راه‌اندازی مسیریاب میکروتیک؛ آموزش گام‌به‌گام با WinBox (پودمان سوم)

در پودمان سوم کتاب تجارت الکترونیک و امنیت شبکه، با ستاره بی‌رقیب دنیای تجهیزات شبکه آشنا می‌شوی: مسیریاب میکروتیک. اگر تا حالا اسمش را از تکنسین‌های شبکه شنیده‌ای، بدان چرا: امکانات حرفه‌ای با قیمت مناسب. این پودمان درس عملی راه‌اندازی مسیریاب است — از نصب مجازی تا اتصال به اینترنت و کنترل کاربران — و مهارتش در بازار کار ایران یکی از پرتقاضاترین‌هاست. همراه کتاب قدم‌به‌قدم پیش برویم.

میکروتیک و RouterOS را بشناس

شرکت میکروتیک سال ۱۹۹۶ با هدف تولید تجهیزات شبکه بی‌سیم در لیتوانی تأسیس شد و کم‌کم به سوییچ‌ها و مسیریاب‌ها هم رسید. محصول اصلی‌اش سیستم‌عامل RouterOS است: هسته‌ای مبتنی بر لینوکس که روی تجهیزات تولیدی شرکت و حتی روی رایانه‌های استاندارد x86 نصب می‌شود — یعنی می‌توانی یک رایانه معمولی را با نصب RouterOS به مسیریاب شبکه تبدیل کنی! RouterOS الیسنس‌های سطح ۰ تا ۶ دارد که هر سطح امکانات بیشتری می‌دهد و هزینه‌اش هم متفاوت است. نام‌گذاری مسیریاب‌ها هم منطق دارد: از سه بخش تشکیل می‌شود که نوع برد، ویژگی‌های برد و ویژگی بی‌سیم را نشان می‌دهد؛ مثلاً RB در نام‌ها یعنی Router Board. اگر به تارنمای ویکی میکروتیک سری بزنی، مشخصات هر مدل مثل تعداد اتصالات VPN، کاربران Hotspot و درگاه‌ها را می‌بینی.

راه‌اندازی مسیریاب مجازی؛ تمرین بدون سخت‌افزار

ترفند مدرن کتاب برای تمرین: مجازی‌سازی. به‌جای خرید سخت‌افزار، با نرم‌افزار VMware Workstation یک ماشین مجازی می‌سازی و RouterOS را رویش نصب می‌کنی. ایمیج راه‌اندازی دو شکل دارد: ایمیج iso که مثل نصب هر سیستم‌عامل انجام می‌شود و پرونده‌های ova/ovf/vmdk که مسیریاب آماده‌شده را مستقیم وارد ماشین مجازی می‌کنند. حین نصب iso در صفحه انتخاب بسته‌های نرم‌افزاری کلید A را بزن تا همه بسته‌ها انتخاب شوند، سپس با کلید i نصب را شروع کن و به سؤال‌های پاک شدن دیسک جواب مثبت بده. برای تنظیم شبکه ماشین مجازی چهار حالت داری: Bridge (متصل واقعی به شبکه محلی و می‌تواند IP بگیرد)، NAT (ترافیک از طریق سیستم میزبان به شبکه می‌رود)، Host Only (فقط با میزبان و ماشین‌های دیگر در ارتباط است) و VMNet دستی برای سناریوهای پیچیده. برای تمرین، کارت شبکه ماشین را روی Host Only تنظیم کن.

اتصال با WinBox و تنظیمات اولیه

رایج‌ترین ابزار اتصال به میکروتیک، نرم‌افزار WinBox است. مسیریاب را به سوییچ یا مستقیم به رایانه وصل کن، در WinBox از برگه Neighbors دکمه Refresh را بزن تا مسیریاب دیده شود و با مک‌آدرس وصل شو — اتصال با MAC حتی وقتی IP هنوز تنظیم نشده کار می‌کند و برای همین اولین انتخاب است. ورود اول با کاربر admin و بدون گذرواژه است؛ اولین کار امنیتی هم همان تنظیم گذرواژه برای admin است (System → Users → Password). اگر تنظیمات به هم ریخت، با Reset Configuration به کارخانه برگرد؛ گزینه Keep User Configuration تنظیمات کاربری را نگه می‌دارد و No Default Configuration یعنی هیچ تنظیم پیش‌فرضی بعد از ریست بارگذاری نشود. بعد از تنظیم IP روی درگاه Ether1، می‌توانی به‌جای MAC از آدرس IP هم وصل شوی. دو کار اداری مهم: تغییر نام دستگاه از System → Identity (برای مدیریت بهتر چند مسیریاب) و ایجاد کاربر جدید با گروه full به‌جای کار مستقیم با admin.

