MikroTik + OPNsense - База должна жить

OPNsense становится центром, MikroTik — аккуратным “радио-мостом”, а сеть перестаёт быть мифическим существом.

Цель шага: получить стабильную базу, гдеOPNsense = единственный gateway + DHCP + DNS,а MikroTik = чистый AP/Bridge (без маршрутизации, NAT и DHCP).

Если на этом шаге всё ок — дальше VLAN/RADIUS зайдут спокойно, без истерик и “почему не пингуется” 😄

WAN — это внешний интерфейс OPNsense, который смотрит в сторону провайдера/модема/ONT.

У “WAN поднят” есть 3 признака:

💡 Сноска (термин):

Default route / маршрут по умолчанию — правило “всё, что не локальное → отправляй туда-то”, обычно в сторону провайдера.

Открываем WebGUI → Interfaces → WAN:

Дальше: System → Routes → Status

В OPNsense (WebGUI):

Interfaces → Diagnostics → Ping

Если пинг идёт — отлично.

Если не идёт:

😄 Шутка:

Если WAN не поднят — дальше можно настраивать только… настроение.

LAN — внутренний интерфейс OPNsense, который раздаёт сеть клиентам.

На этом шаге нам нужно:

WebGUI → Interfaces → LAN

⚠ Важная штука:

Если ты меняешь LAN-сеть — твоя текущая сессия WebGUI может отвалиться.Это нормально. Потом заходишь уже по новому IP LAN.

WebGUI → Services → DHCPv4 → LAN

Save → Apply

💡 Сноска (термин):

DHCP range / пул — диапазон IP, который сервер раздаёт клиентам автоматически.

dnsmasq и ISC DHCPv4 решают похожую задачу (выдача IP),

но они из разных миров по философии и масштабу.

dnsmasq — это лёгкий комбинированный сервис:

dnsmasq — это «аккуратный швейцарский нож»,но не сервер для дата-центра.

ISC DHCPv4 — это чистый, специализированный DHCP-сервер.

ISC DHCP — это «рабочая лошадь продакшна» 🐎

КритерийdnsmasqISC DHCPv4МасштабМалый / SOHOEnterpriseDHCP✅✅DNS✅ встроенный❌ отдельноFailover❌✅VLAN / Relay⚠ ограничено✅Простота⭐⭐⭐⭐⭐⭐⭐Гибкость⭐⭐⭐⭐⭐⭐⭐

💡 Поэтому:

По умолчанию в OPNsense чаще всего используется Unbound DNS как локальный резолвер.

Проверяем:

WebGUI → Services → Unbound DNS → General

На этом шаге мы не делаем фильтрацию, не подключаем блоклисты, не усложняем.

Наша цель — чтобы клиент получил DNS и интернет.

💡 Сноска (термин):

DNS resolver — сервис, который принимает запрос “домен → IP” и находит ответ (либо в кеше, либо через интернет).

(без DHCP / NAT / маршрутизации)

Вот здесь главная идея:

MikroTik должен перестать быть “роутером”и стать “радио-удлинителем LAN”.

💡 Сноска (термин):

L2 / канальный уровень — уровень, где работает bridge/switch: MAC-адреса, кадры, коммутация.Мы не маршрутизируем (это L3), мы “прокидываем” сеть как провод.

✅ DHCP server — OFF✅ NAT masquerade — OFF✅ default route / интернет через MikroTik — неважно (он не gateway)✅ Wi-Fi WPA3 остаётся✅ Bridge объединяет LAN-порты + Wi-Fi✅ MikroTik имеет management IP (статический) в LAN сети OPNsense (для управления)

😄 Шутка-предупреждение:

Оставить DHCP на MikroTik — это как оставить бывшего жить у тебя “чисто на недельку”.Он всё равно начнёт принимать решения.

Теперь самое приятное — проверяем, что “одна точка контроля” не теория, а реальность.

Подключи клиент (ноут/ПК) к:

Проверяем на клиенте:

💡 Если на Windows: ipconfig /all

Если на macOS/Linux: ifconfig / ip a, и отдельно scutil --dns (macOS) при желании.

Gateway (шлюз по умолчанию) должен быть:

Если gateway показывает MikroTik — значит MikroTik всё ещё “играет в роутер”.

Тестируем в порядке “быстро и точно”:

Если всё выполнено, то у нас железобетонная база:

🎯 Это тот самый момент, когда сеть перестаёт быть “домашней”

и начинает быть архитектурой.

Следующий блок логически: