راه‌اندازی وای‌فای مهمان میکروتیک: شبکه جداگانه، محدودیت پهنای باند و امنیت کامل

دادن رمز وای‌فای اصلی به مهمان‌ها، مشتری‌ها یا همکاران موقت یکی از رایج‌ترین خطاهای امنیتی در دفتر و کسب‌وکارهاست. راه‌حل درست، وای‌فای مهمان میکروتیک است: یک شبکه‌ی بی‌سیم جدا با رمز و آدرس‌دهی مستقل، بدون دسترسی به کامپیوترها و پرینترهای داخلی و با سرعت قابل‌کنترل. در این راهنما نشان می‌دهیم چگونه روی یک روتر مانند hAP ac2 با ساخت Virtual AP، بریج جداگانه، DHCP، فایروال و محدودیت پهنای باند این شبکه را راه بیندازید.

چرا وای‌فای مهمان لازم است؟

• امنیت: دستگاه آلوده‌ی یک مهمان نمی‌تواند به سرورها و فایل‌های شما برسد.
• کنترل: رمز شبکه‌ی اصلی لو نمی‌رود و هر زمان لازم باشد فقط رمز مهمان را عوض می‌کنید.
• مدیریت پهنای باند: مصرف مهمان‌ها از کار اصلی کارکنان کم نمی‌کند.
• تجربه‌ی حرفه‌ای: برای هتل، کافه، کلینیک و دفتر تصویری مرتب و قابل‌اعتماد می‌سازد.

طرح کلی راه‌حل

پیش‌نیازها

• روتر میکروتیک با رابط وای‌فای داخلی (مثل MikroTik hAP ac2) که قابلیت Virtual AP را دارد
• دسترسی به Winbox یا ترمینال و داشتن شبکه‌ی اصلی در حال کار (بریج LAN، NAT و اینترنت)
• رمز شبکه‌ی اصلی و رمز جدید مخصوص مهمان

گام اول: ساخت پروفایل امنیتی مهمان

برای شبکه‌ی مهمان یک پروفایل امنیتی جداگانه با رمز ساده‌تر ولی غیرتکراری بسازید. هرگز رمز شبکه‌ی اصلی را برای مهمان استفاده نکنید:

/interface wireless security-profiles add name=sec-guest mode=dynamic-keys authentication-types=wpa2-psk unicast-ciphers=aes-ccm group-ciphers=aes-ccm wpa2-pre-shared-key="رمز-مهمان"

گام دوم: ساخت Virtual AP (SSID دوم)

Virtual AP یک رابط بی‌سیم مجازی است که روی رابط فیزیکی (master) ساخته می‌شود و SSID و تنظیمات امنیتی مستقل دارد. این همان قابلیتی است که نیاز به روتر دوم را از بین می‌برد:

/interface wireless add name=wlan-guest master-interface=wlan1 ssid="Guest-WiFi" security-profile=sec-guest mode=ap-bridge disabled=no

اگر روتر شما باند ۵ گیگاهرتز هم دارد، همین کار را با master-interface=wlan2 تکرار و SSID مجزا بگذارید.

گام سوم: بریج، آدرس‌دهی و DHCP مخصوص مهمان

برای جدا نگه‌داشتن ترافیک، یک بریج مستقل می‌سازیم، رابط مجازی را به آن می‌دهیم و آدرس‌دهی را انجام می‌دهیم:

/interface bridge add name=bridge-guest

/interface bridge port add bridge=bridge-guest interface=wlan-guest

/ip address add address=10.20.30.1/24 interface=bridge-guest

/ip pool add name=pool-guest ranges=10.20.30.10-10.20.30.250

/ip dhcp-server add name=dhcp-guest interface=bridge-guest address-pool=pool-guest lease-time=2h disabled=no

/ip dhcp-server network add address=10.20.30.0/24 gateway=10.20.30.1 dns-server=8.8.8.8,1.1.1.1

زمان اجاره‌ی کوتاه (دو ساعت) باعث می‌شود آدرس‌های مهمان‌های رفته زود آزاد شود. اگر NAT شما به‌صورت عمومی روی ether1 تعریف شده، (/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade) شبکه‌ی مهمان هم اینترنت خواهد داشت و قانون جدیدی لازم نیست.

