Beeline и роутер для iptv

билайн Smart Box Flash

билайн Smart Box Turbo+

билайн Smart Box Turbo

билайн Smart Box GIGA

билайн Rotek RX-22302

билайн Rotek RX-22200

TP-Link EC225-G5

Поддерживаемые модели

Мы гарантируем их работу в сети билайн только с теми прошивками, которые размещены на нашем сайте:

Устаревшие роутеры билайн

Эти роутеры сняты с производства. Не рекомендуем их приобретать:

 

Не поддерживаемые модели

Все остальные роутеры не тестировались нами, либо уже устарели, поэтому мы не гарантируем стабильность их работы в сети билайн. Поддержка моделей, которых нет в списке «Рекомендованные» и «Поддерживаемые» нашими сотрудниками не осуществляется.

Здесь вы найдете общую информацию по настройке роутера.

 

Расширенные настройки роутеров

Здесь расположены расширенные настройки некоторых функций на роутерах. Данные настройки не производятся на горячей линии поддержки.

 

Подключение и эксплуатация роутера

Советы по использованию Wi-Fi роутера

Время на прочтение
8 мин

Количество просмотров 35K

Будучи абонентом Домашнего Интернет+ТВ от Билайн волей-неволей читаешь профильные форумы, видишь проблемы абонентов и пр. И вот среди этих «плачей Ярославны» определенно вырисовывается одна задача, которую либо никому не удалось осуществить, либо через костыли с обрезанным функционалом. А именно — передача IPTV на приставку через Wi-Fi. И вот недавно ко мне обратились за помощью именно с таким вопросом. Так как наш человек сначала делает, а потом думает, то ремонт в новой квартирке уже сделан, кабель каналов нет, RJ-45 розеток нет, красоту и эстетику портить никто не будет, а смотреть ТВ от Билайн на кухне хочется.

Что же делать?
Вырисовываются следующие задачи:
1) Выпустить все клиентские устройства (ноутбуки, компьютеры, планшеты и пр.) в интернет через Wi-Fi
2) На кухонный телевизор поставить арендованную у компании Билайн IPTV приставку и сделать так, чтобы она работала, с сохранением всего функционала.
Ну если первый пункт сложностей не вызывает, то второй заставляет задуматься.
Поскольку я являюсь приверженцем и давним пользователем продукции компании Mikrotik, то было принято решать возникшую проблему на оборудовании данного вендора. К тому же имеющийся сертификат MTCNA придавал сил и убеждал, что «не так страшен чёрт, как его малюют».
Итак, напомню принцип подключения абонентов Билайн к сети интернет.
Клиентское оборудование получает от DHCP-сервера «серый» адрес из подсети 10.0.0.0/8, что дает доступ к локальным ресурсам, L2TP-BRAS’ам, ну и собственно тут же бродит multicast нашего IPTV. Чтобы получить доступ непосредственно уже в саму сеть Интернет необходимо авторизоваться по L2TP-соединению по адресу tp.internet.beeline.ru. Данная схема в терминологии некоторых производителей домашних роутеров называется Russian Dual Access.
Выбор пал на маршрутизаторы RB/751G-2HnD.

Их характеристики:

— ОЗУ: 64MB DDR SDRAM
— Процессор: Atheros AR7241 400MHz CPU
— Жесткий диск: 64MB onboard NAND storage chip
— Частота: 2.4 ГГц
— Ethernet: 5 независимых портов 10/100/1000
— USB: 1 порт 2.0
— Питание: через ethernet-порт 1 8-30V DC, через джек 8-30V DC (БП в комплекте)
— Чувствительность: 802.11g: -96dBm @ 6Mbit/s to -81dBm @ 54Mbit/s, 802.11n: –96 dBm @ MCS0 to –78 dBm @ MCS7
— Усиление мощности: 802.11g: 30dBm @ 6Mbps to 27dBm @ 54 Mbps, 802.11n: 30dBm @ MCS0 to 26dBm @ MCS7
— мощность встроенного радиомодуля: 1W
— коэффициент усиления встроенных антенн: 2.5dBi
— Энергопотребление: до 7W
— ОС: RouterOS, уровень 4

Я не буду подробно описывать где найти winbox, что это и как им пользоваться. Этой информации очень много на просторах сети. Поэтому описывать буду тезисно, но с пояснениями.
На момент написания статьи версия ПО 5.24. Качаем ее здесь download2.mikrotik.com/routeros/5.24/routeros-mipsbe-5.24.npk закидываем в Files и перезагружаем роутер. На втором проделываем тоже самое.
Итак, определим для себя что R1 это будет роутер, куда приходит кабель от нашего провайдера, а R2 – это этакий Wi-Fi приемник для IPTV-приставки. Дефолтная конфигурация устройств предлагает нам DHCP-клиент на порту eth-1, а порты eth2-eth5 объединены в switch, плюс bridge к eth2 для wi-fi (wlan2) с dhcp-сервером в диапазоне 192.168.88.0/24.

