Полное руководство по настройке RB2011UiAS-IN

Полное руководство по настройке MikroTik RB2011UiAS-IN

RB2011UiAS-IN — один из самых распространённых маршрутизаторов MikroTik в малом и среднем бизнесе. Несмотря на возраст модели, она по-прежнему встречается в огромном количестве офисов и активно поддерживается RouterOS 6.49 (long-term).

Характеристики

Важно: RB2011 не поддерживает RouterOS 7. Максимальная версия — 6.49.x (long-term). Все команды в этой статье для RouterOS 6.49.

Особенности портов

RB2011 имеет два switch-чипа:

• Switch1: ether1-ether5 (Fast Ethernet, 100 Мбит)
• Switch2: ether6-ether10 (Gigabit Ethernet, 1 Гбит)
• SFP: отдельный SFP-порт (1 Гбит)

Рекомендация: используйте гигабитные порты (ether6-ether10) для LAN, ether1 для WAN. Fast Ethernet порты подходят для устройств с низкими требованиями к скорости (IP-телефоны, принтеры, IoT).

Первое подключение

[admin@MikroTik] >
Копировать
# Подключите компьютер в ether6-ether10
# WinBox → Neighbors → подключение по MAC
# Логин: admin, пароль пустой

Сброс конфигурации

[admin@MikroTik] >
Копировать
/system reset-configuration no-defaults=yes skip-backup=yes

Задайте пароль:

[admin@MikroTik] >
Копировать
/user set admin password="ВашПароль"

Обновление до последней RouterOS 6.49

[admin@MikroTik] >
Копировать
/system package update set channel=long-term
/system package update check-for-updates
/system package update install

После обновления:

[admin@MikroTik] >
Копировать
/system routerboard upgrade
/system reboot

Настройка Bridge

Объединяем гигабитные порты в LAN:

[admin@MikroTik] >
Копировать
/interface bridge add name=bridge-LAN

/interface bridge port
  add bridge=bridge-LAN interface=ether6
  add bridge=bridge-LAN interface=ether7
  add bridge=bridge-LAN interface=ether8
  add bridge=bridge-LAN interface=ether9
  add bridge=bridge-LAN interface=ether10

Если нужно добавить Fast Ethernet порты:

[admin@MikroTik] >
Копировать
/interface bridge port
  add bridge=bridge-LAN interface=ether2
  add bridge=bridge-LAN interface=ether3
  add bridge=bridge-LAN interface=ether4
  add bridge=bridge-LAN interface=ether5

IP-адресация

[admin@MikroTik] >
Копировать
/ip address add address=192.168.88.1/24 interface=bridge-LAN

DHCP-сервер

[admin@MikroTik] >
Копировать
/ip pool add name=pool-LAN ranges=192.168.88.10-192.168.88.254

/ip dhcp-server add name=dhcp-LAN interface=bridge-LAN \
  address-pool=pool-LAN lease-time=1d disabled=no

/ip dhcp-server network add address=192.168.88.0/24 \
  gateway=192.168.88.1 dns-server=192.168.88.1

Подключение к интернету

Ether1 — WAN-порт. По DHCP от провайдера:

[admin@MikroTik] >
Копировать
/ip dhcp-client add interface=ether1 disabled=no

По PPPoE:

[admin@MikroTik] >
Копировать
/interface pppoe-client add name=pppoe-WAN interface=ether1 \
  user="логин" password="пароль" disabled=no add-default-route=yes

Статический IP:

[admin@MikroTik] >
Копировать
/ip address add address=X.X.X.X/24 interface=ether1
/ip route add dst-address=0.0.0.0/0 gateway=X.X.X.1

DNS

[admin@MikroTik] >
Копировать
/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

NAT

[admin@MikroTik] >
Копировать
/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Если используете PPPoE:

[admin@MikroTik] >
Копировать
/ip firewall nat add chain=srcnat out-interface=pppoe-WAN action=masquerade

Firewall

Базовая защита для RouterOS 6.49:

[admin@MikroTik] >
Копировать
/interface list add name=LAN
/interface list add name=WAN
/interface list member add interface=bridge-LAN list=LAN
/interface list member add interface=ether1 list=WAN

