RouterOS 无线接口支持 IEEE 802.11 标准，具备全面的功能，包括多种模式（客户端、AP、桥接）、加密协议、信道宽度调整以及高级传输设置，以实现最佳的无线网络性能。

无线接口

概述

Package: wireless

RouterOS wireless 符合 IEEE 802.11 标准。它完整支持 802.11a、802.11b、802.11g、802.11n 和 802.11ac，以及 WPA、WEP、AES 加密、无线分发系统（WDS）、动态频率选择（DFS）、虚拟接入点、Nstreme 和 Nv2 专有协议等附加功能。

Wireless 可以工作在多种模式下：client（station）、access point、wireless bridge 等。Client/station 也可以工作在不同的模式中。受支持模式的完整列表可在 Wireless Station Modes 中找到。

通用接口属性

Sub-menu: /interface/wireless

重置物理接口 MAC 地址

物理接口 MAC 地址可以通过 reset-mac-address 命令重置为默认值。

/interface/wireless/reset-mac-address wlan1

发射功率表示

802.11n 无线芯片组表示每条链的功率。802.11ac 无线芯片组表示总功率。

Basic 和 MCS 速率表

根据所选频段的默认 basic 和 supported 速率

当 rate-set=configured 时使用的设置

独立于 rate-set 的设置：

1. 允许的 MCS 取决于链数：
   • 1 条链：0-7
   • 2 条链：0-15
   • 3 条链：0-23
2. 如果未使用标准信道宽度（20MHz），则 2GHz 模式（2.4GHz-b 除外）不使用 b 速率（1-11）

帧保护支持（RTS/CTS）

802.11 标准通过使用 RTS/CTS 协议来保护传输免受其他设备传输的干扰。帧保护有助于解决 "hidden node"（隐藏节点）问题。有几种保护类型：

• 基于 RTS/CTS 的保护 - 愿意发送帧的设备首先发送 RequestToSend 帧，并等待来自预期目标的 ClearToSend 帧。通过 "看到" RTS 或 CTS 帧，符合 802.11 的设备知道有人即将发送，因此不会自己发起传输。
• 基于 "CTS to self" 的保护 - 愿意发送帧的设备发送一个 "发给自己" 的 CTS 帧。与 RTS/CTS 协议中一样，每个接收到此帧的符合 802.11 的设备都知道不要发送。基于 "CTS to self" 的保护开销较小，但必须考虑到它只能防护接收到 CTS 帧的设备（例如，如果有 2 个 "hidden" station，使用 "CTS to self" 保护对它们没有用处，因为它们无法接收到另一个 station 发送的 CTS —— 在这种情况下，station 必须使用 RTS/CTS，以便另一个 station 通过看到 AP 发送的 CTS 知道不要发送）。

保护模式由无线接口的 hw-protection-mode 设置控制。可能的值：none - 无保护（默认），rts-cts 用于基于 RTS/CTS 的保护，或 cts-to-self 用于基于 "CTS to self" 的保护。

应使用保护的帧大小阈值由无线接口的 hw-protection-threshold 设置控制。

例如，要在 AP 上对所有帧（与大小无关）启用基于 "CTS-to-self" 的帧保护，请使用以下命令：

[admin@MikroTik] /interface/wireless> set 0 hw-protection-mode=cts-to-self hw-protection-threshold=0

要在客户端上启用基于 RTS/CTS 的保护，请使用以下命令：

[admin@MikroTik] /interface/wireless> set 0 hw-protection-mode=rts-cts hw-protection-threshold=0

Nv2

MikroTik 开发了一种基于 TDMA 技术（Time Division Multiple Access）的新无线协议 -（Nstreme version 2）。请参阅 Nv2 文档：Nv2

TDMA 是一种用于共享介质网络的信道接入方法。它通过将信号划分为不同的时间槽，允许多个用户共享同一频率信道。用户快速连续地一个接一个地发送，每个用户使用自己的时间槽。这允许多个站点共享同一传输介质（例如射频频段），同时仅使用其信道容量的一部分。

Nv2 最重要的优势是：

• 更高的速度。
• PTM 环境中更多的客户端连接。
• 更低的延迟。
• 无距离限制。
• 长距离无惩罚。

Nv2 协议限制为 511 个客户端。

警告

Nv2 不支持 Virtual AP

Nv2 故障排除

通过 tdma-period-size 提高长距离链路的吞吐量。在每个 "period" 中，Access Point 会预留一部分时间不用于数据传输（该时间等于 round trip time——帧可以从客户端发送和接收的时间），用于确保客户端在向 AP 发送自己的数据包之前能够接收到来自 Access Point 的最后一个帧。距离越长，未使用的周期越长。

例如，Access Point 与客户端之间的距离为 30km。帧在一个方向上以 100us 发送；因此，往返时间约为 200us。tdma-period-size 默认值为 2ms，这意味着 10% 的时间未被使用。当 tdma-period-size 增加到 4ms 时，只有 5% 的时间未被使用。对于 60km 的无线链路，往返时间为 400us，默认 tdma-period-size 2ms 时未使用时间为 20%，4ms 时为 10%。更大的 tdma-period-size 值会增加链路上的延迟。

