برای راه‌اندازی شبکه در MikroTik RouterOS باید این مراحل را طی کنید:
- انتخاب روتر مناسب
- اتصال فیزیکی روتر به اینترنت و شبکه داخلی
- تنظیم IP برای اینترفیس‌ها
- راه‌اندازی DHCP برای کاربران
- فعال‌کردن NAT برای دسترسی به اینترنت
- اعمال تنظیمات اولیه‌ی امنیتی و فایروال
چک لیست نکات انتخاب روتر و برنامه‌ریزی شبکه
اگر تازه با میکروتیک کار می‌کنید و نمی‌دانید کدام مدل برای‌تان مناسب است، می‌توانید ابتدا در مورد سناریوی خود مثلاً دفتر ۲۰ کاربره با یک خط اینترنت و یک VPN به دفتر مرکزی یادداشت تهیه کنید.اگر برای یک دفتر کوچک یا شعبه‌ی یک کسب‌وکار می‌خواهید شروع کنید، معمولاً از یک مدل اقتصادی شروع می‌شود و قبل از خرید، خیلی‌ها قیمت روتر RB750UP را بررسی می‌کنند تا مطمئن شوند با بودجه و نیازشان هم‌خوانی دارد. اگر قصد دریافت راهنمایی و مشاوره رایگان در خصوص این نوع سناریوها را دارید، می‌تونی عبارت ” روتر میکروتیک ” را همراه عبارت ” وینو سرور ” در گوگل سرچ کنی تا هم نمونه تنظیمات مشابه را ببینی و هم بتوانی از تجربه‌ی متخصص‌ها استفاده کنی.
در سناریوهایی که تعداد کاربران زیاد و ترافیک بالاست مثل شرکت‌هایی با ده‌ها کاربر، چندین VLAN، یا چند خط اینترنت، معمولاً سراغ مدل‌های قوی‌تر با CPU و پورت‌های بیشتر می‌روند. در چنین مواردی قبل از انتخاب نهایی، بررسی عبارتی مثل قیمت روتر RB1100AHx4 به شما دید دقیقی می‌دهد که آیا این مدل از نظر هزینه و توان پردازشی با نیاز شبکه‌ی شما می‌خواند یا باید به گزینه دیگری فکر کنید.
اتصال فیزیکی روتر و دسترسی به محیط RouterOS
بعد از انتخاب سخت‌افزار، نوبت آماده‌سازی اولیه است:
اتصال برق و کابل‌ها
- پورت WAN روتر را به مودم یا ONT اینترنت اصلی وصل کنید.
- یکی از پورت‌های LAN را به کامپیوتر مدیریتی‌تان وصل کنید.
پیدا کردن IP پیش‌فرض روتر
بیشتر روترهای میکروتیک یک IP پیش‌فرض مثل 192.168.88.1 روی یکی از اینترفیس‌ها دارند. با تنظیم IP مناسب روی کارت شبکه کامپیوتر مثلاً 192.168.88.2/24 می‌توانید به روتر وصل شوید.
استفاده از Winbox یا WebFig
- Winbox محبوب‌ترین ابزار برای مدیریت MikroTik است، چون روتر را حتی با MAC Address هم پیدا می‌کند.
- به‌سادگی Winbox را اجرا کنید، روتر را از لیست انتخاب کنید و با یوزرنیم admin بدون پسورد در تنظیمات کارخانه وارد شوید.
- اگر Winbox در دسترس نیست، می‌توانید از مرورگر و WebFig نیز استفاده کنید.
پیشنهاد: از هم‌اول کار تمیز کار کنید
همان ابتدای کار بهتر است:
- یک Backup اولیه از تنظیمات کارخانه بگیرید.
- نام روتر، Time Zone و رمز عبور را تنظیم کنید تا بعدها در مانیتورینگ و عیب‌یابی سردرگم نشوید.
تنظیم IP و ساختن اسکلت اصلی شبکه
در RouterOS، هر چیزی که می‌خواهید روی آن شبکه بسازید، باید اول IP درست و منطقی داشته باشد.
تنظیم IP روی اینترفیس LAN
- به منوی IP > Addresses بروید.
- یک آدرس جدید با مثلاً 192.168.10.1/24 روی اینترفیس LAN اضافه کنید. این آدرس، Gateway کاربران داخل شبکه خواهد بود.
راه‌اندازی DHCP برای کاربران
برای اینکه مجبور نباشید همه سیستم‌ها را دستی IP بدهید:
- به IP > DHCP Server بروید و از Wizard استفاده کنید.
- اینترفیس LAN را انتخاب کنید.
- Range مورد نظر برای کاربران مثلاً 192.168.10.50 تا 192.168.10.200 را تعیین کنید.
- DNS و Gateway به‌صورت خودکار تنظیم می‌شوددر صورت نیاز می‌توانید DNS را روی 8.8.8.8 یا DNS داخلی بگذارید.
