- דרישות מקדימות לפני ההגדרה - ציוד, תוכנה וגישה
- כניסה ראשונה ל-Winbox ואיפוס להגדרות יצרן
- הגדרת WAN, LAN ו-DHCP צעד אחר צעד
- חלוקה ל-VLANs והגדרת Firewall בסיסי
- הגדרת VPN מסוג WireGuard או L2TP לעובדים מרוחקים
- בדיקת תקינות ופתרון בעיות נפוצות
דרישות מקדימות לפני ההגדרה
לפני שמתחילים, יש לוודא שכל הרכיבים הנדרשים זמינים ותקינים. נדרש מכשיר MikroTik עם RouterOS מותקן (כגון RB5009UG+S+IN, RB4011iGS+RM או כל נתב MikroTik אחר). יש לוודא שגרסת RouterOS היא 7.x לפחות - הגרסה האחרונה מומלצת תמיד.
ב-Ronitek תוכלו לרכוש את כל ציוד MikroTik כולל מכשירים עם RouterOS מותקן מהמפעל. הצוות הטכני שלנו ממליץ לרכוש ציוד ולבצע את ההגדרה הראשונית במעבדה לפני האספקה ללקוח.
ההגדרה הראשונית מתבצעת לרוב ב-MSP lab או בסביבת הלקוח. מומלץ לתעד כל שלב בכלי ניהול כמו The Dude, NetBox או דף Excel פשוט לצורך מעקב ותחזוקה עתידית.
- Winbox - כלי הניהול הגרפי הרשמי של MikroTik, חינמי, להורדה מ-mikrotik.com/download
- RouterOS 7.x - גרסה נוכחית ומומלצת, כוללת WireGuard מובנה ושיפורי אבטחה משמעותיים
- כבל Ethernet ישיר - חיבור ישיר בין מחשב ההגדרה לפורט ether1 או לפורט ניהול ייעודי
- פרטי WAN - IP סטטי או DHCP מה-ISP, כתובת Gateway, שרתי DNS ראשי ומשני
- תכנון IP - הגדרו מראש את ה-subnets לכל VLAN: management, users, guests, servers, IoT
- גיבוי קיים - אם מחליפים ציוד קיים, ייצאו קובץ export מהמכשיר הקודם לפני ההגדרה
✔ מכשיר MikroTik עם RouterOS 7.x ומעלה
✔ מחשב עם Winbox מותקן (הורד מ-mikrotik.com)
✔ כבל Ethernet לחיבור ישיר למכשיר
✔ פרטי WAN מספק האינטרנט (IP, gateway, DNS)
✔ תכנון VLAN - טבלת VLANs, subnets, שמות
✔ הרשאות מנהל מלאות על המכשיר
כניסה ראשונה ל-Winbox ואיפוס להגדרות יצרן
פתחו את Winbox וחברו את המחשב ישירות לפורט ether1 של המכשיר. בלשונית Neighbors יופיע המכשיר עם כתובת MAC - לחצו עליה להתחברות ללא צורך ב-IP. שם המשתמש הדיפולטי הוא admin וסיסמה ריקה (ב-RouterOS 7 תתבקשו להגדיר סיסמה בכניסה הראשונה).
ב-Ronitek מומלץ לבצע Reset מלא לפני תחילת הגדרה, כדי להבטיח שאין הגדרות שיוריות מהמפעל או מלקוח קודם. זה שלב קריטי שמונע בעיות בלתי-צפויות בהמשך.
לאחר ה-Reset תקבלו מכשיר נקי עם defaultconfiguration מינימלית. זה הרגע הנכון להתחיל את ההגדרה המבוקרת שלכם.
