+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Помогите, пожалуйста, с гостевой Wi-Fi.

Помогите, пожалуйста, с гостевой Wi-Fi., RouterOS

juanvi

Guest

06.09.2024 07:26:00

Привет! У меня не получается настроить гостевую WLAN в такой ситуации. Надеюсь, тут мне помогут. У меня есть LAN 192.168.8.0/24. Я подключил mAP, настроенный как полный мост в этом LAN (eth1), так что у меня свободен порт, как и раньше (сейчас eth2) для ПК и беспроводной точки доступа для подключения беспроводного принтера в этом месте. DHCP-сервер уже работает в этом LAN, всё в одном мосту. Я хочу настроить гостевую (изолированную) точку доступа на этом mAP, но сталкиваюсь с кучей проблем: не получается запустить DHCP на подчинённых интерфейсах, фильтрация мостов (как quickset) не работает, если mAP полностью в мосту, попытки с VLAN не дают доступа к WAN… Может, кто-нибудь приведёт пример на ROS 7.15? Заранее спасибо!

juanvi

Guest

23.09.2024 08:35:00

Вот решение, которое я нашёл. DHCP-сервер отображается красным, пока какой-нибудь клиент не получит от него IP — почему так, не знаю, но работает нормально:

2024-09-23 09:56:57, RouterOS 7.16rc4
software id = JU87-GNM6
model = RBmAP2nD
serial number =

/interface bridge add name=bridge1
/interface wireless set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX country=spain disabled=no frequency=auto mode=ap-bridge ssid=Andine-invitados wireless-protocol=802.11 wps-mode=disabled
/interface wireless security-profiles set [ find default=yes ] authentication-types=wpa2-psk mode=dynamic-keys supplicant-identity=MikroTik
add authentication-types=wpa2-psk mode=dynamic-keys name=privado supplicant-identity=“”
/interface wireless add disabled=no keepalive-frames=disabled mac-address=D6:01:C3:42:E2:08 master-interface=wlan1 multicast-buffering=disabled name=wlan2 security-profile=privado ssid=AND_hall wps-mode=disabled
/ip pool add name=dhcp_pool1 ranges=10.20.30.2-10.20.30.254
/ip dhcp-server add address-pool=dhcp_pool1 interface=wlan1 name=dhcp1
/interface bridge port add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=ether1
add bridge=bridge1 interface=wlan2
/ip address add address=10.20.30.1/24 interface=wlan1 network=10.20.30.0
/ip dhcp-client add interface=bridge1
/ip dhcp-server network add address=10.20.30.0/24 dns-server=10.20.30.1 gateway=10.20.30.1
/ip dns set allow-remote-requests=yes
/ip firewall nat add action=masquerade chain=srcnat src-address=10.20.30.0/24
/ip hotspot profile set [ find default=yes ] html-directory=hotspot
/ip ipsec profile set [ find default=yes ] dpd-interval=2m dpd-maximum-failures=5
/system clock set time-zone-name=Europe/Madrid
/system identity set name=Recepcion
/system note set show-at-login=no

Понятно, что сейчас хорошей практикой считается изолировать основной мост от гостевой беспроводной сети. Можешь скинуть примеры? Спасибо заранее.

TheCat12

Guest

24.09.2024 20:10:00

Это делается с помощью правил файрвола, конечно: /ip firewall filter
add action=accept chain=forward connection-state=established,related,untracked
add action=drop chain=forward in-interface=bridge1 out-interface=wlan1
add action=accept chain=forward protocol=tcp dst-port=80,443 in-interface=wlan1 out-interface=bridge1
add action=drop chain=forward in-interface=wlan1 out-interface=bridge1

Второе правило — это исключение для доступа в интернет с интерфейса wlan.

kleshki

Guest

24.09.2024 20:14:00

Реализуйте отдельные VLAN для LAN и гостевой сети и назначьте DHCP-серверы для каждой VLAN. Соответственно настройте файрвол. Это решит ваши проблемы, в том числе с красным DHCP (он красный, потому что интерфейс WLAN считается отключённым, пока не подключится хотя бы один клиент, и DHCP на отключённом интерфейсе действительно отображается красным).

TheCat12 Guest	#5 0 24.09.2024 20:18:00 Для такой простой настройки, на мой взгляд, VLANы — сущий пустяк. Достаточно будет правильно настроить правила файрвола и назначить интерфейс wlan1 в мост для использования с DHCP, чтобы не светилось красным.

kleshki

Guest

24.09.2024 20:22:00

В этой настройке практически нет конфигурации, связанной с VLAN. Фильтр моста, два интерфейса, перенос IP с моста на LAN VLAN, соответствующий datapath для каждого WLAN. А дальше то, что ты сказал: firewall и так далее. Твоё решение тоже работает, отлично. Просто моё мнение, что это должно быть настроено именно так.

juanvi Guest	#7 0 30.09.2024 11:31:00 Я хотел бы настроить это с VLAN, но перепробовал много вариантов и без успеха. Можете выложить простой скрипт для тестирования? Всем спасибо. Люблю MT и сообщество MT.

kleshki Guest	#8 0 30.09.2024 11:38:00 Да, вот она: /interface bridge port add bridge=bridge interface=wifi-5ghz /interface bridge vlan add bridge=bridge tagged=bridge,wifi-5ghz-guest vlan-ids=10 add bridge=bridge tagged=bridge,wifi-5ghz vlan-ids=100 add bridge=bridge tagged=bridge vlan-ids=50 /interface vlan add arp=reply-only interface=bridge name=guest vlan-id=10 add arp=reply-only interface=bridge name=iot vlan-id=50 add interface=bridge name=lan vlan-id=100 /ip dhcp-server add add-arp=yes address-pool=lan interface=lan name=lan add add-arp=yes address-pool=guest interface=guest name=guest add add-arp=yes address-pool=iot interface=iot name=iot /ip dhcp-server network add address=192.168.10.0/24 dns-server=192.168.10.1 gateway=192.168.10.1 add address=192.168.50.0/24 dns-server=8.8.8.8 gateway=192.168.50.1 add address=192.168.100.0/24 dns-server=192.168.100.1 gateway=192.168.100.1 /ip address add address=192.168.100.1/24 interface=lan network=192.168.100.0 add address=192.168.10.1/24 interface=guest network=192.168.10.0 add address=192.168.50.1/24 interface=iot network=192.168.50.0 /interface wifi datapath add bridge=bridge disabled=no name=home-private-datapath vlan-id=100 add bridge=bridge disabled=no name=home-guest-datapath vlan-id=10 add bridge=bridge disabled=no name=iot-datapath vlan-id=50 /interface bridge add frame-types=admit-only-vlan-tagged name=bridge vlan-filtering=yes // возможно, вам не понадобится только vlan-tagged, если в мосту будет идти нетегированный трафик В общем, скорее всего, не нужно вручную добавлять порты моста и настраивать беспроводной интерфейс как tagged, просто выставьте тегирование для нужных VLAN на мосту, остальное сделает datapath за вас. Эта конфигурация отлично работает у меня на ax3. Не забудьте настроить фаервол так, чтобы VLAN’ы имели доступ в интернет, но при этом не могли обращаться друг к другу.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры