پیکربندی وایرلس میکروتیک از صفر تا صد: ساخت وای‌فای امن با بریج، DHCP و کنترل MAC

اگر می‌خواهید پیکربندی وایرلس میکروتیک را درست و اصولی انجام دهید، این راهنما همه‌ی مراحل را از صفر تا شبکه‌ی آماده‌ی استفاده نشان می‌دهد. روتر نمونه‌ی ما یک MikroTik hAP lite است؛ مدلی ارزان با یک رابط بی‌سیم (WLAN) و چهار پورت اترنت که برای دفتر کوچک، خانه یا فروشگاه گزینه‌ی بسیار خوبی است. پورت اول به اینترنت (WAN) وصل می‌شود و بقیه‌ی پورت‌ها و وای‌فای در یک شبکه‌ی محلی (LAN) قرار می‌گیرند.

در این آموزش چه چیزهایی یاد می‌گیرید؟

• ساخت اینترفیس بریج (Bridge) و دلیل نیاز به آن
• آدرس‌دهی WAN و LAN و تعریف مسیر پیش‌فرض
• راه‌اندازی سرور DHCP برای دادن خودکار IP به کاربران
• ساخت پروفایل امنیتی WPA2 و فعال‌کردن وای‌فای
• کنترل دسترسی کاربران بر اساس آدرس MAC (Access List)
• تست، عیب‌یابی و نکات بهینه‌سازی

طرح کلی شبکه

پیش از شروع، نقشه‌ی ساده‌ی شبکه را در ذهن داشته باشید. جدول زیر آدرس‌ها و نقش هر رابط را نشان می‌دهد؛ آدرس‌ها نمونه‌اند و می‌توانید متناسب با شبکه‌ی خود تغییر دهید.

پیش‌نیازها

• روتر بی‌سیم میکروتیک (مانند hAP lite) و آداپتور برق
• یک کامپیوتر با نرم‌افزار Winbox (از سایت رسمی میکروتیک دانلود می‌شود)
• کابل اترنت برای اتصال کامپیوتر به یکی از پورت‌های ether2 تا ether4
• اطلاعات اینترنت: آدرس IP، ماسک و گیت‌وی که ارائه‌دهنده به شما داده است

گام اول: اتصال به روتر و پاک‌کردن تنظیمات پیش‌فرض

کامپیوتر را با کابل به ether2 وصل کنید و Winbox را باز کنید. روی تب Neighbors آدرس MAC روتر را می‌بینید؛ با کلیک روی آن و زدن Connect (نام کاربری admin و رمز خالی) وارد می‌شوید. اگر روتر قبلاً پیکربندی شده، در منوی System › Reset Configuration گزینه‌ی No Default Configuration را انتخاب کنید تا همه‌چیز از پایه ساخته شود. بعد از ریست، دوباره با MAC وارد شوید.

نکته‌ی امنیتی: همین ابتدا از System › Users رمز کاربر admin را عوض کنید. رمز خالی یکی از رایج‌ترین دلایل نفوذ به روترهاست.

گام دوم: ساخت اینترفیس بریج

بریج مانند یک سوئیچ مجازی است؛ وقتی پورت‌های سیمی و رابط بی‌سیم را داخل آن بگذارید، همه‌ی دستگاه‌ها در یک شبکه‌ی واحد قرار می‌گیرند و یک سرور DHCP برای همه کافی است. در ترمینال یا Winbox این دستور را اجرا کنید:

/interface bridge add name=bridge-lan

گام سوم: آدرس‌دهی و مسیر پیش‌فرض

ابتدا آدرس شبکه‌ی داخلی را روی بریج و سپس آدرس اینترنت را روی ether1 ثبت کنید. بعد گیت‌وی پیش‌فرض و DNS را تنظیم کنید:

/ip address add address=10.10.70.1/24 interface=bridge-lan comment="LAN"

/ip address add address=192.168.70.2/30 interface=ether1 comment="WAN"

/ip route add dst-address=0.0.0.0/0 gateway=192.168.70.1

/ip dns set servers=8.8.8.8,1.1.1.1 allow-remote-requests=yes

گام چهارم: راه‌اندازی سرور DHCP

سرور DHCP روی بریج، به هر دستگاهی که وصل می‌شود به‌طور خودکار IP، گیت‌وی و DNS می‌دهد. محدوده‌ی آدرس‌ها را بسازید، سرور را فعال کنید و اطلاعات شبکه را به آن بدهید:

/ip pool add name=pool-lan ranges=10.10.70.10-10.10.70.200

/ip dhcp-server add name=dhcp-lan interface=bridge-lan address-pool=pool-lan lease-time=1d disabled=no

/ip dhcp-server network add address=10.10.70.0/24 gateway=10.10.70.1 dns-server=10.10.70.1

آدرس‌های ۱ تا ۹ را عمداً از محدوده بیرون گذاشته‌ایم تا برای پرینتر، دوربین و تجهیزات ثابت (IP استاتیک) در دسترس بماند.

گام پنجم: افزودن پورت‌ها و وای‌فای به بریج

حالا رابط بی‌سیم و پورت‌های سیمی LAN را به بریج اضافه می‌کنیم. بدین ترتیب هر کاربری که با کابل یا وای‌فای وصل شود از همان سرور DHCP آدرس می‌گیرد. ether1 را به بریج اضافه نکنید؛ آن پورت WAN است.