Access List

Sub-menu: /interface/wireless/access-list

access list 由接入点使用，用于限制来自其他设备的允许连接，并控制连接参数。

access list 规则会逐条处理，直到找到匹配的规则。然后执行匹配规则中的操作。如果操作指定应接受该客户端，则接受该客户端，并可能用 access list 规则中指定的参数覆盖其默认连接参数。

access list 规则有以下参数：

• 客户端匹配参数：
  • address - 客户端的 MAC 地址。
  • interface - 可选的接口，用于与客户端实际连接的接口进行比较。
  • time - 规则匹配的时段和日期。
  • signal-range - 客户端信号必须落入其中才能匹配规则的范围。
  • allow-signal-out-of-range - 允许客户端信号始终或在一段时间间隔内超出范围的选项。
• 连接参数：
  • ap-tx-limit - 面向客户端方向的 TX 速率限制。
  • client-tx-limit - 面向 AP 方向的 TX 速率限制（仅适用于 RouterOS 客户端）。
  • private-passphrase - 如果使用某种 PSK 认证算法，则为该客户端使用的 PSK passphrase。
  • vlan-mode - VLAN 标记模式，指定来自客户端的流量是否应被标记（并在发往客户端时取消标记）。
  • vlan-id - 如果进行 VLAN 标记，则使用的 VLAN ID。

操作：

• access list 规则按顺序检查。
• 已禁用的规则始终被忽略。
• 仅应用第一个匹配的规则。
• 如果没有匹配远程连接的规则，则使用无线接口配置中的默认值。
• 如果远程设备匹配具有 authentication=no 值的规则，则来自该远程设备的连接会被拒绝。

警告

如果 ACL 中没有关于连接到 AP 的客户端的条目（wireless,debug wlan2: A0:0B:BA:D7:4D:B2 not in local ACL, by default accept），则在整个连接期间该客户端的 ACL 会被忽略。 例如，如果客户端在连接期间的信号为 -41，并且我们有一条 ACL 规则

/interface/wireless/access-list
add authentication=yes forwarding=yes interface=wlan2 signal-range=-55..0

那么该连接匹配 ACL 规则，但如果信号降至 -55 以下，客户端不会断开连接。

如果在无线接口上设置了 default-authentication=yes，即使没有匹配的 access-list 条目，客户端也可以加入。 为了正确运行，客户端必须匹配其中一条 ACL 规则。

如果我们将上一个示例中的 ACL 规则修改为：

/interface/wireless/access-list
add interface=wlan2 signal-range=-55..0
add authentication=no forwarding=no interface=wlan2 signal-range=-120..-56

那么如果信号降至 -56，客户端将被断开连接。

属性

Align

Sub-menu: /interface/wireless/align

Align 工具用于帮助对准运行此工具的设备。

菜单特定命令

Connect List

Sub-menu: /interface/wireless/connect-list

connect-list 用于为与远程接入点的连接分配优先级和安全设置，并限制允许的连接。connect-list 是一个有序的规则列表。connect-list 中的每条规则都附加到由该规则的 interface 属性指定的特定无线接口（这与 access-list 不同，后者的规则可适用于所有接口）。规则可以匹配远程接入点的 MAC 地址、其信号强度以及许多其他参数。

操作：

• connect-list 规则始终按顺序检查，从第一条开始。
• 已禁用的规则始终被忽略。
• 仅应用第一个匹配的规则。
• 如果在无线接口配置中提供了 SSID 或确切的无线协议，则无线接口配置未涵盖的 Connect List SSID 或无线协议将被忽略。
• 如果 connect-list 没有任何匹配远程接入点的规则，则使用无线接口配置中的默认值。
• 如果接入点匹配具有 connect=no 值的规则，则不会尝试与该接入点连接。
• 如果接入点匹配具有 connect=yes 值的规则，则将尝试与该接入点连接。
  • 在 station 模式下，如果有多个远程接入点匹配具有 connect=yes 值的 connect list 规则，则将尝试连接在 connect-list 中位置更靠前的规则所匹配的接入点。
  • 如果没有远程接入点匹配具有 connect=yes 值的 connect-list 规则，则由 default-authentication 接口属性值决定 station 是否尝试连接到任何接入点。如果 default-authentication=yes，station 将选择信号最佳且安全兼容的接入点。
• 在 access point 模式下，在与远程设备建立 WDS 链路之前会检查 connect-list。如果接入点不匹配 connect list 中的任何规则，则由 default-authentication 的值决定是否建立 WDS 链路。

属性

用法

仅将 station 连接限制到特定接入点

• 将 default-authentication 接口属性的值设置为 no。

/interface/wireless/set station-wlan default-authentication=no

• 创建匹配允许的接入点的规则。这些规则必须具有 connect=yes，且 interface 等于 station 无线接口的名称。

/interface/wireless/connect-list/add interface=station-wlan connect=yes mac-address=00:11:22:33:00:01
/interface/wireless/connect-list/add interface=station-wlan connect=yes mac-address=00:11:22:33:00:02

禁止连接到特定接入点

• 将 default-authentication 接口属性的值设置为 yes。

/interface/wireless/set station-wlan default-authentication=yes

• 创建匹配那些 station 不应连接的接入点的 connect=no 规则。这些规则必须具有 connect=no，且 interface 等于 station 无线接口的名称。

