Základ - Winbox, DHCP

Úvodem přistoupíme k instalaci prográmku Winbox - "must have", pokud používáte MikroTik. I když má Router OS svůj webový přístup, nevýhodou MikroTiku je jeho rozšířenost a webový přístup je první na ráně. Výhodou Winbox je, že je schopen proskenovat připojené zařízení, aniž bychom znali IP nebo MAC adresu, a používá pro připojení vlastní port 8291. Jinak jsou funkce a vzhled webového rozhraní a Winboxu téměř totožné.

Tento návod je totožný na jakékoliv zařízení MikroTik s Router OS např. od levného hap mini za 500 Kč až po velké rackové routery.

Stažení a instalace Winbox

Na stránkach MikroTik v sekci Software si stáhněte instalačku pro Windows a nainstalujte.

Pro uživatele Linuxu je Winbox k dispozici například v snapstoru:

$ sudo snap install winbox

Po instalaci spusťte Winbox, připojte váš router MikroTik kabelem do jakéhokoliv portu od označení 2 a výše a propojte s počítačem.

Port 1 je většinou WAN a může tam být nějaký firewall 

V záložce Neighbors byste měli najít vaše zařízení. Výchozí login je username admin a účet je bez hesla. Případně je heslo uvedeno na zadní straně MikroTiku.

Používáme již nyní Router OS verze 7.x. Pro standardní domácí použití vycházíme z defaultní konfigurace. Začneme upgradem na nejnovější verzi. Doporučuji upgradovat na nejnovější firmware alespoň 1-2x ročně.

Vždy zálohujte! V záložce Files lze provést zálohu celého MikroTiku tlačítkem Backup. Pak kliknout pravým na vytvořenou zálohu a stáhnout do počítače. Doporučuji dělat zálohu před každou větší akcí nebo změně nastavení. Proto že jsme lidi a chybujeme MikroTik má pro nás taky Safe mode, hezký popsaný zde.

Po backupu přejděte do System ->Packages -> Check For Updates a zvolte Download&Install pro nejnovější "stable" vydání. Provede se update a router se restartuje.

Tip: Pokud máte verzi 6.x, doporučuji upgradovat MikroTik na Router OS 7. Stačí stáhnout ze stránek nejnovější Router OS pro váš router a stažený .npk soubor nahrát v záložce Files. Když provedete reboot, .npk se použije a upgraduje váš router.

Začínáme konfigurovat

Prvním krokem bude, že vypneme všechny služby, které nebudeme používat. V záložce IP-> Services ponecháme jenom Winbox a případně SSH.

Poté v záložce System -> Users deaktivujeme defaultního admina, založíme si vlastního a ještě si uložte jeden pojistný účet s admin právy (full). Platí pravidlo administrátorů - vždy měj dva admin účty.

Základní nastavení primární sítě a sítě pro hosty

V našem modelovém příkladě budeme chtít mít jednu domácí primární síť a jednu hostovskou síť. Hosté nevidí do primární sítě ani mezi sebou a mají pouze přístup k internetu. Ethernetové zásuvky neřešíme, tam je všude domácí síť, a předpokládáme, že když máme někoho u sebe doma, tak je to důvěryhodná osoba. Dnes je populární ještě mít třetí síť na různá IoT zařízení jako chytré vysavače, lednice, Alexy atd. Můžete tuto třetí síť vytvořit stejně jako hostovskou síť v příkladech níže.

V záložce Bridge si k defaultnímu bridge přidáme ještě jeden pro hosty s názvem bridge_guest

V záložce IP -> Addresses přidejte dva nové rozsahy pro domácí a hostovskou síť. My jsme v příkladu zvolili 10.1.1.0 pro domácí a 10.2.2.0 pro hosty.

Pak v záložce IP -> Pool, přidáme rozsahy adres, které budeme chtít přiřazovat pro každou síť.

Předposledním krokem, v záložce IP -> DHCP Server, upravíme existující defaultní záznam pro domácí síť:

Pak přidáme nový záznam ikonou "plus" pro síť pro hosty:

a na záložce Networks přidáme obě sítě:

a je to. Nyní vymažte defaultní adresu 192.168.88.x ze záznamů v záložkach IP->DHCP Server -> Networks, IP->Pool, IP-> Addresses. Odpojte se a měli byste vidět, že nyní má váš MikroTik již například adresu 10.1.1.100 jako v našem modelovém případě.

Proč volíme rozsah 10.x.x.x?

Ve firemním prostředí se často setkáváme s rozsahem 192.168.0.1, 192.168.1.1 atd. Pokud tam máte pak VPN a trefíte stejný rozsah, tak se dostáváte do konfliktu. Býva pak problém s lokálními tiskárnamy atp. Proto v domácích podmínkách stavíme na rozsahu 10.x.x.x

Změna defaultního SSID (název WiFi sítě), hesla a přidání SSID pro hosty

V záložce Wireless -> Security Profiles, upravte defaultní nastavení dle prvního screenu. Zadejte vlastní heslo, minimálně 8 znaků a přidejte také security profil pro hostovskou síť:

Pro hosty:

Nyní se přepneme do Wireless -> WiFi Interfaces a v prvním záznamu upravíme název sítě (SSID) a případně změníme security profil (heslo). U nás jsme změnili výchozí profil:

klikneme na ikonu "plus" a přidáme "Virtual" interface. Zadáme SSID sítě pro hosty a security profil:

Pro zprovoznění sítě pro hosty ještě přidáme "wlan2" do bridge_guest, který jsme vytvořili na začátku. Po připojení do sítě pro hosty zjistíte, že nevidíte do primární sítě 10.1.1.0, což je účel.

Obdobně můžete přidat i třetí síť, například pro IoT zařízení, kterým nedůvěřujete.