Что такое WISP AP, CAP, CPE, HomeAP на MikroTik?
Для начала давайте разберёмся, что же такое режим WISP? Это определённый мод маршрутизатора, при котором он может принимать интернет сигнал и подключаться к сети провайдера путём радиоволн по стандартам Wi-Fi. Если раскрыть аббревиатуру, то она звучит так – «Wireless Internet Service Provider», что дословно можно перевести как «беспроводной интернет сервис провайдера».
Данная технология достаточно редкая, но появилась давно. Давайте покажу на примере. У провайдера есть большая антенна с мощным передатчиком на несколько квадратных километров. Клиент настраивает роутер и подключается к беспроводной сети. То есть в данном случае роутер принимает сигнал не через WAN порт по проводу, а именно путём Wi-Fi сигнала.
Далее при подключении он принимает сигнал и распределяет на все сегменты сети: на компьютеры, ноутбуки телефону и т.д. Интернет раздаётся как по проводам, так и по WiFi. Теперь перед настройкой роутера, именно в этом режиме сразу – скажу, что проблемой является в разных названиях модов. Компании, которые выпускают эти аппараты, по разному называют этот «мод» из-за чего клиент может запутаться. Также не все роутеры имеют данный режим и поддерживают его, поэтому перед покупкой обязательно убедитесь, что он сможет работать как повторитель WISP.
MikroTik
WISP AP на роутере MikroTik – что это такое? У «Микротик» данный «мод» обозначает немного другое значение. Раз вы задаетесь таким вопросом, то скорее вы уже приступили к настройке этого чудного аппарата через «Quick Set». Эта функция позволяет быстро настроит роутер без муторных, педантичных конфигураций. Можно сказать некий «Быстрый старт».
В верхней части можно выбрать несколько вариантов:
Для настройки заполняем конфигурацию в левом блоке «Wireless» для настройки беспроводного мода. Вписываем имя сети и пароль от неё. Чтобы появилась строка ввода пароля укажите типа шифрования как WPA2 и WPA. Тут ничего сложного нет все как на других роутерах.
Справа идут настройки IP, маски и DNS адресов. По идее эти настройки роутер должен получать от провайдера. Тогда просто ставим режим «Automatic». Если у вас статический IP с маской, то ставим «Static» и вписываем данные с листа. В разделе «Local Network» идёт настройка «айпи» адреса шлюза или нашего Микротика и диапазон локальных адресов.
WISP на других маршрутизаторах
«AP client router» на ASUS
На аппаратах Асус к сожалению название не адаптивно и не понятно. Может быть это связано с переводом. Но на русской версии мод называется «Беспроводной сетевой адаптер». Для настройки вы можете использовать «Быструю настройку» – просто нажмите на волшебную палочку в левом углу окна. Или нажмите на «Режим работы» в самой верхней части на главной странице.
TP-Link
На TP-Link можно включить двумя способами. Заходим в «Operation Mode» или по-русски – «Рабочий режим». Далее выбираем наш мод. После этого переходим в «Сеть» – «WAN» и ставим динамический IP.
Второй способ – заходим в «Беспроводной режим». Теперь нажимаем «Включить WDS». Далее все просто, нужно просто подключиться к беспроводной сети провайдера. Для этого впишите данные вай-фай.
Zyxel Keenetic
Mikrotik RoS, полезные мелочи
Что такое Quick Set?
Quick Set — это мастер автоматической конфигурации, который помогает быстро, не погружаясь в глубины тонкой настройки RoS, настроить роутер и начать им пользоваться. В зависимости от устройства, вам могут быть доступны несколько шаблонов:
Безопасность
Конфигурация по умолчанию уже не дает подключаться к роутеру из внешней сети, но основывается защита только на пакетном фильтре. Не забываем, про установку пароля на пользователя admin. Поэтому, в дополнение к фильтрации и паролю, я делаю следующие:
Доступность на внешних интерфейсах
Отключаю не нужные в домашней сети (и не во всех не домашних сетях) сервисы, а оставшиеся ограничиваю областью действия, указывая адреса, с которых можно к этим сервисам подключится.
Следующим шагом, будет ограничение на обнаружение роутера с помощью поиска соседей. Для этого, у вас должен быть список интерфейсов, где данный протокол может работать, настроим его:
Добавим в список discovery интерфейсы, на которых мы хотим, чтобы протокол Neighbors Discovey работал.