/interface/wireless/connect-list/add interface=station-wlan connect=no mac-address=00:11:22:33:44:55

选择首选接入点

• 创建匹配首选接入点的规则。这些规则必须具有 connect=yes，且 interface 等于 station 无线接口的名称。
• 将匹配首选接入点的规则放在 connect-list 中更靠前的位置，按优先级排序。

限制 WDS 链路建立

• 将匹配允许的接入点的规则放在顶部。
• 在 connect list 末尾添加 deny-all 规则。

Info

Sub-menu: /interface/wireless/info

Manual TX Power Table

Sub-menu: /interface/wireless/manual-tx-power-table

无线硬件表

危险

你必须遵守你所在国家的监管域要求。如果允许你使用其他频率，请注意天线增益和发射功率可能会因板卡和频率而降低。设备仅针对监管频率进行校准。使用非标准频率的风险自负。该列表仅指定无线芯片接受的频率，由于产品内置天线、设备设计、滤波器和其他因素，这些频率可能并不总是有效。使用风险完全由你自行承担 可以从产品页面推断支持的信道宽度。为此，你需要检查以下参数：number of chains 和 max data rate。一旦你知道这些参数，就需要检查调制与编码方案（MCS）表，例如这里：https://mcsindex.com/。

如果我们以 hAP ac 为例，可以看到链数为 3，max data rate 在 MCS 表中为 1300。在 MCS 表中，我们需要找到 3 个空间流 - 链的条目以及相应的数据率，在本例中这表明 80MHz 是支持的最大信道宽度。

Integrated wireless interface frequency table:

Notes:

1. Only in 802.11a/n standard.

高级信道

Advanced Channels 功能为无线接口配置提供了更多可能性：

• 覆盖多个频段和信道宽度的 scan-list。
• 对于允许这样做的硬件，可使用非标准信道中心频率（以 kHz 为粒度指定）。
• 对于允许这样做的硬件，可使用非标准信道宽度（以 kHz 为粒度指定）。

硬件支持

非标准中心频率和宽度信道只能与支持它们的接口一起使用。

只有基于 Atheros AR92xx 的芯片支持非标准中心频率和宽度，范围如下：

• 中心频率范围：2200 MHz-2500 MHz，步长 0.5 MHz（500 kHz），宽度范围：2.5 MHz-30 MHz，步长 0.5 MHz（500 kHz）。
• 中心频率范围：4800 MHz-6100 MHz，步长 0.5 MHz（500 kHz），宽度范围：2.5 MHz-30 MHz，步长 0.5 MHz（500 kHz）。

AR93xx 不支持此功能。

配置高级信道

高级信道在 interface wireless channels 菜单中配置。此菜单包含一个有序的用户定义信道列表，可以通过 list 属性进行分组。信道有以下属性：

• name - 可用于引用此信道的名称。如果在添加信道时未指定 name，它将根据信道频率和宽度自动生成。
• list - 此信道所属列表的名称。列表可用于对信道进行分组。
• frequency - 信道中心频率，单位为 MHz，允许指定小数 MHz 部分，例如 5181.5。
• width - 信道宽度，单位为 MHz，允许指定小数 MHz 部分，例如 14.5。
• band - 定义使用此信道时的默认数据率集合。
• extension-channel - 指定 11n 扩展信道的位置。

使用高级信道

要在无线接口配置中使用高级信道，有几个接口设置接受信道名称或列表名称作为参数。可以用接口不支持的电信配置接口。在这种情况下，接口将无法进入运行状态。以正确方式配置信道完全是管理员的责任。

frequency

要为无线接口使用特定的高级信道（适用于使用接口 frequency 设置的模式），请在接口 frequency 设置中指定信道名称。例如，要将接口配置为以中心频率 5500MHz 和信道宽度 14MHz 运行，请使用以下命令：

[admin@MikroTik] /interface/wireless> channels add name=MYCHAN frequency=5500 width=14 band=5ghz-onlyn
 list=MYLIST
[admin@MikroTik] /interface/wireless> set wlan1 frequency=MYCHAN 

scan-list

接口 scan-list 用于多种模式，这些模式要么收集信道列表的信息（如交互式 scan 命令），要么选择要工作的信道（如任何 station 模式或执行 DFS 的 AP 模式）。接口 scan-list 可以配置为以下项的逗号分隔列表：

• default - 给定国家、接口频段和信道宽度的默认 .11 信道列表。
• 以 MHz 为单位的数字频率范围。
• 按名称引用的 Advanced Channel。
• 按列表名称引用的 Advanced Channel 列表。

例如，要将接口配置为先以信道宽度 20MHz 扫描 5180MHz、5200MHz 和 5220MHz，然后以信道宽度 10MHz 扫描，可以发出以下命令：

[admin@MikroTik] /interface/wireless> channels add frequency=5180 width=20 band=5ghz-a list=20MHz-list
[admin@MikroTik] /interface/wireless> channels add frequency=5200 width=20 band=5ghz-a list=20MHz-list
[admin@MikroTik] /interface/wireless> channels add frequency=5220 width=20 band=5ghz-a list=20MHz-list
[admin@MikroTik] /interface/wireless> channels add frequency=5180 width=10 band=5ghz-a list=10MHz-list
[admin@MikroTik] /interface/wireless> channels add frequency=5200 width=10 band=5ghz-a list=10MHz-list
[admin@MikroTik] /interface/wireless> channels add frequency=5220 width=10 band=5ghz-a list=10MHz-list
[admin@MikroTik] /interface/wireless> set wlan1 scan-list=20MHz-list,10MHz-list

Nstreme

Sub-menu: /interface/wireless/nstreme

此菜单允许将无线网卡切换到 nstreme 模式。在这种情况下，网卡将仅与 nstreme 客户端一起工作。

说明

除启用 Nstreme 外，此处的设置仅在 access point 上相关，对客户端设备将被忽略。客户端会自动适应 AP 设置。 Nstreme 协议的 WDS 需要在一个对等端上使用 station-wds 模式。AP 模式之间（bridge 和 ap-bridge）的 WDS 配置将无法工作。

Nstreme Dual

Sub-menu: /interface/wireless/nstreme-dual

处于 nstreme-dual-slave 模式的两个 radio 可以组合在一起，形成 nstreme2 点对点连接。要将无线接口放入 nstreme2 组，应将其模式设置为 nstreme-dual-slave。使用 nstreme2 时，/interface/wireless 菜单中的许多参数都会被忽略，但以下参数除外：

• frequency-mode
• country
• antenna-gain
• tx-power
• tx-power-mode
• antenna-mode

警告

WDS 不能用于 Nstreme-dual 链路。 说明

由于可能存在干扰，tx-freq 和 rx-freq 之间的差值应为约 200 MHz 或更多。 说明

你可以为 RX 和 TX 链路使用不同的频段。例如，在 2ghz-g 中发送，并使用 2ghz-b 频段接收数据。

Registration Table

Sub-menu: /interface/wireless/registration-table

在 registration table 中，你可以看到有关当前已连接客户端的各种信息。它仅用于 Access Point。

所有属性均为只读。

Security Profiles

Sub-menu: /interface/wireless/security-profiles

安全配置文件在控制台的 /interface/wireless/security-profiles 路径下配置，或在 WinBox 的 "Wireless" 窗口的 "Security Profiles" 选项卡中配置。安全配置文件由无线接口的 security-profile 属性和 Connect Lists 的 security-profile 属性引用。

基本属性

WPA 属性

这些属性仅在 mode 设置为 dynamic-keys 时有效。

说明

RouterOS 还允许使用 private-pre-shared-key 属性或 RADIUS MAC 认证响应中的 Mikrotik-Wireless-Psk 属性覆盖特定客户端的 pre-shared key 值。这是一个扩展。

WPA EAP 属性

这些属性仅在 authentication-types 包含 wpa-eap 或 wpa2-eap，且 mode 设置为 dynamic-keys 时有效。

说明

eap-methods 中允许的认证方法的顺序很重要，将使用相同的顺序向 Station 发送认证方法提议。示例：Access Point 使用安全配置文件，其中 eap-methods 设置为 eap-tls,passthrough；1) Access Point 向客户端提供 EAP-TLS 方法；2) 客户端拒绝；3) Access Point 开始将 EAP 通信转发到 radius 服务器。 说明

当 AP 用于 passthrough 时，AP 本身不需要证书，AP 设备充当透明网桥，将 EAP-TLS 关联数据从 RADIUS 服务器转发到最终客户端。 说明

当 tls-mode 使用 verify-certificate 或 dont-verify-certificate 时，远程设备必须支持 RC4-MD5、RC4-SHA 或 DES-CBC3-SHA TLS 密码套件之一。使用 no-certificates 模式时，远程设备必须支持 "ADH-DES-CBC3-SHA" 密码套件。

RADIUS 属性

WEP 属性

这些属性仅在 mode 设置为 static-keys-required 或 static-keys-optional 时有效。

管理帧保护

Used for：Deauthentication attack prevention, MAC address cloning issue。

RouterOS 实现了一种基于共享密钥的专有管理帧保护算法。管理帧保护意味着 RouterOS 无线设备能够验证管理帧的来源，并确认某个特定帧不是恶意的。此功能允许抵御针对基于 RouterOS 的无线设备的去认证和解除关联攻击。

管理保护模式在安全配置文件中使用 management-protection 设置进行配置。可能的值有：disabled - 管理保护被禁用（默认），allowed - 如果远程方支持则使用管理保护（对于 AP - 同时允许非管理保护和管理保护客户端；对于客户端 - 连接到支持和不支持管理保护的 AP），required - 仅与支持管理保护的远程设备建立关联（对于 AP - 仅接受支持管理保护的客户端；对于客户端 - 仅连接到支持管理保护的 AP）。

