Точка доступа Wi-Fi на MikroTik: настройка AP в WinBox и терминале

Как превратить MikroTik в точку доступа Wi-Fi: выбрать нужный пакет (WiFi в RouterOS 7 или Wireless в RouterOS 6), задать имя сети и пароль, указать страну и канал, объединить Wi-Fi с проводной сетью через bridge и проверить подключение клиента. В конце таблица разбора типичных проблем.

Что такое точка доступа и какие бывают режимы

Точка доступа (AP, access point) подключает беспроводные устройства к проводной сети: телефоны и ноутбуки «слышат» её SSID, вводят пароль и попадают в тот же сегмент, что и компьютеры по кабелю. Роутер MikroTik с Wi-Fi-модулем может быть такой точкой, и это его режим по умолчанию. Тот же интерфейс можно переключить в другие режимы.

Режим задаётся параметром mode, и названия у двух пакетов (о них в следующем разделе) разные:

• Точка доступа. В пакете WiFi это ap (значение по умолчанию), в пакете Wireless это ap-bridge. Это основной режим, ему посвящена вся статья.
• bridge (только Wireless). То же, что ap-bridge, но принимает не больше одного клиента. Для раздачи Wi-Fi устройствам он не подходит.
• Клиент (station). Интерфейс сам подключается к чужой точке доступа с нужным SSID. Варианты: station, station-bridge (поддержка 4-адресного формата кадров, чтобы клиента можно было включить в bridge), station-pseudobridge (подмена MAC-адресов, похожая на маскарад). В пакете Wireless есть ещё station-wds, wds-slave и специальные режимы.

Два пакета Wi-Fi: WiFi и Wireless

В RouterOS есть два набора драйверов Wi-Fi, и меню настройки у них разное. Это самая частая причина путаницы: инструкция из интернета описывает один пакет, а на вашем роутере другой.

• WiFi (/interface wifi): современное меню. Начиная с RouterOS 7.13 оно называется WiFi, до этого называлось wifiwave2. Поддерживает WPA3 и быстрый роуминг. Драйвер — пакет wifi-qcom для устройств 802.11ax или wifi-qcom-ac для части устройств 802.11ac.
• Wireless (/interface wireless): прежнее, «legacy» меню. Есть в RouterOS 6, а с версии 7.13 драйверы вынесены в отдельный пакет wireless. Только здесь работают Nstreme и Nv2. WPA3 в этом пакете нет: типы аутентификации ограничены wpa-psk, wpa2-psk, wpa-eap, wpa2-eap.

Выбор зависит от железа. Устройства 802.11ax работают только с пакетом WiFi. У части ARM-устройств 802.11ac (hAP ac², hAP ac³, cAP ac, wAP ac и других) можно выбрать любой из двух драйверов. Устройств на MIPS это не касается: документация MikroTik указывает для них только legacy-драйверы. hAP ac lite в списке моделей с wifi-qcom-ac не значится, поэтому в этой статье он выступает примером старого пакета Wireless. На нём (RouterOS 6.49.23, архитектура mipsbe) пакет wireless есть в списке, а интерфейсов два: wlan1 (Atheros AR9300, 2,4 ГГц) и wlan2 (Atheros AR9888, 5 ГГц).

Как понять, какой пакет у вас. Посмотрите на меню WinBox: если в списке слева есть пункт WiFi, у вас новый пакет; если Wireless, старый. То же показывает терминал:

/system package print

В списке будет wifi-qcom (или wifi-qcom-ac) для нового пакета либо wireless для старого. На hAP ax lite с RouterOS 7.14.1 в списке два пакета: routeros и wifi-qcom.

Что понадобится

• Роутер MikroTik с Wi-Fi-модулем (серия hAP, cAP, wAP и подобные). Модели без радио, включая CHR, в этой статье не подходят.
• Подключение по WinBox: если ещё не подключались, начните со статьи «WinBox: первое подключение к MikroTik за 10 минут». Настраивать Wi-Fi удобнее по кабелю, а не по самому Wi-Fi: при смене параметров беспроводное соединение оборвётся.
• Понимание DHCP: на шаге 5 мы раздаём адреса беспроводным клиентам. Подробности и разбор сбоев в статье «DHCP-сервер на MikroTik».
• Клиент для проверки: телефон или ноутбук с Wi-Fi.

