千万个美丽的未来，抵不上一个温暖的现在，每一个真实的现在，都是我们曾经幻想的未来！
Oct
2
设置RouterOS简明教程
如何设置RouterOS
文档版本:
1.5
应用于:
MikroTik RouterOS V2.8
怎么样保护你的MikroTik RouterOS™?
属性描述
要保护你的MikroTik RouterOS™, 你不应该只是修改你的admin的密码，还需要设置数据包的过滤，所以目的地到路由器的数据包需要在一次经过ip firewall的input链表处理。注意input链表不会去**通过路由器的传输数据。
你可以添加下面的规则到/ip firewall rule input (只需要通过'copy 和paste'到路由器的Terminal Console（终端控制台）或 在winbox中配置相关的参数):
/ip firewall rule input add connection-state=invalid action=drop \
comment="Drop invalid connections"
/ip firewall rule input add connection-state=established \
comment="Allow established connections"
/ip firewall rule input add connection-state=related \
comment="Allow related connections"
/ip firewall rule input add protocol=udp comment="Allow UDP"
/ip firewall rule input add protocol=icmp comment="Allow ICMP Ping"
/ip firewall rule input add src-address=10.0.0.0/24 \
comment="Allow access from our local network. Edit this!"
/ip firewall rule input add src-address=192.168.0.0/24 protocol=tcp dst-port=8080 \
comment="This is web proxy service for our customers. Edit this!"
/ip firewall rule input add action=drop log=yes \
comment="Log and drop everything else"
使用/ip firewall rule input print packets 命令可以看到有多少个数据包被里面的规则处理过。使用reset-counters 命令去复位统计值。检查系统日志文件通过/log print可以看到数据包被丢弃的信息。
你可能需要在里面添加允许来至确认主机的访问。例如：记住出现在列表中的防火墙规则在命令中被处理。一个规则匹配的数据包，不会被之后其他的规则处理。添加了新的规则后，如果想优先被处理，通过move命令移动到所以规则之上。
怎样保护你的MikroTik RouterOS™ 从来至 Spam的请求
Description
To protect your MikroTik RouterOS™ from being used as spam relay you have to:
保证你的路由器使用了防火墙规则。 See the How To section about it!
配置web proxy 访问列表
web proxy访问列表配置在/ip web-proxy access下。例如，添加下面规则允许来至确认主机的访问。 (只需要通过'copy 和paste'到路由器的Terminal Console（终端控制台）或 在winbox中配置相关的参数)：
/ip web-proxy access add src-address=192.168.0.0/24 \
comment="Our customers"
/ip web-proxy access add dst-port=23-25 action=deny \
comment="Deny using us as telnet and SMTP relay"
/ip web-proxy access add action=deny \
comment="Deny everything else"
注意，允许确认服务首先你应该由规则，并且在规则的最后通常为拒绝任何的访问。
如何连接你的家庭网络到xDSL?
属性描述
确认你的家用DSL modem以安装好，并想通过一个安全的方式将你的家庭网络连接到Internet，首先你需要安装MikroTik路由器在DSL modem和你家庭网络中间：
下一步连接你的家庭网络到xDSL：
首先你的MikroTik路由器有两张以太网卡，一个对应家庭的DSL modem ，一个对应你的家庭网络。
安装时，确定你安装了dhcp软件功能包。
启用两个网卡，如下：
/interface enable ether1,ether2
配置DHCP客户端在对外的接口上(xDSL) 接收来至IP配置的服务：
/ip dhcp-client set enabled=yes interface=ether1
检查，如果你收到IP配置信息后使用lease print，如下：
[admin@MikroTik] ip dhcp-client> lease print
address: 81.198.16.4/21
expires: may/10/2001 04:41:49
gateway: 81.198.16.1
primary-dns: 195.13.160.52
secondary-dns: 195.122.1.59
[admin@MikroTik] ip dhcp-client>
添加你的私有网络地址到ether2网卡上，如下：
/ip address add address=192.168.0.1/24 interface=ether2
在你的本地网络配置伪装：
/ip firewall src-nat add out-interface=ether1 action=masquerade \ comment="Masquerades everything leaving the external interface"
配置防火墙保护你的路由器：
/ip firewall rule input add connection-state=invalid action=drop \
comment="Drop invalid connection packets"
/ip firewall rule input add connection-state=established \
comment="Allow established connections"
/ip firewall rule input add connection-state=related \
comment="Allow related connections"
/ip firewall rule input add protocol=udp comment="Allow UDP"
/ip firewall rule input add protocol=icmp comment="Allow ICMP Ping"
/ip firewall rule input add src-address=192.168.0.0/24 \
comment="From my home network"
/ip firewall rule input add action=drop log=yes \
comment="Log and drop everything else"