- Winbox MAC login - התחברות לפי MAC מאפשרת גישה גם ללא כתובת IP מוגדרת
- סיסמה ראשונית - ב-RouterOS 7 חובה להגדיר סיסמה בכניסה הראשונה, אל תדלגו על שלב זה
- No Default Config - בחרו תמיד באפשרות זו ב-Reset כדי לקבל מכשיר ריק לחלוטין
- Safe Mode - בזמן ההגדרה הפעילו Safe Mode (Ctrl+X) - אם החיבור נותק, השינויים יחזרו אוטומטית
- Terminal מקביל - פתחו גם חלון Terminal ב-Winbox לביצוע פקודות CLI מהיר לצד ה-GUI
- Firmware upgrade - מיד לאחר הכניסה, עדכנו ל-RouterOS האחרון: System > Packages > Check For Updates
אפשרות 1 - מ-Winbox: System > Reset Configuration, סמנו No Default Configuration ולחצו Reset.
אפשרות 2 - כפתור פיזי: החזיקו את כפתור ה-Reset תוך כדי הפעלה עד שה-LED מהבהב.
שימו לב: ה-Reset מוחק את כל ההגדרות ללא אפשרות שחזור - וודאו שיש גיבוי אם נדרש.
הגדרת WAN ו-LAN - חיבור לאינטרנט ורשת פנימית
הגדרת WAN מתבצעת על פורט ether1 (בדרך כלל). עברו אל Interfaces > ether1 ושנו את שמו ל-WAN לנוחות. לאחר מכן עברו אל IP > Addresses והוסיפו את כתובת ה-WAN. אם ה-ISP מספק DHCP, עברו אל IP > DHCP Client, הוסיפו client על ether1 וסמנו Add Default Route: yes.
עם ציוד MikroTik שנרכש ב-Ronitek, תקבלו לעיתים הגדרה מוקדמת לפי דרישה - כולל הגדרת WAN ו-LAN מוכנות. זה חוסך זמן יקר בשטח, במיוחד כאשר מדובר בהטמעות מרובות.
לאחר הגדרת WAN, הגדירו bridge ל-LAN. צרו bridge חדש בשם bridge-LAN ב-Bridge > Bridge, ואז הוסיפו את הפורטים הרצויים כ-ports תחת Bridge > Ports.
- שינוי שמות פורטים - שנו WAN/LAN/MGMT לשמות תיאוריים ב-Interfaces לפני שמתחילים - זה ימנע בלבלה
- DHCP Client על WAN - הפעילו Add Default Route ו-Use Peer DNS ב-DHCP Client להגדרה פשוטה
- Bridge LAN - צרו bridge אחד לכל הפורטים הפנימיים - זה הבסיס להוספת VLANs בהמשך
- IP על Bridge - הוסיפו את כתובת ה-LAN (למשל 192.168.10.1/24) ישירות על bridge-LAN
- DNS מקומי - הפעילו Allow Remote Requests ב-IP > DNS כדי שה-RouterOS ישמש DNS server ל-LAN
- NAT Masquerade - הוסיפו Firewall NAT rule: srcnat, action=masquerade, out-interface=WAN - חיוני לגישה לאינטרנט
DHCP: מתאים לרוב הסניפים - IP > DHCP Client על ether1.
סטטי: IP > Addresses > Add, הגדירו את ה-IP/prefix ואת ה-Gateway ב-IP > Routes.
חובה גם להגדיר DNS: IP > DNS > Servers, הכניסו 8.8.8.8 ו-1.1.1.1 כברירת מחדל.
הגדרת DHCP Server - חלוקת כתובות IP אוטומטית
הגדרת DHCP Server מתבצעת תחת IP > DHCP Server > Setup. הגדרת האשף (wizard) מקצה אוטומטית את ה-interface, ה-subnet, ה-gateway ואת טווח הכתובות. עבור כל VLAN שתגדירו בהמשך תצטרכו DHCP Server נפרד.
מומלץ להגדיר Static Leases לכל שרת, מדפסת ומצלמה ברשת. זה מבטיח שהכתובות לא ישתנו ומפשט את ניהול ה-Firewall בהמשך.
