Настройка Wi-Fi на MikroTik RouterOS 7: сеть, защита и проверка

Настройка Wi‑Fi на MikroTik начинается не с имени сети и пароля, а с определения драйвера, роли устройства и радиодиапазонов. В RouterOS 7 одновременно существуют современное меню /interface wifi и legacy-меню /interface wireless. Команды между ними несовместимы. Wi‑Fi 6/7 и часть ARM-устройств Wi‑Fi 5 используют /interface wifi; старые MIPS-модели и устройства с пакетом wireless — /interface wireless.

Ниже приведён полный пример для hAP ax²/hAP ax³/cAP ax с пакетом wifi-qcom и RouterOS 7.26. Создаётся основная сеть Office-WiFi с WPA2/WPA3 transition mode, 5 ГГц и 2,4 ГГц получают разные профили каналов, радиоинтерфейсы включаются в существующий bridge LAN, затем проверяются клиенты, уровень сигнала, канал и фактическая скорость. Для legacy-оборудования в конце приведено сопоставление, но его конфигурацию следует делать по отдельному руководству /interface wireless.

Сначала определить меню, пакет и назначение каждого радио

Выполните команды до изменения конфигурации. Если /interface wifi print показывает wifi1 и wifi2, продолжайте по статье. Если интерфейсы видны только в /interface wireless print, этот набор команд не подходит.

/system resource print
/system package print
/interface wifi print detail
/interface wifi radio print detail
/interface wireless print detail
/interface bridge print detail
/interface bridge port print detail
/export hide-sensitive file=before-wifi
/system backup save name=before-wifi password=<BACKUP_PASSWORD>

wifi-qcom применяется для Qualcomm Wi‑Fi 6/6E, wifi-qcom-be — для части Wi‑Fi 7, wifi-mediatek — для MediaTek Wi‑Fi 6/7, а wifi-qcom-ac — для совместимых ARM Wi‑Fi 5. Пакет wifi-qcom-ac требует больше памяти и не подходит MIPS-моделям. Не заменяйте пакет удалённо без отдельного плана восстановления: после перезагрузки радио может исчезнуть из старого меню, а прежняя конфигурация не перенесётся автоматически.

Спроектировать сеть до ввода команд

В примере MikroTik уже работает маршрутизатором, bridge объединяет LAN-порты, DHCP выдаёт адреса клиентам, а WAN находится в interface list WAN. Wi‑Fi добавляется в этот bridge. Не создавайте второй DHCP-сервер и новый NAT, если они уже есть: дублирование служб является частой причиной случайных адресов и неоднозначной маршрутизации.

Основной SSID одинаков для двух диапазонов, поэтому клиент может выбирать 2,4 или 5 ГГц. Диапазон 2,4 ГГц оставляем шириной 20 МГц и каналами 1/6/11, чтобы уменьшить взаимное перекрытие. Для 5 ГГц разрешаем 20/40/80 МГц; конкретная частота выбирается в рамках регуляторного домена. Страна Russia заставляет RouterOS применять разрешённые частоты и ограничения мощности. Использование Superchannel без специального разрешения неприемлемо.

Пароль PSK должен быть уникальной случайной фразой, а не названием компании и номером телефона. WPA2/WPA3 transition mode поддерживает старые устройства, но клиент с WPA2 по-прежнему использует PSK. Для управляемых корпоративных ноутбуков предпочтительнее WPA2/WPA3 Enterprise с RADIUS и индивидуальной учётной записью; это отдельный проект, потому что нужны сертификаты, сервер AAA и процедура отзыва.

Создать профиль безопасности

Профиль задаёт допустимые методы аутентификации, пароль и отключает WPS. Значение <UNIQUE_WIFI_PASSPHRASE> замените на длинную случайную фразу 16–32 символа. Не оставляйте пароль из примера.