Итак, настройка роутера R1

Подключаем к роутеру R1 кабель от билайна в eth1, а компьютер в eth2 и запускаем winbox. Соединяемся с 192.168.88.1 с логином admin и пустым паролем. В окне RouterOS Default Configuration жмем ОК.

Поскольку RouterOS не умеет в полях Connect-to использовать dns-имена, то предварительно, воткнув билайновский кабель в компьютер определяем адрес tp.internet.beeline.ru. В моем случае он оказался 10.255.255.239

/interface l2tp-client
add add-default-route=yes allow=pap,chap,mschap1,mschap2 connect-to=\
    10.255.255.239 dial-on-demand=no disabled=no max-mru=1460 max-mtu=1460 \
    mrru=disabled name=l2tp-out1 password=password profile=\
    default-encryption user=login

(в сети можно найти скрипты, которые будут сами определять текущий адрес браса tp.internet.beeline.ru и подставлять его в поле Connect-to. т.к. провайдер использует round-robin dns для определения менее загруженного браса)

Далее настраиваем два правила NAT. Одно для локальной сети, другое для интернета.
Заходим в IP-Firewall-NAT, удаляем правило default configuration, и создаем свои.

/ip firewall nat
add action=masquerade chain=srcnat disabled=no dst-address=10.0.0.0/8 \
    out-interface=ether1-gateway
add action=masquerade chain=srcnat disabled=no dst-address=!10.0.0.0/8 \
    out-interface=l2tp-out1

Проверяем оба правила:

Следующим шагом убираем членство wlan1 в бридже c ether2 и включаем его в бридж к ether1. Для этого открываем Bridge, создаем новый мост с именем, например, tv-wifi-bridge, а на вкладке Ports добавляем к нему интерфейсы wlan1 и ether1-gateway.

/interface bridge
add admin-mac=D4:CA:6D:20:E2:49 ageing-time=5m arp=enabled auto-mac=no \
    disabled=no forward-delay=15s l2mtu=1598 max-message-age=20s mtu=1500 name=\
    bridge-local priority=0x8000 protocol-mode=rstp transmit-hold-count=6
add admin-mac=00:00:00:00:00:00 ageing-time=5m arp=enabled auto-mac=yes \
    disabled=no forward-delay=15s l2mtu=1598 max-message-age=20s mtu=1500 name=\
    tv-wifi-bridge priority=0x8000 protocol-mode=none transmit-hold-count=6
/interface bridge port
add bridge=bridge-local disabled=no edge=auto external-fdb=auto horizon=none \
    interface=ether2-master-local path-cost=10 point-to-point=auto priority=\
    0x80
add bridge=tv-wifi-bridge disabled=no edge=auto external-fdb=auto horizon=none \
    interface=wlan1 path-cost=10 point-to-point=auto priority=0x80
add bridge=tv-wifi-bridge disabled=no edge=auto external-fdb=auto horizon=none \
    interface=ether1-gateway path-cost=10 point-to-point=auto priority=0x80

Т.к. Iptv приставка тоже получает свой адрес от dhcp провайдера, то нам требуется изменить интерфейс dhcp-клиента. Если помните, то он назначен только на ether1. Переназначаем его на Bridge tv-wifi-bridge.

/ip dhcp-client
add add-default-route=yes comment="default configuration" \
    default-route-distance=1 disabled=no interface=tv-wifi-
    use-peer-dns=yes use-peer-ntp=yes

Теперь пришло время настраивать беспроводную часть нашей затеи. В первую очередь подготовим точку доступа именно для iptv приставки. Здесь нет ничего необычного, типовая настройка, за исключением самого важного пункта. Это Multicast Helper. Он должен стоять в положении full.

