Vladimir Zhurkin

F0lder Вам нужны свистки которые умеют passthrough , тогда у вас будет интерфейс от свистка ,на котором будет ip провайдера.

https://wiki.mikrotik.com/wiki/Manual:Interface/LT...

Если данная модель не умеет это в рамках вашего тика, тогда тут то же в общем все просто.

Вы должны тиком принимать от модема dhcp как от провайдера или просто выключить на свистке dhcp (обычно это все же можно сделать) и маркировать трафик.
Далее уже в зависимости от , предпринимать действия.

Решение получение маршрута по DHCP то же есть. С ходу уже не скажу как я решал это скриптами , но примеры должны быть в сети.

В общем и целом проблем не вижу. Главное , что бы у вас было в голове вот такая таблица

https://i.mt.lv/routerboard/files/RB750Gr3-esw2-16...

Если скорость интернета не 1gb, то рекомендую два порта под wan перевести в режим 100.
Между ними и switch будет 1gb канал (но условно там будет 200).
switch между собой будет уже как нормальный switch и отдать его дальше.
Так как у вас особых изысков нет, то и маркировать пакеты да же не надо.
Настройки в NAT для каждой сети, свой выход.

Если уж смотреть на производительность, то смотреть кол-во пакетов в секунду.
Сердце tplink это Atheros AR7241
В mikrotik был в Mikrotik RB751U-2HnD , который сейчас снят с производство.
https://mikrotik.com/product/RB751G-2HnD
Тут можно посмотреть на производительность в пакетах в рамках mikrotik устройства для этого процессора.
Потом посмотрите тот-же 2011
https://mikrotik.com/product/RB2011UiAS-IN

Можно увидеть, что 2011 действительно слегка мощнее 751. (условно в два раза)
Но! У 2011 есть отдельный switch чип, который занимается трафиком и не идет через процессор.
Точнее там часть портов разделена.
https://i.mt.lv/routerboard/files/RB2011UiAS-16062...

Поэтому, что там хотел сказать человек в итоге - можно гадать.
Мое мнение, если вам нужно для офиса, то надо отталкиваться от задач.
Я бы смотрел в сторону 3011 , как более нового и действительно мощного.
Если вам такая мощность не нужна, то вполне можно взять hex который умеет аппаратное шифрование для VPN (если надо) . Вот тут он точно сделает tplink :)

На тему wifi, я предпочитаю два разных устройства , а не комбайн.

Есть роутер Mikrotik RB951UI-2ND, способный (и лишь поэтому приобретенный) раздавать три интернета сразу:
1) "Первое" (wan-1) соединение — приходит по DHCP. Нужно перераздать (забыл название этого режима) этот DHCP на всю сеть за Микротиком на все порты кроме второго (там wan-2).

Вам надо будет убрать 3,4,5 порты из master-port . Назначить master port 3 порту и сделать slave port 4 и 5.
1 и 2 порты у вас уже не будут завязаны в bridge.

2) "Второе" (wan-2) соединение, для активации которого необходимо прописывать статические параметры. Нужен только одному компьютеру (pc1).

Ну а второй PC , куда будет подключатся ?

3) "Третее" соединение — 3G-свисток — резервное. необходимо во время сбоя "второго"-соединения. Т.е., если «второе» соединение выходит из строя, pc1 не должен замечать падения интернета (на нем идет видео-трансляция) и должен автоматически получать интернет-поток от «третьего» соединения.

Вы же понимаете, что чудес не бывает ?
Если у вас будет сбой, то все равно надо время на то
1) что бы переключится
2) что бы восстановить поток данных, так как будет новый ip адрес

С резервирование из коробки у Mikrotik на уровне проверки шлюза. Те если вдруг шлюз провайдера жив, а интернета нет (не оплатили) , то переключение не будет.
Что бы сделать переключение, надо писать скрипты, которые будут по пингу нескольких выбранных источников определять жив ли интернет.
как вариант, они недавно запилили - https://wiki.mikrotik.com/wiki/Manual:Detect_internet
Как раз под вашу тему, но сам лично я еще не использовал.
Еще вам надо будет маркировать трафик, что бы пустить разные машины на разный интернет.

