First Time Configuration

官方原文约 21 分钟阅读

本页提供 MikroTik RouterOS 首次配置的分步指南，涵盖前提条件、连接设置，以及 DHCP、NAT、防火墙等关键概念。文中同时给出面向新手和高级用户的 WinBox 图形界面与 CLI 两种方式。

首次配置

开始之前

前提条件

开始配置前，请确认你具备以下条件：

一台 MikroTik 路由器
一台带以太网口的电脑（推荐）。如果路由器提供无线接入点，也支持通过 WiFi 配置
一根以太网线
来自 ISP 的有效互联网连接
30–60 分钟不受打扰的时间

关键概念

默认配置： 出厂预装的设置，可能需要根据你的网络需求进行调整
Bridge： 把多个物理端口组合为单个网段的虚拟接口
DHCP： 自动为网络上的设备分配 IP 地址的协议
NAT： 网络地址转换，允许多台设备共享一个公网 IP 地址
Firewall： 出于安全目的控制和过滤网络流量的一组规则

选择配置方式

本指南介绍如何使用以下任一方式配置 RouterOS：

使用 WinBox 或 WebFig 的图形界面
命令行界面（CLI）

如何选择：

新用户： 建议按 WinBox 的说明操作
高级用户： 可以使用代码块中给出的 CLI 命令

提示

每完成一个主要配置环节后，建议对设置进行备份。

CLI 方式：
/export file=backup-step3
WinBox 方式：

打开 Files 菜单

点击 Backup

输入一个描述性名称（例如：after-internet-setup）

如果出现问题，你可以从 Files 菜单中选中该备份并点击 Restore 来恢复配置。

访问路由器

大多数 MikroTik 路由器出厂时带有默认配置，可立即访问。但某些专业设备（如 CCR 系列）可能出厂只带极简配置或没有默认配置。这种情况下，请先手动设置网络——参见手动网络设置。

步骤 1：物理连接

用一根以太网线把电脑连接到路由器的任意以太网口，ether1 除外。
把 ISP 网线连接到 ether1（通常用作 WAN 接口）。
给路由器上电，等待约一分钟让它完全启动。

Internet ─── [ISP] ─── [ether1] MikroTik Router [ether2-ether5] ─── [Switch / Devices]

                                                 │

                                          [WiFi Clients]

步骤 2：下载 WinBox

如果你还没有 WinBox：

下载 WinBox，选择适合你操作系统的版本：

可用软件包：

Windows： ZIP 压缩包（包含 WinBox.exe）
Linux： ZIP 压缩包（包含二进制可执行文件）
macOS： DMG 包

解压或打开下载的包。
启动 WinBox：
- Windows：运行 WinBox.exe
- Linux：给二进制文件添加可执行权限并运行
- macOS：打开 .dmg 并启动 WinBox

无需安装。更多细节请参阅 WinBox 手册。

步骤 3：使用 Neighbor Discovery 找到路由器

打开 WinBox。
在 Select from 下拉框中选择 Neighbors。
你的路由器应出现在 Neighbors 列表中。
双击该路由器条目进行连接：
- 如果 IP 地址不可达或显示为 0.0.0.0，优先使用 MAC 地址。
出现提示时，输入登录凭据：
- 用户名： admin
- 密码： 留空，或使用设备标签上印制的密码（如适用）

步骤 4：保护路由器

路由器可访问后，请保护它免受未授权访问和基本攻击。请先完成以下操作：

设置管理员密码。 空密码会允许对路由器的无限制访问。
确认防火墙已启用。 大多数 MikroTik 设备出厂带有默认防火墙配置，可阻断最常见的来自外部的攻击。不要禁用现有规则；仅在需要时添加新规则。
禁用来自互联网的直接管理访问。 这在没有默认防火墙的设备上尤为重要。如果需要远程访问，请改用 WireGuard 或 IPsec 等安全方式，而不是直接暴露管理端口。

用户密码管理

用强密码保护你的 MikroTik 路由器至关重要。请使用满足以下条件的密码：

长度至少 12 个字符
包含大小写字母、数字和符号
避免字典单词或简单模式

使用 CLI 设置 admin 密码：

/user set 0 password="Your_Super_Strong_Password_123!@#$%^&*"

或以交互方式更改：

[admin@MikroTik] > /password 
old-password: ********
new-password: ****************************
confirm-new-password: ****************************

危险

请记住你的密码。一旦丢失，没有任何恢复办法。你将需要重置路由器或重新安装 RouterOS。你也可以在 /user 菜单中管理用户：

/user/add name=myname password=mypassword group=full
/user/remove admin

提示

最佳实践是新建一个带强密码的管理员用户，验证其可用后，再禁用或删除默认的 admin 账户。

理解默认配置

首次连接到 MikroTik 路由器时，你可能会看到关于默认配置的提示。以下是需要了解的内容：

对于初学者： 建议保留默认配置，因为它提供基本的安全性和必要功能。
默认设置包括： 基本防火墙、DHCP 服务器，以及默认无线安全设置（如适用）。
你可以安全地自定义它，同时保留默认结构作为基础。