/interface wireless
set 0 adaptive-noise-immunity=none allow-sharedkey=no antenna-gain=0 antenna-mode=\
    ant-a area="" arp=enabled band=2ghz-b/g/n basic-rates-a/g=6Mbps basic-rates-b=\
    1Mbps bridge-mode=enabled channel-width=20/40mhz-ht-above compression=no \
    country=no_country_set default-ap-tx-limit=0 default-authentication=yes \
    default-client-tx-limit=0 default-forwarding=yes dfs-mode=none \
    disable-running-check=no disabled=no disconnect-timeout=3s distance=indoors \
    frame-lifetime=0 frequency=2412 frequency-mode=manual-txpower frequency-offset=0 \
    hide-ssid=no ht-ampdu-priorities=0 ht-amsdu-limit=8192 ht-amsdu-threshold=8192 \
    ht-basic-mcs=mcs-0,mcs-1,mcs-2,mcs-3,mcs-4,mcs-5,mcs-6,mcs-7 ht-guard-interval=\
    any ht-rxchains=0,1 ht-supported-mcs="mcs-0,mcs-1,mcs-2,mcs-3,mcs-4,mcs-5,mcs-6,m\
    cs-7,mcs-8,mcs-9,mcs-10,mcs-11,mcs-12,mcs-13,mcs-14,mcs-15,mcs-16,mcs-17,mcs-18,m\
    cs-19,mcs-20,mcs-21,mcs-22,mcs-23" ht-txchains=0,1 hw-fragmentation-threshold=\
    disabled hw-protection-mode=none hw-protection-threshold=0 hw-retries=7 l2mtu=\
    2290 mac-address=D4:CA:6D:20:E2:4D max-station-count=2007 mode=ap-bridge mtu=\
    1500 multicast-helper=full name=wlan1 noise-floor-threshold=default \
    nv2-cell-radius=30 nv2-noise-floor-offset=default nv2-preshared-key="" nv2-qos=\
    default nv2-queue-count=2 nv2-security=disabled on-fail-retry-time=100ms \
    periodic-calibration=default periodic-calibration-interval=60 preamble-mode=both \
    proprietary-extensions=post-2.9.25 radio-name=D4CA6D20E24D rate-selection=\
    advanced rate-set=default scan-list=default security-profile=default ssid=tv \
    station-bridge-clone-mac=00:00:00:00:00:00 supported-rates-a/g=\
    6Mbps,9Mbps,12Mbps,18Mbps,24Mbps,36Mbps,48Mbps,54Mbps supported-rates-b=\
    1Mbps,2Mbps,5.5Mbps,11Mbps tdma-period-size=2 tx-power-mode=default \
    update-stats-interval=disabled wds-cost-range=50-150 wds-default-bridge=none \
    wds-default-cost=100 wds-ignore-ssid=no wds-mode=disabled wireless-protocol=any \
    wmm-support=disabled

Шифрование настраиваете по своему вкусу через Security Profiles, останавливаться на этом я не стану.

Теперь создаем виртуальную точку доступа, через которую будут попадать в интернет все наши остальные железки (телефоны, планшеты, ноутбуки и пр.). Но сначала добавьте еще один security-profile, чтобы не запутаться.

/interface wireless security-profiles
add authentication-types=wpa2-psk eap-methods="" group-ciphers=aes-ccm \
    group-key-update=5m interim-update=0s management-protection=allowed \
    management-protection-key="" mode=dynamic-keys name=inet-sec \
    radius-eap-accounting=no radius-mac-accounting=no \
    radius-mac-authentication=no radius-mac-caching=disabled \
    radius-mac-format=XX:XX:XX:XX:XX:XX radius-mac-mode=as-username \
    static-algo-0=none static-algo-1=none static-algo-2=none static-algo-3=\
    none static-key-0="" static-key-1="" static-key-2="" static-key-3="" \
    static-sta-private-algo=none static-sta-private-key="" \
    static-transmit-key=key-0 supplicant-identity="" tls-certificate=none \
    tls-mode=no-certificates unicast-ciphers=aes-ccm wpa-pre-shared-key="" \
    wpa2-pre-shared-key=blablabla

Ну и сама VirtualAP

/interface wireless
add area="" arp=enabled bridge-mode=enabled default-ap-tx-limit=0 \
    default-authentication=yes default-client-tx-limit=0 default-forwarding=yes \
    disable-running-check=no disabled=no hide-ssid=no l2mtu=2290 mac-address=\
    D6:CA:6D:20:E2:4D master-interface=wlan1 max-station-count=2007 mtu=1500 \
    multicast-helper=default name=wlan2 proprietary-extensions=post-2.9.25 \
    security-profile=inet-sec ssid=Inet update-stats-interval=disabled \
    wds-cost-range=0 wds-default-bridge=none wds-default-cost=0 wds-ignore-ssid=no \
    wds-mode=disabled wmm-support=disabled

И добавляем полученный wlan2 в бридж к ether2

/interface bridge
add bridge=bridge-local disabled=no edge=auto external-fdb=auto horizon=none \
    interface=wlan2 path-cost=10 point-to-point=auto priority=0x80

На этом настройки роутера R1 закончены. Проводные девайсы выходит в интернет через порты 2-5, беспроводные через точку доступа wlan2 с SSID “Inet”

Настройка роутера R2

Настройка данного роутера вообще банальна. Т.к. Имея дефолтную конфигурацию, нам необходимо всего лишь выполнить сканирование эфира, найти точку с ssid “tv” и нажать кнопку Connect. Если вы используете шифрование, то сделать соответствующие поправки в Security profiles. После этого необходимо ether2 убрать из бриджа, а вместо него добавить ehter1. Осторожно! После этого вы потеряете соединение с роутером и winbox закроется.

Включаем приставку в порт eth1 и всё готово.