/ip firewall filter
  add chain=input connection-state=established,related action=accept
  add chain=input connection-state=invalid action=drop
  add chain=input in-interface-list=LAN action=accept
  add chain=input action=drop

  add chain=forward connection-state=established,related action=accept
  add chain=forward connection-state=invalid action=drop
  add chain=forward in-interface-list=LAN action=accept
  add chain=forward action=drop

VLAN для сегментации офиса

Пример: VLAN 10 для сотрудников, VLAN 20 для IP-телефонов:

[admin@MikroTik] >
Копировать
/interface vlan
  add name=vlan10-office interface=bridge-LAN vlan-id=10
  add name=vlan20-phones interface=bridge-LAN vlan-id=20

/ip address
  add address=192.168.10.1/24 interface=vlan10-office
  add address=192.168.20.1/24 interface=vlan20-phones

/ip pool
  add name=pool-office ranges=192.168.10.10-192.168.10.254
  add name=pool-phones ranges=192.168.20.10-192.168.20.254

/ip dhcp-server
  add name=dhcp-office interface=vlan10-office address-pool=pool-office
  add name=dhcp-phones interface=vlan20-phones address-pool=pool-phones

/ip dhcp-server network
  add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
  add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1

Проброс портов

Пример: веб-сервер на 192.168.88.100:

[admin@MikroTik] >
Копировать
/ip firewall nat add chain=dstnat protocol=tcp dst-port=80 \
  in-interface=ether1 action=dst-nat to-addresses=192.168.88.100

/ip firewall filter add chain=forward protocol=tcp \
  dst-address=192.168.88.100 dst-port=80 action=accept

Использование SFP-порта

SFP-порт можно использовать для подключения оптоволокна от провайдера или uplink к свитчу:

[admin@MikroTik] >
Копировать
# SFP как WAN
/ip dhcp-client add interface=sfp1 disabled=no

# SFP как LAN (добавить в bridge)
/interface bridge port add bridge=bridge-LAN interface=sfp1

Отключение ненужных сервисов

[admin@MikroTik] >
Копировать
/ip service
  set telnet disabled=yes
  set ftp disabled=yes
  set www disabled=yes
  set api disabled=yes
  set api-ssl disabled=yes
  set ssh port=2222
  set winbox address=192.168.88.0/24

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN

Бэкап конфигурации

Создание бэкапа перед любыми изменениями:

[admin@MikroTik] >
Копировать
# Бинарный бэкап (восстановление на том же устройстве)
/system backup save name=backup-before-changes

# Текстовый экспорт (можно просмотреть и применить на другом устройстве)
/export file=config-export

Скачайте файлы через WinBox: Files → перетащите на рабочий стол.

Мониторинг

[admin@MikroTik] >
Копировать
# Загрузка CPU и память
/system resource print

# Температура (если поддерживается)
/system health print

# Трафик по интерфейсам
/interface print stats

# Активные соединения
/ip firewall connection print count-only

Стоит ли менять RB2011

RB2011 не поддерживает RouterOS 7, Wi-Fi, WireGuard (нативно). Если вам нужны эти функции — пора обновляться.

Если RB2011 справляется с текущими задачами и не нужен WireGuard/Wi-Fi 6 — продолжайте использовать. RouterOS 6.49 получает обновления безопасности.

Типичные ошибки

1. Смешивание Fast и Gigabit портов — hardware offloading работает отдельно для switch1 (ether1-5) и switch2 (ether6-10). В одном bridge offloading будет частичным
2. WAN на гигабитном порту — если провайдер даёт 100 Мбит, лучше использовать ether1 (Fast Ethernet) для WAN, а гигабитные порты для LAN
3. Попытка обновить до RouterOS 7 — RB2011 на архитектуре MIPS-BE, RouterOS 7 не поддерживает эту архитектуру
4. PoE на ether10 — пассивный PoE 24V, не совместим с 802.3af/at. Подходит только для устройств MikroTik
5. Забыли бэкап перед обновлением — всегда делайте /system backup save и /export перед обновлением RouterOS

