LinuxDev Portal
Linux Beginner 25 min • 26.09.2026 г.

Настройка на нов MikroTik рутер от нулата (hAP ac³) — WAN, LAN, DHCP и защита на достъпа

Стъпка по стъпка ръководство как да конфигурирате чисто нов MikroTik рутер (hAP ac³) — собствена LAN мрежа, WAN вход към доставчик, NAT, DHCP сървър и ограничаване на административния достъп само през WinBox.

Нов MikroTik hAP ac³ рутер, готов за конфигуриране

Когато замествате стар домашен рутер (например TP-Link) с MikroTik, най-честата грешка е да се възстанови директно backup от друг, вече работещ MikroTik. Това почти сигурно води до конфликт на IP адреси и пренасяне на ненужни правила (firewall, VPN, port forwarding), които нямат нищо общо с новата роля на устройството.

В това ръководство ще конфигурираме чисто нов MikroTik hAP ac³ от нулата — със собствена LAN мрежа, WAN вход към интернет доставчик, DHCP сървър за клиентите, и ограничен административен достъп, така че уеб панелът да не е достъпен от локалната мрежа, а само през WinBox.

Как изглежда крайният резултат?

  • Рутерът приема интернет от доставчика на своя WAN порт (ether1).
  • Раздава собствена вътрешна мрежа (в случая 30.30.30.0/24) на всички устройства, свързани по кабел или WiFi.
  • Прави NAT (masquerade), за да могат тези устройства да излизат в интернет.
  • Административният панел (http/https) е изключен — достъп само през WinBox, по IP или по MAC discovery.

Предварителни условия

  • MikroTik hAP ac³ (или подобен модел с вграден bridge на LAN портовете и WiFi).
  • RouterOS v7.x.
  • Достъп до WinBox за първоначална конфигурация.
  • Знаете кой физически порт ще служи за WAN (обикновено ether1 по подразбиране).

Бележка: Ако вашият модел рутер е различен, проверете точните имена на интерфейсите с /interface print, преди да изпълните командите по-долу.

Постъпково ръководство

Стъпка 1: Проверка на модела и версията

Преди всичко проверете какво точно държите в ръцете си и каква версия RouterOS върви на него:

/system routerboard print
/system resource print

Ако има налична по-нова стабилна версия, обновете RouterOS от System → Packages във WinBox (или през /system package update), преди да продължите с конфигурацията.

Стъпка 2: Смяна на администраторската парола

Първото нещо на всеки нов рутер — веднага сменете паролата по подразбиране:

/user set admin password=<вашата-нова-парола>

Стъпка 3: Проверка на bridge интерфейса

По подразбиране LAN портовете (например ether2–ether5) и WiFi интерфейсите вече са обединени в общ bridge. Проверете точното му име:

/interface bridge print

В примерите по-долу приемаме, че bridge-ът се казва bridge — коригирайте, ако при вас е с друго име.

Стъпка 4: Задаване на собствена LAN мрежа

Задаваме на bridge интерфейса IP адрес, който няма да се застъпва с никоя друга мрежа, до която този рутер ще бъде свързан (например ако рутерът след това ще е закачен като клиент към друг, по-голям MikroTik):

/ip address add address=30.30.30.1/24 interface=bridge

Стъпка 5: DHCP сървър за LAN клиентите

За да могат устройствата, свързани по кабел или WiFi, автоматично да получават IP адрес:

/ip pool add name=dhcp-pool-lan ranges=30.30.30.10-30.30.30.254
/ip dhcp-server add name=dhcp-lan interface=bridge address-pool=dhcp-pool-lan disabled=no
/ip dhcp-server network add address=30.30.30.0/24 gateway=30.30.30.1 dns-server=1.1.1.1

Стъпка 6: Конфигуриране на WAN входа

Портът, определен за WAN (обикновено ether1), трябва да получава адрес автоматично от доставчика:

/ip dhcp-client add interface=ether1 disabled=no

Проверете дали е получен адрес:

/ip dhcp-client print

Ако доставчикът изисква PPPoE вместо DHCP, вместо горната команда използвайте:

/interface pppoe-client add name=pppoe-wan interface=ether1 user=<потребител> password=<парола> disabled=no

