Инфраструктура / MikroTik

Wi‑Fi

Точки доступа и гостевая сеть

Какой пакет используется

На RouterOS 7 радио настраивается в /interface wifi, если установлен wifi-qcom или wifi-qcom-ac. Старое меню /interface wireless остаётся только на устройствах без этого пакета. Смешивать два меню на одном радио нельзя.

/system package print where name~"wifi"
/interface wifi print

В выводе будут wifi1 и, если есть второй радиомодуль, wifi2. Дальше команды ищут их по default-name, а не по тому имени, которое кто-то переименовал в Winbox.

Офисный SSID

Сначала политика безопасности и путь в мост, потом конфигурация, и только в конце радио включается. Иначе точка поднимется с пустым паролем на те секунды, пока дописываются остальные поля.

/interface wifi security add name=sec-staff \
    authentication-types=wpa2-psk,wpa3-psk \
    passphrase="replace-with-long-passphrase" ft=yes

/interface wifi datapath add name=dp-staff bridge=bridge client-isolation=no

/interface wifi configuration add name=cfg-staff ssid="Office-Staff" \
    country=Russia security=sec-staff datapath=dp-staff
/interface wifi configuration set cfg-staff channel.band=5ghz-ax channel.width=20/40/80mhz

/interface wifi set [ find default-name=wifi1 ] configuration=cfg-staff disabled=no

Поле country включает допустимые каналы и мощность для регуляторного домена. Пустая страна или чужой регион — частая причина, по которой ноутбук «видит сеть», но ассоциация рвётся.

Ширина 20/40/80mhz уместна на 5 ГГц в офисе с небольшим числом соседних сетей. Если эфир грязный, зафиксируйте 40 МГц или 20 МГц: узкий канал устойчивее, чем широкий с постоянными ретрансмиссиями.

Диапазон 2.4 ГГц

Тот же SSID и тот же пароль, чтобы клиент переходил сам. Канал узкий: в 2.4 ГГц три неперекрывающихся канала, 80 МГц там не бывает.

/interface wifi configuration add name=cfg-staff-24 ssid="Office-Staff" \
    country=Russia security=sec-staff datapath=dp-staff
/interface wifi configuration set cfg-staff-24 channel.band=2ghz-ax channel.width=20mhz
/interface wifi set [ find default-name=wifi2 ] configuration=cfg-staff-24 disabled=no

Если второго радио нет, этот блок пропускают. Не клонируйте wifi1 вручную.

Гостевая сеть

Гости получают свой мост, свой пул и не маршрутизируются в 192.168.88.0/24. Изоляция клиентов включена: телефоны в гостевой сети не видят друг друга.

/interface bridge add name=bridge-guest
/ip address add address=192.168.20.1/24 interface=bridge-guest
/ip pool add name=pool-guest ranges=192.168.20.10-192.168.20.200
/ip dhcp-server add name=dhcp-guest interface=bridge-guest address-pool=pool-guest lease-time=2h disabled=no
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=1.1.1.1

/interface wifi security add name=sec-guest authentication-types=wpa2-psk \
    passphrase="replace-guest-passphrase"
/interface wifi datapath add name=dp-guest bridge=bridge-guest client-isolation=yes
/interface wifi configuration add name=cfg-guest ssid="Office-Guest" \
    country=Russia security=sec-guest datapath=dp-guest
/interface wifi configuration set cfg-guest channel.band=2ghz-ax channel.width=20mhz

/interface wifi add name=wifi-guest master-interface=wifi2 configuration=cfg-guest disabled=no

Виртуальный интерфейс wifi-guest садится на уже включённый wifi2. Отдельного радио под гостей не требуется. Фильтр, который не пускает гостей в офисную сеть, записан в разделе мост и NAT.

Несколько точек

Когда точек больше одной, конфигурацию не копируют руками на каждую. На главном маршрутизаторе включают CAPsMAN, на остальных — режим CAP с поиском менеджера через локальный мост. Профиль безопасности и SSID остаются теми же объектами sec-staff и cfg-staff.

/interface wifi capsman set enabled=yes interfaces=bridge
/interface wifi provisioning add action=create-dynamic-enabled \
    master-configuration=cfg-staff supported-bands=5ghz-ax,2ghz-ax
/interface wifi cap set enabled=yes discovery-interfaces=bridge

На подчинённой точке пакет wifi тот же, адрес она получает по DHCP из офисного пула, а менеджер для неё — 192.168.88.1. Пока точка не зарегистрировалась, смотрите /interface wifi cap print, а не список обычных интерфейсов.

Что не улучшает защиту