MikroTik hAP ac / ac2 — полное руководство

MikroTik hAP ac / ac2 — полное руководство по настройке

hAP ac и hAP ac2 — одни из самых популярных маршрутизаторов MikroTik для дома и малого офиса. Несмотря на выход новых моделей с Wi-Fi 6, hAP ac2 остаётся рабочей лошадкой благодаря надёжности, низкой цене и полному функционалу RouterOS.

Характеристики

Основное отличие: hAP ac имеет USB-порт и чуть более крупный корпус. В остальном устройства идентичны по производительности.

Первое подключение

Подключите компьютер в порт ether2-ether5 кабелем. Ether1 — для интернета (WAN).

[admin@MikroTik] >
Копировать
# Скачайте WinBox с mikrotik.com/download
# Подключитесь по MAC-адресу через вкладку Neighbors
# Логин: admin, пароль пустой (или на наклейке)

Сброс и базовая настройка

Если роутер б/у — сбросьте конфигурацию:

[admin@MikroTik] >
Копировать
/system reset-configuration no-defaults=yes skip-backup=yes

После перезагрузки задайте пароль:

[admin@MikroTik] >
Копировать
/user set [find name=admin] password="ВашПароль"

Обновление RouterOS

hAP ac/ac2 работают на архитектуре ARM. Обновите до последней версии:

[admin@MikroTik] >
Копировать
/system package update check-for-updates
/system package update install

После обновления RouterOS обновите загрузчик:

[admin@MikroTik] >
Копировать
/system routerboard upgrade
/system reboot

Настройка Bridge и LAN

[admin@MikroTik] >
Копировать
/interface bridge add name=bridge-LAN

/interface bridge port
  add bridge=bridge-LAN interface=ether2
  add bridge=bridge-LAN interface=ether3
  add bridge=bridge-LAN interface=ether4
  add bridge=bridge-LAN interface=ether5

/ip address add address=192.168.88.1/24 interface=bridge-LAN

DHCP-сервер

[admin@MikroTik] >
Копировать
/ip pool add name=pool-LAN ranges=192.168.88.10-192.168.88.254

/ip dhcp-server add name=dhcp-LAN interface=bridge-LAN \
  address-pool=pool-LAN lease-time=1d disabled=no

/ip dhcp-server network add address=192.168.88.0/24 \
  gateway=192.168.88.1 dns-server=192.168.88.1

Подключение к интернету

DHCP от провайдера:

[admin@MikroTik] >
Копировать
/ip dhcp-client add interface=ether1 disabled=no

PPPoE:

[admin@MikroTik] >
Копировать
/interface pppoe-client add name=pppoe-WAN interface=ether1 \
  user="логин" password="пароль" disabled=no

NAT

[admin@MikroTik] >
Копировать
/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

DNS

[admin@MikroTik] >
Копировать
/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

Настройка Wi-Fi

hAP ac/ac2 используют legacy wireless пакет (не wifi-qcom). Настройка через /interface wireless:

Security Profile

[admin@MikroTik] >
Копировать
/interface wireless security-profiles
  add name=wifi-security mode=dynamic-keys \
    authentication-types=wpa2-psk \
    wpa2-pre-shared-key="ВашПарольWiFi" \
    group-ciphers=aes-ccm \
    unicast-ciphers=aes-ccm

Wi-Fi 2.4 ГГц

[admin@MikroTik] >
Копировать
/interface wireless
  set wlan1 \
    mode=ap-bridge \
    band=2ghz-b/g/n \
    channel-width=20/40mhz-XX \
    frequency=auto \
    ssid="Home-WiFi" \
    security-profile=wifi-security \
    wireless-protocol=802.11 \
    wps-mode=disabled \
    disabled=no

Wi-Fi 5 ГГц

[admin@MikroTik] >
Копировать
/interface wireless
  set wlan2 \
    mode=ap-bridge \
    band=5ghz-a/n/ac \
    channel-width=20/40/80mhz-XXXX \
    frequency=auto \
    ssid="Home-WiFi-5G" \
    security-profile=wifi-security \
    wireless-protocol=802.11 \
    wps-mode=disabled \
    disabled=no

Добавление Wi-Fi в Bridge

[admin@MikroTik] >
Копировать
/interface bridge port
  add bridge=bridge-LAN interface=wlan1
  add bridge=bridge-LAN interface=wlan2

Гостевая сеть

Создайте отдельную сеть для гостей через Virtual AP и VLAN:

[admin@MikroTik] >
Копировать
# Virtual AP на 2.4 ГГц
/interface wireless
  add name=wlan1-guest master-interface=wlan1 \
    ssid="Guest-WiFi" security-profile=guest-security