管理保护共享密钥使用安全配置文件的 management-protection-key 设置进行配置。

当接口处于 AP 模式时，默认管理保护密钥（在安全配置文件中配置）可以被 access-list 或 RADIUS 属性中指定的密钥覆盖。

[admin@mikrotik] /interface/wireless/security-profiles> print 
 0 name="default" mode=none authentication-types="" unicast-ciphers="" 
  group-ciphers="" wpa-pre-shared-key="" wpa2-pre-shared-key="" 
  supplicant-identity="n-str-p46" eap-methods=passthrough 
  tls-mode=no-certificates tls-certificate=none static-algo-0=none 
  static-key-0="" static-algo-1=none static-key-1="" static-algo-2=none 
  static-key-2="" static-algo-3=none static-key-3="" 
  static-transmit-key=key-0 static-sta-private-algo=none 
  static-sta-private-key="" radius-mac-authentication=no 
  radius-mac-accounting=no radius-eap-accounting=no interim-update=0s 
  radius-mac-format=XX:XX:XX:XX:XX:XX radius-mac-mode=as-username 
  radius-mac-caching=disabled group-key-update=5m 
  management-protection=disabled management-protection-key=""  

[admin@mikrotik] /interface/wireless/security-profiles> set default management-protection=    
                                                        allowed  disabled  required  

操作详情

RADIUS MAC 认证

说明

RADIUS MAC 认证由接入点用于在 access-list 中找不到的客户端，类似于无线接口的 default-authentication 属性。它控制客户端是否被允许继续认证，还是被立即拒绝。 当 radius-mac-authentication=yes 时，接入点通过发送带有以下属性的 Access-Request 来查询 RADIUS 服务器：

• User-Name - 客户端 MAC 地址。这按 radius-mac-format 设置指定的方式编码。默认编码为 "XX:XX:XX:XX:XX:XX"。
• Nas-Port-Id - 无线接口的 name。
• User-Password - 当 radius-mac-mode=as-username-and-password 时，这被设置为与 User-Name 相同的值。否则此属性为空。
• Calling-Station-Id - 客户端 MAC 地址，编码为 "XX-XX-XX-XX-XX-XX"。
• Called-Station-Id - 接入点的 MAC 地址和 SSID，编码为 "XX-XX-XX-XX-XX-XX:SSID"（以减号分隔的 MAC 地址数字对，后跟冒号，后跟 SSID 值）。
• Acct-Session-Id - 当 radius-mac-accounting=yes 时添加。

当接入点收到来自 RADIUS 服务器的 Access-Accept 或 Access-Reject 响应时，它会存储该响应，并允许或拒绝客户端。接入点使用 Access-Accept 响应中的以下 RADIUS 属性：

• Ascend-Data-Rate。
• Ascend-Xmit-Rate。
• Mikrotik-Wireless-Forward - 与 access-list forwarding 相同。
• Mikrotik-Wireless-Enc-Algo - 与 access-list private-algo 相同。
• Mikrotik-Wireless-Enc-Key - 与 access-list private-key 相同。
• Mikrotik-Wireless-Psk - 与 access-list private-pre-shared-key 相同。
• Mikrotik-Wireless-Mpkey - 与 Access list 中的 Management-protection-key 相同。
• Session-Timeout - 在此时间之后客户端将被断开连接。
• Acct-Interim-Interval - 覆盖 interim-update 的值。
• Class - 如果存在，将保存此属性的值并包含在 Accounting-Request 消息中。

Caching：

RADIUS MAC 认证的缓存被添加以支持对需要接入点快速响应关联请求的客户端进行 RADIUS 认证。此类客户端会在收到来自 RADIUS 服务器的响应之前超时。接入点会缓存认证响应一段时间，并可以立即回复来自同一客户端的重复关联请求。

RADIUS EAP 直通认证

使用 WPA EAP 认证类型时，通过 MAC 认证的客户端在被授权在无线网络上传递数据之前，需要执行 EAP 认证。使用 pass-through EAP 方法时，接入点将认证转发给 RADIUS 服务器，并在 Access-Request RADIUS 消息中使用以下属性：

• User-Name - EAP supplicant identity。此值在客户端安全配置文件的 supplicant-identity 属性中配置。
• Nas-Port-Id - 无线接口的 name。
• Calling-Station-Id - 客户端 MAC 地址，编码为 "XX-XX-XX-XX-XX-XX"。
• Called-Station-Id - 接入点的 MAC 地址和 SSID，编码为 "XX-XX-XX-XX-XX-XX:SSID"（以减号分隔的 MAC 地址数字对，后跟冒号，后跟 SSID 值）。
• Acct-Session-Id - 当 radius-eap-accounting=yes 时添加。
• Acct-Multi-Session-Id - 接入点和客户端的 MAC 地址，以及一个唯一的 8 字节值，该值在共享单次 EAP 认证的所有 accounting 会话之间共享。编码为 AA-AA-AA-AA-AA-AA-CC-CC-CC-CC-CC-CC-XX-XX-XX-XX-XX-XX-XX-XX。 当 radius-eap-accounting=yes 时添加。

接入点使用 Access-Accept 服务器响应中的以下 RADIUS 属性：

• Class - 如果存在，将保存此属性的值并包含在 Accounting-Request 消息中。
• Session-Timeout - 在此时间之后客户端将被断开连接。此外，接入点将记住认证结果，如果在此期间客户端重新连接，它将立即被授权，而无需重复 EAP 认证。
• Acct-Interim-Interval - 覆盖 interim-update 的值。

