Chia sẻ Mikrotik Hướng dẫn cấu hình

MỤC LỤC HƯỚNG DẪN MIKROTIK
Sơ lược router mikrotik................................................................................................... 3
Kết nối đến internet bằng dịch vụ PPPOE...........................................................................4
Kết nối internet với 4G.................................................................................................... 6
Kết nốI internet bằng tính năng DHCP Client......................................................................7
Tạo BridgeLan...................................................................................................... 8
DHCP Sever......................................................................................................... 10
DNS...................................................................................................................... 11
DNS ứng dụng........................................................................................................ 12
NAT....................................................................................................................... 14
BẢO VỆ ROUTER – HỆ THỚNG INTERNET..................................................................15
Memcrashed - Các cuộc tấn cơng kh́ch đại UDP 11211.............................15
Chống tấn công DDoS............................................................................................ 16
Chống QUÉT CỔNG................................................................................................ 16
Chống Hack từ BruteForce FTP + SSH.............................................................16
Port Knocking Sử dụng Icmp + Kích thước gói...............................................16
Cài đặt thời gian router Mikrotik.....................................................................17
Nat và hairpinNat.................................................................................................. 20
Chặn repeat sóng wifi.................................................................................................... 24
Fasttrack 1 kết nối........................................................................................................ 24
CHỈ ĐƯỜNG – ĐỊNH TUYẾN....................................................................................... 27
Ví dụ thực hiện định tuyến kết nối đi qua Wan2 khi truy cập youtube...................28
Giới Hạn Băng Thông................................................................................................... 31
Cách 1: giới hạn theo từng ip trong lớp mạng và được đặt sẵn bằng lệnh..............31
Cách 2: giới hạn băng thông dựa vào kết nối của người dùng là bình thường hay
nặng...................................................................................................................... 31
Cách 3: Tập lệnh này kiểm tra xem tải xuống trên giao diện có lớn hơn 512kbps hay
không, nếu đúng thì hàng đợi sẽ được thêm vào để giới hạn tốc độ ở 256kbps........32
Cách 4: xác định kết nối của dịch vụ, ứng dụng và ưu tiên hoặc giới hạn băng
thông..................................................................................................................... 33
CÂN BẰNG TẢI 2 WAN........................................................................................... 33

Chuyển đổi dự phòng với NETWATCH PING.......................................................37


Sử dụng ip tĩnh phân phối xuống các router....................................................37
Thiết lập email cho cơng cụ phân tích, cảnh báo, backup.............................40
Tunnel giữa các chi nhánh.................................................................................... 44
VPN ipsec theo kiểu client to site...................................................................46
PPPOE SEVER......................................................................................................... 49
RADIUS KẾT HỢP PPPOE SEVER..........................................................................51
Tạo máy chủ radius:.......................................................................................... 51
HOTPOST KẾT HỢP MIKHMON............................................................................. 57
Tạo user và quản lý với mikhmon....................................................................62
Hướng dẫn nhanh Mikhmon + Webserver......................................................................63

Sơ lược router mikrotik


File hướng dẫn bao gồm nhiều tính năng :
- bạn có 2 đường wan sẽ được loadbalance , dự phịng chủ động trên cơ chế ping qua wan 1 nếu loss sẽ
down wan1 và Up wan2 lên đường chính. cực nhanh và tự động. vì nếu lỗi truy cập internet với wan mà
ko có thuật tốn sẽ làm hệ thống loss gói tin tồn bộ.
-ý tưởng tối ưu cho game, ứng dụng, dịch vụ bất kỳ sẽ làm cho hệ thống mạng nhanh chóng và khơng bị
ảnh hưởng bởi người dùng có hành vi download Tập tin lớn.
-Bảo vệ router khỏi các cuộc tấn công ddos, ftp, ssh, scan port,... Điều mà nếu bỏ qua thì đơi khi bạn sẽ
thấy mạng chậm lag tồi tệ.
- định tuyến đem đến khả năng chủ động chỉ đường qua các đường wan tuyệt vời.
-Nếu gia đình bạn e ngại vấn đề con cái truy cập trang web đen thì cũng đc xử lý với mikrotik. Yên tâm
cho quý phụ huynh.
-Hệ thống lập lịch giúp quý phụ huynh định hướng cho con cái môi trường internet sạch và lối sống lành
mạnh.