Здесь видим записывающийся канал 1HD и одновременную закачку файла. Правда, по такой схеме мне не удалось из VirtualAP выжать больше 7-8 Мегабит.
Загрузка процессора роутера, использующегося как точка доступа при такой картине не превышала 34-37% Скорость переключения каналов на глаз не отличается от кабельного подключения.
Во время экспериментов пробовал пустить через IGMP – proxy. Вроде и работает, но HD-каналы фризятся, ввод pin-кодов не работает, запись не работает.
Также был испробован метод, когда физический AP использовался для интернета, а VirtualAP для телевидения. В данном случае скорость передачи составляла не больше 1Мбит, что естественно недопустимо мало для просмотра ТВ. Вместо видеоряда были стоп-кадры, сменяющие друг друга раз в 30 секунд.
На этом эксперимент считаю удачным и оконченным. Имеется широкий простор для дальнейшего тюнинга. Готов ответить на все вопросы. Спасибо за внимание.

Здравствуйте, уважаемые читатели!

Предпосылкой к этой статье послужила просьба одной знакомой помочь наладить дома интернет и как говорится «чтобы работало хорошо». Ранее в квартире стоял роутер TP-Link не самой дорогой и производительный, что-то вроде модели TL-WR841N. Провайдером выступает Beeline, который дополнительно предоставлял приставку для телевидения. И вот тут возникали различные проблемы на стыке типа авторизации, подключения ТВ приставки и стабильности самого роутера(которая оставляла желать…)

Я решил исправить ситуацию с помощью, вполне производительного для дома, роутера MikroTik hAP ac2 (RBD52G-5HacD2HnD-TC)
Скажу заранее, все исправно работает больше года и не смеет давать даже намека на какие-то проблемы (чтд). Так что берите на вооружение 😉

У компании Beeline достаточно долго использовался тип подключения PPP/L2TP и он возможно все еще используется. И сейчас можно говорить о двух способах авторизации:

• Устаревший: L2TP VPN (как напрямую с ПК так и через роутер)
• Текущий: IPoE(Internet Protocol over Ethernet) и Web авторизация — Для получения доступа в Интернет нужна однократная авторизация на веб-странице.

Правда я не являюсь счастливым обладателем интернета от компании Beeline и сужу только по тому что видел и вычитал на просторах интернета.
Во всяком случае тип подключения PPP/L2TP VPN является устаревшим и на его место приходит IPoE.
Я правда не совсем понимаю сакрального перехода на этот тип авторизации, когда у других провайдеров прекрасно работает обычная привязка в личном кабинете по MAC адресу. Ну да ладно, это особенности провайдера, видимо им там виднее.

Я рекомендую позвонить в Beeline (или написать), если вы не уверены в том, какой тип авторизации используется на текущий момент.

Также в других регионах, что-то может отличаться. В статье я привожу пример для Москвы.

Если я что-то упустил по типам авторизации билайна, то поправьте меня в комментариях.

Начнем с краткого обзора самого роутера т.к. про него в моем блоге еще ничего не было сказано.

Краткий обзор hAP ac2

Внешний вид вполне неплох. Вместо типовых белых коробок компания MikroTik предлагает приятный дизайн. Более того в интернете Вы найдете достаточно большое количество обзоров на этот роутер в том числе и с разбором компонентной базы. Правда я остановлюсь на одном пункте чуть ниже.

• 
• 
• 
• 

Пробежимся по характеристикам роутера.

Спецификация

Код продукта (Product code)	RBD52G-5HacD2HnD-TC
Архитектура (Architecture)	ARM 32bit
Процессор (CPU)	IPQ-4018
Кол-во ядер процессора (CPU core count)	4
Базовая частота процессора (CPU nominal frequency)	716 MHz
Лицензия ОС (RouterOS license)	4
Операционная система (Operating System)	RouterOS v6, v7
Размер оперативной памяти (Size of RAM)	128 MB (есть версии с 256 MB)
Размер хранилища (Storage size) «в том числе для ОС»	16 MB
Тип хранилища (Storage type)	FLASH
Сетевые порты шт. (10/100/1000 Ethernet ports)	5
Наработка на отказ (MTBF)	Approximately 100’000 hours at 25C
Протестирован при температуре (Tested ambient temperature)	-40°C to 50°C
Аппаратное ускорение IPsec (IPsec hardware acceleration)	Yes
Габариты (Dimensions)	34 x 119 x 98mm

Вместе с искомым роутером вы получите:

• Блок питания на 24V 0.8A (19.2 Вт)
• Ножка подставка
• Шурупы и дюбеля для крепления на стену
• Инструкция по монтажу
• Инструкция по быстрой настройке