(可选)配置DHCP服务散发IP配置到你的家庭网络中去：
/ip pool add name=private ranges=192.168.0.2-192.168.0.254
/ip dhcp-server network add gateway=192.168.0.1 address=192.168.0.0/24 \
dns-server=195.13.160.52,195.122.1.59 domain="mail.com"
/ip dhcp-server add name=home interface=ether2 lease-time=3h \
address-pool=private
/ip dhcp-server enable home
这样！你能通过你的家庭网络访问Internet。
如何保持我的路由器的更新
属性描述
保持你的路由器更新，你应该：
更新最新的RouterOS软件版本
如果你有一个RouterBoard，需要更新BIOS固件版本
在这部分将介绍你如何升级你的RouterBoard的BIOS固件版本。
首先，At first, 检查你的一个routerboard功能包被安装
[admin@MikroTik] system package> print
Flags: I - invalid
# NAME VERSION BUILD-TIME UNINSTALL
0 routerboard 2.8.14 aug/06/2004 15:30:32 no
1 security 2.8.14 aug/06/2004 14:08:54 no
2 system 2.8.14 aug/06/2004 14:03:02 no
3 advanced-tools 2.8.14 aug/06/2004 14:04:55 no
4 wireless 2.8.14 aug/06/2004 14:42:17 no
[admin@MikroTik] system package>
检查你的RouterBoard BIOS固件：
[admin@MikroTik] system routerboard> print
routerboard: yes
model: 230
serial-number: 8387617
current-firmware: 1.3.1 (Aug/06/2004 15:30:19)
upgrade-firmware: 1.3.1 (Aug/06/2004 15:30:19)
[admin@MikroTik] system routerboard>
可以通过在下载页面查看在all packages文档最新的BIOS更新（http://www.routerboard.com/archive.html）。BIOS更新文件被命名为wlb-bios-[version_number].fwf 这里的version_number 是BIOS固件版本。
如果这个文件包含一个较新的版本，通过FTP使用二进制文件传输模式，拷贝到路由器。但完成后，你应该能在/file目录看到文件以及包含的BIOS固件信息：
[admin@MikroTik] system routerboard> /file print
# NAME TYPE SIZE CREATION-TIME
0 wlb-bios-1.3.2.fwf routerbios 73079 sep/07/2004 00:12:05
[admin@MikroTik] system routerboard>
检查RouterBoard的BIOS固件版本和你可以看到能一个能用于更新的版本：
[admin@MikroTik] system routerboard> print
routerboard: yes
model: 230
serial-number: 8387617
current-firmware: 1.3.1 (Aug/06/2004 15:30:19)
upgrade-firmware: 1.3.2 (Aug/22/2004 12:13:56)
[admin@MikroTik] system routerboard>
现在通过upgrade命令更新BIOS版本。
[admin@MikroTik] system routerboard> upgrade
Firmware upgrade requires reboot of the router. Continue? [y/n]
选择y后软件将升级BIOS，路由器将自动重启，请不要手动重启路由器。在路由器重启完成后，可用检查新的BIOS版本：
[admin@MikroTik] system routerboard> print
routerboard: yes
model: 230
serial-number: 8387617
current-firmware: 1.3.2 (Aug/22/2004 12:13:56)
upgrade-firmware: 1.3.2 (Aug/22/2004 12:13:56)
[admin@MikroTik] system routerboard>
如何配置透明桥在两个网络中？
属性描述
远程网络能通过MikroTik RouterOS™基于IP的以太传输（EoIP）或WDS功能简单桥接起来，使用EoIP能扩展到其他别的类型的网卡上，如PPTP, CISCO/Aironet, Prism 。WDS 只能工作在Prism与Atheros网卡上。
注：因为MikroTik RouterOS不能直接在两个无线设备上做透明桥，所以通过EoIP方式实现。
让我们假设下面的一个网络设置：
使用EoIP隧道的透明桥
下面的步骤将使用EoIP接口创建透明桥：
确定你以将两个MikroTik路由器连接，例如一个路由器配置为服务端 (AP)，另外一个则为客户端(station):
[admin@AP] > interface wireless set wlan1 mode=bridge ssid=mikrotik \
\... disabled=no
[admin@Station] interface wireless> print
[admin@Station] interface wireless> set wlan1 mode=station ssid=mikrotik disabled=no
确定IP配置正确，并能从一个路由器访问到另一个:
[admin@AP] > ip address add address=10.1.0.1/24 interface=wlan1
[admin@Station] > ip address add address=10.1.0.2/24 interface=wlan1
[admin@Station] > ping 10.1.0.1
10.1.0.1 64 byte pong: ttl=64 time=1 ms
10.1.0.1 64 byte pong: ttl=64 time=1 ms
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 1/1.0/1 ms
[admin@Station] >
添加EoIP隧道接口：
[admin@AP] > interface eoip add remote-address=10.1.0.2 tunnel-id=1 disabled=no
[admin@Station] > interface eoip add remote-address=10.1.0.1 tunnel-id=1 \\... disabled=no
添加桥接口并将相应的接口放入：
[admin@AP] > interface bridge add forward-protocols=ip,arp,other disabled=no
[admin@AP] > interface bridge port set eoip-tunnel1,ether1 bridge=bridge1
