Настройка MikroTik в офисе: пошаговый план внедрения от аудита до бэкапов

Мы внедряли MikroTik в сотнях офисов — от крошечных ИП на три рабочих места до опенспейсов, где трудятся полторы сотни человек. Дальше — не пара консольных команд, а полноценный план внедрения: он начинается с первого звонка и заканчивается сдачей работы вместе с документацией.

Этап 1: аудит и выбор модели

Перед тем, как купить роутер? Мы всегда, без исключений, проводим аудит. Почему это так важно? Потому что без него очень легко промахнуться с выбором модели. Можно запросто переплатить за мощный CCR для офиса всего на 10 человек. Или, наоборот, попытаться «задушить» скромный hEX SQ, пытаясь подключить к нему целых 80 сотрудников. Последствия — плачевны.

И да, не забывайте о свитчах – здесь наша рекомендация это серия CRS. А также о точках доступа! У нас в ITFresh для них есть проверенные решения: cAP ac, hAP ax2. Или, если нужно, можем рассмотреть сторонние Ubiquiti. Вот конкретный пример: для офиса, где активно работает 40 компьютеров, мы обычно рекомендуем такой комплект – один роутер, два 24-портовых свитча и, конечно, 3-5 точек Wi-Fi, чтобы все работало без нареканий.

Этап 2: подготовка топологии и адресации

Когда все продумано, я беру draw.io и рисую подробную схему. Её мы, разумеется, обязательно утверждаем с заказчиком. Знаете, в большинстве проектов речь идёт минимум о трёх сетях, но очень часто их бывает пять или даже шесть.

Этап 3: базовая настройка RouterOS

# Сброс
/system reset-configuration no-defaults=yes keep-users=no skip-backup=yes

# Имя и пароль
/system identity set name=gw-office-main
/user set admin disabled=yes
/user add name=itfresh password="StrongPass_2026!" group=full \
  address=192.168.10.0/24,192.168.100.0/24

# Обновление
/system package update check-for-updates
/system package update install

Что я делаю сразу? Отключаю все лишнее! Это касается FTP, Telnet, API, а ещё MAC-Server на WAN и Neighbor Discovery на WAN. Зачем держать открытым то, что не нужно?

Этап 4: интерфейсы, bridge, VLAN

/interface ethernet
set ether1 comment="WAN1 Beeline"
set ether2 comment="WAN2 MTS"
set ether3 comment="Trunk SW01"
set ether4 comment="CAP01"
set ether5 comment="CAP02"
set ether6 comment="Serverroom"

/interface bridge
add name=bridge1 vlan-filtering=yes

/interface bridge port
add bridge=bridge1 interface=ether3
add bridge=bridge1 interface=ether4
add bridge=bridge1 interface=ether5
add bridge=bridge1 interface=ether6

/interface vlan
add interface=bridge1 name=vlan10-office vlan-id=10
add interface=bridge1 name=vlan20-guest vlan-id=20
add interface=bridge1 name=vlan30-infra vlan-id=30
add interface=bridge1 name=vlan40-srv vlan-id=40
add interface=bridge1 name=vlan100-mgmt vlan-id=100

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=bridge1,ether3,ether4,ether5
add bridge=bridge1 vlan-ids=20 tagged=bridge1,ether3,ether4,ether5
add bridge=bridge1 vlan-ids=30 tagged=bridge1,ether3
add bridge=bridge1 vlan-ids=40 tagged=bridge1,ether3,ether6
add bridge=bridge1 vlan-ids=100 tagged=bridge1,ether3,ether4,ether5,ether6

Этап 5: IP, DHCP, DNS

/ip address
add address=192.168.10.1/24 interface=vlan10-office
add address=192.168.20.1/24 interface=vlan20-guest
add address=192.168.30.1/24 interface=vlan30-infra
add address=192.168.40.1/24 interface=vlan40-srv
add address=192.168.100.1/24 interface=vlan100-mgmt