Беспроводная связь

Wireless 2.4 GHz Max data rate	300 Mbit/s
Wireless 2.4 GHz number of chains	2
Wireless 2.4 GHz standards	802.11b/g/n
Antenna gain dBi for 2.4 GHz	2.5
Wireless 2.4 GHz chip model	IPQ-4018
Wireless 2.4 GHz generation	Wi-Fi 4
Wireless 5 GHz Max data rate	867 Mbit/s
Wireless 5 GHz number of chains	2
Wireless 5 GHz standards	802.11a/n/ac
Antenna gain dBi for 5 GHz	2.5
Wireless 5 GHz chip model	IPQ-4018
Wireless 5 GHz generation	Wi-Fi 5
AC speed	AC1200

Периферия

Кол-во USB портов (Number of USB ports)	1
Функция отключения питания от USB (USB Power Reset)	Yes
Тип USB порта (USB slot type)	USB type A
Максимальный ток отдаваемый USB портом (Max USB current (A))	1

Производитель предоставляет удобную блок диаграмму устройства

Сердцем выступает 4 ядерный CPU от компании Qualcomm IPQ4018 на ядрах ARM A7
Он же имеет встроенный Switch чип Atheros AR8327, который подключен к физике QCA8075 по шине в 2 Gbit/s (странно, что на диаграмме GB/s)

Тут хотелось бы остановиться подробнее, т.к. в некоторых обзорах ошибочно полагают, что в роутере используется не Switch чип AR8327, а чип QCA8075, что не корректно от слова совсем и вводит в заблуждение. По факту, чип QCA8075 реализует физический уровень взаимодействия с Ethernet портами (QCA8075-spec: Ethernet transceiver is a 5-port, 10/100/1000 Mbps tri-speed Ethernet PHY), а AR8327 это именно что Switch, реализующий MAC уровень (он же отображается в RouterOS) и это правильно! (IPQ4018-spec: Supports external gigabit Ethernet PHYs via PSGMII or SGMII)
Запомните, QCA8075 не заменяет AR8327, они работают совместно!

Если кому необходимо, то можете изучить спецификации на чип QCA8075 и CPU IPQ4018

Помимо 4х вычислительных ядер, в CPU IPQ4018 реализовано еще два отдельных ядра для Wi-Fi 2.4GHz и Wi-Fi 5GHz, это позволяет разгрузить основные ядра процессора. (Dual Wi-Fi subsystem with Qualcomm® VIVE™ technology)
А вот функции типа Beamforming в RouterOS не реализовано, хоть они и поддерживаются в CPU. Вернее идет этап реализации wifiwave2 на базе «новой» RouterOS 7, куда входит и WPA3 и MU-MIMO и Beamforming. (06.12.2021 версия 7.1 вышла в ветку Stable)
Вот только MikroTik придется постараться, чтобы уместить ОС с новым драйвером и новым Linux ядром в их любимые 16 MB, которые стоят почти везде.

Роутер практически не содержит никакой дополнительной периферии, как например те же RB750Gr3(hEX) и RB760iGS(hEX S). Нам доступен только порт USB2.0 Type A, который может отдавать подключенным к нему потребителям ток не более 1А.

Судя по сторонним тестам, роутер потребляет не более 5-6Вт при максимальной нагрузке, что приятно.

Но думаю хватит про железо, перейдем непосредственно к настройке роутера.

Настройка hAP ac2

Настройки выполнены на прошивке: 6.48.5 (Long-term)

Основной особенностью тут будет подключение TV приставки т.к. она должна быть подключена как бы напрямую в сеть провайдера. Это значит нам придется делать WAN Bridge который будет пропускать трафик TV приставки и через него же роутер будет смотреть в интернет. Также мы включим аппаратную разгрузку для WAN Bridge, чтобы трафик от приставки не мешал роутеру и роутер не мешал приставке.

Подключим Ethernet кабеля в следующем порядке.
Красный Eth1 — Кабель провайдера;
Синий Eth2 — Кабель к TV приставке;
Зеленый Eth3 — Локальный (ПК/Ноутбук)

На ПК для сетевого интерфейса устанавливаем статический IP 192.168.88.5 и маску сети 255.255.255.0
Это нужно т.к. у роутера отсутствует IP адрес после сброса всех настроек.

Открываем утилиту WinBox (Подробнее: Тут и Тут)

Как обычно сбрасываем все заводские настройки, они нам не понадобятся!

Консольно:

/system reset-configuration no-defaults=yes skip-backup=yes

После этой процедуры, у роутера не будет IP адреса, поэтому подключаемся по MAC адресу.
Все настройки будут сброшены, начнем настройку:

Настройка интерфейсов

Переходим к сетевым интерфейсам в раздел Interfaces и пока просто переименовываем их, чтобы было удобнее.

ether1 => WAN-Eth1-beeline
ether2 => WAN-Eth2-TV
ether3 => LAN-Eth3
ether4 => LAN-Eth4
ether5 => LAN-Eth5
wlan1 => LAN-wifi24ghz
wlan2 => LAN-wifi5ghz

Начало имени WAN и LAN даст удобную сортировку по имени в таблице со списком интерфейсов. Немного эстетики не повредит 🙂

Консольно:

/interface ethernet
set [find default-name=ether1] name=WAN-Eth1-beeline
set [find default-name=ether2] name=WAN-Eth2-TV
set [find default-name=ether3] name=LAN-Eth3
set [find default-name=ether4] name=LAN-Eth4
set [find default-name=ether5] name=LAN-Eth5
/interface wireless
set [find default-name=wlan1] name=LAN-wifi24ghz
set [find default-name=wlan2] name=LAN-wifi5ghz

Далее создадим два сетевых моста WAN-Bridge и LAN-Bridge, добавим в них необходимые интерфейсы.