- Dành cho mô hình qn cafe, nhà hàng có ý tưởng nhiều lớp mạng, phân tách khách hàng có mơi trường
internet ổn định.
- Nếu bạn muốn hệ thống wifi dành cho nhà trọ, phịng trọ giá internet sinh viên thì đến với mơ hình
hotpost voucher hoặc quản lý user kết hợp kiểm tốn mikhmon.
-pppoe sever là một mơ hình dành cho ISP mini, phù hợp chung cư...... v. v....


Kết nối đến internet bằng dịch vụ PPPOE
Giao thức PPPOE (giao thức điểm - điểm qua Ethernet) cung cấp quản lý ngườI dùng, quản lý mạng và
lợI Ích kế toán rộng rãI cho các ISP và quản trị viên mạng. Để quay số PPPOE trên router chúng ta cần
chuyển đổI mơ hình internet thơng thường sang ONT bridge, lúc này modem nhà mạng đóng vai trị
chuyển đổI tín hiệu quang sang điện và router sẽ thực hiện nhiệm vụ xác thực, kết nối mạng,…v..v…
Bước 1: Với ISP cần khai báo Vlan như Viettel ở Vlan 35 chúng ta cần khởi tạo Vlan.

Với ethernet 1 trên mikrotik kết nốI vớI modem nhà mạng và cổng này không nằm trong giao diện bridge
nào khác.
VLAN ID = 35 : chỉ số vlan nhà cung cấp yêu cầu.
Interface=ether1 .là port kết nốI đến modem nhà mạng. Cổng ether1 không nằm trong bridge.

Bước 2: Quay pppoe trên VLan đã tạo.


1. User và Pass : do ISP cung cấp cho bạn.
2. Route Distance: chỉ số quyết định đường wan chính hay dự phịng. Đường wan có số nhỏ hơn sẽ
được active cịn đường wan có số lớn hơn sẽ stanby.
Nếu nhà cung cấp dịch vụ khơng u cầu vlan thì chúng ta trực tiếp đến bước 2
khai báo PPPoE.với interface là port số được cắm vào modem nhà mạng.
Chỉ số : Distance là chỉ số ưu tiên nếu có nhiều đường wan thì đường wan có chỉ số nhỏ được hoạt động
còn đường wan số lớn hơn sẽ ở chế độ dự phòng.
Code Terminal:

/interface pppoe-client
add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 \
password=1235678 use-peer-dns=yes user=ductv_ld01
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-out1
*Phần bôi đỏ: chỉnh sửa theo acc ISP cung cấp và port tương ứng.


Kết nối internet với 4G
Giao diện khi router nhận USB 4G của bạn sẽ có như thế này.
Code Terminal:
1
2

3

4

5
/interface lte
set [ find ] name=lte1
/ip firewall nat
add action=masquerade chain=srcnat out-interface=lte1

Kết nốI internet bằng tính năng DHCP Client


Tính năng này có tác dụng cho thiết bị mikrotik nhận ip từ thiết bị khác và truy cập internet bình thường.
Khác hồn tồn với quay số PPPOE vì khơng cần xác thực.



Chỉ số ưu tiên giữa các đường kết nối internet
Cần lưu ý


Tạo BridgeLan

Nhóm các cổng lan lại với nhau và chạy dhcp được thực hiện


Đặt IP cho Lớp mạng Lan




Address là lớp mạng lan bạn muốn .
interface là nhóm các cổng lan với nhau thành chung bridge.

Cài đặt nhanh dán lệnh dưới vào terminal:
/interface bridge
add add-dhcp-option82=yes dhcp-snooping=yes igmp-snooping=yes name=bridgeLAN
/ip address
add address=192.168.1.1/24 interface=bridgeLAN network=192.168.1.0
/interface bridge port
add bridge=bridgeLAN interface=wlan1
add bridge=bridgeLAN interface=wlan2
add bridge=bridgeLAN interface=ether2
add bridge=bridgeLAN interface=ether3
add bridge=bridgeLAN interface=ether4

DHCP Sever

Giao thức cấu hình cấp phát IP tự động được gọi tắt là DHCP sever dùng để phân phốI địa chỉ IP
dễ dàng trong mạng nộI bộ.