/interface wifi security add name=sec-office \
    authentication-types=wpa2-psk,wpa3-psk \
    passphrase="<UNIQUE_WIFI_PASSPHRASE>" \
    wps=disable

/interface wifi security print detail where name=sec-office

WPA3 использует Protected Management Frames по требованиям стандарта. В transition mode совместимость надо проверять на старых сканерах, принтерах и терминалах сбора данных. Если критическое устройство не поддерживает WPA3, не ослабляйте основную сеть: вынесите его в отдельный SSID/VLAN с ограниченным доступом и планом замены.

Создать общий профиль SSID и страны

Configuration profile объединяет SSID, страну, режим AP и ссылку на security profile. Профили удобнее прямых свойств интерфейса: одинаковые параметры применяются к обоим радио, а различаются только каналы.

/interface wifi configuration add name=cfg-office \
    mode=ap ssid="Office-WiFi" country=Russia \
    security=sec-office

/interface wifi configuration print detail where name=cfg-office

В RouterOS значения могут наследоваться на четырёх уровнях: прямые свойства интерфейса, профиль интерфейса, configuration profile и вложенные security/channel/datapath profiles. Прямое значение имеет наивысший приоритет. Поэтому после применения всегда смотрите /interface wifi print detail, а не только содержимое профиля.

Создать разные каналы для 2,4 и 5 ГГц

Пример ниже рассчитан на ax-радио. Для устройства wifi-qcom-ac band будет 2ghz-n/5ghz-ac; сначала сверяйте поддерживаемые диапазоны в /interface wifi radio print detail.

/interface wifi channel add name=ch-office-2g \
    band=2ghz-ax width=20mhz \
    frequency=2412,2437,2462

/interface wifi channel add name=ch-office-5g \
    band=5ghz-ax width=20/40/80mhz

/interface wifi channel print detail \
    where name~"ch-office"

На 5 ГГц частота не закреплена, поэтому радио выбирает допустимый канал по country profile. Это безопаснее универсального списка, потому что часть частот требует DFS и меняется по региону. DFS-канал может временно остановить передачу при обнаружении радара — это нормальное регуляторное поведение. Для офиса с несколькими точками каналы планируют вручную после обследования; одной точке автоматический выбор подходит как старт.

Ширина 80 МГц даёт высокую PHY-скорость рядом с точкой, но занимает больше спектра. В плотном офисе 40 МГц часто обеспечивает более стабильную суммарную производительность. Выбор подтверждают замером, а не максимальным числом в профиле.

Сопоставить физические радио и применить профили

На типичном hAP ax² wifi1 — 5 ГГц, wifi2 — 2,4 ГГц, но имя не является гарантией для всех моделей. Сначала посмотрите поддерживаемые bands и radio MAC, затем назначьте профили соответствующим интерфейсам.

/interface wifi radio print detail

/interface wifi set [find where default-name=wifi1] \
    configuration=cfg-office channel=ch-office-5g disabled=no
/interface wifi set [find where default-name=wifi2] \
    configuration=cfg-office channel=ch-office-2g disabled=no

/interface wifi print detail
/interface wifi print detail config

Первый print detail показывает итоговые значения с учётом наследования. В выводе должны быть mode=ap, SSID, Russia, методы WPA2/WPA3, правильный band и отсутствие флага I (inactive). print detail config показывает значения, назначенные непосредственно интерфейсу, и помогает найти старое override, которое перекрывает профиль.

Если появляется no supported channels, вы назначили профиль 5 ГГц радио 2,4 ГГц, выбрали неподдерживаемый band или country profile исключил все частоты. Не снимайте country; исправьте соответствие радио и channel profile.

Включить Wi-Fi в существующий LAN bridge

Проверьте, входят ли интерфейсы в bridge. В заводской конфигурации они часто уже добавлены. Дублировать bridge port нельзя. Если записей нет, добавьте обе физические точки.

/interface bridge port print where interface=wifi1
/interface bridge port print where interface=wifi2

/interface bridge port add bridge=bridge interface=wifi1 \
    comment="Office Wi-Fi 5 GHz"
/interface bridge port add bridge=bridge interface=wifi2 \
    comment="Office Wi-Fi 2.4 GHz"

/interface bridge port print detail where interface~"wifi"

Две команды add выполняются только при отсутствии таких портов. После подключения телефон должен получить адрес от существующего DHCP-сервера LAN, основной шлюз и DNS. Если SSID виден, а адрес остаётся 169.254.x.x, проверяйте bridge, VLAN и DHCP, а не пароль Wi‑Fi.