• 
• 

Добавляем порты WAN-Eth1-beeline и WAN-Eth2-TV в WAN-Bridge.
Тоже самое проделываем с портами LAN (LAN-Eth3, LAN-Eth4, LAN-Eth5, LAN-wifi24ghz, LAN-wifi5ghz), но добавляем их соответственно в LAN-Bridge.
Для портов WAN включим Hardware offload. Для портов LAN включать не будем. Это делаем специально для TV приставки, чтобы обработка потока для неё происходила на уровне Switch чипа.
Соответственно нет необходимости включать Fast Forward для моста WAN-Bridge т.к. мы включили для входящих в него портов аппаратную разгрузку (Hardware offload)

• 
• 

Консольно:

/interface bridge
add name="WAN-Bridge" comment="WAN" mtu=1500 fast-forward=no protocol-mode=none
add name="LAN-Bridge" comment="LAN" mtu=1500 fast-forward=yes igmp-snooping=yes protocol-mode=none
/interface bridge port
add bridge=WAN-Bridge interface=WAN-Eth1-beeline
add bridge=WAN-Bridge interface=WAN-Eth2-TV
add bridge=LAN-Bridge hw=no interface=LAN-Eth3
add bridge=LAN-Bridge hw=no interface=LAN-Eth4
add bridge=LAN-Bridge hw=no interface=LAN-Eth5
add bridge=LAN-Bridge interface=LAN-wifi24ghz
add bridge=LAN-Bridge interface=LAN-wifi5ghz

Подготовим списки интерфейсов. Для чего они нужны подробнее тут: MikroTik RouterOS — Списки интерфейсов «Interface List»

Создаем списки интерфейсов:
WAN
LAN

Привязываем интерфейсы к спискам

Консольно:

/interface list
add name=WAN
add name=LAN
/interface list member
add interface=LAN-Bridge list=LAN
add interface=WAN-Bridge list=WAN

Безопасность

Надо бы улучшить безопасность нашего роутера перед тем, как продолжить его настройку. Многие спустя рукава относятся к такого рода вещам, а потом в интернете мы видим статьи о ботнетах на роутерах MikroTik. Если кому интересно, то почитайте про ботнет Mēris. Я думаю Вы не захотите, чтобы Ваш роутер выступал в роли «солдата» в армии очередного ботнета.
Тут мы сменим пользователя по умолчанию, отключим лишние сервисы и порты по умолчанию, а также направим Neighbors с MAC Server на путь истинный.

Удаляем или отключаем админа и добавляем своего пользователя (тоже с правами админа)

Консольно:

/user
add name="hello_neo" password="1234567890" group=full
set admin disabled=yes

Настраиваем Neighbors и MAC Server

• 
• 
• 

Консольно:

/ip neighbor discovery-settings
set discover-interface-list=!WAN
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Отключаем лишние сервисы, оставляем только нужные и позволяем подключаться к ним только из локальной сети.
Если у Вас присутствует режим «paranoid», то можете еще и номер порта изменить.

/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set winbox address=192.168.88.0/24 disabled=no
set api-ssl disabled=yes

Осталось только отключить сервис порты.
У меня включен только pptp т.к. без него не работает VPN в роутере.

Консольно:

/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set pptp disabled=yes
set h323 disabled=yes
set sip disabled=yes
set udplite disabled=yes
set dccp disabled=yes
set sctp disabled=yes

На этом с безопасностью пока можно закончить.
Конечно это еще не все и нужна более тонкая настройка Firewall для пущей безопасности, но об этом ниже по тексту.

Настройка Wireless

Далее настроим Wi-Fi. Про это я ранее уже писал, с тех пор особо ничего не изменилось, поэтому расписывать, что есть что, не буду. Просто оставлю ссылку на статью, рекомендую к ознакомлению:
Создание домашней сети на базе устройств MikroTik: Часть 2 — Настройка hAP ac

• 
• 
• 
• 

• 
• 
• 
• 

Консольно:

/interface wireless security-profiles
add authentication-types=wpa2-psk disable-pmkid=yes eap-methods="" group-key-update=1h mode=dynamic-keys name=gost supplicant-identity=GOST wpa2-pre-shared-key=1234567890