Gateway و جدول مسیریابی

Gateway نقطه لبه شبکه است که مسئولیت ورود و خروج بسته‌ها و تحویل به مقصد را دارد؛ مثل مأمور پستی که تصمیم می‌گیرد هر بسته کجا برود. مسیریابی (Routing) یعنی انتخاب بهترین مسیر برای بسته‌ها. در میکروتیک دو نوع مسیر داری: مسیریابی دینامیک که مسیریاب خودش و خودکار می‌سازد و مدیر حق حذف یا ویرایشش را ندارد، و مسیریابی استاتیک که مدیر دستی تعریف می‌کند. مسیر ایستای ویژه‌ای که با آدرس 0.0.0.0/0 تعریف می‌شود، Default Route است: «هر بسته‌ای که مقصدش شبکه داخلی نبود، بفرستش به سمت اینترنت». در کارگاه اول با ping 8.8.8.8 خطای no route to host می‌بینی، بعد مسیر پیش‌فرض را با Gateway مشخص می‌سازی و خطا به timeout تغییر می‌کند — یعنی مسیر هست ولی تنظیمات بعدی (NAT) مانده. از منوی Terminal هم می‌توانی هر کاری را دستور محور انجام دهی؛ کنسول و WinBox از یک قلب مشترک تغذیه می‌کنند.

DHCP در میکروتیک؛ هم گیرنده هم دهنده

میکروتیک می‌تواند هم DHCP Client باشد و هم DHCP Server. حالت گیرنده برای وقتی است که مسیریاب خودش باید از مودم یا سرور بالادستی IP بگیرد: از مسیر IP → DHCP Client اینترفیس را انتخاب کن و بعد از چند ثانیه IP دریافتی را ببین. قبل از تنظیم حالت دهنده، آدرس IP دستی قبلی اینترفیس را غیرفعال کن تا تداخل پیش نیاید — و یادت باشد یک اینترفیس نمی‌تواند هم‌زمان هر دو نقش را داشته باشد! برای سرویس‌دهی دو راه داری: تنظیم دستی کامل یا ویزارد DHCP Setup که مرحله‌به‌مرحله می‌پرسد. بعدش کارت رایانه را روی خودکار بگذار، خاموش و روشنش کن و ببین IP از میکروتیک گرفته است.

NAT؛ جادوی اتصال به اینترنت

چرا با وجود مسیر، هنوز اینترنت نداری؟ چون آدرس‌های داخلی شبکه (Private) روی اینترنت معتبر نیستند! NAT یا ترجمه آدرس شبکه، فرایندی است روی مسیریاب لبه شبکه که آدرس داخلی کاربران را به آدرس معتبر مسیریاب تبدیل می‌کند — مثل دبیرخانه‌ای که نامه هر کارمند را با مهر و آدرس خودش به بیرون می‌فرستد و یادش می‌ماند جواب را به کی برگرداند. NAT دو نوع دارد: Src NAT که هنگام خروج بسته، آدرس فرستنده را عوض می‌کند و Dst NAT که هنگام ورود، آدرس گیرنده را تغییر می‌دهد. در کارگاه به IP → Firewall می‌روی، در برگه NAT قانون جدیدی از نوع srcnat می‌سازی و در Action گزینه masquerade را انتخاب می‌کنی؛ بعد از آن ping به اینترنت از رایانه کاربر جواب می‌دهد و شبکه واقعاً زنده است!

