RouterOS的一些基础配置指南

Foreword

记录一些折腾RouterOS时遇到过的奇奇怪怪的问题

RouterOS的工业设计水平很渣，但是流畅度max

基础配置

RouterOS的一些知识库，可以参考这里

https://mp.weixin.qq.com/mp/homepage?__biz=MzIwOTIzMzA4OQ==&hid=4&sn=26ae13d6e36d090c7377faddfb70cdd9&scene=18

桥接Fit AP模式

https://docs.qq.com/doc/DYmdPcWRVU2hhcGty

拨号路由

https://docs.qq.com/doc/DYmV3a296Z1BrY0lS

端口隔离

https://wiki.edcwifi.com/index.php?title=Bridge_%E5%AE%9E%E7%8E%B0%E4%BA%8C%E5%B1%82%E7%AB%AF%E5%8F%A3%E9%9A%94%E7%A6%BB

端口映射

IP-Firewall-NAT中，选择dstnat，选好协议和目的端口，入口是外网端口也就是ppppoe，然后Action中也是dst-nat，转发到内网的目标地址和目标端口

这种方式被称为无回流模式，其实就是说在内网环境中直接用外网地址和IP访问会出现无法访问的情况，但是外网直接访问是可以的

如果想要外网可以正常访问，设置一下Dst. Address为公网IP即可

发射功率

发射功率这个实际测试，似乎不是很理想，翻看了多篇官方帖子，说的都不是很明白。

最后不如直接换小db的天线或者是直接上金属屏蔽罩来的快

https://wiki.mikrotik.com/wiki/Manual:Wireless_FAQ#What_TX-power_values_can_I_use?

网桥

这种方式的网桥是基础网桥，也就是常见的无线中继，大多数无线路由器都具备这功能。

https://docs.qq.com/doc/DYkZCRXl1c09JUEpz

还有专业的网桥模式和网桥协议，适合超远距离的网络传输

POE

Mikrotik很多老设备都是非标的POE，不支持POE，只有新设备才支持。

cAP ax、ac等设备本身设计上是支持POE IN和POE OUT的，但是POE的输入和输出电流是有限的，所以不能无限串联，他的电流限制让他只能串联1个AP

而且cAP ax实际直接没有桥接ether1，这就导致，默认作为AP，他是不好用的。只有ether2才桥接到了WIFI，ether2接入才能进行配置，这就很蠢了。

正常使用的时候一定要先桥接ether1。

WireGuard

组网必备

http://www.irouteros.com/?p=1690

https://help.mikrotik.com/docs/display/ROS/WireGuard

CAPsMAN配置

CAPsMA基本就是RouterOS最接近AC的管理模式了，还有一个监控的关键软件那就是The Dude，不过dude还是以监控为主。

https://mp.weixin.qq.com/s?__biz=MzIwOTIzMzA4OQ==&mid=502469133&idx=1&sn=a2aee8e5b1a8e58292a9eb5e83aace53&scene=19#wechat_redirect

使用CAPsMAN也有以下几点要注意

使用CAPsMAN最好都是同版本，否则可能会有兼容性问题
WIFI Wave2和普通WIFI 5 是无法通用一个CAPsMAN的，各管各的，不能跨模式
CAPsMAN中的DFS设置后，需要扫描一段时间后才能下发配置，刚开始用看起来就像没配置上

基本所有AP设置了DFS，都会出现启动以后可能对应的SSID并没有被辐射出来，因为实际需要几分钟扫描DFS信道，确认干净以后才能实际使用。当然也会出现使用过程中发现有雷达或者其他什么东西使用了DFS，而出现避让切换信道的情况，看起来就像所有设备同时掉线了。

CAPsMAN和漫游相关问题

https://mum.mikrotik.com/presentations/CN19/presentation_7181_1571792982.pdf

简单说官方没有任何关于CAPsMAN是可以漫游的说明，但是从普遍测试的结果来看，实际CAPsMAN，在切换地点的时候，是明显可以降低丢包的的程度的，好的情况下是可以0丢包的。

真正的漫游，应该是从支持 Wifi Wave2的设备开始，有了802.11 K、R协议以后才有可能支持漫游。

CAPsMAN自动剔除低信号客户端

https://timigate.com/2018/10/use-mikrotik-capsman-to-manage-all-access-points-and-enable-roaming.html