Стъпка 7: NAT (masquerade) за изхода към интернет

За да могат LAN устройствата реално да достигат до интернет през WAN порта:

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade

Стъпка 8: WiFi настройка

Задайте SSID и парола на вградената WiFi мрежа. Синтаксисът зависи от версията на WiFi драйвъра, инсталиран на устройството ви:

Стар драйвър (wireless, повечето RouterOS v6 и по-стари v7 инсталации):

/interface wireless set [find default-name=wlan1] ssid=<ново-име-на-мрежата> disabled=no
/interface wireless security-profiles set default authentication-types=wpa2-psk,wpa3-psk wpa2-pre-shared-key=<парола>

Нов драйвър (wifi / wifiwave2, по-нови RouterOS v7 инсталации):

/interface wifi set [find] configuration.ssid=<ново-име-на-мрежата> security.authentication-types=wpa2-psk,wpa3-psk security.passphrase=<парола> disabled=no

Проверете коя версия имате с /interface wireless print или /interface wifi print — само една от двете команди ще върне резултат.

Стъпка 9: Ограничаване на административния достъп

За по-сигурна конфигурация изключваме уеб достъпа (http/https) до административния панел, така че той да е достъпен единствено през WinBox (по IP или чрез MAC discovery в локалната мрежа):

/ip service disable www
/ip service disable www-ssl
/ip service disable telnet
/ip service disable ftp
/ip service disable api
/ip service disable api-ssl

Ако не ползвате SSH за нищо специфично (скриптове, отдалечено управление през терминал), изключете и него:

/ip service disable ssh

Проверете резултата:

/ip service print

Трябва да остане активен единствено winbox.

Проверка на цялостната конфигурация

/ip address print
/ip dhcp-client print
/ip dhcp-server print
/ip firewall nat print
/ip service print

Свържете тестово устройство (лаптоп, телефон) към LAN порт или WiFi мрежата и проверете:

  1. Взима ли IP адрес от диапазона 30.30.30.10–30.30.30.254.
  2. Има ли интернет достъп (ping 8.8.8.8).
  3. Достъпен ли е http://30.30.30.1 в браузър (трябва да откаже връзка — това е очакваното поведение след Стъпка 9).
  4. Достъпен ли е рутерът през WinBox по IP 30.30.30.1 или чрез Neighbors (MAC discovery).

Често срещани проблеми

Проблем: Новото устройство не взима IP адрес. Решение: Проверете дали физическият порт е част от bridge-а (Стъпка 3) и дали DHCP сървърът е disabled=no (Стъпка 5).

Проблем: Има интернет на рутера, но не и на клиентските устройства. Решение: Проверете дали NAT masquerade правилото (Стъпка 7) сочи към правилния WAN интерфейс.

Проблем: http://30.30.30.1 все още се отваря след Стъпка 9. Решение: Проверете с /ip service print дали www и www-ssl наистина показват флаг X (disabled) — възможно е командата да е изпълнена на грешен рутер, ако управлявате повече от едно устройство едновременно.

Проблем: WiFi командата от Стъпка 8 връща грешка. Решение: Устройството ви използва другия WiFi драйвър от посочения. Проверете с /interface wireless print и /interface wifi print кой от двата връща резултат, и използвайте съответния синтаксис.

Заключение

Тази конфигурация превръща чисто нов MikroTik рутер в самостоятелно, независимо устройство с ясно разделена роля — собствена мрежа, собствен NAT, и ограничен административен достъп само през WinBox. Подходът е приложим както за домашна употреба (например отделна мрежа за друг член на семейството), така и като база за всяка последваща по-специфична конфигурация.

Ключовите моменти:

  • Не възстановявайте пълен backup от друг MikroTik на ново устройство с различна роля — рискувате IP конфликти и ненужни правила.
  • Сменете администраторската парола веднага след първо включване.
  • Изберете LAN диапазон, който не се застъпва с никоя друга мрежа, с която устройството ще комуникира.
  • Изключването на www/www-ssl не засяга WinBox достъпа — той остава напълно свободен по IP или MAC discovery.
Назад към туториалите