На скриншотах — две реальные точки: hAP ax lite (RouterOS 7.14.1, пакет WiFi) и hAP ac lite (RouterOS 6.49.23, пакет Wireless). Имя сети MikroTik-Blog и пароль на кадрах учебные, для своей сети придумайте собственные. Клиентом служит старый hAP lite на RouterOS 6, который WPA3 не умеет, поэтому на стенде включён только WPA2-PSK. Адреса в примерах: сеть 192.168.77.0/24, адрес точки 192.168.77.1.

Команды сверены с документацией MikroTik, а имена и значения параметров дополнительно прочитаны на настоящих hAP ax lite (пакет WiFi) и hAP ac lite (пакет Wireless). Где пакеты различаются, это сказано в тексте.

Шаг 1. Посмотрите эфир

Прежде чем выбирать канал, полезно увидеть, что уже вещает вокруг. В WinBox 4 откройте WiFi и нажмите Scan в панели Actions справа. В WinBox 3 откройте Wireless и нажмите Scanner на вкладке WiFi Interfaces (то же делает кнопка Scan… в окне интерфейса). В списке появятся соседние сети с каналами и уровнем сигнала; на нашем стенде WiFi → Scan нашёл 15 чужих сетей, их имена на кадрах скрыты. Сканирование отключает работающие подключения, поэтому на точке с живыми клиентами его лучше делать в нерабочее время.

Какая вкладка что показывает. «WinBox 4 · Linux»: точка hAP ax lite с новым пакетом WiFi (RouterOS 7.14.1, меню WiFi). Под ней, в раскрывающемся блоке «WinBox 3 · Windows», точка hAP ac lite со старым пакетом Wireless (RouterOS 6.49.23, меню Wireless). Настройки одни и те же по смыслу, отличаются названия и расположение.

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

То же в терминале. Пакет WiFi:

/interface wifi scan wifi1

Пакет Wireless:

/interface wireless scan wlan1

Пакет WiFi умеет и более полезную вещь: /interface wifi frequency-scan wifi1 показывает по каждому каналу число сетей, занятость эфира (load) и уровень шума (nf). Он тоже отключает подключённых клиентов.

Шаг 2. Задайте безопасность

Точка доступа без шифрования — открытая дверь в вашу сеть, поэтому безопасность задаётся до включения радио. Что выбрать:

• WPA2-PSK (в пакете Wireless — wpa2-psk с шифром aes-ccm): работает на любых современных клиентах.
• WPA3-PSK (только пакет WiFi): новее и устойчивее к подбору пароля. Обычно включают оба типа сразу: wpa2-psk,wpa3-psk, как в примере документации MikroTik.
• Пароль: для WPA2-PSK от 8 до 63 символов. Берите длинную фразу, а не короткое слово: подбор по словарю — самый простой способ взлома.
• WPS: отключите. В пакете WiFi параметр security.wps по умолчанию имеет значение push-button (точка принимает подключение по кнопке в течение двух минут после команды), в пакете Wireless режим WPS на ряде плат, включая hAP ac lite, включён по умолчанию (на нашем hAP ac lite wps-mode=push-button).

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

В терминале пакета WiFi профиль создаётся в /interface wifi security:

/interface wifi security
add name=blog-sec authentication-types=wpa2-psk passphrase="ChangeMe-LongPassphrase-2026" wps=disable

Если все ваши клиенты поддерживают WPA3, укажите authentication-types=wpa2-psk,wpa3-psk.

В пакете Wireless то же задаётся в профиле безопасности, где режим dynamic-keys включает WPA:

/interface wireless security-profiles
add name=sec-blog mode=dynamic-keys authentication-types=wpa2-psk \
    unicast-ciphers=aes-ccm group-ciphers=aes-ccm \
    wpa2-pre-shared-key="ChangeMe-LongPassphrase-2026"

Пароль в профиле хранится открытым текстом и виден администратору роутера, поэтому не используйте для Wi-Fi пароль, общий с другими системами. Отключить WPS на старом пакете можно параметром интерфейса wps-mode=disabled, он указывается на шаге 3.