Теперь настроим работу протокола, указав список discovery в его настройках:
В простой, домашней конфигурации, в списке discovery могут быть интерфейсы, на которых может работать протокол доступа по MAC адресу, для ситуаций, когда IP не доступен, поэтому настроим и эту функцию:
Теперь, роутер станет «невидимым» на внешних интерфейсах, что скроет информацию о нем (не всю конечно), от потенциальных сканеров, и даже, лишит плохих парней легкой возможности получить управление над роутером.
Защита от DDoS
Теперь, добавим немного простых правил в пакетный фильтр:
И поместим их после правила defcon для протокола icmp.
Результатом будет бан на сутки для тех, кто пытается открыть более 15 новых соединений в секунду. Много или мало 15 соединений, вопрос спорный, тут уже сами подбирайте число, я выбрал 50 для корпоративного применения, и таких банит у меня 1-2 в сутки. Вторая группа правил гораздо жестче, блокирует попытки соединений на порт ssh(22) и winbox(8291), 3-и попытки за минуту, и отдыхай сутки ;). Если вам необходимо выставить DNS сервер в интернет, то подобным правилом можно отсекать попытки DNS Amplification Attacks, но решение не идеальное, и ложно-положительных срабатываний бывает много.
RFC 1918
RFC 1918 описывает выделение адресных пространств для глобально не маршрутизируемых сетей. Поэтому, имеет смысл блокировать трафик от\к таким сетям, на интерфейсе, который смотрит к провайдеру, за исключением ситуаций, когда провайдер выдает вам «серый» адрес.
Поместите эти правила ближе к началу и не забудьте, добавить в список WAN интерфейс, смотрящий в сторону провайдера.
А вот набор маршутов в «черную дыру»
Этот набор маршрутов направит весь трафик до сетей RFC 1918 в «черную дыру», однако, если будут маршруты с меньшей метрикой, то такой трафик пойдет через эти маршруты. Полезно для гарантии того, что приватный трафик не просочится во внешнюю сеть.
За совет благодарим achekalin
Довольно спорная технология, которая позволяет приложениям попросить роутер пробросить порты через NAT, однако, протокол работает без всякой авторизации и контроля, этого просто нет в стандарте, и часто является точкой снижающей безопасность. Настраивайте на свое усмотрение:
SIP Conntrack
Кроме всего прочего, стоит отключить модуль conntrack SIP, который может вызывать неадекватную работу VoIP, большинство современных SIP клиентов и серверов отлично обходятся без его помощи, а SIP TLS делает его окончательно бесполезным.
IPv6 туннели
Если вы не используете IPv6 или не хотите что-бы рабочие машины с Windows поднимали IPv6 туннели без спроса, тогда заблокируйте следующий трафик:
За совет опять благодарим achekalin
Динамические и вложенные списки интерфейсов
Эта функция появилась совсем недавно (с версии 6.41), и она очень удобная. Однако, есть особенность: глубина вложенности. Невозможно вложить вложенный список во вложенный список. Если вы так сделаете (фича такая) вам не сообщат о проблеме, просто такой список работать по факту не будет.
В городской среде, когда эфир крайне зашумлен, имеет смысл отказаться от каналов в 40MGhz, это увеличивает удельную мощность сигнала на канале, так как 40MGHz канал по сути, это два канала по 20MGHz.
Bridge & ARP
Если у вас роутер раздает интернет и дает клиентам настройки по DHCP, имеет смысл установить настройку arp=reply-only, а в DHCP Server включить add-arp=yes
Такая настройка помешает выставить IP адрес вручную, так как роутер согласится работать только с той парой MAC-IP, которую выдавал сам.
Инструкции по настройке MikroTik
Quick Set настройка MikroTik, быстрая настройка
Инструкция по настройке MikroTik через Quick Set. Описание режимов Home AP, Wisp AP, CAP, CPE.
Quick Set – это простая страница мастера настройки, которая подготавливает роутер(маршрутизатор) MikroTik или точку доступа WiFi за несколько кликов. Это первый экран, который видит пользователь, открывая IP-адрес по умолчанию 192.168.88.1 в веб-браузере.