/ip pool
add name=pool-office ranges=192.168.10.50-192.168.10.250
add name=pool-guest ranges=192.168.20.50-192.168.20.250
add name=pool-infra ranges=192.168.30.50-192.168.30.250

/ip dhcp-server
add name=dhcp-office interface=vlan10-office address-pool=pool-office \
  lease-time=8h disabled=no
add name=dhcp-guest interface=vlan20-guest address-pool=pool-guest \
  lease-time=2h disabled=no
add name=dhcp-infra interface=vlan30-infra address-pool=pool-infra \
  lease-time=24h disabled=no

/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes \
  cache-size=4096KiB

Этап 6: Wi-Fi через CAPsMAN

/caps-man security
add name=office-sec authentication-types=wpa2-psk,wpa3-psk \
  passphrase="OfficeWifi2026!"
add name=guest-sec authentication-types=wpa2-psk passphrase="Guest2026"

/caps-man datapath
add name=dp-office vlan-id=10 vlan-mode=use-tag bridge=bridge1
add name=dp-guest vlan-id=20 vlan-mode=use-tag bridge=bridge1

/caps-man configuration
add name=cfg-office ssid=ITFresh-Office security=office-sec \
  datapath=dp-office country=russia
add name=cfg-guest ssid=ITFresh-Guest security=guest-sec \
  datapath=dp-guest country=russia

/caps-man manager set enabled=yes

/caps-man provisioning
add action=create-enabled master-configuration=cfg-office \
  slave-configurations=cfg-guest

Этап 7: firewall и NAT

За более подробными примерами правил для файрвола, кстати, загляните в нашу отдельную статью. А вот ключевые моменты, которые мы всегда держим в голове: `always state first`, `final drop`, обязательно блокируем доступ гостевой сети к офисным ресурсам и инфраструктуре. И, конечно, используем `FastTrack` на `forward`.

# Разрешаем установленные соединения
add chain=input action=accept connection-state=established,related
add chain=input action=drop connection-state=invalid
# Полный доступ из офисной сети
add chain=input in-interface-list=LAN action=accept
# ICMP наружу
add chain=input protocol=icmp action=accept
# Всё остальное из WAN — в блок
add chain=input in-interface-list=WAN action=drop comment="Drop all from WAN"

add chain=forward action=accept connection-state=established,related
add chain=forward action=drop connection-state=invalid
add chain=forward action=drop connection-state=new \
  in-interface-list=WAN out-interface-list=!LAN comment="Drop DNAT leaks"
add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \
  action=drop comment="Guest → Office"
add chain=forward src-address=192.168.20.0/24 dst-address=192.168.30.0/24 \
  action=drop comment="Guest → Infra"

Этап 8: VPN для удалённых сотрудников

Для удалённого доступа, исходя из нашего многолетнего опыта, я в большинстве случаев выбираю WireGuard. Почему? Это невероятно удобно! Смотрите сами: он уже встроен прямо в RouterOS 7. Настройка занимает, ну буквально, десять минут. А пользователям вообще не нужно мучиться – они запускают его с помощью простого QR-кода. Быстро и без проблем.

/interface wireguard
add name=wg-office listen-port=13231 mtu=1420

/interface wireguard peers
add interface=wg-office public-key="AbCdEf..." \
  allowed-address=10.200.0.10/32 comment="ivanov laptop"

/ip address add address=10.200.0.1/24 interface=wg-office
/ip firewall filter add chain=input protocol=udp dst-port=13231 action=accept
/ip firewall filter add chain=input in-interface=wg-office action=accept

Кейс: внедрение MikroTik в инженерном бюро на 48 ПК

Помню, в декабре 2025-го к нам обратилось одно инженерное бюро. У них 48 рабочих мест, два этажа в солидном бизнес-центре на Рижской. Что там было до нас? Старая сеть на TP-Link, неуправляемые свитчи – кошмар! Никаких VLAN, Wi-Fi общий, а про регулярные «тормоза» даже говорить не хочется. Бюджет на всё, включая монтаж, был строго до 250 000 рублей.