静态配置的 WEP 密钥

不同算法要求不同长度的密钥：

• 40bit-wep - 10 个十六进制数字（40 位）。如果密钥更长，仅使用前 40 位。
• 104bit-wep - 26 个十六进制数字（104 位）。如果密钥更长，仅使用前 104 位。
• tkip - 至少 64 个十六进制数字（256 位）。
• aes-ccm - 至少 32 个十六进制数字（128 位）。

密钥必须包含偶数个十六进制数字。

WDS 安全配置

WDS 链路可以使用所有可用的安全功能。但是，它们需要仔细配置安全参数。

可以为所有客户端使用一个安全配置文件，并为 WDS 链路使用不同的安全配置文件。WDS 链路的安全配置文件在 connect-list 中指定。接入点在与其他接入点建立 WDS 链路之前始终检查 connect list，并使用匹配的 connect list 条目中的安全设置。当每个接入点都有一个匹配另一设备、具有 connect=yes 并指定兼容 security-profile 的 connect list 条目时，WDS 链路才会工作。

WDS 和 WPA/WPA2：

如果接入点使用 mode=dynamic-keys 的安全配置文件，则将对所有 WDS 链路使用加密。由于 WPA 认证和密钥交换不是对称的，其中一个接入点将充当客户端以建立安全连接。这类似于 static-mesh 和 dynamic-mesh WDS 模式的工作方式。如果启用了 WPA 加密，则某些问题（例如两个配置不正确、使用非 mesh 模式的接入点之间的单侧 WDS 链路）不会发生。但是，使用 WPA 的非 mesh 模式仍有其他问题（例如在配置不匹配时不断尝试重新连接），这些问题通过使用 -mesh WDS 模式得到解决。

通常，建立受 WPA 保护的 WDS 链路的两个接入点上的 WPA 属性必须匹配。这些属性是 authentication-types、unicast-ciphers、group-ciphers。对于非 mesh WDS 模式，这些属性在两个设备上需要具有相同的值。在 mesh WDS 模式下，每个接入点必须支持另一个接入点作为客户端。

理论上，可以将 RADIUS MAC 认证和其他 RADIUS 服务与 WDS 链路一起使用。但是，只有一个接入点会与 RADIUS 服务器交互，另一个接入点将表现为客户端。

RouterOS 中 eap-tls EAP 方法的实现特别适合 WDS 链路加密。tls-mode=no-certificates 不需要额外配置，并提供非常强的加密。

WDS 和 WEP：

为使用 WEP 加密建立 WDS 链路的两个接入点，分配给 WDS 链路的安全配置文件中的 mode、static-sta-private-key 和 static-sta-private-algo 参数需要具有相同的值。

connect list 中的安全配置文件和接入点匹配

客户端使用 connect-list security-profile 属性的值，仅匹配支持必要安全的接入点。

• mode=static-keys-required 和 mode=static-keys-optional 仅匹配接口 security-profile 中具有相同 mode 的接入点。
• 如果 mode=dynamic-keys，则当 authentication-types、unicast-ciphers 和 group-ciphers 中每一个都包含至少一个由接入点通告的值时，connect list 条目匹配。

虚拟接口

Virtual AP

可以使用无线菜单中的 add 命令创建虚拟接入点。你必须指定虚拟接口所属的 master-interface。如果 "master-interface" 模式为 "station"，则 Virtual AP 仅在 "master-interface" 处于活动状态时工作。Virtual AP 可以有自己的 SSID 和 Security Profile。

Virtual AP 接口仅在 master 接口处于 ap-bridge、bridge、station 或 wds-slave 模式时工作。它仅适用于 802.11 协议，但不支持 Nv2。

此功能可用于为不同类型的用户分离访问。你可以分配不同的带宽级别和密码，并指导用户连接到特定的虚拟网络。对于无线客户端而言，它会显示为不同的 SSID 或不同的设备。例如，使用 QuickSet 配置访客网络时，VirtualAP 功能会在后台被使用。

要创建新的 virtual-ap： /interface> wireless add mode=ap-bridge master-interface=wlan1 ssid=guests security-profile=guests（此类安全配置文件首先需要创建）

说明

每个物理接口最多可以创建 127 个虚拟接口。不建议创建超过 30 个，因为性能会开始下降。

虚拟客户端

也可以创建虚拟客户端，并在同一物理接口上同时拥有 AP 和 Client。这允许你仅使用一个硬件网卡进行中继器设置。配置过程与上述完全相同，但使用 station 模式：

要创建新的 virtual-client： /interface> wireless add mode=station master-interface=wlan1 ssid=where-to-connect security-profile=your-profile（此类安全配置文件首先需要创建）

说明

虚拟接口将始终使用 Master 接口的无线频率。如果 master 接口启用了 auto 频率，它们将使用 Master 接口所选择的无线频率。

Sniffer

Sub-menu: /interface/wireless/sniffer

无线 sniffer 允许捕获帧，包括 Radio header、802.11 header 和其他与无线相关的信息。

说明

当 multiple-channels=yes 时，使用 /interface/wireless/info/scan-list 命令来验证在 /interface/wireless/channels 下定义的 scan-list。