הגדרת Lease Time תלויה בסוג הרשת: לרשת אורחים - שעה עד שתיים מספיקות. לרשת פנימית קבועה - 24-48 שעות מומלץ. להגדיר גם את שרתי ה-DNS שיחולקו ללקוחות.
- DHCP Pool - הגדירו טווח שמשאיר מקום לכתובות סטטיות: לדוגמה .1-.50 סטטי, .100-.250 DHCP
- Static Leases - כל שרת, AP, מדפסת ומצלמה - הוסיפו Static Lease עם שם תיאורי
- DNS per VLAN - אפשר לחלק DNS שונה לכל VLAN: לדוגמה שרת DNS פנימי ל-corp, ו-1.1.1.1 ל-guests
- Gateway per VLAN - כל VLAN מקבל gateway שהוא כתובת ה-RouterOS על אותו VLAN interface
- Lease Time - guest: 1-2 שעות, corp: 24 שעות, IoT: 12 שעות - קבעו לפי אופי הרשת
- DHCP Alerts - הפעילו Log ב-DHCP Server לתיעוד כל כתובת שחולקה - שימושי לפתרון בעיות
חלוקה ל-VLANs - סגמנטציה של רשת העסק
VLANs ב-RouterOS 7 מוגדרים בשיטת Bridge VLAN Filtering - זו השיטה המומלצת כיום. עברו ל-Bridge > VLANs ולאחר מכן הפעילו VLAN Filtering ב-Bridge. צרו VLAN interface לכל סגמנט: corp, guests, IoT, management, servers.
עבור MSP שמנהל סניפים מרובים, שימוש ב-VLAN IDs אחידים בכל האתרים חוסך זמן עצום בתחזוקה. המלצה נפוצה: VLAN 10 - Management, VLAN 20 - Corp, VLAN 30 - Guest, VLAN 40 - IoT, VLAN 50 - Servers.
לאחר יצירת ה-VLANs, הוסיפו IP address על כל VLAN interface וצרו DHCP Server לכל אחד. ה-CSS610-8G-2S+IN ו-CRS326-24G-2S+RM של MikroTik מתממשקים בצורה מושלמת עם VLANs שהוגדרו ב-RouterOS.
| VLAN ID | שם | Subnet מומלץ | מטרה | הערות |
|---|---|---|---|---|
| 10 | Management | 10.0.10.0/24 | ניהול ציוד רשת | גישה מוגבלת - admin only |
| 20 | Corporate | 10.0.20.0/24 | עמדות עבודה ומשתמשים | גישה לאינטרנט ולשרתים |
| 30 | Guest | 10.0.30.0/24 | אורחים ו-WiFi ציבורי | אינטרנט בלבד, מבודד מ-Corp |
| 40 | IoT | 10.0.40.0/24 | מצלמות, מדפסות, חיישנים | מוגבל, ללא גישה ל-Corp |
| 50 | Servers | 10.0.50.0/24 | שרתים ו-NAS | גישה מ-Corp בלבד |
1. Bridge > Bridge > ether1: הפעל VLAN Filtering
2. Bridge > Ports: לכל פורט הגדר PVID לפי ה-VLAN שלו (untagged)
3. Bridge > VLANs: הוסף VLAN ID לכל VLAN, ציין Tagged ports (uplink/trunk) ו-Untagged ports
4. Interfaces: הוסף VLAN interface לכל VLAN ID על ה-bridge
5. IP > Addresses: הוסף IP לכל VLAN interface
הגדרת Firewall בסיסי - הגנה על הרשת הפנימית
ה-Firewall ב-RouterOS מבוסס על Chains: input (תעבורה לנתב עצמו), forward (תעבורה דרך הנתב), output (תעבורה מהנתב). הגדרה בסיסית נכונה כוללת: חסימת כל גישה חיצונית ל-input, מעבר חופשי מ-LAN לאינטרנט, ובידוד בין VLANs.