默认配置提示

危险

移除默认配置会删除所有内置安全规则和服务。仅建议计划手动配置路由器的高级用户这样做。如果你的设备没有默认配置，或你把它重置为干净状态，则必须手动设置 bridge、LAN IP 地址和 DHCP 服务器——继续之前请参见**手动网络设置**。

配置 Internet 连接（WAN）

要让路由器接入互联网，你需要知道 ISP 使用哪种连接类型。请向你的 ISP 确认，或参考以下说明：

DHCP / 动态 IP —— 大多数电缆调制解调器和部分光纤连接。插上即可自动获得互联网。
静态 IP —— 商业连接或部分住宅光纤。你的 ISP 给了你特定的 IP 地址、网关和 DNS 服务器。
PPPoE —— DSL 连接或部分光纤提供商。你的 ISP 给了你用于连接的用户名和密码。

提示

不确定？ 先从 DHCP 开始——它适用于约 80% 的家庭连接。

DHCP / 动态 IP（最常见）

这是家庭用户最简单、最常见的配置。在公网接口上配置 DHCP client，自动从 ISP 获取 IP 地址、DNS 服务器、NTP 服务器和默认路由。

/ip/dhcp-client/add disabled=no interface=ether1

添加客户端后，验证所分配的地址，并确认状态显示 "bound"：

[admin@MikroTik] > ip dhcp-client print
Columns: INTERFACE, USE-PEER-DNS, ADD-DEFAULT-ROUTE, STATUS, ADDRESS
# INTERFACE  USE-PEER-DNS  ADD-DEFAULT-ROUTE  STATUS  ADDRESS        
0 ether1     yes           yes                bound   1.2.3.100/24

静态 IP

如果你的 ISP 提供了永远不会变化的特定网络设置，请使用此方式。你的 ISP 会提供三个参数：

IP 地址：1.2.3.100/24
网关：1.2.3.1
DNS 服务器：8.8.8.8

把 IP 地址添加到 WAN 接口，使用网关创建默认路由，并设置 DNS 服务器：

/ip/address/add address=1.2.3.100/24 interface=ether1
/ip/route/add gateway=1.2.3.1
/ip/dns/set servers=8.8.8.8

PPPoE

如果你的 ISP 给了你登录凭据（DSL 提供商常见），请使用此方式。PPPoE 提供动态 IP 地址，并可自动配置 DNS 服务器和默认路由。

/interface/pppoe-client
add disabled=no interface=ether1 user=me password=123 \
  add-default-route=yes use-peer-dns=yes

打开 PPP 窗口，进入 Interface 选项卡。
点击 <kbd>New</kbd> 或 <kbd>+</kbd> 按钮添加新接口。
从下拉列表中选择 PPPoE Client。
输入连接名称，并选择 ether1 作为接口。
转到 Dial Out 选项卡，输入 ISP 提供的用户名和密码。
根据 ISP 的要求配置任何附加参数。
点击 <kbd>OK</kbd> 保存设置。

警告

配置后，WAN 接口会变为 pppoe-out1，而不是 ether1。之后所有与 WAN 相关的配置都要使用这个接口。

验证互联网连接

配置好 WAN 连接后，确认路由器本身能访问互联网。首先通过 ping 一个已知的公网 IP 地址来测试 IP 连接——Google 的公共 DNS 服务器 8.8.8.8：

[admin@MikroTik] > /ping 8.8.8.8
  SEQ HOST                                     SIZE TTL TIME       STATUS             
    0 8.8.8.8                                    56  55 14ms399us 
    1 8.8.8.8                                    56  55 18ms534us 
    2 8.8.8.8                                    56  55 14ms384us

然后通过 ping 一个域名来验证 DNS 解析是否正常：

[admin@MikroTik] > /ping google.com
  SEQ HOST                                     SIZE TTL TIME       STATUS             
    0 142.250.74.14                              56  55 14ms475us 
    1 142.250.74.14                              56  55 14ms308us 
    2 142.250.74.14                              56  55 14ms238us

如果 IP ping 成功但域名 ping 失败，说明连接正常但 DNS 配置不正确。如果两者都成功，则路由器自身的互联网连接完全正常。如果任一失败，请参阅故障排查一节。

路由器后面的本地设备仍需一条可用的 NAT 规则才能访问互联网——见下一节。

NAT 配置

说明

如果你保留了默认配置，WAN 接口上已经设置了一条源 NAT（masquerade）规则，因此本地设备已经可以访问互联网——可以跳过本节。以下步骤仅适用于你的路由器没有默认配置或你正在构建自定义配置的情况。要让本地设备访问互联网，路由器必须把它们出站数据包的私有源地址转换为其自身的公网 IP 地址。私有地址在互联网上不可路由，因此没有这种转换，远端主机无法回复你的本地设备。这通过在 WAN 接口上配置一条源 NAT（masquerade）规则实现：

/ip/firewall/nat
add chain=srcnat out-interface=ether1 action=masquerade

危险

如果公网接口是 PPPoE、LTE 或任何其他类型，'out-interface' 应设置为该接口。或者，可以使用接口列表实现更灵活的配置。

首先创建一个名为 WAN 的接口列表，把所有外部接口加入其中：

/interface list add name=WAN
/interface list member add list=WAN interface=ether1