/interface wireless
set LAN-wifi24ghz adaptive-noise-immunity=ap-and-client-mode antenna-gain=0 band=2ghz-onlyn basic-rates-b="" channel-width=20/40mhz-XX country=russia3 disabled=no disconnect-timeout=15s distance=indoors frequency=2437 hw-protection-mode=rts-cts hw-retries=10 installation=indoor mode=ap-bridge on-fail-retry-time=1s security-profile=gost ssid=GOST station-roaming=enabled supported-rates-b="" wireless-protocol=802.11 wmm-support=enabled wps-mode=disabled

/interface wireless
set LAN-wifi5ghz adaptive-noise-immunity=ap-and-client-mode antenna-gain=0 band=5ghz-onlyac channel-width=20/40/80mhz-XXXX country=russia3 disabled=no disconnect-timeout=15s distance=indoors frequency=auto hw-protection-mode=rts-cts hw-retries=10 installation=indoor mode=ap-bridge on-fail-retry-time=1s security-profile=gost ssid=GOST5G station-roaming=enabled wireless-protocol=802.11 wmm-support=enabled wps-mode=disabled

/interface wireless nstreme
set LAN-wifi5ghz enable-polling=no
set LAN-wifi24ghz enable-polling=no

Настройка сети

Теперь настроим локальную сеть. Установим IP адрес роутера, укажем пул IP адресов для локальных клиентов и настроим DHCP сервер для них. Все это также ранее фигурировало в статьях.

• 
• 
• 
• 

Консольно:

/ip address
add address=192.168.88.1/24 comment=LAN interface=LAN-Bridge network=192.168.88.0

/ip pool
add name=LAN-pool ranges=192.168.88.2-192.168.88.254

/ip dhcp-server
add address-pool=LAN-pool bootp-lease-time=lease-time bootp-support=dynamic disabled=no interface=LAN-Bridge lease-time=3d name=LAN-dhcp
/ip dhcp-server network
add address=192.168.88.0/24 dns-server=192.168.88.1 gateway=192.168.88.1 netmask=24

Настройка межсетевого экрана (Firewall) и DNS

Тут настроим роутер на обработку DNS запросов и перейдем к настройке Firewall Filter, Firewall NAT и Firewall Raw

/ip dns
set allow-remote-requests=yes

Firewall я буду применять тот, который я выработал для себя и он себя отлично показывает все то время, что у меня стоят роутеры компании MikroTik.
Если Вы хотите знать больше, то вот статьи по тому как и что я настраивал:
Создание домашней сети на базе устройств MikroTik: Часть 6 — Firewall защита доступа
Создание домашней сети на базе устройств MikroTik: Часть 7 — Firewall правильное перенаправление портов в сети с двумя шлюзами
MikroTik : RouterOS : Стучимся к себе домой. Firewall Filter PortKnocking

Получилось много скриншотов Firewall Filter (28 шт.)

• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 
• 

/ip firewall filter
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward comment="ALLOW - Established and Related connections" connection-state=established,related
add action=accept chain=input connection-state=established,related
add action=drop chain=forward comment="DROP - Invalid connections" connection-state=invalid
add action=drop chain=input connection-state=invalid
add action=jump chain=input comment="DDoS - SYN flood protection" connection-state=new in-interface-list=WAN jump-target=SYN-Protect protocol=tcp tcp-flags=syn
add action=return chain=SYN-Protect limit=200,5:packet tcp-flags=""
add action=add-src-to-address-list address-list=ddos-blacklist address-list-timeout=1w3d chain=SYN-Protect log-prefix="DDoS: SYN-Protect" tcp-flags=""
add action=jump chain=input comment="DDoS - Main protection" connection-state=new in-interface-list=WAN jump-target=DDoS-Protect
add action=return chain=DDoS-Protect dst-limit=15,15,src-address/10s
add action=add-src-to-address-list address-list=ddos-blacklist address-list-timeout=1w3d chain=DDoS-Protect log-prefix="DDoS: MAIN-Protect"
add action=drop chain=input comment="DROP - Block all other input/forward connections on the WAN" in-interface-list=WAN
add action=drop chain=forward in-interface-list=WAN

Остального сильно меньше 🙂

• 
• 
• 

/ip firewall raw
add action=drop chain=prerouting comment="DDoS - Drop blacklist IP" in-interface-list=WAN src-address-list=ddos-blacklist

И остается только NAT для корректной работы интернета.
Если у Вас есть статический IP от провайдера, то вы можете использовать src-nat вместо masquerade, при этом нужно будет изменить правило!

• 
• 
• 

/ip firewall nat
add action=masquerade chain=srcnat comment="Masquerade" ipsec-policy=out,none out-interface-list=WAN

Бонус: Если статический IP от провайдера. Для примера возьмем IP 1.2.3.4

/ip firewall nat
add action=src-nat chain=srcnat comment="SRC-NAT - Internet out" ipsec-policy=out,none out-interface-list=WAN src-address=192.168.88.0/24 to-addresses=1.2.3.4

Осталось настроить подключение к провайдеру

Подключение к провайдеру

Т.к. мы используем IPoE от Билайна, IP адрес получаем по DHCP.
DHCP client вешаем соответственно на WAN-Bridge.