# Virtual AP на 5 ГГц
/interface wireless
  add name=wlan2-guest master-interface=wlan2 \
    ssid="Guest-WiFi-5G" security-profile=guest-security

# Отдельный bridge для гостей
/interface bridge add name=bridge-GUEST
/interface bridge port
  add bridge=bridge-GUEST interface=wlan1-guest
  add bridge=bridge-GUEST interface=wlan2-guest

# IP и DHCP для гостевой сети
/ip address add address=192.168.99.1/24 interface=bridge-GUEST
/ip pool add name=pool-GUEST ranges=192.168.99.10-192.168.99.254
/ip dhcp-server add name=dhcp-GUEST interface=bridge-GUEST \
  address-pool=pool-GUEST lease-time=2h disabled=no
/ip dhcp-server network add address=192.168.99.0/24 \
  gateway=192.168.99.1 dns-server=192.168.99.1

# NAT для гостей
/ip firewall nat add chain=srcnat src-address=192.168.99.0/24 \
  out-interface=ether1 action=masquerade

# Запрет доступа гостей в основную сеть
/ip firewall filter add chain=forward \
  src-address=192.168.99.0/24 dst-address=192.168.88.0/24 \
  action=drop comment="Block guests from LAN"

Базовый Firewall

[admin@MikroTik] >
Копировать
/ip firewall filter
  add chain=input connection-state=established,related action=accept
  add chain=input connection-state=invalid action=drop
  add chain=input in-interface=bridge-LAN action=accept
  add chain=input in-interface=bridge-GUEST protocol=udp dst-port=53,67 action=accept \
    comment="Allow DNS+DHCP from guests"
  add chain=input action=drop

  add chain=forward connection-state=established,related action=accept
  add chain=forward connection-state=invalid action=drop
  add chain=forward src-address=192.168.99.0/24 dst-address=192.168.88.0/24 action=drop
  add chain=forward in-interface=bridge-LAN action=accept
  add chain=forward in-interface=bridge-GUEST out-interface=ether1 action=accept
  add chain=forward action=drop

Ограничение сервисов

[admin@MikroTik] >
Копировать
/ip service
  set telnet disabled=yes
  set ftp disabled=yes
  set www disabled=yes
  set api disabled=yes
  set api-ssl disabled=yes

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN

Оптимизация Wi-Fi

Рекомендации для лучшей производительности:

• 2.4 ГГц: используйте ширину канала 20 MHz в зашумлённой среде, 20/40 MHz в частном доме
• 5 ГГц: ширина 80 MHz даёт максимальную скорость, 40 MHz — более стабильную связь
• Каналы 2.4 ГГц: 1, 6 или 11 — не перекрывающиеся каналы
• DFS на 5 ГГц: в России каналы DFS (52-140) требуют поддержки радара. Если Wi-Fi пропадает — отключите DFS
• Отключите WPS: wps-mode=disabled — уязвимость безопасности

Использование как точка доступа CAPsMAN

hAP ac2 можно использовать как управляемую точку доступа под CAPsMAN:

[admin@MikroTik] >
Копировать
/interface wireless cap
  set enabled=yes interfaces=wlan1,wlan2 \
    caps-man-addresses=192.168.88.1 \
    discovery-interfaces=bridge-LAN

Сравнение hAP ac2 с новыми моделями

Если покупаете новый роутер — берите hAP ax2. Но если hAP ac2 уже работает и хватает скорости — менять не обязательно.

Проверка

[admin@MikroTik] >
Копировать
# Wi-Fi клиенты
/interface wireless registration-table print

# Скорость Wi-Fi соединения
/interface wireless monitor wlan1

# DHCP-клиенты
/ip dhcp-server lease print

# Загрузка CPU
/system resource print

Типичные проблемы

1. Wi-Fi отключается — проверьте DFS-каналы на 5 ГГц, отключите если нестабильно
2. Низкая скорость Wi-Fi — проверьте channel-width, используйте 80 MHz на 5 ГГц
3. Гости видят основную сеть — проверьте firewall-правила между bridge-GUEST и bridge-LAN
4. Нет интернета после настройки — проверьте NAT (masquerade) и маршрут по умолчанию
5. WinBox не подключается — проверьте что ether1 не в bridge, используйте MAC-подключение

# Скачайте WinBox с mikrotik.com/download
# Подключитесь по MAC-адресу через вкладку Neighbors
# Логин: admin, пароль пустой (или на наклейке)
/system reset-configuration no-defaults=yes skip-backup=yes
/user set [find name=admin] password="ВашПароль"
/system package update check-for-updates
/system package update install
/system routerboard upgrade
/system reboot
/interface bridge add name=bridge-LAN

