📡 MikroTik hAP ac³ - настраиваем Wi-Fi правильно и безопасно

Я купил себе новый роутер - MikroTik hAP ac³ - и решил сделать с ним не «абы как, лишь бы работало», а нормально и безопасно, так, как это делается в осознанных сетях.

Цель простая и честная: настроить Wi-Fi максимально грамотно с точки зрения безопасности, без лишней магии, но с пониманием того, что мы делаем и зачем.

В этом гайде мы шаг за шагом:

Это не теория и не переписанный мануал.

Это практика, собранная по ходу реальной настройки нового устройства - так, как я бы делал это в своей сети.

А дальше - будет ещё интереснее: это лишь этап.В следующих шагах сеть станет взрослее.

Начинаем с самого простого - физического подключения и первичного входа в роутер.

Никакой магии, всё максимально приземлённо.

На этом этапе Wi-Fi можно вообще не трогать - настраиваемся по проводу, так надёжнее.

Так как роутер новый (или сброшен к заводским настройкам), подключаемся к нему напрямую.

На компьютере:

Параметры такие:

Это временно - только для первичной настройки.

Для работы с MikroTik будем использовать Winbox - это самый удобный способ управления.

Данные для входа по умолчанию:

После входа ты увидишь чистую, заводскую конфигурацию - с этого момента мы начинаем наводить порядок 😌

Вот здесь мы уже полностью контролируем устройство и можем двигаться дальше:приводить базовую конфигурацию в порядок и готовить почву под безопасный Wi-Fi.

Мы уже подключились к роутеру через Winbox и видим его интерфейс.Теперь настраиваем WAN-подключение, то есть интернет от провайдера.

В нашем случае WAN - это порт ether1, в который подключён кабель провайдера.

📌 Если ether1 не running - сначала проверяем кабель и порт.

Так как в большинстве случаев провайдер выдаёт интернет по DHCP, настраиваем DHCP-клиент.

Остальные параметры оставляем по умолчанию.

📌 После этого MikroTik должен автоматически получить IP-адрес от провайдера.

Теперь важно убедиться, что роутер действительно получил доступ в интернет.

Если пинг проходит - значит:

WAN настроен корректно, и роутер уже имеет доступ в интернет.

На этом этапе:

Наша задача здесь одна - убедиться, что WAN работает стабильно.Это основа для всех следующих шагов.

Теперь, когда WAN уже работает, настраиваем LAN - внутреннюю сеть, к которой будут подключаться устройства.

Пока без VLAN, без RADIUS и без усложнений. Наша задача - чистая и понятная база.

В MikroTik все LAN-порты обычно объединяются в bridge - это логика обычного коммутатора.

Параметры:

Нажимаем OK.

Теперь подключаем физические порты к bridge.

📌 Порт ether1 (WAN) не добавляем в bridge.

Теперь задаём IP-адрес для внутренней сети.

![[Pasted image 20260128124805.png]]

Это будет:

Чтобы устройства автоматически получали адреса, поднимаем DHCP.

После завершения DHCP-сервер будет активен.

Подключаем компьютер к любому LAN-порту:

Если всё работает - значит:

внутренняя сеть настроена корректно и готова к дальнейшим шагам.

Это та база, от которой мы будем дальше:

Перед настройкой современного и безопасного Wi-Fi важно понимать один момент:

стандартный пакет wireless в RouterOS ограничени не позволяет корректно использовать WPA3

Поэтому для дальнейшей настройки мы будем использовать новый Wi-Fi стек MikroTik - wifi-qcom-ac.

wifiwave2 - это новый беспроводной пакет MikroTik, который:

Если его не установить - дальше просто нет смысла идти.

📌 На этом этапе ничего не удаляем.

Вместо Enable у вас будет - Install

Теперь в меню Winbox:

👉 Это означает, что роутер готов к современной настройке Wi-Fi.

С этого шага:

Именно с этим пакетом мы дальше:

После установки пакета wifiwave2 вся дальнейшая работа с беспроводной сетью выполняется через новый раздел WiFi, а не через старый Wireless.

Наша цель на этом шаге -

👉 поднять рабочий и безопасный Wi-Fi по PSK, который станет базой для следующего перехода к RADIUS.

Если интерфейсы disabled - включаем их (Enable).

Теперь настраиваем безопасность Wi-Fi.

📌 Оставляем WPA2 + WPA3 - это повышает совместимость со старыми устройствами.

Нажимаем OK.

Теперь связываем SSID, безопасность и режим работы.

Нажимаем OK.

📌 Это позволяет Wi-Fi-клиентам попадать в LAN.

Подключаемся с любого устройства:

Если всё это есть - значит:

Wi-Fi по PSK настроен корректно и стабильно.

Этот вариант - осознанная база, а не финал:

Дальше мы будем:

👉 усиливать безопасность👉 отключать лишнее👉 переходить на RADIUS / 802.1X

На этом этапе считаем, что:

Теперь приводим всё в более безопасное состояние.

📌 Пустой пароль - это только для первого входа. Дальше - никогда.

👉 В идеале:

Переходим в WiFi → ConfigurationsОткрываем нашу конфигурацию (wifi-main).

📌 Чем меньше “умных” фич - тем меньше поверхность атаки.

В WiFi → Security:

Это особенно важно для WPA3 -

безопасность должна быть реальной, а не «на бумаге».

В настройках безопасности Wi-Fi можно выбрать разные алгоритмы шифрования. Кратко - что это и что выбирать

👉 Оптимальный выбор по умолчанию

👉 Можно использовать, но только если все клиенты современные

👉 Избыточен для домашней и SOHO-сети

👉 Только для специализированных сценариев

Для стабильной, безопасной и совместимой сети:

Используем: CCMP (AES)

Без TKIP, без legacy-алгоритмов.

Это даёт:

Если в сети будут:

👉 можно включить Client Isolation в Datapath.

Пока:

Мы сделали:

Это базовый security hardening, без фанатизма, но уже на уровне:

«так не стыдно оставить в реальной сети»

Дальше - самое вкусное 😌

👉 Шаг 7: переход на RADIUS / 802.1X👉 персональная аутентификация👉 взрослая архитектура