گام چهارم: جداسازی از شبکه‌ی اصلی با فایروال

مهم‌ترین گام همین است. قوانین زیر مهمان‌ها را از شبکه‌ی داخلی و از پنل مدیریتی روتر دور نگه می‌دارند و فقط DHCP و DNS را اجازه می‌دهند:

/ip firewall filter add chain=forward in-interface=bridge-guest out-interface=bridge-lan action=drop comment="جداسازی مهمان از LAN"

/ip firewall filter add chain=input in-interface=bridge-guest protocol=udp dst-port=67-68 action=accept comment="DHCP مهمان"

/ip firewall filter add chain=input in-interface=bridge-guest protocol=udp dst-port=53 action=accept comment="DNS مهمان"

/ip firewall filter add chain=input in-interface=bridge-guest action=drop comment="بستن دسترسی مهمان به روتر"

این قوانین را باید در جای مناسب (بالاتر از قانون‌های accept عمومی) قرار دهید. ترتیب قانون‌ها در فایروال میکروتیک اهمیت زیادی دارد.

گام پنجم: جلوگیری از ارتباط مهمان‌ها با یکدیگر

حتی بین خود مهمان‌ها هم لازم است ارتباطی نباشد، چون یک دستگاه آلوده می‌تواند دیگران را هدف قرار دهد. با غیرفعال‌کردن هدایت داخلی رابط مجازی، کلاینت‌های مهمان یکدیگر را نمی‌بینند:

/interface wireless set wlan-guest default-forwarding=no

گام ششم: محدودکردن پهنای باند مهمان

برای این‌که مهمان‌ها همه‌ی پهنای باند را مصرف نکنند، یک صف ساده روی زیرشبکه‌ی مهمان بسازید. نمونه‌ی زیر کل مهمان‌ها را به ۱۰ مگابیت دانلود و ۱۰ مگابیت آپلود محدود می‌کند:

/queue simple add name=guest-limit target=10.20.30.0/24 max-limit=10M/10M

اگر می‌خواهید پهنای باند به‌طور عادلانه بین کاربران تقسیم شود، به‌جای Simple Queue از صف نوع PCQ استفاده کنید؛ در این حالت هر کاربر سهم برابر می‌گیرد و یک نفر کل ظرفیت را نمی‌بلعد.

انتخاب بین روش‌های مختلف شبکه‌ی مهمان

نکات امنیتی و حقوقی مهم

• WPS را برای شبکه‌ی مهمان غیرفعال نگه دارید.
• رمز مهمان را به‌صورت دوره‌ای تغییر دهید و روی یک کارت یا تابلو ثبت کنید.
• در برخی کسب‌وکارها و مجموعه‌ها ثبت اطلاعات اتصال کاربران الزامی است؛ پیش از ارائه‌ی اینترنت عمومی، الزامات قانونی مرتبط را بررسی کنید.
• RouterOS را به‌روز نگه دارید و دسترسی مدیریتی را فقط به شبکه‌ی داخلی بدهید.

تست و عیب‌یابی

• با یک گوشی به SSID مهمان وصل شوید و از دریافت IP در بازه‌ی 10.20.30.x مطمئن شوید.
• تلاش کنید به یک آدرس داخلی (مثل 10.10.70.1) پینگ بگیرید؛ باید ناموفق باشد.
• برنامه‌ی اینترنت (مثلاً یک سایت) را باز کنید و سرعت را در حد صف تعریف‌شده ببینید.
• اگر IP دریافت نمی‌شود، عضویت wlan-guest در bridge-guest و فعال‌بودن DHCP را بررسی کنید.
• اگر اینترنت قطع است، NAT و DNS مهمان را مرور کنید.

جمع‌بندی

وای‌فای مهمان میکروتیک بدون هزینه‌ی اضافه، شبکه‌ی اصلی شما را در برابر مهمان‌ها ایمن می‌کند و کنترل کاملی بر سرعت و دسترسی می‌دهد. اگر برای ساختمان بزرگ‌تر به اکسس پوینت یا سوئیچ مدیریتی نیاز دارید، تیم فروشگاه تجهیزات شبکه برای انتخاب و پیکربندی در کنار شماست.