עבור MSP, מומלץ לתחזק Firewall Template מוכן שניתן לייבא ל-RouterOS בכל הטמעה. כך מבטיחים עקביות אבטחתית בכל הלקוחות ומפחיתים שגיאות אנוש.
הגדרה חשובה נוספת: Connection Tracking חייב להיות פעיל (ברירת מחדל). הוסיפו תמיד בתחילת ה-chain את הכלל: accept established, related - זה מבטיח ביצועים טובים ולא מפריע לתעבורה חוקית.
| Chain | פרוטוקול/Port | Action | מטרה |
|---|---|---|---|
| input | established, related | accept | תעבורה חוזרת חוקית |
| input | invalid | drop | חסימת packets פגומים |
| input | VLAN 10 src | accept | ניהול מ-Management VLAN בלבד |
| input | כל השאר | drop | חסימת גישה לנתב מבחוץ |
| forward | VLAN 30 > VLAN 20 | drop | בידוד Guest מ-Corporate |
| forward | VLAN 40 > VLAN 20 | drop | בידוד IoT מ-Corporate |
| forward | established, related | accept | תעבורה חוזרת חוקית |
- Accept Established/Related - הכלל הראשון תמיד: connection-state=established,related - ביצועים ואבטחה
- Drop Invalid - הכלל השני: connection-state=invalid, action=drop - חוסם packets פגומים
- Accept ICMP מוגבל - אפשרו ping רק מ-Management VLAN, חסמו מכל מקום אחר
- Inter-VLAN Isolation - בשרשרת forward הוסיפו drop מ-Guest ל-Corp, מ-IoT ל-Corp
- Port Knocking - שיטה מתקדמת לפתיחת גישת SSH רק למי שמכיר רצף פורטים ספציפי
- Address Lists - השתמשו ב-Address Lists לניהול נוח של IP ranges: admin-ips, blocked-ips, trusted-ips
סדר הכללים חיוני! RouterOS מעבד כללים מלמעלה למטה ועוצר בהתאמה ראשונה.
כלל 1: accept established, related (connection state)
כלל 2: accept input מ-VLAN Management בלבד
כלל 3: accept Winbox port (8291) מ-Management VLAN
כלל 4: drop הכל - כלל ברירת מחדל בסוף
הגדרת VPN - גישה מרחוק מאובטחת לעובדים
RouterOS 7 כולל תמיכה מובנית ב-WireGuard - פרוטוקול VPN מודרני, מהיר ומאובטח. הגדרתו פשוטה יחסית: יצירת WireGuard interface, הגדרת Peers ומתן IP לכל peer. לחלופין, RouterOS תומך ב-L2TP/IPsec, SSTP ו-OpenVPN - כל אחד מתאים לתרחיש שונה.
עבור MSP שמנהל לקוחות מרובים, WireGuard הוא הבחירה המומלצת ב-2024-2026: overhead נמוך, קל לתחזוקה, וקל לשלב עם מכשירים ניידים. כל עובד מרוחק מקבל Peer משלו עם מפתח ייחודי - ביטול גישה מיידי ללא השפעה על שאר המשתמשים.
לחיבור site-to-site בין סניפים, השתמשו ב-WireGuard Tunnel בין שני נתבי MikroTik. ה-RB5009UG+S+IN מצוין לתפקיד זה בזכות ביצועי ה-CPU הגבוהים שלו.
