MikroTik RouterOS 基础网络配置实战：从零到上网
1. 认识MikroTik RouterOS：网络工程师的瑞士军刀
第一次接触MikroTik RouterOS时，我就被它强大的功能和亲民的价格所吸引。这款基于Linux的网络操作系统，可以运行在MikroTik自家的硬件设备上，也能安装在x86架构的PC上。它集路由器、防火墙、无线AP、VPN服务器等多种功能于一身，特别适合家庭和小型办公环境使用。
与常见的家用路由器不同，RouterOS提供了专业级的网络配置能力。通过WinBox图形界面或命令行终端，你可以精确控制每一个网络数据包的流向。记得我第一次配置时，看着密密麻麻的菜单选项确实有点懵，但跟着教程一步步操作后，发现其实并没有想象中那么难。
RouterOS最让我惊喜的是它的性价比。花普通家用路由器的钱，就能获得企业级的功能。比如它支持VLAN、QoS、负载均衡等高级特性，还能通过脚本实现自动化管理。我有个朋友开了家小咖啡馆，就是用RouterOS实现了多SSID隔离和带宽控制，既保证了顾客上网体验，又确保了收银系统的网络安全。
2. 开箱第一步：硬件连接与初始化
拿到全新的MikroTik设备后，首先要做的就是物理连接。以常见的hAP ac²为例，它通常有5个以太网接口。我会把第一个接口(ether1)作为WAN口连接光猫或上级路由器，其他接口作为LAN口连接电脑或交换机。
连接时有个小技巧：用不同颜色的网线区分WAN和LAN。我习惯用蓝色线接WAN口，黄色线接LAN设备。这样在排查故障时一目了然，避免插错接口的尴尬。记得有次半夜处理网络故障，迷迷糊糊把网线插反了，折腾半小时才发现问题，这个教训让我养成了规范布线的习惯。
通电后，建议先用网线直连电脑进行初始配置。Windows用户可以在"网络和共享中心"里设置静态IP，比如192.168.88.2/24，然后通过浏览器访问192.168.88.1。首次登录会提示创建密码，这里要设置一个足够复杂的密码，我就遇到过因为密码太简单被入侵的情况。
3. 基础网络配置：让内网设备互通
配置好物理连接后，接下来要设置IP地址。在WinBox中进入"IP"→"Addresses"，给LAN口(如ether2)添加私有IP，我常用192.168.88.1/24。这个地址将成为内网的网关，所有连接这个接口的设备都会通过它访问外网。
DHCP服务是让设备自动获取IP的关键。在"IP"→"DHCP Server"中创建地址池，范围建议设为192.168.88.100-192.168.88.250，保留部分地址给需要固定IP的设备。然后设置网络参数，包括网关(192.168.88.1)、DNS服务器等。这里有个实用技巧：可以添加多个DNS服务器提高可靠性，比如8.8.8.8和1.1.1.1。
测试时，把电脑设为自动获取IP，如果能拿到192.168.88.x的地址并能ping通网关，说明LAN侧配置成功。如果遇到问题，可以检查防火墙规则是否阻止了DHCP请求。我刚开始时就因为没放行DHCP流量，导致设备一直拿不到IP。
4. 连接互联网：WAN口与NAT配置
要让内网设备上网，WAN口的配置至关重要。首先在"Interfaces"中将连接光猫的接口(如ether1)改名为WAN便于识别。然后根据上网方式配置IP：
- 动态IP(DHCP)：适用于光猫拨号的情况，直接在WAN口启用DHCP Client
- 静态IP：向运营商获取固定IP地址、子网掩码和网关
- PPPoE：需要输入宽带账号密码，在"PPP"中创建PPPoE Client
配置完成后，别忘了最关键的一步：设置源地址伪装(SNAT)。在"IP"→"Firewall"→"NAT"中添加规则，将srcnat的action设为masquerade。这相当于家用路由器的"NAT"功能，让内网设备共享公网IP上网。我曾经漏掉这一步，结果内网设备能ping通外网但打不开网页，排查了好久才发现问题。
测试外网连通性时，可以用RouterOS自带的ping工具尝试访问8.8.8.8。如果通，说明WAN侧配置正确；如果不通，需要检查网关和DNS设置。有时运营商会封锁ping，这时可以尝试访问http://www.baidu.com来测试。
5. 无线网络配置：安全与性能兼顾
对于带无线功能的设备，还需要配置WiFi。在"Wireless"中创建安全配置文件，加密方式建议选WPA2/WPA3，密码要足够复杂。我见过太多使用简单密码被蹭网的案例，不仅影响网速还可能带来安全风险。
SSID命名也有讲究，最好不要包含个人信息。我习惯用"位置+频段"的方式，比如"LivingRoom_5G"和"LivingRoom_2G"。双频分离可以让设备自动选择更优频段，5GHz适合近距离高速传输，2.4GHz覆盖范围更广。
无线功率调整是个实用功能。在公寓楼里，把发射功率调低反而能改善性能，因为减少了同频干扰。我通常先用默认功率测试，然后根据实际效果逐步调整。有时候把功率从20dBm降到15dBm，网速反而更快了。
6. 防火墙设置：基础安全防护
RouterOS的防火墙功能非常强大，但初学者容易被复杂的规则吓到。其实只要配置几条基本规则就能大幅提升安全性：
- 在input链中放行ICMP(ping)和winbox端口(8291)
- 在forward链中允许已建立连接和相关的流量通过
- 拒绝所有其他入站流量
我强烈建议启用防御功能，比如防扫描和防DoS。在"IP"→"Firewall"→"Connection Tracking"中设置合理的超时时间，可以有效防止资源耗尽攻击。有次我的路由器突然变慢，查看连接数发现有大量异常连接，开启防御后问题立即解决。
定期备份配置也很重要。可以在"Files"中导出.rsc文件，或者使用/system backup save命令。我吃过没备份的亏，一次误操作导致配置丢失，不得不从头开始配置，现在养成了每周备份的好习惯。
7. 常见问题排查技巧
网络不通时，系统化的排查能节省大量时间。我总结了一个"从下往上"的检查流程：
- 物理层：网线是否插好？接口灯是否亮？
- 数据链路层：接口是否启用？有错误计数吗？
- 网络层：IP配置是否正确？能ping通网关吗？
- 传输层：防火墙是否放行所需端口？
- 应用层：DNS解析是否正常？
RouterOS自带的工具非常实用。ping和traceroute用于测试连通性；torch可以实时监控流量；log能查看系统消息。有次客户反映网速慢，我用torch发现某个IP占用了大量带宽，原来是有人在下载大文件。
当遇到奇怪的问题时，尝试重启相关服务或接口往往能解决。如果还不行，可以临时关闭防火墙规则进行测试。我维护的几十台RouterOS设备中，90%的问题都能通过这些方法解决。