Шаг 3. SSID, страна, канал и мощность

Теперь параметры самой сети. В пакете WiFi они разложены по профилям: Configuration (SSID, страна, режим), Channel (диапазон, ширина, частота), Datapath (bridge) и Security (из предыдущего шага). Интерфейс ссылается на готовый набор. В пакете Wireless всё собрано в окне самого интерфейса wlan1.

SSID и скрытая сеть

SSID — имя сети, до 32 символов. Параметр hide-ssid=yes убирает имя из маяков и ответов на широковещательные запросы, и сеть не появится в списке на телефоне. Это не защита: сеть остаётся незашифрованной, а доступ определяет только пароль. Скрытая сеть к тому же неудобна, потому что подключаться к ней приходится вводя имя вручную.

Страна (country)

Параметр country определяет регуляторный профиль: какие частоты и какая максимальная мощность разрешены в вашей стране. Его нужно указывать верно: это вопрос законности использования и совместимости с соседними устройствами. В списке пакета WiFi есть, например, Kazakhstan, Russia, Uzbekistan и Belarus. Не выбирайте режим Superchannel (в пакете Wireless — frequency-mode=superchannel): он снимает ограничения и предназначен для контролируемых условий или случаев, когда у вас есть разрешение на такое излучение.

В пакете Wireless значение по умолчанию — etsi (так на нашем hAP ac lite), а no_country_set даёт набор каналов, совместимый с FCC. Названия стран пишутся строчными буквами. Узнать, что разрешено в стране, можно командой:

/interface wireless info country-info kazakhstan

Для Kazakhstan команда показывает, в частности, диапазон 2402–2482 МГц для 2,4 ГГц с ограничением 20 дБм; список разрешённых каналов конкретного интерфейса выводит /interface wireless info allowed-channels wlan1.

Канал и ширина

В диапазоне 2,4 ГГц каналы стоят на расстоянии 5 МГц, а сам сигнал занимает 20 МГц, поэтому соседние каналы перекрываются. Не перекрываются три: 1, 6 и 11 (2412, 2437 и 2462 МГц). Выбирайте тот, на котором соседей меньше всего по результатам сканирования.

На 2,4 ГГц ставьте ширину 20 МГц (по умолчанию на обоих наших роутерах стоит 20/40: 20/40mhz-XX в Wireless, 20/40mhz в WiFi): диапазон узкий, 40 МГц занимают почти половину его и мешают соседям. Широкие каналы 40, 80 МГц осмысленны на 5 ГГц, где есть куда расширяться. На 5 ГГц помните про DFS: на части каналов роутер проверяет наличие радаров (проверка доступности канала, CAC, на некоторых каналах длится 10 минут), и канал может смениться. Параметр skip-dfs-channels позволяет избегать таких каналов.

Мощность

Параметр tx-power ограничивает мощность передатчика. Поднять её выше разрешённой регуляторным профилем нельзя. Большая мощность не всегда лучше: телефон слышит точку, но своим слабым передатчиком не может «докричаться» в ответ. В пакете Wireless для 802.11n значение указывается на каждую цепь, для 802.11ac — суммарно. Если нет причины менять, оставьте по умолчанию.

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

Как читать кадры. В WinBox 4 диалог WiFi Configuration содержит вкладки Configuration (имя, режим, SSID, страна, мощность, скрытие SSID), Channel (диапазон, ширина, частота), Security (ссылка на профиль из шага 2) и Datapath (bridge, изоляция клиентов, VLAN ID). Страну выбирают из списка. Готовая конфигурация потом назначается интерфейсу wifi1. В WinBox 3 всё лежит в окне интерфейса wlan1: вкладка Wireless (режим ap bridge, диапазон, ширина, частота, SSID, профиль, WPS Mode), а поля Frequency Mode, Country и Installation появляются после кнопки Advanced Mode. Частоту выбирают из списка. Вкладки Data Rates и Advanced можно не трогать: Rate оставьте default.

