RouterOS的一些基础配置指南

CAPsMAN,NStream,Bridge,Mikrotik,Roaming

Views:  times Updated on May 7, 2024 Posted by elmagnifico on August 30, 2023

Foreword

记录一些折腾RouterOS时遇到过的奇奇怪怪的问题

RouterOS的工业设计水平很渣,但是流畅度max

基础配置

RouterOS的一些知识库,可以参考这里

https://mp.weixin.qq.com/mp/homepage?__biz=MzIwOTIzMzA4OQ==&hid=4&sn=26ae13d6e36d090c7377faddfb70cdd9&scene=18

桥接Fit AP模式

https://docs.qq.com/doc/DYmdPcWRVU2hhcGty

拨号路由

https://docs.qq.com/doc/DYmV3a296Z1BrY0lS

端口隔离

https://wiki.edcwifi.com/index.php?title=Bridge_%E5%AE%9E%E7%8E%B0%E4%BA%8C%E5%B1%82%E7%AB%AF%E5%8F%A3%E9%9A%94%E7%A6%BB

端口映射

无回流

IP-Firewall-NAT中,选择dstnat,选好协议和目的端口,入口是外网端口也就是ppppoe,然后Action中也是dst-nat,转发到内网的目标地址和目标端口

image-20230906142952380

这种方式被称为无回流模式,其实就是说在内网环境中直接用外网地址和IP访问会出现无法访问的情况,但是外网直接访问是可以的

  • 如果想要外网可以正常访问,设置一下Dst. Address为公网IP即可

回流

image-20240507155606454回流一定要有对应的masquerade,如果有问题,出口设置到桥上

image-20240507155722511

对应的配置中不要设置任何出口,这样就会自动回流了,完全不需要其他设置

发射功率

发射功率这个实际测试,似乎不是很理想,翻看了多篇官方帖子,说的都不是很明白。

最后不如直接换小db的天线或者是直接上金属屏蔽罩来的快

https://wiki.mikrotik.com/wiki/Manual:Wireless_FAQ#What_TX-power_values_can_I_use?

网桥

这种方式的网桥是基础网桥,也就是常见的无线中继,大多数无线路由器都具备这功能。

https://docs.qq.com/doc/DYkZCRXl1c09JUEpz

还有专业的网桥模式和网桥协议,适合超远距离的网络传输

POE

Mikrotik很多老设备都是非标的POE,不支持POE,只有新设备才支持。

cAP ax、ac等设备本身设计上是支持POE IN和POE OUT的,但是POE的输入和输出电流是有限的,所以不能无限串联,他的电流限制让他只能串联1个AP

而且cAP ax实际直接没有桥接ether1,这就导致,默认作为AP,他是不好用的。只有ether2才桥接到了WIFI,ether2接入才能进行配置,这就很蠢了。

正常使用的时候一定要先桥接ether1。

WireGuard

组网必备

http://www.irouteros.com/?p=1690

https://help.mikrotik.com/docs/display/ROS/WireGuard

CAPsMAN配置

CAPsMA基本就是RouterOS最接近AC的管理模式了,还有一个监控的关键软件那就是The Dude,不过dude还是以监控为主。

https://mp.weixin.qq.com/s?__biz=MzIwOTIzMzA4OQ==&mid=502469133&idx=1&sn=a2aee8e5b1a8e58292a9eb5e83aace53&scene=19#wechat_redirect

使用CAPsMAN也有以下几点要注意

  • 使用CAPsMAN最好都是同版本,否则可能会有兼容性问题
  • WIFI Wave2和普通WIFI 5 是无法通用一个CAPsMAN的,各管各的,不能跨模式
  • CAPsMAN中的DFS设置后,需要扫描一段时间后才能下发配置,刚开始用看起来就像没配置上

基本所有AP设置了DFS,都会出现启动以后可能对应的SSID并没有被辐射出来,因为实际需要几分钟扫描DFS信道,确认干净以后才能实际使用。当然也会出现使用过程中发现有雷达或者其他什么东西使用了DFS,而出现避让切换信道的情况,看起来就像所有设备同时掉线了。

CAPsMAN和漫游相关问题

https://mum.mikrotik.com/presentations/CN19/presentation_7181_1571792982.pdf

简单说官方没有任何关于CAPsMAN是可以漫游的说明,但是从普遍测试的结果来看,实际CAPsMAN,在切换地点的时候,是明显可以降低丢包的的程度的,好的情况下是可以0丢包的。

