بگیرید. اگر کلاینت از محدوده مورد انتظار IP گرفت، با آدرس LAN روتر، در این نمونه 192.168.88.1، وارد شوید. در اتصال اولیه محلی، Neighbors و MAC می‌توانند برای پیداکردن دستگاه کمک کنند؛ مدل و MAC را با دستگاه خود تطبیق دهید.

رمز اولیه را از برچسب و راهنمای همان دستگاه بگیرید؛ خالی‌بودن رمز admin را برای همه مدل‌ها فرض نکنید. اگر پیام Default Configuration آمد، تنظیمات را نگه دارید. Remove Configuration یا Reset، مرحله لازم این روش نیست.

پیش از تغییر، بکاپ رمزدار و Export تنظیمات را بیرون روتر نگه دارید. برای تغییرات کوچک و قابل برگشت، Safe Mode را در WinBox فعال کنید؛ پس از کنترل نتیجه آن را آزاد کنید تا تغییر حفظ شود. Safe Mode جای بکاپ و دسترسی محلی را نمی‌گیرد.

در System → Users، برای مدیر مسئول حساب مشخص با سطح مدیریتی لازم، برای مدیر اصلی این تمرین گروه full، و رمز قوی و یکتا بسازید. در یک نشست دوم، ورود با حساب جدید را بررسی کنید و بعد حساب admin پیش‌فرض را غیرفعال کنید. از رمز آماده داخل مثال‌ها استفاده نکنید. در System → Identity نامی مانند Office-Router بدهید تا دستگاه با روتر دیگر اشتباه نشود.

فرمان‌های زیر فقط وضعیت را نشان می‌دهند. آن‌ها را در Terminal روتر اجرا کنید و خروجی را با ساختار شرح‌داده‌شده در این سناریو مقایسه کنید.

/system/resource/print
/interface/bridge/port/print
/interface/list/member/print
/ip/address/print
/ip/dhcp-server/print detail
/ip/firewall/filter/print
/ip/firewall/nat/print

در این نمونه، پورت‌های داخلی عضو bridge هستند، ether1 عضو آن bridge نیست، آدرس 192.168.88.1/24 روی bridge قرار دارد و DHCP Server فقط برای LAN است. فهرست‌های WAN و LAN هم باید رابط درست را شامل شوند. اگر این ساختار موجود است، bridge، آدرس یا DHCP دوم نسازید.

قواعد فعال پیش‌فرض باید ورود ناخواسته از WAN به خود روتر و ترافیک عبوری را کنترل کنند؛ قاعده masquerade نیز برای خروج IPv4 این سناریو استفاده می‌شود. صرف وجود چند ردیف در Firewall کافی نیست؛ رابط، ترتیب و وضعیت فعال قواعد باید مطابق کانفیگ پیش‌فرض مدل باشد. فرمان /system/default-configuration/print متن پیش‌فرض مدل را نشان می‌دهد، نه تضمین برابری کانفیگ فعلی با آن. اگر قواعد حذف یا دست‌کاری شده‌اند، قبل از اتصال WAN آن‌ها را بازبینی کنید.

پس از تغییر دستی، تنظیم‌های QuickSet را دوباره اعمال نکنید؛ ممکن است انتخاب‌های قبلی شما را تغییر دهد. هر تغییر بعدی را در بخش مشخص همان سرویس انجام دهید.

در IP → Services، سرویس‌هایی مانند Telnet، FTP، WebFig یا API را که در این سناریوی WinBox استفاده نمی‌کنید غیرفعال کنید. ردیف winbox را باز کنید و در Available From آدرس یا پیشوند مدیریت مجاز را وارد کنید؛ پیش از اعمال محدودیت، آدرس واقعی کامپیوتر و امکان ثابت‌ماندن آن را بررسی کنید. محدودکردن سرویس مکمل فایروال است.

پس از آزمون ورود با IP، دسترسی‌های MAC و Neighbor Discovery را در شبکه عملیاتی غیرفعال یا طبق طرح مدیریت محدود کنید. وقتی هنوز از MAC متصل هستید، تنها مسیر خود را نبندید. دسترسی مدیر از اینترنت را برای تکمیل این آموزش باز نکنید. طراحی VLAN مدیریت و قواعد اختصاصی فایروال، ادامه‌ای جدا برای شبکه واقعی است.

پس از کنترل دسترسی و فایروال، LAN مودم بالادست را به ether1 روتر وصل کنید. در IP → DHCP Client، ردیف مربوط به ether1 را بررسی کنید. اگر از قبل وجود دارد، همان را استفاده کنید. فقط وقتی این رابط واقعاً WAN است و هیچ DHCP Client برای آن وجود ندارد، نمونه زیر یک مورد می‌سازد:

/ip/dhcp-client/add interface=ether1 add-default-route=yes use-peer-dns=yes disabled=no

use-peer-dns=yes یعنی DNS اعلام‌شده از بالادست مورد اعتماد پذیرفته می‌شود؛ در شبکه دارای DNS سازمانی، این انتخاب را خودکار تعمیم ندهید. وضعیت bound باید همراه IP و Gateway معتبر باشد. در IP → Routes، مسیر پیش‌فرض فعال و در IP → DNS، DNS قابل استفاده را بررسی کنید. bound بودن به‌تنهایی اینترنت را اثبات نمی‌کند.

اگر DHCP Client روی searching ماند، کابل، پورت بالادست و سرویس DHCP آن را بررسی کنید. برای اینترنت PPPoE، IP ثابت یا نیازمند VLAN، دستور دیگری لازم است؛ اضافه‌کردن مکرر DHCP Client آن اتصال را درست نمی‌کند. مودم Router در بالادست ممکن است Double NAT ایجاد کند؛ برای معنی آن راهنمای NAT را بخوانید.

اگر DHCP به کلاینت، خود روتر را به‌عنوان DNS می‌دهد، روتر باید پاسخ‌گویی DNS برای LAN و دسترسی به DNS بالادست داشته باشد؛ پاسخ‌گویی DNS نباید به WAN باز شود. افزودن DNS عمومی روی تک‌تک کلاینت‌ها، راه پنهان‌کردن تنظیم نادرست DHCP نیست. جزئیات محدوده و رزرو در آموزش DHCP میکروتیک آمده است.

این راهنما آزمون IPv4 است؛ اگر IPv6 در شبکه فعال است، سیاست و دسترسی آن باید جدا بررسی شود. نتیجه، نسخه، پورت‌ها و محدودیت‌های واقعی را ثبت و پس از تأیید، بکاپ جدید بگیرید. با شکست آزمون، تغییر اخیر را از مسیر مدیریت موجود برگردانید؛ برای رفع یک خطا، روتر شرکت را Reset نکنید. برای اجرای متناسب با شبکه دفتر، خدمات میکروتیک را ببینید.