- WireGuard - הפרוטוקול המומלץ ב-RouterOS 7: מהיר, מאובטח, קל לניהול, תמיכה מובנית
- L2TP/IPsec - תואם לכל מכשיר Windows, Mac, iOS ו-Android ללא תוכנה נוספת - מתאים למשתמשי קצה
- SSTP - עובד על TCP 443, חוצה firewalls ו-NAT בקלות - שימושי כאשר UDP חסום
- IPsec Site-to-Site - לחיבור קבוע בין שני אתרים: מטה וסניף, עם IKEv2 ו-AES-256
- Per-User Keys - ב-WireGuard כל משתמש מקבל key pair ייחודי - ביטול גישה ללא השפעה על אחרים
- Split Tunneling - אפשרו ללקוחות WireGuard לגשת רק לרשת הפנימית דרך ה-VPN ולאינטרנט ישירות
1. Interfaces > WireGuard > Add: קבלו Public Key אוטומטי
2. IP > Addresses: הוסיפו IP על wg0 (למשל 10.99.0.1/24)
3. WireGuard > Peers > Add: הוסיפו לכל עובד את ה-Public Key שלו, Allowed Address (/32)
4. Firewall: פתחו UDP port 13231 (או כל port שבחרתם) ב-input chain
5. Routes: הוסיפו route ל-10.99.0.0/24 דרך wg0
אבטחת המכשיר - Hardening לסביבת עסק
Hardening של RouterOS כולל מספר שלבים קריטיים שאסור לדלג עליהם בסביבת עסק. השלבים הבסיסיים: שינוי סיסמת admin, השבתת שירותים לא נדרשים, הגבלת גישה לממשק הניהול ל-IP ספציפי, ועדכון RouterOS לגרסה האחרונה.
ב-Ronitek אנו ממליצים בחום להפעיל את MikroTik Security Checker המובנה: System > Security. כלי זה סורק את ההגדרות ומסמן בעיות אבטחה פתוחות - תוצאה של 0 פגיעויות היא היעד.
עדכונים שוטפים הם חלק בלתי נפרד מה-hardening. RouterOS מקבל עדכוני אבטחה תכופים. MSP שמנהל ציוד לקוחות צריך לתכנן תהליך עדכון מבוקר - בדיקה ב-Stable channel לפני Rolling Out לכל הלקוחות.
- שינוי סיסמת admin - עברו ל-System > Users > admin ושנו סיסמה לסיסמה חזקה של לפחות 16 תווים
- השבת שירותים לא נדרשים - IP > Services: השאירו פעיל רק Winbox (8291) ו-SSH (22), השביתו API, Telnet, FTP
- הגבלת IP לניהול - ב-IP > Services הגדירו Allowed Address לכל שירות - רק Management VLAN
- Disable Neighbor Discovery - כבו CDP/LLDP ב-IP > Neighbors על ממשקי WAN ו-Guest
- MAC Server - כבו MAC Winbox ו-MAC Telnet ב-Tools > MAC Server על כל interface מלבד Management
- RouterOS Updates - System > Packages > Check for Updates בכל חודש - בחרו Stable channel לסביבות ייצור
בדיקת תקינות וסיכום ההגדרה
לאחר השלמת ההגדרה, בצעו סדרת בדיקות מסודרת לפני מסירת המכשיר ללקוח. התחילו מבדיקת קישוריות בסיסית: ping לאינטרנט, ping בין VLANs (אם מורשה), ו-ping שנחסם בין VLANs מבודדים.
בדיקת VPN: התחברו מ-client חיצוני ובדקו גישה לרשת הפנימית. בדיקת DHCP: חברו מחשב לכל VLAN ווודאו קבלת IP מהסאבנט הנכון. בדיקת Firewall: נסו לגשת מ-Guest VLAN לשרתים - חייב להיחסם.
תעדו את ההגדרה הסופית: ייצאו קובץ Export מ-Terminal (הקלידו /export file=config-backup), שמרו את הקובץ ב-Ronitek MSP Portal או בכלי הניהול שלכם.