За 4 дня мы:

• Какой набор оборудования мы выбрали для этого проекта? Установили CCR2004-1G-12S+2XS. Добавили два коммутатора CRS326-24G-2S+RM. И, конечно, пять точек доступа cAP ax для надёжного Wi-Fi покрытия.
• Что касается кабельной инфраструктуры, то между этажами мы проложили оптику. А до каждого рабочего места провели надёжную витую пару категории Cat6.
• Мы настроили сразу пять VLAN'ов для сегментации сети. А CAPsMAN позволил нам создать три отдельных SSID: для офисных пользователей, для гостей и для служебных устройств.
• Интернет-каналы? У нас было два аплинка: Билайн со скоростью 500/500 Мбит/с и МТС — 300/300 Мбит/с. И, конечно, мы настроили failover, чтобы связь всегда была стабильной.
• WireGuard для 6 удалённых разработчиков.
• А как мы следим за работой системы? Развернули Zabbix-мониторинг на отдельной виртуалке прямо в серверной. И, конечно, подключили все устройства по SNMP, чтобы видеть полную картину.

Что ж, после запуска мы получили просто отличные результаты! Пиковый NAT-throughput — целых 1,8 Гбит/с. Потери пакетов? Всего 0,002%. А Wi-Fi-роуминг между этажами работал моментально, за 30 миллисекунд. Могу с уверенностью сказать: все жалобы на скорость у заказчика полностью прекратились. И, что немаловажно, итоговая стоимость проекта составила 238 000 рублей.

Этап 9: документация и бэкапы

• Как у нас всё устроено? Для наглядности мы рисуем схему топологии. И используем для этого draw.io — удобно, всё видно сразу. Но просто нарисовать мало, нужно же правильно это хранить, правда? Поэтому главный файл всегда лежит в облаке — так он доступен всей команде, и обновлять его проще простого. А чтобы быть на 100% уверенными, что ничего не пропадёт, мы обязательно держим ещё и офлайн-копию. Это наша подушка безопасности на любой случай.
• Текстовый экспорт конфигурации /export file=gw-backup-2026-01-16.
• Бинарный бэкап /system backup save name=gw-backup-2026-01-16 password="...".
• Для спокойствия и безопасности данных у нас всё настроено очень серьёзно. Мы используем специальный scheduler — если по-простому, это планировщик задач, который каждый день строго по расписанию запускает резервное копирование. Как только бэкап завершается, система автоматически отправляет отчёт на почту ответственным сотрудникам. Так мы всегда знаем, что данные на месте, и можем быстро реагировать. Удобно, когда не нужно ничего делать руками, верно?
• Чтобы сотрудникам было максимально комфортно, а все вопросы решались быстро, мы собрали ключевую информацию в единых инструкциях. Там, к примеру, всегда можно найти актуальный пароль от гостевого Wi-Fi — чтобы ваши посетители легко могли подключиться и не отвлекали вас. А если вдруг возникнут технические сложности или потребуется помощь, в этом же документе есть все контакты нашей службы IT-поддержки. Не нужно искать, куда звонить; просто откройте инструкцию. Это здорово экономит время!

FAQ — настройка MikroTik в офисе

Сколько времени занимает настройка?

Офис на 30 ПК — 1 рабочий день чистой настройки, плюс полдня на монтаж.

Нужен ли отдельный админ?

Нет, 2–4 часа в месяц на обслуживание. Подходит для аутсорсинга.

Что если уже есть хаотичный MikroTik?

Аудит, документация, переписать с нуля по шаблону на стенде, переключить за ночь.

SwOS или RouterOS на свитчах?

В корпоративном офисе — RouterOS для единообразия инструментов.

Какой резервный канал?

Второй провайдер с разным последним километром или LTE-модем.