В терминале пакета WiFi создайте профили канала и конфигурации и назначьте конфигурацию интерфейсу:

/interface wifi channel
add name=blog-ch band=2ghz-n width=20mhz frequency=2412
/interface wifi datapath
add name=blog-dp bridge=bridge
/interface wifi configuration
add name=blog-cfg mode=ap ssid=MikroTik-Blog country=Kazakhstan security=blog-sec channel=blog-ch datapath=blog-dp
/interface wifi set wifi1 configuration=blog-cfg

Для устройства с диапазоном 5 ГГц возьмите в профиле канала band=5ghz-ac (или 5ghz-ax на устройстве с поддержкой 802.11ax). Чтобы быстро проверить всё одной командой без профилей, документация MikroTik приводит такой вариант:

/interface wifi
set wifi1 configuration.mode=ap configuration.ssid=MikroTik-Blog configuration.country=Kazakhstan \
    security.authentication-types=wpa2-psk security.passphrase="ChangeMe-LongPassphrase-2026" security.wps=disable \
    channel.band=2ghz-n channel.width=20mhz channel.frequency=2412

В пакете Wireless настройки собраны в одной команде:

/interface wireless
set wlan1 mode=ap-bridge ssid=MikroTik-Blog band=2ghz-b/g/n channel-width=20mhz frequency=2412 \
    country=kazakhstan security-profile=sec-blog wps-mode=disabled

На двухдиапазонных моделях второй интерфейс (wlan2, 5 ГГц) настраивается так же, но с band=5ghz-a/n/ac. У wlan1 доступен диапазон 2ghz-b/g/n.

Шаг 4. Включите интерфейс

Интерфейс Wi-Fi по умолчанию может быть выключен (в списке интерфейсов он помечен как X). Включите его: в WinBox выделите строку и нажмите галочку, в терминале используйте команду. Флаг R (running) у интерфейса появляется, когда к нему подключён хотя бы один клиент: на кадрах с hAP ac lite это RS.

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

/interface wifi enable wifi1

/interface wireless enable wlan1

Сеть уже должна появиться в списке на телефоне. Подключение к ней пока не даст адреса: для этого нужен следующий шаг.

Шаг 5. Bridge, адрес и DHCP

Беспроводной интерфейс — это отдельный порт. Чтобы клиенты Wi-Fi оказались в одной сети с проводными устройствами, его нужно объединить с ether1 в bridge. Интерфейс-мастер пакета WiFi не добавляется в bridge автоматически, поэтому добавьте его вручную (на роутере с конфигурацией по умолчанию это уже сделано).

/interface bridge port
add bridge=bridge interface=ether1
add bridge=bridge interface=wifi1

На старом пакете вместо wifi1 укажите wlan1. На стенде hAP ax lite использует заводской bridge, а на hAP ac lite для Wi-Fi создан отдельный bridge-wifi, и wlan1 вынут из заводского моста. Дальше в примерах везде bridge. Затем повесьте адрес на сам bridge и поднимите DHCP-сервер так, как это описано в статье про DHCP:

/ip address add address=192.168.77.1/24 interface=bridge
/ip pool add name=pool-wifi ranges=192.168.77.10-192.168.77.254
/ip dhcp-server add name=dhcp-wifi interface=bridge address-pool=pool-wifi disabled=no
/ip dhcp-server network add address=192.168.77.0/24 gateway=192.168.77.1 dns-server=192.168.77.1

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

Шаг 6. Проверьте подключение клиента

Подключите телефон или ноутбук к MikroTik-Blog. Подключённые клиенты видны в таблице регистрации: WiFi → Registration в новом пакете и Wireless → Registration в старом. Для каждого клиента там MAC-адрес, уровень сигнала (Signal), время работы (Uptime) и скорости приёма и передачи. Двойной клик открывает подробности.

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

/interface wifi registration-table print
/interface wireless registration-table print

Первая команда для пакета WiFi, вторая для Wireless. Не делайте выводов о скорости по Tx Rate и Rx Rate: это мгновенные значения, на кадрах они скачут. Сигнал на кадрах очень сильный (около −31 дБм), потому что точка и клиент стоят рядом. В WinBox 3 двойной клик по клиенту открывает окно AP Client со вкладкой Signal (уровни сигнала в обе стороны, Signal To Noise, CCQ). В WinBox 4 на нашей версии двойной клик по строке окно не открывает, поэтому подробности смотрите в терминале через print detail. В пакете WiFi запись клиента можно удалить из этой таблицы: он будет отключён и подключится заново. Это удобный способ «пнуть» зависшее соединение.