Проверить радио и подключённых клиентов

Подключите тестовый телефон, затем ноутбук. Registration table показывает MAC, сигнал, negotiated PHY rate и интерфейс. Сигнал оценивают в dBm: значение ближе к нулю сильнее. Для устойчивой офисной работы ориентир около −67 dBm является разумной целью, но качество определяется также шумом, SNR, повторными передачами и загрузкой эфира.

/interface wifi print detail
/interface wifi registration-table print detail
/interface wifi monitor wifi1
/interface wifi monitor wifi2
/log print where topics~"wifi"

Не путайте PHY rate с полезной скоростью. В интерфейсе может отображаться 1200 Мбит/с, а TCP-тест даст существенно меньше из-за half-duplex эфира, служебных кадров, помех и одного spatial stream у клиента. Правильная приёмка использует локальный iperf3-сервер по гигабитному кабелю, а не speedtest через интернет.

# На проводном сервере
iperf3 -s

# На Wi-Fi ноутбуке
iperf3 -c 10.20.0.10 -P 4 -t 30
iperf3 -c 10.20.0.10 -P 4 -t 30 -R
ping -n -c 100 10.20.0.1

Проверьте оба направления, задержку и потери в трёх точках помещения. Зафиксируйте, к какому band подключился клиент. Один удачный тест рядом с точкой не подтверждает покрытие.

Создать изолированную гостевую сеть

Гостевой SSID нельзя просто добавить вторым именем к тому же bridge: тогда гости окажутся в корпоративной L2-сети. В простом маршрутизаторе можно создать отдельный bridge, DHCP и виртуальные интерфейсы. Для офиса с несколькими точками лучше VLAN и CAPsMAN; отдельный bridge ниже показан для одной точки.

/interface bridge add name=bridge-guest comment="Isolated guest LAN"
/ip address add address=10.90.0.1/24 interface=bridge-guest
/ip pool add name=pool-guest ranges=10.90.0.50-10.90.0.250
/ip dhcp-server add name=dhcp-guest interface=bridge-guest \
    address-pool=pool-guest lease-time=4h disabled=no
/ip dhcp-server network add address=10.90.0.0/24 \
    gateway=10.90.0.1 dns-server=10.90.0.1

/interface wifi security add name=sec-guest \
    authentication-types=wpa2-psk,wpa3-psk \
    passphrase="<UNIQUE_GUEST_PASSPHRASE>" wps=disable
/interface wifi configuration add name=cfg-guest \
    mode=ap ssid="Office-Guest" country=Russia security=sec-guest

/interface wifi add name=guest-5g master-interface=wifi1 \
    configuration=cfg-guest disabled=no
/interface wifi add name=guest-2g master-interface=wifi2 \
    configuration=cfg-guest disabled=no
/interface bridge port add bridge=bridge-guest interface=guest-5g
/interface bridge port add bridge=bridge-guest interface=guest-2g

Разрешите гостям DHCP/DNS к самому MikroTik, запретите доступ к корпоративным private networks и разрешите выход в интернет по существующей политике. Порядок правил важен: DNS/DHCP должны быть выше запрета input, а запрет guest→LAN — выше общих разрешений forward.

/ip firewall filter add chain=input action=accept \
    in-interface=bridge-guest protocol=udp dst-port=53,67 \
    comment="Guest: DHCP and DNS UDP"
/ip firewall filter add chain=input action=accept \
    in-interface=bridge-guest protocol=tcp dst-port=53 \
    comment="Guest: DNS TCP"
/ip firewall filter add chain=input action=drop \
    in-interface=bridge-guest comment="Guest: deny router management"
/ip firewall filter add chain=forward action=drop \
    in-interface=bridge-guest dst-address=10.0.0.0/8 \
    comment="Guest: deny RFC1918 10/8"
/ip firewall filter add chain=forward action=drop \
    in-interface=bridge-guest dst-address=172.16.0.0/12 \
    comment="Guest: deny RFC1918 172.16/12"
/ip firewall filter add chain=forward action=drop \
    in-interface=bridge-guest dst-address=192.168.0.0/16 \
    comment="Guest: deny RFC1918 192.168/16"

Если в firewall нет общего masquerade out-interface-list=WAN, добавьте отдельный src-nat для 10.90.0.0/24. Если общий NAT уже существует, новое правило не нужно. Проверьте, что guest не видит ни LAN, ни WinBox/SSH/WebFig самого MikroTik, но получает DNS и интернет.