/interface bridge port
  add bridge=bridge-LAN interface=ether2
  add bridge=bridge-LAN interface=ether3
  add bridge=bridge-LAN interface=ether4
  add bridge=bridge-LAN interface=ether5

/ip address add address=192.168.88.1/24 interface=bridge-LAN
/ip pool add name=pool-LAN ranges=192.168.88.10-192.168.88.254

/ip dhcp-server add name=dhcp-LAN interface=bridge-LAN \
  address-pool=pool-LAN lease-time=1d disabled=no

/ip dhcp-server network add address=192.168.88.0/24 \
  gateway=192.168.88.1 dns-server=192.168.88.1
/ip dhcp-client add interface=ether1 disabled=no
/interface pppoe-client add name=pppoe-WAN interface=ether1 \
  user="логин" password="пароль" disabled=no
/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade
/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes
/interface wireless security-profiles
  add name=wifi-security mode=dynamic-keys \
    authentication-types=wpa2-psk \
    wpa2-pre-shared-key="ВашПарольWiFi" \
    group-ciphers=aes-ccm \
    unicast-ciphers=aes-ccm
/interface wireless
  set wlan1 \
    mode=ap-bridge \
    band=2ghz-b/g/n \
    channel-width=20/40mhz-XX \
    frequency=auto \
    ssid="Home-WiFi" \
    security-profile=wifi-security \
    wireless-protocol=802.11 \
    wps-mode=disabled \
    disabled=no
/interface wireless
  set wlan2 \
    mode=ap-bridge \
    band=5ghz-a/n/ac \
    channel-width=20/40/80mhz-XXXX \
    frequency=auto \
    ssid="Home-WiFi-5G" \
    security-profile=wifi-security \
    wireless-protocol=802.11 \
    wps-mode=disabled \
    disabled=no
/interface bridge port
  add bridge=bridge-LAN interface=wlan1
  add bridge=bridge-LAN interface=wlan2
# Virtual AP на 2.4 ГГц
/interface wireless
  add name=wlan1-guest master-interface=wlan1 \
    ssid="Guest-WiFi" security-profile=guest-security

# Virtual AP на 5 ГГц
/interface wireless
  add name=wlan2-guest master-interface=wlan2 \
    ssid="Guest-WiFi-5G" security-profile=guest-security

# Отдельный bridge для гостей
/interface bridge add name=bridge-GUEST
/interface bridge port
  add bridge=bridge-GUEST interface=wlan1-guest
  add bridge=bridge-GUEST interface=wlan2-guest

# IP и DHCP для гостевой сети
/ip address add address=192.168.99.1/24 interface=bridge-GUEST
/ip pool add name=pool-GUEST ranges=192.168.99.10-192.168.99.254
/ip dhcp-server add name=dhcp-GUEST interface=bridge-GUEST \
  address-pool=pool-GUEST lease-time=2h disabled=no
/ip dhcp-server network add address=192.168.99.0/24 \
  gateway=192.168.99.1 dns-server=192.168.99.1

# NAT для гостей
/ip firewall nat add chain=srcnat src-address=192.168.99.0/24 \
  out-interface=ether1 action=masquerade

# Запрет доступа гостей в основную сеть
/ip firewall filter add chain=forward \
  src-address=192.168.99.0/24 dst-address=192.168.88.0/24 \
  action=drop comment="Block guests from LAN"
/ip firewall filter
  add chain=input connection-state=established,related action=accept
  add chain=input connection-state=invalid action=drop
  add chain=input in-interface=bridge-LAN action=accept
  add chain=input in-interface=bridge-GUEST protocol=udp dst-port=53,67 action=accept \
    comment="Allow DNS+DHCP from guests"
  add chain=input action=drop

  add chain=forward connection-state=established,related action=accept
  add chain=forward connection-state=invalid action=drop
  add chain=forward src-address=192.168.99.0/24 dst-address=192.168.88.0/24 action=drop
  add chain=forward in-interface=bridge-LAN action=accept
  add chain=forward in-interface=bridge-GUEST out-interface=ether1 action=accept
  add chain=forward action=drop
/ip service
  set telnet disabled=yes
  set ftp disabled=yes
  set www disabled=yes
  set api disabled=yes
  set api-ssl disabled=yes

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/interface wireless cap
  set enabled=yes interfaces=wlan1,wlan2 \
    caps-man-addresses=192.168.88.1 \
    discovery-interfaces=bridge-LAN
# Wi-Fi клиенты
/interface wireless registration-table print

# Скорость Wi-Fi соединения
/interface wireless monitor wlan1

# DHCP-клиенты
/ip dhcp-server lease print

# Загрузка CPU
/system resource print