Terminal code:
/ip pool
add name=dhcp_pool0 ranges=192.168.1.2-192.168.1.254
/ip dhcp-server
add address-pool=dhcp_pool0 disabled=no interface=bridgeLAN lease-time=30m \
name=dhcp1

DNS

Máy chủ phân giảI tên miền có thể được đặt trong router nhưng cân nhắc tính năng này trước các
cuộc tấn cơng từ bên ngồI internet.
VớI chỉ số DNS của google hoặc DNS chặn quảng cáo của AdGuard DNS là một giải pháp thay
thế để chặn quảng cáo, bảo vệ quyền riêng tư và kiểm sốt của phụ huynh. Nó cung cấp một số
tính năng bảo vệ cần thiết chống lại quảng cáo trực tuyến, trình theo dõi và lừa đảo, bất kể bạn sử
dụng nền tảng và thiết bị nào.

Allow remote Requests: tính năng này khi click chọn sẽ áp dụng router có nhiệm vụ phân giải
tên miền nên cân nhắc.


DNS or DoH, IPv4 - Mikrotik Script
/ip dns set allow-remote-requests=yes cache-max-ttl=1d servers=94.140.14.14,94.140.15.15 use-dohserver= />/ip dns static

add address=94.140.14.14 name=dns.adguard.com
add address=94.140.15.15 name=dns.adguard.com

DNS or DoH, IPv6 - Mikrotik Script
/ip dns set allow-remote-requests=yes cache-max-ttl=1d servers=2a10:50c0::ad1:ff,
2a10:50c0::ad2:ff use-doh-server= />/ip dns static
add address=2a10:50c0::ad1:ff name=dns.adguard.com
add address=2a10:50c0::ad2:ff name=dns.adguard.com

DNS ứng
dụng

1. Lọc
kết
quả
khiêu
dâm
bằng
Tìm
kiếm
an
tồn
của

Verify DoH Certificate - Mikrotik Script (Optional)
Step1: /tool fetch url= />Step2: /certificate import file-name=DigiCertGlobalRootCA.crt.pem passphrase=""
Step3: /ip dns set verify-doh-cert=yes

Google
Cho dù bạn đang sử dụng Google Tìm kiếm ở cơ quan, với trẻ em hay cho chính bạn, thì Tìm

kiếm an tồn có thể giúp bạn lọc nội dung khiêu dâm khỏi kết quả của mình.
Sao chép lệnh dưới đây dán vào terminal:
/ip dns static
add address=216.239.38.120 name=google.com comment="Google SafeSearch"
add address=216.239.38.120 name=www.google.com comment="Google SafeSearch"
add address=216.239.38.120 name= comment="Google SafeSearch"
add address=216.239.38.120 name= comment="Google SafeSearch"
add address=216.239.38.120 name=google.com.mx comment="Google SafeSearch"
add address=216.239.38.120 name=www.google.com.mx comment="Google SafeSearch"
add address=216.239.38.120 name= comment="Google SafeSearch"
add address=216.239.38.120 name= comment="Google SafeSearch"

2. Chặn các trang web từ khóa của người dùng Sử dụng Dns Cache.
Đảm bảo chỉ sử dụng Mikrotik DNS:
/ip firewall nat add action=redirect chain=dstnat comment=DNS dst-port=53 protocol=tcp toports=53 add action=redirect chain=dstnat dst-port=53 protocol=udp to-ports=53


Chặn nó bằng cách thả nó vào Quy tắc lọc
/ip firewall filter add chain=forward dst-address-list=BLOCK_SITE action=drop



Vui lịng nhập nó vào lịch trình proxy hoặc thơng qua một tập lệnh miễn phí và tốt hơn
nếu thời gian chạy khơng q nhanh, cá nhân tơi chỉ đặt nó trong 10 phút