Затем убедитесь, что клиент получил адрес из нужной сети. На точке смотрите аренды в IP → DHCP Server → Leases (/ip dhcp-server lease print), а на ПК выполните ping на адрес клиента через точку.

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

На этом базовая настройка закончена. Если выход в интернет нужен клиентам Wi-Fi, а точка — это ещё и роутер, добавьте маскарад по статье «Маскировка сети: NAT masquerade».

Список разрешённых устройств и гостевая сеть

Access List: кому можно подключаться

Правила Access List позволяют разрешать и запрещать подключение по MAC-адресу, уровню сигнала и SSID. Правила проверяются по порядку, срабатывает первое подходящее. В WinBox 4 у правила есть поле Action: accept, query radius или reject. Важная деталь пакета WiFi: неявного запрета в конце списка нет, поэтому для режима «только свои» последним нужно добавить правило с action=reject.

/interface wifi access-list
add action=accept interface=wifi1 mac-address=AA:BB:CC:DD:EE:01
add action=reject interface=wifi1

В пакете Wireless то же делается в окне New AP Access Rule (/interface wireless access-list): поля Action там нет, разрешение или запрет задаёт флажок Authentication (authentication), а вместо запрещающего правила в конце ставится default-authentication=no на интерфейсе (по умолчанию там yes, и клиенты вне списка допускаются). Фильтр по MAC — не надёжная защита: адрес легко подделать, а современные телефоны ещё и используют случайные MAC. Основная защита — пароль.

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

Гостевая сеть

Гостям лучше выдавать отдельную сеть со своим именем и паролем, не допуская в рабочую. Технически это виртуальная точка на том же радио. В пакете WiFi она создаётся командой add master-interface=wifi1 …, в пакете Wireless — интерфейсом с master-interface=wlan1 и своим профилем безопасности. В пакете WiFi гостей можно изолировать друг от друга параметром datapath.client-isolation=yes. Полная настройка гостевой сети с отдельным адресным пространством выходит за рамки этой статьи; для разделения сегментов смотрите статью про VLAN в блоке «Что изучить дальше».

Не работает: разбор проблем

Как выглядит неверный пароль в журнале

Если клиент не может подключиться, откройте Log. Подробные записи о подключениях идут в теме wireless,debug, и по умолчанию в журнал они не попадают. Включите её в терминале (WinBox 4 такую тему в окне не принимает):

/system logging add topics=wireless,debug

Теперь попытка клиента с неверным паролем оставляет следы. В RouterOS 7 (пакет WiFi) это disassociated, key handshake timeout. В RouterOS 6 (пакет Wireless) клиент раз за разом приходит с attempts to associate и получает disconnected, unicast key exchange timeout, затем точка пишет reject … banned (last failure - unicast key exchange timeout). Строка not in local ACL, by default accept означает лишь, что клиента нет в Access List и по умолчанию он допущен, ошибка в самом обмене ключами:

Как это выглядит в WinBox 3 (Windows): пакет Wireless, RouterOS 6

Частые вопросы

Можно ли использовать роутер как простую точку доступа за другим роутером? Да. Объедините ether1 и Wi-Fi в один bridge, не создавайте DHCP-сервер и не включайте маскарад: адреса клиентам выдаст основной роутер. Для доступа к самой точке задайте ей адрес на bridge или получайте его по DHCP.

Какой пакет лучше? Если устройство позволяет выбор, новый пакет WiFi: у него WPA3 и быстрый роуминг. Legacy-пакет Wireless нужен, когда требуются Nstreme и Nv2 или когда у устройства нет другого драйвера. Для устройств 802.11ax выбора нет: работает только WiFi.

Можно ли поменять режим на клиентский? Да, параметром mode: station в обоих пакетах. Не смешивайте пакеты в связке «точка и клиент в режиме station-bridge»: они несовместимы.

Надо ли настраивать несколько точек вместе? Для двух-трёх точек можно вручную: одинаковые SSID и пароль, разные каналы 1/6/11. Для большого числа устройств есть CAPsMAN, управляющий точками из одного места.

Безопасно ли скрывать SSID? Нет. Это неудобство для подключающихся, а не защита: безопасность даёт шифрование и длинный пароль.