Тут есть один момент. Самое долгое, на что я потратил много времени, это общение со специалистами билайна т.к. DHCP-Client никак не хотел получать IP.
Также в инструкциях Билайна написано про страницу авторизации после получения IP. У меня её не было т.е. никакие логины пароли вводить не понадобилось. После получения IP адреса все заработало.

• 
• 

/ip dhcp-client
add disabled=no interface=WAN-Bridge use-peer-ntp=no

Рюшечки (время, идентификация, авто-обновление)

Дополнительно можно настроить синхронизацию времени через NTP, изменить идентификатор роутера и настроить автоматическое обновление.
Конечно это все совершенно не обязательно, все и так уже будет работать.

Время и синхронизация
Тут соответственно ставите свою временную зону.

• 
• 
• 

Консольно:

/system clock
set time-zone-autodetect=no time-zone-name=Europe/Moscow
/ip cloud
set update-time=no
/system ntp client
set enabled=yes primary-ntp=88.147.254.235 secondary-ntp=88.147.254.228

Идентификация (Hostname)

/system identity
set name=GOST-AC2

Автоматическое обновление.
А вот тут конечно вариантов несколько. Есть встроенная функция авто-обновления, но меня она не устраивает. Я для этого использую скрипты и планировщик. Т.к. это продвинутые функции, тут будет только код.

Немного про сам код. Используются два скрипта. Первый проводит начальную инициализацию переменных, а второй уже выполняет обновление и задействует отправку уведомлений на почту о появлении нового обновления и начале самого процесса обновления.

initparam
Помимо инициализации переменных скрипт обновляет загрузчик сразу после включения если это требуется.

# Initialization of primary parameters

:delay 10s

# Yandex SMTP
:global SMTPIP
:do {
   :set $SMTPIP [:resolve "smtp.yandex.ru"]
} on-error={
   :set $SMTPIP 213.180.204.38
}


# Sending Email
:global LOGIN "your_source_email@yandex.ru"
:global PASS "your_source_email_password"
:global TOMAIL "target_email@gmail.com"

# System Information
:global NAME [/system identity get name]

# Check the version of the bootloader
:local NOWBOOT [/system routerboard get current-firmware]
:local NEWBOOT [/system routerboard get upgrade-firmware]
:if ($NOWBOOT!=$NEWBOOT) do={
   :log warning "initparam: Start Update bootloader..."
   /system routerboard upgrade
   :delay 3s
   /system reboot
   :delay 1s
}

autoupdate
Я обновляю исключительно на long-term ветку.

# Automatic firmware update script
#

# Choosing where to get updates
/system package update set channel=long-term
/system package update check-for-updates

# Initialization
:global SMTPIP
:global LOGIN
:global PASS
:global TOMAIL
:global NAME

# Check the compliance of firmware versions
:local CURRVER [/system package update get installed-version]
:local NEWVER [/system package update get latest-version]
:if ($CURRVER!=$NEWVER) do={
   :log warning "autoupdate: Start Update process..."
   :do {
      /tool e-mail send from="<$LOGIN>" to=$TOMAIL server=$SMTPIP port=587 user=$LOGIN password=$PASS start-tls=yes subject=("The " . $NAME . " router started updating on new firmware " . $NEWVER) body=("Router started updating on new firmware " . $NEWVER . "\nTime and Date stamp: " . [/system clock get time] . " - " . [/system clock get date])
   } on-error={
      :log error "autoupdate: Failed to send email - (Start Update process...)"
   }
   
   :log warning "autoupdate: Current Firmware = $"CURRVER""
   :log warning "autoupdate: New Firmware = $"NEWVER""
   
   /file remove [find type="package"]
   
   # Download and Install the new version
   /system package update install
   :log warning "autoupdate: Download New Firmware Complete. Run install."
   :delay 1s
}

Эти скрипты я запускаю через планировщик(Scheduler) так:
initparam — 1 раз при старте.
autoupdate — каждый день в 4 утра.

Заключение

Вот собственно и вся настройка. Приставка без проблем работает через роутер, а роутер не напрягаясь обслуживает домашние сетевые устройства.
Надеюсь данная статья поможет начинающим и опытным настройщикам.
Единственной проблемой с которой я столкнулся в процессе это выяснение типа авторизации у Билайна. Но благо техподдержка помогла разобраться и перевела абонента на IPoE, пусть и не без вопросов.

Если у Вас есть какая-то информация по поводу настроек, их оптимизации, смело пишите об этом в комментариях.
Ах да и по поводу типов авторизации было бы приятно почитать знающих людей 🙂

Благодарю за ваше время!

Всего хорошего на просторах Интернета 😉