Packets

Sub-menu: /interface/wireless/sniffer/packet

子菜单显示捕获的数据包。

Scan

Scan 命令允许你查看 scan-list 中定义的频率范围内可用的 AP。使用 scan 命令时，接口操作被禁用（扫描操作期间无线链路会断开）。也支持后台扫描，可以在无线接口运行期间使用，而不会断开无线链路。后台扫描仅支持使用 802.11 无线协议。

scan 工具将持续扫描 AP，直到用户停止扫描过程。可以为 scan 工具使用 rounds 设置，以对 scan-list 条目进行特定次数的扫描。在使用脚本运行 scan 工具时，这很有用。单轮 scan 命令示例：

/interface/wireless/scan wlan1 rounds=1

save-file 选项允许执行脚本化/计划扫描，并将结果保存到文件中以供将来分析。此外，此功能与 rounds 设置一起使用，可以从远程无线客户端获取扫描结果——执行该命令将启动 scan 工具，它会断开无线链路，通过 scan-list 频率进行扫描并将结果保存到文件，退出扫描并重新连接无线链路。示例：

/interface/wireless/scan wlan1 rounds=1 save-file=scan1

要使用后台无线扫描，应提供 background=yes 设置。示例：

/interface/wireless/scan wlan1 background=yes

后台扫描功能在以下条件下工作：

• 无线接口应处于启用状态。
• 对于处于 AP 模式的无线接口 - 当它工作在 802.11 协议模式且位于固定信道上时（即信道选择和初始雷达检查已完成）。
• 对于处于 Station 模式的无线接口 - 当它连接到 802.11 协议 AP 时。

Scan 命令在虚拟无线接口上也受支持，但有以下限制：

• 当虚拟接口及其 master 固定在一个信道上时（master AP 正在运行或 master station 已连接到 AP）可以执行。
• 扫描仅在 master 接口所在的信道上执行。
• background=yes|no 无关紧要——在虚拟接口上扫描不会断开客户端/AP，因此它始终是 "background"。

Snooper

此工具监控周围的频率使用情况，并显示哪些设备占用每个频率。它在控制台和 WinBox 中都可用。Snooper 将使用 scan-list 中的频率。

Sub-menu: /interface/wireless/snooper

设置

Spectral scan

• 请参阅单独的文档 Spectral scan。

WDS

Sub-menu: /interface/wireless/wds

Properties:

Read-only properties:

WPS

无线接口同时支持 WPS Server 和 WPS Client。

WPS Server

WPS Server 允许支持 WPS 的无线客户端连接到受 Pre-Shared Key 保护的 AP，而无需在客户端配置中指定该密钥。

可以通过更改无线接口的 WPS Mode 设置来启用 WPS Server。示例：

 /interface/wireless/set wlan1 wps-mode=push-button

Wps-mode 有 3 个选项

• disabled
• push-button - 通过按下板卡上的物理按钮来激活 WPS（少数板卡在板卡外壳/标签上标有此类按钮）
• push-button-virtual-only - 通过按下 RouterOS 无线接口菜单中的 "WPS Accept" 按钮来激活 WPS

通过按下 WPS 物理/虚拟按钮，AP 启用 WPS 功能。如果在 2 分钟内未启动 WPS 过程，则 WPS Accept 功能停止。

在少数标有物理 WPS 按钮的板卡上，WPS Server 默认启用。例如 hap lite、hap、hap ac lite、hap ac、map lite。

仅当无线 AP 接口启用了 Pre-Shared Key Authentication（PSK）时，WPS Server 才处于活动状态。也可以为 Virtual AP 接口配置此模式。

WPS Client

WPS Client 功能允许无线客户端获取启用了 WPS Server 的 AP 的 Pre-Shared Key 配置。可以通过以下命令启用 WPS Client：

 /interface/wireless/wps-client/wlan1

WPS Client 命令会在屏幕上输出有关 WPS Enabled AP 的所有信息。示例：

[admin@MikroTik] /interface/wireless> wps-client wlan1
          status: disconnected, success
            ssid: MikroTik
     mac-address: E4:8D:8C:D6:E0:AC
      passphrase: presharedkey
  authentication: wpa2-psk
      encryption: aes-ccm

可以为 WPS-Client 命令指定其他设置：

• create-profile - 创建具有指定名称的无线安全配置文件，使用从 WPS AP 接收到的安全详细信息进行配置，并指定无线接口使用新创建的安全配置文件。
• ssid - 仅从具有指定 SSID 的 AP 获取 WPS 信息。
• mac-address - 仅从具有指定 mac-address 的 AP 获取 WPS 信息。

Repeater

无线中继器允许从 AP 接收信号，并在本地使用同一物理接口重复该信号，以连接其他客户端。这将允许为无线客户端扩展无线服务。无线中继器功能会将无线接口配置为使用 station-bridge 或 station-pseudobridge 选项连接到 AP，创建虚拟 AP 接口，创建桥接接口，并将两个（主接口和虚拟接口）都添加到桥接端口中。