Quick Set доступен для всех устройств, у которых есть заводская конфигурация по умолчанию. Устройства, для которых нет конфигурации, необходимо настраивать вручную. Самый популярный и рекомендуемый режим – Home AP (или Home AP dual, в зависимости от устройства). Этот режим быстрой настройки обеспечивает простейшую терминологию и наиболее общие параметры для домашнего пользователя.
Режимы быстрой настройки Quick Set
В зависимости от модели роутера(маршрутизатора), коммутатора(свитча) или точки доступа WiFi выпадающий список режимов в меню Quick Set может иметь разные состав:
Быстрая настройка MikroTik Home AP
Режим Quick Set Home AP является самый распространённым режимом мастера настройки MikroTik. Именно Home AP произведёт конфигурирование устройства в качестве роутера(маршрутизатора). Первый порт роутера MikroTik будет принимать подключение от интернет провайдера, остальные порты будет являться LAN, а WiFi модуль обеспечит доступ к локальной сети и интернета для беспроводных устройств.
Поддержи автора статьи, сделай клик по рекламе ↓↓↓
Что такое WISP AP, CAP, CPE, HomeAP на MikroTik?
Для начала давайте разберёмся, что же такое режим WISP? Это определённый мод маршрутизатора, при котором он может принимать интернет сигнал и подключаться к сети провайдера путём радиоволн по стандартам Wi-Fi. Если раскрыть аббревиатуру, то она звучит так — «Wireless Internet Service Provider», что дословно можно перевести как «беспроводной интернет сервис провайдера».
Данная технология достаточно редкая, но появилась давно. Давайте покажу на примере. У провайдера есть большая антенна с мощным передатчиком на несколько квадратных километров. Клиент настраивает роутер и подключается к беспроводной сети. То есть в данном случае роутер принимает сигнал не через WAN порт по проводу, а именно путём Wi-Fi сигнала.
Далее при подключении он принимает сигнал и распределяет на все сегменты сети: на компьютеры, ноутбуки телефону и т.д. Интернет раздаётся как по проводам, так и по WiFi. Теперь перед настройкой роутера, именно в этом режиме сразу — скажу, что проблемой является в разных названиях модов. Компании, которые выпускают эти аппараты, по разному называют этот «мод» из-за чего клиент может запутаться. Также не все роутеры имеют данный режим и поддерживают его, поэтому перед покупкой обязательно убедитесь, что он сможет работать как повторитель WISP.
MikroTik
WISP AP на роутере MikroTik — что это такое? У «Микротик» данный «мод» обозначает немного другое значение. Раз вы задаетесь таким вопросом, то скорее вы уже приступили к настройке этого чудного аппарата через «Quick Set». Эта функция позволяет быстро настроит роутер без муторных, педантичных конфигураций. Можно сказать некий «Быстрый старт».
В верхней части можно выбрать несколько вариантов:
Для настройки заполняем конфигурацию в левом блоке «Wireless» для настройки беспроводного мода. Вписываем имя сети и пароль от неё. Чтобы появилась строка ввода пароля укажите типа шифрования как WPA2 и WPA. Тут ничего сложного нет все как на других роутерах.
Справа идут настройки IP, маски и DNS адресов. По идее эти настройки роутер должен получать от провайдера. Тогда просто ставим режим «Automatic». Если у вас статический IP с маской, то ставим «ic» и вписываем данные с листа. В разделе «Local Network» идёт настройка «айпи» адреса шлюза или нашего Микротика и диапазон локальных адресов.
WISP на других маршрутизаторах
«AP client router» на ASUS
На аппаратах Асус к сожалению название не адаптивно и не понятно. Может быть это связано с переводом. Но на русской версии мод называется «Беспроводной сетевой адаптер». Для настройки вы можете использовать «Быструю настройку» — просто нажмите на волшебную палочку в левом углу окна. Или нажмите на «Режим работы» в самой верхней части на главной странице.
На TP- можно включить двумя способами. Заходим в «Operation Mode» или по-русски — «Рабочий режим». Далее выбираем наш мод. После этого переходим в «Сеть» — «WAN» и ставим динамический IP.
Второй способ — заходим в «Беспроводной режим». Теперь нажимаем «Включить WDS». Далее все просто, нужно просто подключиться к беспроводной сети провайдера. Для этого впишите данные вай-фай.
