Как создать подсеть в mikrotik'е?

Question

[MARMELAD03]

Нужно создать 2 подсети в mikrotik'е (routerboard 750). Одна подсеть для моих устройств, а вторая для гостей. Когда кто-то подключается ко мне ему выдается гостевой ip. Клиент гостевой подсети должен иметь ограниченную скорость (5 Мбит/с) и не иметь доступ в мою сеть.

Answer 1

[FloorZ]

Ну просто же. Создаем два пула адрессов. Например 192.168.0.1/24 для себя и 192.168.1.1/24 для гостей.
Один порт назначаем на провайдер, другой порт мастером, для локальной сети.
Дальше создаем wifi. Создаем virtual AP. Его подвязываем к пулу 192.168.1.1/24, назначаем ему свой DHCP сервер, настраиваем nat, фаервол и роутинг.
Если все выше не понятно написано - в гугле вбей "Создание виртуальной Wi-Fi точки доступа MikroTik", там подробные инструкции в картинках, ибо в рамках одного поста тут все тонкости не описать.

Comments

[MARMELAD03]

у меня 750Gl, и wifi раздает другой маршрутизатор подключенный к mikrotik'у

[MARMELAD03]

Если я хочу создать второй dhcp сервер то мне нужно указать интерфейс. Masterport у меня стоит вторым и он указан в качестве интерфейса для первого dhcp сервера. Какой интерфейс мне выставить на втором dhcp сервере?

[FloorZ]

MARMELAD03: а точка умеет vlanы?

[MARMELAD03]

FloorZ: да

[FloorZ]

Создаешь два Vlan. Один под свою сеть, одну под гостей. На порт, к которому wifi точка подцеплена, делаешь два таггет влана. На точке подымаешь так же два влана.
Каждому влану выдаешь свой DHCP, свой IP, свой НАТ и свой роутинг в интернет.
Подробная инуструкция в картинках есть в гугле под "Изоляция трафика на MikroTik с помощью VLAN".
Триггерирование вам не нужно, достаточно что бы просто вланы имели выход в интернет.
Дальше можно эти вланы крутить как угодно. Трафик можете обрезать для гостевой точки, квоты там запилить и т.д.

Answer 2

[denser]

В новых прошивках, по-моему, с 6.20 - появилась настройка в quickset, режим home ap. Там есть все что вам нужно для гостевой сети.

Comments

[MARMELAD03]

Обновился. Что то я не нахожу home ap в quickset'е.

[denser]

Обновил ответ.

Answer 3

[Azazel PW]

Делаешь 2 DHCP сервера. с сетями 192.168.0.0/24 и 192.168.1.0/24
В первый попадают компьютеры с привязаными маками(запрещаем регистрацию устройств, с неизвестными маками), во второй все остальные.
На вторую подсеть делаешь query на 5Мб/с

Comments

[АртемЪ]

Ну привязывать маки совсем не обязательно, да и смысла нет чаще всего.
Кто не знает ключа сети, тот не подключиться, зачем еще и по макам ограничивать? Тем более это ограничение легко обходится?

[athacker]

АртемЪ: Привязка по макам -- защита слабая, но как одна из мер в комплексе мероприятий по защите -- лишней не будет.

[АртемЪ]

athacker: В корне не согласен.
Привязка по макам защитой не является вообще.
Любой клиент может поставить себе любой мак, к тому же они передаются открыто, т.е можно спокойно посмотреть какие маки подключены к точке.

Шифрование же является защитой. Использование привязки по макам не добавляет защищенности, но добавляет проблем с администрированием.

[Azazel PW]

АртемЪ:
Есть 1 открытая сеть гостевая wifi. Сеть изолирована, по wifi выдает гостевой DHCP пул.
Второй DHCP пул с привязкой по макам раздается по локалке. Что исключает возможность, того что придет человек воткнется в розетку и сразу попадет в сеть.

Вы называете привязку по макам "Проблемы с администрированием".
А я никаких проблем не вижу, в том чтобы применять комплекс средств по защите.

[АртемЪ]

Azazel PW: Ну обычно делается так -
1 сеть гостевая, вход свободный, шифрования нет. Доступ только в интернет, доступа к сети предприятия нет. Адреса раздаются из специального пула DHCP сервером гостевой сети.

2сеть - рабочая, войти могут только зная ключ сети, используется шифрование, никто лишний не может подключиться, адреса раздаются DHCP сервером предприятия.

[АртемЪ]

Т.е если нужна безопасность - используется шифрование, закрытая сеть.
Привязка по макам безопасность не обеспечит.

Если не нужна безопасность - используется открытая сеть, пользуйся кто хочет, зачем как-то ограничивать?

[Azazel PW]

АртемЪ: Вообще делается так.
И я у себя так и сделал. Отдельный 5Мб/с VLAN от провайдера, и туда вешается гостевая сеть. Никакого доступа к моей сети она не имеет.
Нормальная практика в моем случае, когда сервера сайта и почтовика в DMZ.

[АртемЪ]

Azazel PW: Ну, так оно и должно быть. Я разве по другому сказал?
Гостевая сеть никаким боком к сети предприятия. И никакой защиты.

А вот сеть предприятия - надежное шифрование.

[athacker]

АртемЪ: Я согласен. Но защита -- это "комплекс мер", как учит нас методичка. И в этом комплексе, если делать всё по уму, мелочей нет. Поэтому забивать даже на такую слабенькую хрень, как контроль MAC-адресов, не стоит.

[АртемЪ]

athacker: Да комплекс.
Но нужно думать - для каких именно целей делается та или иная мелочь, а не просто накидывать их в кучу, от души. По принципу - хуже не будет, кашу маслом не испортишь.

[athacker]

АртемЪ: Чем больше затруднений встретит потенциальный взломщик -- тем лучше.

[MARMELAD03]

у меня 750Gl, и wifi раздает другой маршрутизатор подключенный к mikrotik'у

[MARMELAD03]

Если я хочу создать второй dhcp сервер то мне нужно указать интерфейс. Masterport у меня стоит вторым и он указан в качестве интерфейса для первого dhcp сервера. Какой интерфейс мне выставить на втором dhcp сервере?

[MARMELAD03]

athacker АртемЪ : Пожалуйста помогите разобраться пожалуйста

[Azazel PW]

MARMELAD03: На вайфай интерфейс повесьте.

[MARMELAD03]

Azazel PW: у меня его нету

[Azazel PW]

MARMELAD03: третий порт на вай фай патчкордом. Его убрать из бриджа. на третий порт назначить свою подсеть и DHCP сервер.

[MARMELAD03]

Azazel PW: у меня дома ещё есть телефон и планшет, надо чтобы они были в одной подсети с компьютером

[Azazel PW]

MARMELAD03: поставьте себе личный вайфай запароленый.

[MARMELAD03]

Azazel PW: ладно