如果你的 AP 支持按键启用的 WPS 模式，可以使用自动设置命令：

/interface/wireless/setup-repeater wlan1

setup-repeater 执行以下步骤：

• 搜索按下按钮的 WPS AP。
• 从 AP 获取 SSID、密钥、信道。
• 重置主 master 接口配置（与 reset-configuration 相同）。
• 移除此 master 添加的虚拟接口所添加的所有桥接端口（这样以后不会留下悬空的无效桥接端口）。
• 移除此 master 添加的所有虚拟接口。
• 创建名称为 "<interfacename>-<ssid>-repeater" 的安全配置文件，如果此类安全配置文件已存在，则不创建新的，仅更新设置。
• 配置 master 接口，接口模式按如下方式选择：如果 AP 支持 bridge 模式，则使用 station-bridge；否则如果 AP 支持 WDS，则使用 station-wds；否则使用 station-pseudobridge。
• 创建与 master 具有相同 SSID 和安全配置文件的虚拟 AP 接口。
• 如果 master 接口不在某个桥接中，则创建新的桥接接口并将 master 接口添加到其中。
• 将虚拟 AP 接口添加到 master 接口所在的同一桥接中。

如果你的 AP 不支持 WPS，则可以使用以下参数手动指定设置：

• address - 要为其设置中继器的 AP 的 MAC 地址（可选）
• ssid - 要为其设置中继器的 AP 的 SSID（可选）
• passphrase - 用于 AP 的密钥——如果指定了此项，命令将仅扫描 AP，并基于 beacon 中的信息和此 passphrase 创建安全配置文件。如果未指定此项，命令将执行 WPS 以找出 passphrase。

Roaming

Station Roaming

Station Roaming 功能仅适用于 802.11 无线协议，且仅适用于 station 模式。当 RouterOS 无线客户端使用 802.11 无线协议连接到 AP 时，它会以特定的时间间隔定期执行后台扫描。当后台扫描发现信号更好的 AP 时，它会尝试漫游到该 AP。当无线信号变差时，后台扫描之间的时间间隔会变短；当无线客户端信号变好时，后台扫描间隔会变长。

VLAN 标记

Sub-menu: /interface/wireless

使用 VLAN 标记，可以在 "本地转发" AP（将无线接口与以太网桥接的 AP）的以太网侧分离 Virtual AP 流量。这对于在 AP 的以太网侧分离例如 "management" 和 "guest" 网络流量是必要的。

VLAN 被分配给无线接口，因此所有来自无线的数据都会用此标记进行标记，并且只有带有此标记的数据才会通过无线发送出去。这适用于所有无线协议，但在 Nv2 上没有 Virtual AP 支持。

你可以配置 RADIUS 认证服务器，在用户或用户组向网络认证时将其分配到特定的 VLAN。要使用此选项，你需要使用 RADIUS attributes。

VLAN 标记覆盖

可以通过 access-list 和 RADIUS 属性按客户端覆盖每个接口的 VLAN 标记（对于常规无线和无线控制器均适用）。

这样，即使在同一接口上，也可以在无线客户端之间分离流量，但必须谨慎使用——只有 "interface VLAN" 的广播/组播流量会被发送出去。如果其他（被覆盖的）VLAN 也需要正常工作的广播/组播，目前可以使用 multicast-helper（这会将每个组播数据包更改为单播，然后仅发送给具有匹配 VLAN ID 的客户端）。

WinBox

WinBox 是一个小型实用程序，允许使用快速简单的 GUI 管理 MikroTik RouterOS。

说明

当前 Tx Power 显示在特定数据率下使用的发射功率。Atheros 802.11ac 芯片（例如 QCA98xx）不支持此功能。

Interworking Realms 设置

有关 interworking 配置文件的更多信息，请参阅 Interworking Profiles。

realms-raw - 一个包含十六进制值字符串的列表。每个字符串指定 "NAI Realm Tuple" 的内容，不包括 "NAI Realm Data Field Length" 字段。

每个十六进制编码的字符串必须包含以下字段：

- NAI Realm Encoding (1 byte)
- NAI Realm Length (1 byte)
- NAI Realm (variable)
- EAP Method Count (1 byte)
- EAP Method Tuples (variable)

例如，值 "00045465737401020d00" 解码为：

- NAI Realm Encoding: 0 (rfc4282)
- NAI Realm Length: 4
- NAI Realm: Test
- EAP Method Count: 1
- EAP Method Length: 2
- EAP Method Tuple: TLS, no EAP method parameters

设置 "realms-raw=00045465737401020d00" 产生与设置 "realms=Test:eap-tls" 相同的通告内容。

有关完整的 NAI Realm 编码，请参阅 802.11-2016 第 9.4.5.10 节。

迁移说明

以下术语和打包在较旧的 RouterOS 版本中发生了变化。这仅作为迁移非常旧配置的参考而保留——在当前 RouterOS 上，其中任何一项都不需要采取任何操作。

• Superchannel / frequency-mode。 superchannel 频率模式以前称为 Custom Frequency Upgrade，需要特殊的许可证密钥。自 RouterOS v4.3 起，它在所有安装中无需密钥即可使用。
• 无线驱动程序包。 RouterOS v6 将无线功能拆分到单独的 wireless-rep、wireless-cm2 和 wireless-fp 包中。RouterOS v7 将这些整合为一个 wireless 包，因此曾经需要这些包之一的功能——虚拟客户端、后台扫描、WPS 客户端、RADIUS VLAN 分配以及 scan-list 步长选项——现在都是标准 wireless 包的一部分。