Zyxel Keenetic
Как настроить MikroTik
Подключение к MikroTik:
Подключаем роутер к сети, подаем питание и запускаем на компьютере winbox.
Переходим на вкладку Neighbors и ждем, когда утилита найдет наш роутер.
Либо подключаемся по 192.168.88.1 или по MAC.
При первом подключении выбрать — Remove Configuration
или System — Reset Configuration (No Default Configuration)
Первоначальная настройка Quick Set:
Quick Set — это мастер автоматической конфигурации, который помогает быстро, не погружаясь в глубины тонкой настройки RoS, настроить роутер и начать им пользоваться.
В зависимости от устройства, вам могут быть доступны несколько шаблонов:
1. CAP — Режим управляемой точки доступа, требует наличия настроенного CAPsMAN
2. CPE (Customer Premises Equipment) — режим WiFi клиента, когда интернет вам приходит по WiFi и раздается на LAN порт(ы).
3. Home AP (Home Access Point)- маршрутизатор/точка доступа офисной или домашней сети.
4. WiSP AP (Wireless Internet Service Provider Access Point)- отличается от режима Home AP поддержкой проприетарных протоколов WiFi TDMA — nv2 и nstream.
5. PTP Bridge (Point to point bridge)- режим беспроводного радиомоста между двумя сетями (PtP). Возможно подключение только одного клиента. Если маршрутизатор подключен со стороны провайдера, то он выступает в роли Server AP, если со стороны клиента, то в роли Client AP (CPE).
6. Basic AP — Почти пустая конфигурация, подходит для развертывания автономно управляемых точек доступа (без CAPsMAN)
Часть 1. Настройка локальной сети:
Interface — Interface List — wlan1 Enable
2. Cоздаём новые списки интерфейсов
Interfaces — Interface List — Lists — add New Interface List — Name: LAN
Interfaces — Interface List — Lists — add New Interface List — Name: WAN
Bridge — Bridge — New Interface — Name: bridge1
4. Добавляем интерфейсы в bridge1
Bridge — Ports — New Bridge Port — Interface: ether2, ether3…, Bridge: bridge1
5. Назначаем сетевые настройки для bridge1
IP — Adresses — add New Address — Adresses: 192.168.6.1/24,
6. Создаём DHCP сервер
IP — DHCP Server — DHCP — DHCP Setup
Wireless — WiFi Interfaces — Wireless — SSID: name, Security Profiles: default
Wireless — Security Profiles — default — Mode: dynamic keys,
Authentification Types: WPA2 PSK, WPA2 Pre-d Key: password wifi
8. Отключение лишних сервисов
9. Смена пароля администратора, создание новой учётной записи
10. Присваиваем уникальное имя роутеру
Часть 2. Настройка интернета от провайдера:
12. Создаём подключение по правилам провайдера
Вариант 1. DHCP Client
IP — DHCP Client — add New DHCP Client
Вариант 2. Статический IP
Нужно указать адрес на интерфейсе, указать DNS сервер и настроить маршрут по умолчанию.
— настраиваем IP адрес порта в сторону провайдера
IP — Addresses — add New Address
Addresses: 10.4.15.64/24 где /24 = 255.255.255.0
— настраиваем маршрут по умолчанию
Dst. Address: 0.0.0.0/0 (все существующие IP адреса, т.е. отправлять запросы на любые адреса)
Check Gateway: ping (способ проверки доступности шлюза)
Distance: 1 (приоритет маршрута, чем меньше цифра, тем выше приоритет)
Вариант 3. PPPoE Client
Dial Out — User: 111 Password: 222
13. Проверка соединения
14. Настройка системного времени
System — — устанавливаем вручную время, дату и часовой пояс
System — SNTP Client (ntp1.stratum2.ru, ntp2.stratum2.ru…)
15. Удалённое подключение к роутеру по DDNS
Часть 3. Настройка Firewall:
add chain=input action=accept protocol=icmp
add chain=forward action=accept protocol=icmp
— Разрешаем установленные подключения
add chain=input action=accept connection-e=established
add chain=forward action=accept connection-e=established
— Разрешаем связанные подключения
add chain=input action=accept connection-e=
add chain=forward action=accept connection-e=
— Разрешаем все подключения из нашей локальной сети
add chain=input action=accept src-address=192.168.6.0/24 in-interface=!ether2
— Разрешаем входящие подключения для торрента
add chain=forward action=accept protocol=tcp in-interface=ether2 dst-port=45000
— Запрещаем инвалидные подключения
add chain=input action=drop connection-e=invalid
add chain=forward action=drop connection-e=invalid
— Запрещаем все остальные входящие подключения
add chain=input action=drop in-interface=ether2
— Разрешаем доступ из локальной сети в интернет
add chain=forward action=accept in-interface=!ether2 out-interface=ether2
— Запрещаем все остальные подключения
Создаём правила фильтрации трафика
/ip firewall filter add action=drop chain=input =»defconf: drop all not coming from LAN» in-interface-list=!bridge1
add action=accept chain=input =»defconf: accept established,,untracked» connection-e=established,,untracked
add action=accept chain=forward =»defconf: accept established,, untracked» connection-e=established,,untracked
add action=accept chain=input =»Allow L2TP IPSEC ports» port=1701,500,4500 protocol=udp
add action=accept chain=input =WinBox dst-port=9045 protocol=tcp
add action=accept chain=input =www disabled=yes dst-port=6753 protocol=tcp
add action=accept chain=forward =»Allow access inside LAN» in-interface=ether1 out-interface=bridge1 src-address=192.168.6.0/24
add action=drop chain=input =»Drop all BOGON from Domolan» in-interface=Domolan src-address-list=BOGON
add action=drop chain=input =»defconf: drop all not coming from LAN» in-interface-list=!bridge1
add action=drop chain=forward =»defconf: drop invalid» connection-e=invalid
add action=masquerade chain=srcnat out-interface=Domolan
add action=dst-nat chain=dstnat dst-address=188.126.47.102 dst-port=8554 protocol=tcp to-addresses=192.168.6.9 to-ports=554
Просмотр/сохранение текущей конфигурации в терминале:
/export compact file=nameconfig
Часть 4. Настройка специальных алгоритмов:
17. Настройка отправки
18. Передача логов по
19. Контроль доступности любого удалённого хоста
20. Настройка действий по расписанию
Manual:Quickset
Applies to RouterOS: v5.15+
Summary
Quickset is a simple configuration wizard page that prepares your router in a few clicks. It is the first screen a user sees, when opening the default IP address 192.168.88.1 in a web browser.
Quickset is available for all devices that have some sort of default configuration from factory. Devices that do not have configuration must be configured by hand. The most popular and ed mode is the HomeAP (or HomeAP dual, depending on the device). This Quickset mode provides the simplest of terminology and the most common options for the home user.
Modes
Depending on the router model, different Quickset modes might be available from the Quickset dropdown :
HomeAP
This is the mode you should use if you would like to quickly configure a home access point.
Wireless
Internet
Local Network
If you want to access your local network (and your router) from the internet, use a secure VPN tunnel. This option gives you a domain name where to connect to, and enables PPTP and L2TP/IPsec (the second one is ed). The username is ‘vpn’ and you can specify your own password. All you need to do is enable it here, and then provide the address, username and password in your laptop or phone, and when connected to the VPN, you will have a securely encrypted connection to your home network. Also useful when travelling — you will be able to browse the internet through a secure line, as if connecting from your home. This also helps to avoid geographical restrictions that are set up in some countries.
System
How is Quickset different from the Webfig tab, where a whole bunch of new s appear? If you need more options, do not use any Quickset settings at all, click on «Webfig» to open the advanced configuration interface. The full ality is unlocked. Can I use Quickset and Webfig together? While settings that are not conflicting can be configured this way, it is not ed to mix up these s. If you are going to use Quickset, use only Quickset and vice versa. What’s is difference between Router and Bridge mode? Bridge mode adds all interfaces to the bridge allowing to forward Layer2 packets (acts as a hub/switch). In Router mode packets are forwarded in Layer3 by using IP addresses and IP routes (acts as a router). In HomeAP mode, should the 2GHz and 5GHz network names be the same, or different? If you prefer that all your client devices, like TV, phones, game consoles, would automatically select the best preferred network, set the names identically. If you would like to force a client device to use the faster 5GHz 802.11ac connection, set the names unique.