然后在 NAT 规则中使用该接口列表：

/ip/firewall/nat
add chain=srcnat out-interface-list=WAN ipsec-policy=out,none action=masquerade

这种设置还有一个好处：默认情况下，路由器后面的客户端无法从互联网直接访问，这有助于保护它们免受未经请求的入站流量。

端口转发

某些客户端设备可能需要从互联网通过特定端口直接访问。例如，IP 地址为 192.168.88.254 的客户端设备必须能通过远程桌面协议（RDP）访问。

简单搜索后可以得知 RDP 使用 TCP 端口 3389。现在你可以添加一条目的 NAT 规则，把 RDP 流量重定向到该客户端 PC。

/ip/firewall/nat/add chain=dstnat action=dst-nat protocol=tcp dst-port=3389 to-addresses=192.168.88.254 to-ports=3389

提示

如果你设置了严格的防火墙规则，则必须在防火墙 filter forward 链中允许 RDP 协议。

设置无线 / WiFi

如何配置无线取决于你的 RouterOS 代次和驱动：

现代 WiFi（/interface wifi）—— 使用新 WiFi 协议栈的 RouterOS v7 设备。
传统 Wireless（/interface wireless）—— RouterOS v6 和较旧的 v7 软件包。

本指南展示一个基本的安全接入点（SSID + WPA2/WPA3 密码）。关于高级主题——Wi-Fi 6/7、MLD / 多链路、多 radio、CAPsMAN、中继器，以及各设备系列的专门指导——请参阅无线章节。

说明

以下示例假设：country = Latvia，SSID = MikroTik-12345，在支持的情况下启用 WPA2/WPA3，禁用 WPS。创建安全配置文件：

/interface wifi security
add name=myProfile authentication-types=wpa2-psk,wpa3-psk \
  passphrase="YOUR_STRONG_PASSWORD"

配置 radio：

/interface wifi
set [ find default-name=wifi1 ] configuration.country=Latvia \
  .mode=ap .ssid="MikroTik-12345" .hide-ssid=no \
  channel.width=20mhz disabled=no \
  security=myProfile security.wps=disable

set [ find default-name=wifi2 ] configuration.country=Latvia \
  .mode=ap .ssid="MikroTik-12345" .hide-ssid=no \
  channel.width=20mhz disabled=no \
  security=myProfile security.wps=disable

创建安全配置文件：

/interface/wireless/security-profiles
add name="myProfile" authentication-types=wpa2-psk mode=dynamic-keys \
wpa2-pre-shared-key="YOUR_STRONG_PASSWORD"

配置 radio：

/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-Ce distance=indoors \
  mode=ap-bridge ssid=MikroTik-12345 wireless-protocol=802.11 \
  security-profile=myProfile frequency-mode=regulatory-domain \
  country=latvia antenna-gain=3

set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40mhz-Ce distance=indoors \
  mode=ap-bridge ssid=MikroTik-12345 wireless-protocol=802.11 \
  security-profile=myProfile frequency-mode=regulatory-domain \
  country=latvia antenna-gain=3

把无线接口添加到 bridge

每个应提供 LAN 访问的无线接口都必须添加到 bridge。如果没有添加，无线客户端将无法获得 DHCP 地址、无法访问 LAN 设备，也无法访问互联网——即使 WiFi 连接成功。

说明

如果你保留了默认配置，无线接口通常已经在 bridge 中，可以跳过此步骤。它主要适用于手动设置、即 bridge 被创建为 bridge1 的场景。

/interface bridge port
add interface=wifi1 bridge=bridge1
add interface=wifi2 bridge=bridge1

对于传统无线，请改用 wlanN 接口名（例如 wlan1、wlan2）。

配置完成

此时路由器应该：

为本地设备提供互联网访问
使用 DHCP 自动分配 IP 地址
保护设备免受来自互联网的未经请求的访问
提供无线连接（如适用）

现在你可以继续学习更高级的主题，例如 VPN、VLAN、路由、监控和网络管理。

下一步：保护你的路由器

你的路由器现在已上线。投入生产之前，请针对未授权访问对其进行加固：设置强密码和唯一用户名、保留默认防火墙规则、限制管理服务，并禁用你不使用的任何功能。

完整的加固清单见**保护你的路由器**，其中包括公网接口的防火墙规则、MAC 访问和 Neighbor Discovery 限制、服务端口加固，以及 SSH 强加密。

故障排查

RouterOS 内置多种故障排查工具，如 ping、traceroute、torch、packet sniffer、bandwidth test 等。

我们在本文中已经使用了 ping 工具来验证互联网连接。

ping 失败时如何排查

ping 工具的问题在于它只会说目标不可达，没有更详细的信息。我们来看看常见的错误。

你无法从连接到 MikroTik 设备的电脑访问 www.google.com：

提示

如果你不确定如何准确配置你的网关设备，请联系 MikroTik 的官方顾问获取配置支持。