# Find all entry on dns cache
:foreach iDNS in=[/ip dns cache all find where (name~"poker" || name~"porn" || name~"cheat" || name~"bokep" ||
name~"ngentot" || name~"qq.com" || name~"qq.net" || name~"qq.org" || name~"roulette" || name~"sbobet" ||
name~"casino" || name~"xvideos") && (type="A") ] do={
# find and filtering keyword and only find record for type A

# for keyword just add keyword || name~"KEYWORD") before && (type="A")
##########################################################################
:local tmpDNSsite [/ip dns cache get $iDNS name] ;
:local tmpDNSip [/ip dns cache get $iDNS address];
:local nameList "BLOCK_SITE";
# save to local cache by string
##########################################################################
delay delay-time=10ms
# wait for 10ms
##########################################################################
:if ( [/ip firewall address-list find where address=$tmpDNSip] = "") do={
# chek for no more duplicate site on cache
##########################################################################
:log warning ("Added site to block on dns: $tmpDNSsite : $tmpDNSip");
# show info on warning log
##########################################################################
/ip firewall address-list add address=$tmpDNSip list=$nameList comment=$tmpDNSsite;
# add site to add list entry.
##########################################################################
}
}
# End Script

3. Đảm bảo tất cả khách hàng đều sử dụng RouterOS Mikrotik Dns
/ip dns
set allow-remote-requests=yes cache-max-ttl=3h cache-size=10240KiB
servers=8.8.8.8,8.8.4.4,208.67.222.222,208.67.220.220,1.1.1.1,9.9.9.9
/ip firewall nat
add action=redirect chain=dstnat dst-port=53 protocol=udp to-ports=53
add action=redirect chain=dstnat dst-port=53 protocol=tcp to-ports=53

4. Lọc kết quả khiêu dâm bằng Chế độ hạn chế của Youtube


Cho dù bạn đang sử dụng Tìm kiếm trên Youtube tại nơi làm việc, với trẻ em hay cho chính bạn,
Chế độ hạn chế của Youtube có thể giúp bạn lọc nội dung khiêu dâm khỏi kết quả của mình.
/ip dns static
add address=216.239.38.119 name=youtube.com comment="Youtube SafeSearch"
add address=216.239.38.119 name=www.youtube.com comment="Youtube SafeSearch"
add address=216.239.38.119 name= comment="Youtube SafeSearch"
add address=216.239.38.119 name=m.youtube.com comment="Youtube SafeSearch"
add address=216.239.38.119 name= comment="Youtube SafeSearch"
add address=216.239.38.119 name=youtubei.googleapis.com comment="Youtube SafeSearch"
add address=216.239.38.119 name= comment="Youtube SafeSearch"
add address=216.239.38.119 name=youtube.googleapis.com comment="Youtube SafeSearch"
add address=216.239.38.119 name= comment="Youtube SafeSearch"
add address=216.239.38.119 name=www.youtube-nocookie.com comment="Youtube SafeSearch"

NAT

Network Address Translation - NAT là tiêu chuẩn internet cho các thiết bị trên mạng nộI bộ cùng
truy cập mạng vớI một bộ địa chỉ IP public.
Masquerade giúp bạn ẩn mạng nộI bộ đằng sau ip public.

BẢO VỆ ROUTER – HỆ THỐNG INTERNET


Bước 1: đổi Pass

Bước 2: tắt các dịch vụ không sử dụng

Bước 3: Chống hack Router coppy lệnh dưới mô tả và pass vào terminal

Memcrashed - Các cuộc tấn công khuếch đại UDP 11211
/ip firewall filter
add chain=forward dst-port=11211 protocol=udp action=drop comment="Memcrashed - Amplification Attacks UDP 11211"


Chống tấn công DDoS
/ip firewall filter
add chain=forward connection-state=new action=jump jump-target=block-ddos comment="Anti DDoS Attacks"
add chain=forward connection-state=new src-address-list=ddoser dst-address-list=ddosed action=drop
add chain=block-ddos dst-limit=50,50,src-and-dst-addresses/10s action=return
add chain=block-ddos action=add-dst-to-address-list address-list=ddosed address-list-timeout=10m
add chain=block-ddos action=add-src-to-address-list address-list=ddoser address-list-timeout=10m