Я правильно понимаю, что для этого мне нужен роутер с 3 портами и иначе никак? Если приобрести маршрутизатор MIKROTIK RB3011UIAS-RM, то там же можно такую схему настроить?

Да все верно. 3 порта у вас будут заняты.
Только есть один момент, скорость между сетками у вас будет 1gb.
Второй момент, что 3011 имеет сразу два switch и вы можете обе сетки раскидать по разным switch chip.

Ну или как выше предложили, использовать vlan, хотя я думаю если вы не планируете расширяться, то можно их не использовать.
Будите использовать, то делайте vlan через switch chip.

Как сделать?
В локальной сети стоит 2 ПК. Один 192.168.88.20, а другой 192.168.88.30. На одном лежит сайт mysite1.ru, а на другом mysite2.ru. Внешний ip один. Как настроить DNS Статик на микротик чтобы он направлял запрос из внешнего интернета на нужный локальные ip?

Несколько вариантов:
Сделать проброс портов на одну машину и она уже будет дальше перекидывать на вторую и быть неким балансировщиком.

Если не критично, повесить сайты на разные порты и сделать проброс. Один на 80 другой на 81.
При это физически внутри сети они будут на 80 порту, только из вне они будут на разных.

DNS вам надо настраивать там, где у вас размещаются доменные имена и делать привязку ip к тому, что выдает вам ваш провайдер. (белая статика.)

Есть Mikrotik с 2-мя Bridge с в которых находятся сети, LAN и Video, с одинаковой адресацией 192.168.2.1/24
Нужно сделать так что бы трафик из Video не мог из нее выбраться, но из LAN можно было по 80 порту попадать на DVR в сети Video.

Хотелось бы увидеть конфигурацию.

Но допустим у вас два bridge, один из них будет работать через CPU.
Можно было бы очень просто настроить роутинг между ними, но у вас одинаковая адресация.
Я бы конечно очень сильно советовал сменить на другое, особенно там где dhcp, это было бы проще.
Если вдруг это невозможно, то вам для хождение из одной сети в другоую надо использовать netmap.

Вот пример, что есть два офиса:

1 офис
/ip firewall nat
add action=netmap chain=srcnat dst-address=192.168.2.0/24 src-address=192.168.0.0/24\
to-addresses=192.168.1.0/24
add action=netmap chain=dstnat dst-address=192.168.1.0/24 src-address=192.168.2.0/24\
to-addresses=192.168.0.0/24

2 офис

/ip firewall nat
add action=netmap chain=srcnat dst-address=192.168.1.0/24 src-address=192.168.0.0/24\
to-addresses=192.168.2.0/24
add action=netmap chain=dstnat dst-address=192.168.2.0/24 src-address=192.168.1.0/24\
to-addresses=192.168.0.0/24

Теперь ходим из офиса-1 в офис-2 по адресам 192.168.2.х, а из офиса-2 в офис-1 по адресам 192.168.1.х

По другому увы не как, чудес не бывает.

Если у вас стоит Edgemax router PoE , можно смело брать 3011 если не нужно ipsec шифрование.
Правда у edgemax заявлен 1 лям пакетов, но это надо смотреть, что они там считали и как.

Грубо говоря после кратковременного отключения питания,в winbox оборудование не отображается и постоянно слетают все настройки роутера,приходиться перезагружать роутер в ручную на крыше кнопкой и вводить все настройки повторно!

Посмотрите , нормальное ли состояние bad block ? Может быть у вас проблема с nand память.
Второй момент, могу вам предложить сделать полное обнуление через netinstall.
Netinstall полностью форматирует nand память и записывает нужную вам версию routeros.
Еще вариант проблема с БП. Во время перезагрузки идет высокое потребление и роутер остается в зависшем состоянии. Особенно актуально через poe инжекторы.

Ну и самое банальное брак.

Имеется RB3011UiAS 6.37.5 с поднятым на нем CAPsMAN, через который подключаются много устройств + клиенты по кабелю , в следствии порой не хватает адресов на всех, необходимо что все видели всех.

Так и хочется спросить, как там сетка с 254 устройствами поживает ?
Если такого одновременного кол-во устройств нет, может стоит снизить время аренды адреса ?

В другом варианте, отделяйте один из интерфейсов от текущего bridge .
Создавайте новый bridge и вешайте на него новый dhcp сервер.
Так как у вас два switch чипа коммутации и между ними трафик все равно идет через CPU, то я бы под wifi Отдал бы один из них.

и уходит дальше по l2 оборудованию, на другом конце стоит коммутатор с этим же Vlan'ом,

Если там тупой l2 switch , он может к удивление не пропустить vlan.
Конечно сейчас трудно найти , кто бы не пропускал фреймы с тегом или 1518 , но все может быть.

Ну и совет, не используйте vlan и bridge, это просаживает CPU.
Делайте через switch chip

Приветствую! Собрал систему Mikrotik RB951ui-2hnd + Мегафон Модем М150. Перепрошил модем в hlink прошивку, поднялся lte интерфейс в микротики настроил все как положено, в итоге по проводу имеем скорость 30-40 мбит по wi-fi скорость 2-7 мбит.

Скачайте
https://mikrotik.com/download/btest.exe
и сделайте замеры по wifi до mikrotik.
Модем можно на время этого теста убрать совсем.
Так же покажите настройки wifi.

Видимо решение проблемы в том, что надо было выставить в настройках bonding1 на микротике mode не balance rr, а 802.3ad, но может кто-нибудь что-нибудь ещё добавит. Вроде всё работает, но есть новая проблемка - смотрю порты на микротике и вижу, что трафик-то идёт только по одному порту (к HP пока ни одного клиента не подключено, к слову). Если этот порт заdisabl'ить то при пинговании HP видно, что пинг на секунду таки пропадает, пока происходит перестройка на второй порт. Это оно так и должно быть? Вроде же должно всё без потерь работать?

Да вам нужен 802.3ad
Если у вас один клиент, то распределение идет по mac адресу на первый интерфейс.

Другой момент , что 125 не умеет аппаратный bonding и будет все через CPU. Switch и CPU имеют link 1 gb.
Смысла делать активный bonding на 1gb - ноль.
https://i.mt.lv/routerboard/files/CRS125-24G-1S-16...

Аппаратная реализация только на SwOS и только на 3 серии.

Для вас будет актуально , только если скорость портов снизить до 100 или использовать как backup.

Задача-максимум — чтобы никто из гостевой сети не имел доступа ни к домашней сети, ни к кому-либо из соседей.

https://weblance.com.ua/226-guest-wi-fi-sozdanie-g...

Проброс портов для RDP, но для RDP не надо пробрасывать порт

/ip firewall nat add chain=dstnat dst-port=3389 action=dst-nat protocol=tcp to-address=192.168.0.253 to-port=3389 comment="RDP "

Пример:
/ip firewall nat add chain=dstnat dst-port=3389 action=dst-nat protocol=tcp to-address=192.168.0.253 to-port=3389 comment="RDP "

Только я бы ОЧЕНЬ не рекомендовал ставить жопой на ружу порт RDP. Лучше настроить VPN. Боты налетают как мухи на гавно, при этом смена порта с 3389 не особо вам поможет.

При этом защита от перебора не всегда помогает, так как есть определенная особенность, когда в одну сессию можно перебирать пароли.
Тут пример от перебора

https://spw.ru/forum/threads/perebor-portov.548/