تنظیم WAN دریافت اینترنت
بسته به نوع اینترنت:
- اگر مودم شما قبلاً NAT می‌کند، معمولاً روتر با DHCP از مودم یک IP می‌گیرد. در این حالت کافی است روی اینترفیس متصل به مودم، DHCP Client فعال کنید.
- اگر از یک IP استاتیک از سمت ISP استفاده می‌کنید، باید در IP > Addresses یک IP روی اینترفیس WAN بگذارید و Route پیش‌فرض را مطابق تنظیمات ISP تعریف کنید.
فعال‌کردن NAT برای دسترسی کاربران به اینترنت
- به IP > Firewall > NAT بروید.
- یک Rule جدید اضافه کنید.
- Chain روی srcnat
- Out. Interface برابر اینترفیس WAN
- در تب Action، گزینه masquerade را انتخاب کنید.
با همین یک قانون ساده، کل شبکه LAN می‌تواند از طریق آدرس IP روتر به اینترنت دسترسی داشته باشد.در سناریوهایی که چند خط اینترنت دارید یا ترافیک سنگین عبور می‌کند مثلاً چند صد کاربر یا ترافیک چند صد مگابیت، معمولاً مدل‌های قوی‌تر میکروتیک پیشنهاد می‌شود. قبل از انتخاب نهایی در چنین شرایطی، بررسی قیمت روتر RB1100AHx2 کمک می‌کند بفهمید آیا صرف هزینه بیشتر برای روتر قدرتمندتر منطقی است یا می‌توانید با مدل‌های پایین‌تر و تنظیمات بهینه کارتان را راه بیندازید.
راهنمای تنظیمات اولیه امنیت ( پسورد، یوزرها و فایروال )
یکی از اشتباهات خطرناک این است که روتر را فقط برای کارکردن اینترنت تنظیم کنیم و امنیت را به بعد موکول کنیم. حداقل این سه کار را از همان روز اول انجام دهید:
تغییر پسورد و ساخت یوزر مدیریتی جدید
- به System > Users بروید.
- یک کاربر جدید با نامی غیرقابل حدسمثلاً admin نیست! و پسورد قوی بسازید.
- سپس یوزر پیش‌فرض admin را غیرفعال یا حذف کنید.
محدود کردن دسترسی مدیریتی از بیرون
اگر نیازی ندارید از خارج شبکه به روتر وصل شوید، بهتر است سرویس‌های مدیریتی SSH, Winbox, WebFig فقط از داخل LAN قابل استفاده باشد. می‌توانید:
- در IP > Services پورت‌ها را تغییر دهید یا روی آدرس‌های خاص محدود کنید.
- با قوانین فایروال، دسترسی از بیرون را ببندید.
فعال‌کردن حداقل قوانین فایروال
اگر از تنظیمات پیش‌فرض استفاده نمی‌کنید، بهتر است مجموعه‌ای از قوانین پایه را داشته باشید:
- اجازه‌ی ترافیک Established و Related
- Drop کردن ترافیک Invalid
- محدود کردن دسترسی به روترInput Chain فقط از شبکه‌های مجاز
- Drop کردن پکت‌های مشکوکمثل Port Scan، Broadcastهای غیرضروری و…
اگر در این بخش احساس می‌کنید تجربه‌ی کافی ندارید، خیلی‌ها از راهنماها و فروشگاه‌های تخصصی مثل وینو سرور کمک می‌گیرند؛ جایی که علاوه بر تهیه سخت‌افزار، معمولاً نمونه کانفیگ‌ها و سناریوهای آماده هم برای MikroTik RouterOS ارائه می‌شود تا ریسک خطای تنظیمات امنیتی کاهش پیدا کند.
تفکیک شبکه با Bridgeو VLAN و Queue ساده
بعد از اینکه اینترنت راه افتاد و امنیت اولیه را برقرار کردید، نوبت تمیزکاری شبکه است تا هم مدیریت راحت‌تر شود و هم سرعت و کیفیت سرویس بهتر شود.
استفاده از Bridge برای شبکه‌های ساده
اگر فقط یک شبکه داخلی دارید و نیازی به تفکیک سطح بالا نیست، می‌توانید پورت‌های LAN را داخل یک Bridge قرار دهید تا مانند یک سوئیچ عمل کنند و روی خود Bridge IP دهید.
تعریف VLAN برای شبکه‌های چندبخشی
در سازمان‌هایی که واحدهای مختلف مدیریت، حسابداری، مهمان، IP Phone و… دارند، بهتر است از VLAN استفاده شود:
- برای هر بخش یک VLAN ID تعریف کنید.
- برای هر VLAN یک آدرس‌دهی جداSubnets مجزادر نظر بگیرید.
- روی روتر، VLAN Interface بسازید و برای هر VLAN یک DHCP Server جدا راه‌اندازی کنید.
مدیریت پهنای باند با Queueهای ساده
برای جلوگیری از اینکه یک کاربر یا سرویس، کل اینترنت را اشغال کند:
- در Queues می‌توانید برای IPها، Subnetها یا حتی پروتکل‌های خاص محدودیت سرعت بگذارید.