Chống QUÉT CỔNG
/ip firewall filter
add chain=input protocol=tcp psd=21,3s,3,1 action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w comment="Mark
Source ip port scanner to Address list " disabled=no
add chain=input protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list="port scanners" address-listtimeout=2w comment="NMAP FIN Stealth scan"
add chain=input protocol=tcp tcp-flags=fin,syn action=add-src-to-address-list address-list="port scanners" address-listtimeout=2w comment="SYN/FIN scan"
add chain=input protocol=tcp tcp-flags=syn,rst action=add-src-to-address-list address-list="port scanners" address-listtimeout=2w comment="SYN/RST scan"
add chain=input protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack action=add-src-to-address-list address-list="port scanners" address-listtimeout=2w comment="FIN/PSH/URG scan"
add chain=input protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg action=add-src-to-address-list address-list="port scanners" address-listtimeout=2w comment="ALL/ALL scan"
add chain=input protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list="port scanners" address-listtimeout=2w comment="NMAP NULL scan"
add chain=input src-address-list="port scanners" action=drop comment="Drop port scanners" disabled=no

Chống Hack từ BruteForce FTP + SSH
/ip firewall filter

add action=drop chain=input comment="drop ftp BRUTE FORCErs" dst-port=21 protocol=tcp src-address-list=ftp_blacklist
add action=accept chain=output content="530 Login incorrect" dst-limit=1/1m,9,dst-address/1m protocol=tcp
add action=add-dst-to-address-list address-list=ftp_blacklist address-list-timeout=3h chain=output content="530 Login incorrect" protocol=tcp
add action=drop chain=input comment="drop ssh BRUTE FORCErs" dst-port=22-23 protocol=tcp src-address-list=ssh_blacklist
add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=22-23 protoc
ol=tcp src-address-list=ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=22-23 protoco
l=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=22-23 protoco
l=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=22-23 protoco
l=tcp
add action=drop chain=forward comment="drop ssh brute downstream" dst-port=22-23 protocol=tcp src-address-list=ssh_blacklist

Port Knocking Sử dụng Icmp + Kích thước gói
Kích thước gói duy nhất cho Key Knocking: 72 và 172

Ví dụ Mở Key Ping theo cách thủ công trong CMD Windows:
First Key Knock = ping -l 72 (Địa chỉ IP)
Khóa thứ hai Knock = ping -l 172 (Địa chỉ IP)
Ví dụ Mở khóa Ping theo cách thủ công trong Terminal Linux hoặc MacOS:


Khóa đầu tiên Knock = ping -s 72 (Địa chỉ IP)
Khóa thứ hai Knock = ping -s 172 (Địa chỉ IP)

/ip firewall filter
add action=add-src-to-address-list address-list="port-knocking-first" address-list-timeout="00:00:00" chain=input packet-size="100" protoco
l=icmp comment="Port Knocking Use Icmp + Packet Size"
add action=add-src-to-address-list address-list="port-knocking-second" address-list-timeout="00:00:00" chain=input packet-size="200" protoco

l=icmp src-address-list="port-knocking-first"
add action=accept chain=input dst-port="21,22,23" protocol=tcp src-address-list="port-knocking-second"
add action=drop chain=input dst-port="21,22,23" protocol=tcp src-address-list="!port-knocking-second"

Cài đặt thời gian router Mikrotik

Thời gian trong hệ thống mikrotik cần thiết cho việc giám sát, đặt lịch chạy Script v..v…..
đôi khi bị sai lệch do quá trình thiết bị offline hoặc khởi động lại. Để cài đặt giờ chính xác bạn hãy thực
hiện:


Đầu tiên với setup cho cloud:

Với lệnh như sau hãy dán vào terminal: Lệnh này tự động cập nhập múi giờ,thời gian ngay sau mỗi lần
khởi động lại của router.
/system clock
set time-zone-name=Asia/Bangkok
/system scheduler
add interval=1d name=SETTING-TIMEZONE on-event="/system scheduler\r\
\nadd interval=1d name=SETTING-TIMEZONE on-event=\"#======================\


=======\\\r\
\n=================\\r\\\r\
\n# Auto Repair TimeZone and clock By BuanaNET\\r\\\r\
\n#==============================================\\r\\\r\
\n# Waktu Indonesia Barat (WIB) = +07:00\\r\\\r\
\n# Waktu Indonesia Tengah (WITA) = +08:00\\r\\\r\
\n# Waktu Indonesia Timur (WIT) = +09:00 \\r\\\r\
\n#==============================================\\r\\\r\

\n# Ganti \\\"+07:00\\\" sesuaikan dengan daerah masing-masing\\r\\\r\
\n#==============================================\\r\\\r\
\n/system clock manual set time-zone=\\\"+07:00\\\";\\r\\\r\
\n/system clock set time-zone-autodetec=no;\\r\\\r\
\n/system clock set time-zone-name=\\\"manual\\\";\\r\\\r\
\n/ip cloud set update-time=no;\\r\\\r\
\n:local ntpServer \\\"asia.pool.ntp.org\\\";\\r\\\r\
\n:local primary [resolve \\\$ntpServer];\\r\\\r\
\n:local secondary [resolve \\\$ntpServer];\\r\\\r\
\n/system ntp client set primary-ntp \\\$primary;\\r\\\r\
\n/system ntp client set secondary-ntp \\\$secondary;\\r\\\r\
\n/system ntp client set enabled=yes;\" policy=\\\r\
\nftp,reboot,read,write,policy,test,password,sniff,sensitive,romon start-t\
ime=startup" policy=\
ftp,reboot,read,write,policy,test,password,sniff,sensitive,romon \
start-date=jul/16/2022 start-time=startup


SNTP Client Setup qua lệnh:
/system ntp client
set enabled=yes primary-ntp=202.65.114.202 secondary-ntp=212.26.18.41 \
server-dns-names=asia.pool.ntp.org

Nat và hairpinNat
Đứng từ ngồi internet có thể truy cập vào thiết bị trong nội bộ lan là mở port tuy nhiên phát sinh vấn đề đứng trong
cùng mạng nội bộ truy cập vào ip wan thì cần them bước gọi là HairpinNat

CHIA SẺ HƯỚNG DẪN CẤU HÌNH MIKROTIK

Bước 4: Nat – mở Port
Mỗi khi cần mở port thì thực hiện bước 4.

Chặn repeat sóng wifi

ĐỨCTẰNGVĂN-MIKROTIK-0869529252


CHIA SẺ HƯỚNG DẪN CẤU HÌNH MIKROTIK
Có rất nhiều thiết bị có chức năng chuyển tiếp sóng wifi. Với mục đích mở rộng phủ sóng. Tuy nhiên lỗi
phát sinh khơng mong muốn từ các thiết bị này rất nhiều.
Và nếu bạn khơng muốn hệ thống wifi của mình lại bị repeat lại do một ai đó khơng có sự cho phép của
bạn mà thực hiện. Trên router của mikrotik sẽ thiết lập lệnh này :

Fasttrack 1 kết nối
Nguyên lý thực thi:
1. Tạo ra list ip đích đến sẽ đc tối ưu hiệu năng kết nối
2. Xác định kết nối đến list ip đã tạo
3. Fasttrack kết nối đó.
Ý tưởng để ưu tiên mạnh mẽ cho kết nối đi mạng xã hội chúng ta thực hiện:

ĐỨCTẰNGVĂN-MIKROTIK-0869529252


CHIA SẺ HƯỚNG DẪN CẤU HÌNH MIKROTIK
Từng bước sau : Bước 1: lập list IP lan và IP Wan.

Code:

/ip firewall address-list
add address=192.168.10.0/24 list=LAN
add address=e5780f2c036.sn.mynetname.net list=Wan

ĐỨCTẰNGVĂN-MIKROTIK-0869529252