کیفیت سرویس و مدیریت پهنای باند

وقتی پهنای باند محدود است و یکی تصمیم می‌گیرد فایل چند گیگابایتی دانلود کند، بقیه با صفحه سفید سر و کار دارند! راه‌حل میکروتیک، سازوکار صف (Queue) است. دو نوع صف داری: Simple Queue برای پیاده‌سازی ساده محدودیت پهنای باند در سناریوهای کوچک، و Queue Tree برای شبکه‌های متوسط و بزرگ با تقسیم‌بندی و علامت‌گذاری ترافیک. در Simple Queue سه چیز اصلی تعیین می‌کنی: Target (آدرس IP یا اینترفیسی که محدودیت رویش اعمال می‌شود)، Dst (مقصد ترافیک) و مقادیر Target Upload/Download یعنی حداکثر سرعت بارگذاری و بارگیری. قابلیت Burst هم اجازه می‌دهد ترافیک برای مدت کوتاه از حد بیشتر برود (ترافیک انفجاری) و بخش Time هم می‌گوید صف در چه روزها و ساعاتی فعال باشد — مثلاً محدودیت فقط ساعات اداری! سه هدف اصلی QoS را هم حفظ باش: اولویت‌دهی به ترافیک‌های حساس، کنترل تأخیر و بهبود معیارهای کیفیت ارتباط برخط.

AAA و Hotspot؛ کنترل ورود کاربران

محدودیت سرعت کافی نیست؛ گاهی می‌خواهی اتصال فقط با نام کاربری باشد، مصرف حجم را بدانی و دسترسی افراد ناشناس را ببندی. سازوکار AAA سه ستون این کنترل است: Authentication یا تصدیق هویت (مقایسه نام کاربری و گذرواژه با پایگاه داده متمرکز)، Authorization یا اعتبارسنجی (تعیین اینکه کاربرِ تأییدشده به چه سرویس‌هایی حق دسترسی دارد) و Accounting یا مدیریت حساب (ثبت میزان استفاده از منابع: زمان اتصال، حجم ارسال و دریافت — پایه صورت‌حساب ISPها!). در میکروتیک سرویس Hotspot همه این‌ها را یک‌جا می‌دهد: با IP → Hotspot → Hotspot Setup سرویس را روی اینترفیس دلخواه راه می‌اندازی؛ بعد از آن هر کاربری که وای‌فای وصل شود، قبل از هر تارنمایی با صفحه ورود روبه‌رو می‌شود (صفحه‌ای که داخل مسیریاب تعبیه شده) و فقط بعد از احراز هویت به اینترنت می‌رسد — دقیقاً راه‌اندازی نقطه دسترسی عمومیِ امن مثل هتل و کافی‌نت.

پیکربندی درگاه بی‌سیم میکروتیک

بخش پایانی، اینترفیس بی‌سیم است که معمولاً به‌صورت پیش‌فرض غیرفعال است. از منوی Wireless آن را فعال کن و در برگه‌هایش تنظیم کن: در General نام و مک اینترفیس، و در برگه Wireless مهم‌ترین‌ها: Mode (نقش اینترفیس)، Band (باند فرکانسی)، SSID (نامی که کاربران می‌بینند)، Frequency و Security Profile. دو حالت پرکاربرد Mode را حفظ باش: ap bridge یعنی دستگاه نقطه دسترسی می‌شود و دستگاه‌ها می‌توانند به آن وصل شوند (اول یک Security Profile جدید با WPA2/PSK و گذرواژه dynamic keys بساز تا شبکه‌ات قفل داشته باشد) و station bridge یعنی دستگاه خودش مثل یک کاربر عادی به نقطه دسترسی دیگر وصل می‌شود و دیگر خودش پخش نمی‌کند. سه ابزار عیب‌یابی بی‌سیم هم داری: Scanner برای دیدن نقاط اتصال اطراف، Wireless Sniffer برای ثبت و تحلیل بسته‌های 802.11 (قابل ذخیره برای بررسی بعدی) و Wireless Snooper برای نمایش محدوده فرکانسی و دستگاه‌های اطراف. با این سه‌تا مثل یک تکنسین واقعی محیط بی‌سیم را می‌خوانی!

چک‌لیست ارزشیابی پودمان سوم: راه‌اندازی مسیریاب به‌صورت مجازی + اتصال با WinBox به‌وسیله MAC و IP + تنظیمات اولیه و کاربر جدید + پشتیبان‌گیری + DHCP Server + ایجاد Route و دیدن جدول مسیریابی + اتصال شبکه به اینترنت با NAT + راه‌اندازی نقطه دسترسی عمومی با Hotspot.