- از Simple Queue برای سناریوهای ساده شروع کنید و در صورت نیاز به سمت Queue Tree بروید.
چک لیست برسی خطاهای رایج هنگام راه‌اندازی شبکه در MikroTik RouterOS
هنگام راه‌اندازی اولیه، چند خطای تکراری زیاد دیده می‌شود که می‌تواند ساعت‌ها وقت‌تان را بگیرد:
NAT دو مرحله‌ای بدون آگاهی
مودم ISP هم NAT می‌کند و روتر MikroTik هم. این موضوع در ظاهر مشکلی ایجاد نمی‌کند، ولی برای بعضی سرویس‌ها VPN، Remote Desktop از بیرون، دوربین‌ها دردسرساز می‌شود. بهتر است تا حد امکان یکی از آن‌ها را روی Bridge یا حالت فقط مودم قرار دهید تا فقط روتر NAT انجام دهد.
Route پیش‌فرض اشتباه یا تعریف‌نشده
اگر کاربران Ping داخل شبکه دارند ولی اینترنت ندارند، یکی از اولین جاهایی که باید چک کنید IP > Routes است. نبودن Default Route یا تنظیم اشتباه Gateway باعث می‌شود ترافیک از شبکه شما خارج نشود.
هم‌پوشانی Subnetها
استفاده از رنج‌های تکراری یا Overlap کردن Subnetها مثلاً هم LAN و هم VPN روی یک رنج 192.168.1.0/24 باعث مشکلات عجیب در مسیریابی می‌شود. همیشه برای هر بخش از شبکه یک رنج مستقل در نظر بگیرید.
بی‌توجهی به Backup
خیلی‌ها بعد از چند ساعت کانفیگ حرفه‌ای، در اولین ریست یا اشتباه، همه چیز را از دست می‌دهند. گرفتن Backup منظم و برون‌سیستمی خارج از خود روتر از ضروری‌ترین عادت‌ها در مدیریت MikroTik است.
چک لیست نکات تکمیلی برای شبکه‌های بزرگ‌تر
در شبکه‌های حرفه‌ای‌تر، می‌توانید ویژگی‌های پیشرفته RouterOS را وارد بازی کنید:
Load Balancing و Failover برای چند خط اینترنت
اگر دو یا چند WAN دارید، می‌توانید با Mangle و Routeهای Policy-Based، ترافیک را بین خطوط تقسیم کنید یا برای یکی نقش اصلی و برای دیگران نقش پشتیبان در نظر بگیرید.
راه‌اندازی VPN بین شعب
برای اتصال امن بین دفتر مرکزی و شعب، می‌توانید از پروتکل‌هایی مثل L2TP/IPsec یا WireGuard در نسخه‌های جدیدتر RouterOS استفاده کنید تا کاربران هر شعبه به منابع مرکز دسترسی امن داشته باشند.
مانیتورینگ و لاگ‌گیری
با استفاده از ابزارهای داخلی مثل Torch, Graphing یا اتصال به سیستم‌های مانیتورینگ خارجی، می‌توانید هم وضعیت ترافیک را زیر نظر داشته باشید و هم در صورت بروز مشکل، سریع‌تر علت را پیدا کنید.
جمع‌بندی
برای راه‌اندازی شبکه در MikroTik RouterOS لازم نیست از روز اول متخصص همه چیز باشید؛ کافی است با یک نقشه‌ی روشن شروع کنید: انتخاب مدل مناسب روتر، تنظیم IPها و DHCP، فعال‌کردن NAT، اعمال حداقل تنظیمات امنیتی و سپس تفکیک و مدیریت بهتر شبکه با Bridge، VLAN و Queue. اگر تصمیم دارید در آینده شبکه‌تان را توسعه دهید مثلاً اضافه کردن شعب، چند خط اینترنت یا سرویس‌های خاص، بهتر است از همین حالا در انتخاب روتر به این آینده‌نگری توجه کنید و قبل از خرید، مواردی مثل قیمت روتر RB1100AHx4 یا مواردی همچون قیمت روتر RB1100AHx2 را در کنار نیاز واقعی‌تان بررسی کنید تا بعدها مجبور به تعویض زودهنگام سخت‌افزار نشوید.
پایان رپورتاژ آگهی – مجله تکنولوژی هارپی تک
سینا علیپور
او دانشجوی رشته مهندسی کامپیوتر در مقطع کارشناسی است و فعالیت حرفه‌ای خود را در عرصه رسانه از سال ۱۳۹۸ با یک بلاگ شخصی در حوزه فناوری آغاز کرده است. وی پس از مدتی به عنوان نویسنده آزاد در مجله‌های آنلاین تکنولوژی فعالیت کرد و در حال حاضر، دبیر سرویس نقد و بررسی گجت‌های هوشمند در یک مجله معتبر تکنولوژی است.