# Подключите компьютер в ether6-ether10
# WinBox → Neighbors → подключение по MAC
# Логин: admin, пароль пустой
/system reset-configuration no-defaults=yes skip-backup=yes
/user set admin password="ВашПароль"
/system package update set channel=long-term
/system package update check-for-updates
/system package update install
/system routerboard upgrade
/system reboot
/interface bridge add name=bridge-LAN

/interface bridge port
  add bridge=bridge-LAN interface=ether6
  add bridge=bridge-LAN interface=ether7
  add bridge=bridge-LAN interface=ether8
  add bridge=bridge-LAN interface=ether9
  add bridge=bridge-LAN interface=ether10
/interface bridge port
  add bridge=bridge-LAN interface=ether2
  add bridge=bridge-LAN interface=ether3
  add bridge=bridge-LAN interface=ether4
  add bridge=bridge-LAN interface=ether5
/ip address add address=192.168.88.1/24 interface=bridge-LAN
/ip pool add name=pool-LAN ranges=192.168.88.10-192.168.88.254

/ip dhcp-server add name=dhcp-LAN interface=bridge-LAN \
  address-pool=pool-LAN lease-time=1d disabled=no

/ip dhcp-server network add address=192.168.88.0/24 \
  gateway=192.168.88.1 dns-server=192.168.88.1
/ip dhcp-client add interface=ether1 disabled=no
/interface pppoe-client add name=pppoe-WAN interface=ether1 \
  user="логин" password="пароль" disabled=no add-default-route=yes
/ip address add address=X.X.X.X/24 interface=ether1
/ip route add dst-address=0.0.0.0/0 gateway=X.X.X.1
/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes
/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade
/ip firewall nat add chain=srcnat out-interface=pppoe-WAN action=masquerade
/interface list add name=LAN
/interface list add name=WAN
/interface list member add interface=bridge-LAN list=LAN
/interface list member add interface=ether1 list=WAN

/ip firewall filter
  add chain=input connection-state=established,related action=accept
  add chain=input connection-state=invalid action=drop
  add chain=input in-interface-list=LAN action=accept
  add chain=input action=drop

  add chain=forward connection-state=established,related action=accept
  add chain=forward connection-state=invalid action=drop
  add chain=forward in-interface-list=LAN action=accept
  add chain=forward action=drop
/interface vlan
  add name=vlan10-office interface=bridge-LAN vlan-id=10
  add name=vlan20-phones interface=bridge-LAN vlan-id=20

/ip address
  add address=192.168.10.1/24 interface=vlan10-office
  add address=192.168.20.1/24 interface=vlan20-phones

/ip pool
  add name=pool-office ranges=192.168.10.10-192.168.10.254
  add name=pool-phones ranges=192.168.20.10-192.168.20.254

/ip dhcp-server
  add name=dhcp-office interface=vlan10-office address-pool=pool-office
  add name=dhcp-phones interface=vlan20-phones address-pool=pool-phones

/ip dhcp-server network
  add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
  add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1
/ip firewall nat add chain=dstnat protocol=tcp dst-port=80 \
  in-interface=ether1 action=dst-nat to-addresses=192.168.88.100

/ip firewall filter add chain=forward protocol=tcp \
  dst-address=192.168.88.100 dst-port=80 action=accept
# SFP как WAN
/ip dhcp-client add interface=sfp1 disabled=no

# SFP как LAN (добавить в bridge)
/interface bridge port add bridge=bridge-LAN interface=sfp1
/ip service
  set telnet disabled=yes
  set ftp disabled=yes
  set www disabled=yes
  set api disabled=yes
  set api-ssl disabled=yes
  set ssh port=2222
  set winbox address=192.168.88.0/24

/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN
# Бинарный бэкап (восстановление на том же устройстве)
/system backup save name=backup-before-changes

# Текстовый экспорт (можно просмотреть и применить на другом устройстве)
/export file=config-export
# Загрузка CPU и память
/system resource print

# Температура (если поддерживается)
/system health print

# Трафик по интерфейсам
/interface print stats

# Активные соединения
/ip firewall connection print count-only