- Tools > Ping - בדקו connectivity מהנתב ל-8.8.8.8 ולשרתים פנימיים
- Tools > Traceroute - ודאו שהנתיב לאינטרנט עובר דרך ה-WAN gateway הנכון
- Log > לוג Firewall - הוסיפו log action לכללי drop ובדקו שחסימות IoT/Guest מופיעות ב-log
- DHCP Leases - IP > DHCP Server > Leases: ודאו שכל VLAN מחלק כתובות מהסאבנט הנכון
- Bandwidth Test - Tools > Bandwidth Test: מדדו throughput בין VLANs ולאינטרנט
- Export קובץ גיבוי - הקלידו /export file=config ב-Terminal ושמרו את הקובץ מחוץ למכשיר
✔ Ping לאינטרנט מ-RouterOS עצמו (Tools > Ping)
✔ DHCP מחלק IP נכון בכל VLAN
✔ NAT עובד - מחשב LAN מגיע לאינטרנט
✔ Guest לא יכול לפנות ל-Corporate
✔ IoT לא יכול לפנות ל-Corporate
✔ VPN מתחבר ומאפשר גישה פנימית
✔ ניהול נגיש רק מ-Management VLAN
✔ קובץ Export נשמר ומגובה
✔ Security Checker: 0 פגיעויות
פתרון בעיות נפוצות ב-RouterOS
הבעיות הנפוצות ביותר בהגדרה ראשונית של RouterOS קשורות לשלושה תחומים: NAT שלא מוגדר נכון (אין אינטרנט ל-LAN), VLAN שלא מוגדר נכון (מכשיר לא מקבל IP מה-VLAN הנכון), ו-Firewall שחוסם תעבורה לגיטימית.
הכלי הטוב ביותר לאבחון ב-RouterOS הוא Torch (Tools > Torch) - מציג תעבורה חיה על interface ספציפי. בנוסף, Packet Sniffer ו-Firewall Log עוזרים לזהות בדיוק היכן תעבורה נחסמת.
MSP שמנהל ציוד מרחוק יכול להשתמש ב-The Dude (כלי מוניטורינג של MikroTik) ובגישת Winbox דרך ה-VPN לאבחון ופתרון בעיות מרחוק ללא צורך בביקור פיזי.
- אין אינטרנט ל-LAN - בדקו: (1) NAT Masquerade קיים על ממשק WAN, (2) Default Route מוגדר ב-IP > Routes, (3) DNS מחולק ל-DHCP clients
- מכשיר לא מקבל IP מה-VLAN הנכון - בדקו: PVID נכון על הפורט ב-Bridge > Ports, VLAN ID קיים ב-Bridge > VLANs, DHCP Server פעיל על ה-VLAN interface
- אין גישה ל-Winbox אחרי Firewall - חברו ישירות בכבל, ב-Safe Mode שינויים יחזרו אחרי timeout - המתינו או לחצו Reset
- WireGuard לא מתחבר - ודאו: UDP port פתוח ב-Firewall input, Public Keys מוחלפים נכון, Allowed IPs תואם לשני הצדדים
- Ping עובד אבל אין HTTP - בדרך כלל בעיית MTU: הורידו MSS ב-Firewall Mangle rule (clamp-tcp-mss) לערך של 1400
- ביצועים נמוכים - ודאו ש-Fast Track פעיל ב-Firewall Forward (action=fasttrack-connection על established,related) - מגביר throughput משמעותית
שאלות ותשובות נפוצות
MikroTik RouterOS ומוצרים משלימים
ב-Ronitek תמצאו את כל מוצרי MikroTik - נתבים, switches ו-access points - עם ייעוץ טכני מקצועי בעברית. הצוות שלנו ממליץ על הדגם המתאים לגודל הסביבה ומסייע בתכנון הארכיטקטורה הנכונה.
מעוניינים להטמיע MikroTik RouterOS בעסק שלכם?
צוות Ronitek מלווה MSPs ואינטגרטורים בתכנון, רכישה והטמעה של ציוד MikroTik. קבלו ייעוץ טכני מקצועי בעברית, המלצה על הדגם המתאים לסביבה שלכם ותמיכה לאורך כל הדרך. info@ronitek.co.il.