/interface bridge port add bridge=bridge-lan interface=wlan1

/interface bridge port add bridge=bridge-lan interface=ether2

/interface bridge port add bridge=bridge-lan interface=ether3

/interface bridge port add bridge=bridge-lan interface=ether4

گام ششم: ساخت NAT برای دسترسی به اینترنت

آدرس‌های داخلی (۱۰٫۱۰٫۷۰٫x) در اینترنت قابل مسیریابی نیستند؛ قانون masquerade آن‌ها را هنگام خروج از ether1 با آدرس WAN جایگزین می‌کند:

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

گام هفتم: پیکربندی وایرلس و امنیت WPA2

اکنون به اصل کار می‌رسیم. نخست یک پروفایل امنیتی با رمز قوی بسازید و سپس تنظیمات رابط wlan1 را انجام دهید.

/interface wireless security-profiles add name=sec-wifi mode=dynamic-keys authentication-types=wpa2-psk unicast-ciphers=aes-ccm group-ciphers=aes-ccm wpa2-pre-shared-key="رمز-قوی-شما"

/interface wireless set wlan1 disabled=no mode=ap-bridge band=2ghz-b/g/n channel-width=20mhz frequency=auto ssid="Shabake-WiFi" security-profile=sec-wifi country=iran wps-mode=disabled

توضیح تنظیمات مهم:

• mode=ap-bridge: روتر را به‌عنوان نقطه‌ی دسترسی (AP) برای کاربران می‌گذارد.
• band=2ghz-b/g/n: باند ۲٫۴ گیگاهرتزِ این مدل که با همه‌ی گوشی‌ها و لپ‌تاپ‌ها سازگار است.
• channel-width=20mhz: در محیط‌های شلوغ پایداری بیشتری می‌دهد؛ اگر محیط خلوت است می‌توانید پهنای ۲۰/۴۰ را امتحان کنید.
• wps-mode=disabled: WPS را خاموش می‌کند، چون یکی از نقاط ضعف شناخته‌شده‌ی وای‌فای است.
• ssid: نامی که کاربران می‌بینند؛ نام ساده و بدون اطلاعات شخصی انتخاب کنید.

مقایسه‌ی روش‌های امنیتی وای‌فای

گام هشتم: کنترل دسترسی کاربران با آدرس MAC

وایرلس میکروتیک امکانی به نام Access List دارد که تعیین می‌کند چه دستگاه‌هایی اجازه‌ی اتصال دارند. روش کار ساده است: اول مشخص می‌کنیم که «به‌صورت پیش‌فرض هیچ‌کس وصل نشود» و بعد دستگاه‌های مجاز را یکی‌یکی ثبت می‌کنیم.

/interface wireless access-list add interface=wlan1 mac-address=AA:BB:CC:DD:EE:01 authentication=yes comment="لپ‌تاپ علی"

/interface wireless set wlan1 default-authentication=no

از این لحظه فقط دستگاه‌هایی که MAC آن‌ها در فهرست است می‌توانند وصل شوند. آدرس MAC هر دستگاه را از بخش Wi‑Fi Address در تنظیمات گوشی یا لپ‌تاپ پیدا می‌کنید. برای افزودن سریع، تب Registration در Winbox دستگاه‌های متصل را نشان می‌دهد و با کلیک راست و Copy to Access List ثبتشان می‌کنید.

یادآوری مهم: آدرس MAC قابل جعل است. فیلتر MAC لایه‌ی دوم امنیت است، نه جایگزین رمز WPA2 قوی.

تست و عیب‌یابی

پس از اتمام پیکربندی، با یک گوشی به وای‌فای وصل شوید و این موارد را بررسی کنید:

• /interface wireless registration-table print دستگاه‌های متصل به وای‌فای و قدرت سیگنال آن‌ها را نشان می‌دهد.
• /ip dhcp-server lease print آدرس‌هایی که DHCP داده را نمایش می‌دهد.
• /ping 8.8.8.8 برای اطمینان از رسیدن روتر به اینترنت.

خطاهای رایج و راه‌حل

• IP دریافت نمی‌شود: مطمئن شوید پورت یا wlan1 عضو بریج است و DHCP روی bridge-lan فعال است.
• وصل می‌شود ولی اینترنت ندارد: NAT، گیت‌وی و DNS را بررسی کنید.
• سیگنال ضعیف یا قطع‌ووصل: کانال را عوض کنید، پهنای کانال را ۲۰ مگاهرتز بگذارید و روتر را دور از فلز، آینه و تجهیزات برقی قرار دهید.
• دستگاه مجاز وصل نمی‌شود: درستی آدرس MAC در Access List را چک کنید (حروف و ترتیب).

نکات بهینه‌سازی و امنیت نهایی

• RouterOS را به آخرین نسخه‌ی پایدار ارتقا دهید.
• سرویس‌های غیرضروری را از /ip service غیرفعال و دسترسی مدیریتی را به شبکه‌ی داخلی محدود کنید.
• پس از اتمام کار، پشتیبان بگیرید: /system backup save name=wifi-final.
• برای محیط‌های شلوغ، پیش از انتخاب کانال با Wireless Snooper شلوغی طیف را بسنجید.
• اگر پوشش یک روتر کافی نیست، چند اکسس پوینت را با کابل به شبکه متصل کنید.

جمع‌بندی

پیکربندی وایرلس میکروتیک با رعایت ترتیب بریج، آدرس‌دهی، DHCP، NAT، پروفایل امنیتی و فهرست دسترسی، کاری سریع و قابل‌تکرار است. با همین الگو می‌توانید روتر دیگری را هم ظرف چند دقیقه آماده کنید. اگر برای انتخاب روتر، اکسس پوینت یا تجهیزات تکمیلی نیاز به مشاوره دارید، تیم فروشگاه تجهیزات شبکه در کنار شماست.