真正的漫游,应该是从支持 Wifi Wave2的设备开始,有了802.11 K、R协议以后才有可能支持漫游。

CAPsMAN自动剔除低信号客户端

https://timigate.com/2018/10/use-mikrotik-capsman-to-manage-all-access-points-and-enable-roaming.html

Wave2 成功漫游

成功的参考对象,就是需要hAP ax3的新设备,老设备不太行

https://forum.mikrotik.com/viewtopic.php?t=199764

成功漫游的log

0C:C6:FD:XX:XX:XX@distant-AP-wifi-2G roamed to 0C:C6:FD:XX:XX:XX@closer-AP-wifi-5G, signal strength -66

失败的漫游

0C:C6:FD:XX:XX:XX@distant-AP-wifi-5G disconnected, connection lost, signal strength -92
0C:C6:FD:XX:XX:XX@closer-AP-wifi-5G connected, signal strength -75

Firewall

image-20240219153330060

RouterOS禁止windows系列更新

/ip firewall raw
add action=drop chain=prerouting content=update.microsoft.com comment=”Blocking Windows Update”
add action=drop chain=prerouting content=download.microsoft.com
add action=drop chain=prerouting content=download.windowsupdate.com
add action=drop chain=prerouting content=windowsupdate.com
add action=drop chain=prerouting content=wustat.windows.com
add action=drop chain=prerouting content=ntservicepack.microsoft.com
add action=drop chain=prerouting content=stats.microsoft.com
add action=drop chain=prerouting content=wustat.windows.com
add action=drop chain=prerouting content=windowsupdate.microsoft.com

或者通过filter过滤

FILTERS

/ip firewall filter
add action=reject chain=forward comment=”block_WinUp” content=update.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=download.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=download.windowsupdate.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=wustat.windows.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=ntservicepack.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=stats.microsoft.com disabled=no reject-with=icmp-network-unreachable
add action=reject chain=forward comment=”block_WinUp” content=windowsupdate.com disabled=no reject-with=icmp-network-unreachable

还有一种7层过滤REGEXP Layer 7

/ip firewall layer7-protocol
add name=”windows update ” regexp=”^.+(http://windowsupdate.microsoft.com|http://.windowsupdate.microsoft.\ com|https://.windowsupdate.microsoft.com|http://.update.microsoft.com|https://.update.microsoft.com|\
http://.windowsupdate.com|http://download.windowsupdate.com|http://download.microsoft.com|http://.dow\
nload.windowsupdate.com).*\$”

/ip firewall filter
add action=drop chain=forward comment=”windows update Drop” layer7-protocol=”windows update ” src-address=\
192.168.xxx.0/24
add action=drop chain=input dst-port=21-23 protocol=tcp

疑难问题

无法发现设备

cAP XL ac 这种类型的设备,是专门用来给酒店或者医院、学校使用的,所以他有一入,一出的POE,而入口的POE这里默认情况下开启了防火墙,规则里设置了不允许从Eth1口发现设备,所以怎么都看不到。反而是无线可以发现设备,他的设计是串联使用的,所以Eth2口出来的可以发现设备。

遇到这种无法发现设备的,一般都是开启了防火墙,并且设置了对应的规则,取消就能正常发现设备了

还有一种情况,发现设备使用的端口被其他程序占用了。

大概率是打开了迅雷,迅雷会占用winbox用来寻找ap的端口,导致winbox无法正常工作(关闭迅雷,可能还有残留程序存在)

简单说就是打开任务管理器,结束所有以Thunder开头的程序,然后重新打开winbox就可以了,准确说就是ThunderPlatform进程导致的

winbox无法账号密码登录

img

将WinBox中的Legacy Mode打勾即可

登录密码错误

image-20230830215255966

默认账号是admin,密码是空,但是hAP等设备不同,他们默认密码是不一样的,记录在硬件的抽拉信息块里,每次重置以后都会恢复这个密码

国家不能切换

经常遇到国家是etsi的情况下,无法切换国家的问题

image-20230830212419985

这种是由于在快速向导的设置界面,有Bug,只要切换了就会自动切回来。

要正确修改国家可以去Wireless中单独对射频端口设置国家

DHCP关不干净

有时候直接把DHCP服务关闭,并不一定真的能关掉,最好直接把DHCP直接删掉,包括IP池也是,否则很容易出现DHCP ip依然在使用。

Summary

还有更多需要设置的东西,还会继续补充完善

Quote

https://forum.mikrotik.com/viewtopic.php?t=188815

https://timigate.com/2018/10/use-mikrotik-capsman-to-manage-all-access-points-and-enable-roaming.html

https://forum.mikrotik.com/viewtopic.php?t=199764

https://forum.mikrotik.com/viewtopic.php?t=176390