Разобрать безопасность корпоративного PSK

Один общий пароль нельзя отозвать для одного сотрудника: после утечки его приходится менять на всех устройствах. Captured WPA2 handshake допускает офлайн-проверку словарных кандидатов; защита зависит от энтропии фразы, а не от скрытия SSID. WPA3-SAE существенно улучшает устойчивость, но transition mode сохраняет возможность WPA2 для совместимости.

Для небольшой сети допустим длинный случайный PSK с регулярной сменой при компрометации. Для компании с управляемыми устройствами проектируйте WPA2/WPA3 Enterprise, RADIUS, EAP-TLS и отдельную гостевую сеть. MAC access list не является аутентификацией: MAC легко наблюдается и подменяется.

Диагностировать типичные проблемы

Если SSID не появляется, проверьте флаги интерфейса, band, country, канал и сообщения no supported channels. Если клиент подключается и сразу отключается, сравните методы WPA, пароль, время и поддержку WPA3/PMF. Если 2,4 ГГц работает, а 5 ГГц долго молчит, возможно ожидание DFS CAC.

Низкая скорость при хорошем сигнале часто связана с занятым каналом, широкими 80 МГц, медленным клиентом или проводным uplink 100 Мбит/с. Низкий сигнал исправляют размещением и добавлением точки, а не максимальной мощностью: слишком сильная точка слышна клиенту, но слабый передатчик клиента не слышен точке.

Если клиент получает IP и DNS, но интернета нет, проверьте route/NAT/firewall. Если интернет есть, но LAN недоступна, это может быть правильным результатом guest policy. Диагностика должна идти слоями: association → DHCP → route → DNS → прикладной порт.

Выполнить откат

Для основной сети достаточно вернуть сохранённый профиль либо сбросить изменённые радиоинтерфейсы и снова назначить старые параметры. Гостевую сеть удаляйте с конца зависимостей: firewall, bridge ports, virtual Wi‑Fi, DHCP, pool, address и bridge.

/interface wifi disable [find where name~"guest-"]
/ip firewall filter remove [find where comment~"^Guest:"]
/interface bridge port remove [find where bridge=bridge-guest]
/interface wifi remove [find where name~"guest-"]
/ip dhcp-server remove [find where name=dhcp-guest]
/ip dhcp-server network remove [find where address="10.90.0.0/24"]
/ip pool remove [find where name=pool-guest]
/ip address remove [find where interface=bridge-guest]
/interface bridge remove [find where name=bridge-guest]

Перед выполнением каждого remove проверьте выбор через print. Не удаляйте sec-office, cfg-office или channel profiles, пока они назначены физическим радио.

Что считать завершённой настройкой

Оба радио работают в правильных диапазонах, страна и каналы соответствуют месту эксплуатации, WPS выключен, пароль уникален, интерфейсы находятся в ожидаемом bridge/VLAN. Клиенты получают правильный DHCP, DNS и маршрут, проходят тест локальной скорости в обе стороны, а гостевая сеть не достигает управления и LAN. Результаты измерены в нескольких точках и записаны вместе с версией RouterOS и моделью клиента.

Для приёмки используйте ведомость проверки Wi‑Fi: драйвер, radio MAC, каналы, ширина, SSID, методы защиты, три точки замера, signal/SNR, ping, iperf3, DHCP/DNS, guest isolation и откат.

Команды и различия драйверов сверены с руководством Wi‑Fi RouterOS 7.26 и обзором семейств Wireless RouterOS.