Wave2 成功漫游

成功的参考对象，就是需要hAP ax3的新设备，老设备不太行

https://forum.mikrotik.com/viewtopic.php?t=199764

成功漫游的log

0C:C6:FD:XX:XX:XX@distant-AP-wifi-2G roamed to 0C:C6:FD:XX:XX:XX@closer-AP-wifi-5G, signal strength -66

失败的漫游

0C:C6:FD:XX:XX:XX@distant-AP-wifi-5G disconnected, connection lost, signal strength -92
0C:C6:FD:XX:XX:XX@closer-AP-wifi-5G connected, signal strength -75

Firewall

RouterOS禁止windows系列更新

/ip firewall raw
add action=drop chain=prerouting content=update.microsoft.com comment=”Blocking Windows Update”
add action=drop chain=prerouting content=download.microsoft.com
add action=drop chain=prerouting content=download.windowsupdate.com
add action=drop chain=prerouting content=windowsupdate.com
add action=drop chain=prerouting content=wustat.windows.com
add action=drop chain=prerouting content=ntservicepack.microsoft.com
add action=drop chain=prerouting content=stats.microsoft.com
add action=drop chain=prerouting content=wustat.windows.com
add action=drop chain=prerouting content=windowsupdate.microsoft.com

或者通过filter过滤

FILTERS

/ip firewall filter
add action=reject chain=forward comment=”block_WinUp” content=update.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=download.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=download.windowsupdate.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=wustat.windows.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=ntservicepack.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=stats.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=windowsupdate.com disabled=no reject-with=icmp-network-unreachable

还有一种7层过滤REGEXP Layer 7

/ip firewall layer7-protocol
add name=”windows update ” regexp=”^.+(http://windowsupdate.microsoft.com|http://.windowsupdate.microsoft.\ com|https://.windowsupdate.microsoft.com|http://.update.microsoft.com|https://.update.microsoft.com|\
http://.windowsupdate.com|http://download.windowsupdate.com|http://download.microsoft.com|http://.dow\
nload.windowsupdate.com).*\$”

/ip firewall filter
add action=drop chain=forward comment=”windows update Drop” layer7-protocol=”windows update ” src-address=\
192.168.xxx.0/24
add action=drop chain=input dst-port=21-23 protocol=tcp

疑难问题

无法发现设备

cAP XL ac 这种类型的设备，是专门用来给酒店或者医院、学校使用的，所以他有一入，一出的POE，而入口的POE这里默认情况下开启了防火墙，规则里设置了不允许从Eth1口发现设备，所以怎么都看不到。反而是无线可以发现设备，他的设计是串联使用的，所以Eth2口出来的可以发现设备。

遇到这种无法发现设备的，一般都是开启了防火墙，并且设置了对应的规则，取消就能正常发现设备了

还有一种情况，发现设备使用的端口被其他程序占用了。

大概率是打开了迅雷，迅雷会占用winbox用来寻找ap的端口，导致winbox无法正常工作(关闭迅雷，可能还有残留程序存在)

简单说就是打开任务管理器，结束所有以Thunder开头的程序，然后重新打开winbox就可以了，准确说就是ThunderPlatform进程导致的

winbox无法账号密码登录

将WinBox中的Legacy Mode打勾即可

登录密码错误

默认账号是admin，密码是空，但是hAP等设备不同，他们默认密码是不一样的，记录在硬件的抽拉信息块里，每次重置以后都会恢复这个密码

国家不能切换

经常遇到国家是etsi的情况下，无法切换国家的问题

这种是由于在快速向导的设置界面，有Bug，只要切换了就会自动切回来。

要正确修改国家可以去Wireless中单独对射频端口设置国家

DHCP关不干净

有时候直接把DHCP服务关闭，并不一定真的能关掉，最好直接把DHCP直接删掉，包括IP池也是，否则很容易出现DHCP ip依然在使用。

Summary

还有更多需要设置的东西，还会继续补充完善

Quote

https://forum.mikrotik.com/viewtopic.php?t=188815

https://timigate.com/2018/10/use-mikrotik-capsman-to-manage-all-access-points-and-enable-roaming.html

https://forum.mikrotik.com/viewtopic.php?t=199764

https://forum.mikrotik.com/viewtopic.php?t=176390