[admin@Station] > interface bridge add forward-protocols=ip,arp,other \
\... disabled=no
[admin@Station] > interface bridge port set eoip-tunnel1,ether1 bridge=bridge1
注： 如果你是通过ether1连接的，那在设置后将会丢失连接。这是因为网卡设置的切换。
将以太网卡的IP地址移动到桥接口上：
[admin@AP] ip address> set [find interface=ether1 ] interface=bridge1
[admin@AP] ip address> print
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 10.0.0.215/24 10.0.0.0 10.0.0.255 bridge1
1 10.1.0.1/24 10.1.0.0 10.1.0.255 wlan1
[admin@AP] ip address>
[admin@Station] ip address> set [find interface=ether1 ] interface=bridge1
[admin@Station] ip address> print
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 10.0.0.216/24 10.0.0.0 10.0.0.255 bridge1
1 10.1.0.2/24 10.1.0.0 10.1.0.255 wlan1 [admin@Station] ip address>
现在你可以通过在ether1上的bridge1接口连接到路由器。
通过ping 测试桥连接从10.0.0.215到10.0.0.216。注，桥需要10到30秒时间学习地址和开始经过的流量。
如果你有prism、CISCO/Aironet网卡或加密的PPTP隧道，同样可以创建EoIP透明桥然而，EoIP隧道只能用于建立两个MikroTik路由器之间。
如何将公网地址连接到一个本地地址?
属性描述
例如一个电脑有一个自己在局域网的地址但需要使用公务网络的通信。
让我们假设两个地址（10.0.0.216和10.0.0.217）被分配到路由器。在这个例子中我们将在一个'full NAT'到内网地址192.168.0.4指向外网的10.0.0.216的地址。10.0.0.217的外网地址仍然用于自己内部网络的伪装。
添加10.0.0.216/24和10.0.0.217/24 地址到路由器的外网网卡上，并设置192.168.0.254/24到内网网卡：
/ip address
add address=10.0.0.216/24 interface=Public
add address=10.0.0.217/24 interface=Public
add address=192.168.0.254/24 interface=Local
print
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 10.0.0.216/24 10.0.0.0 10.0.0.255 Public
1 10.0.0.217/24 10.0.0.0 10.0.0.255 Public
2 192.168.0.254/24 192.168.0.0 192.168.0.255 Local
在添加默认路由的时你应该意识到有两个地址。While adding the default route to the router you should be aware of having two addresses. You should specify the address that the router will be using while talking to the outer networks:
/ip route
add gateway=10.0.0.1 preferred-source=10.0.0.217
print
Flags: X - disabled, I - invalid, D - dynamic, J - rejected,
C - connect, S - static, r - rip, o - ospf, b - bgp
# DST-ADDRESS G GATEWAY DISTANCE INTERFACE
0 S 0.0.0.0/0 r 10.0.0.1 1 Public
1 DC 10.0.0.0/24 r 0.0.0.0 0 Public
2 DC 192.168.0.0/24 r 0.0.0.0 0 Local
添加dst-nat规则允许从外网到内网服务器的访问：
/ip firewall dst-nat
add dst-address=10.0.0.216/32 action=nat to-dst-address=192.168.0.4
print
Flags: X - disabled, I - invalid, D - dynamic
0 dst-address=10.0.0.216/32 action=nat to-dst-address=192.168.0.4
添加src-nat规则允许内网服务器能与外网通信，并这是除192.168.0.4主机地址通过外网地址10.0.0.216出去，其他的内网地址通过10.0.0.217：
/ip firewall src-nat
add src-address=192.168.0.4/32 action=nat to-src-address=10.0.0.216
add src-address=192.168.0.0/24 action=nat to-src-address=10.0.0.217
print
Flags: X - disabled, I - invalid, D - dynamic
0 src-address=192.168.0.4/32 action=nat to-src-address=10.0.0.216
1 src-address=192.168.0.0/24 action=nat to-src-address=10.0.0.217
如何设置RouterOS
文档版本:
1.5
应用于:
MikroTik RouterOS V2.8
怎么样保护你的MikroTik RouterOS™?
属性描述
要保护你的MikroTik RouterOS™, 你不应该只是修改你的admin的密码，还需要设置数据包的过滤，所以目的地到路由器的数据包需要在一次经过ip firewall的input链表处理。注意input链表不会去**通过路由器的传输数据。
你可以添加下面的规则到/ip firewall rule input (只需要通过'copy 和paste'到路由器的Terminal Console（终端控制台）或 在winbox中配置相关的参数):
/ip firewall rule input add connection-state=invalid action=drop \
comment="Drop invalid connections"
/ip firewall rule input add connection-state=established \
comment="Allow established connections"
/ip firewall rule input add connection-state=related \
comment="Allow related connections"
/ip firewall rule input add protocol=udp comment="Allow UDP"
/ip firewall rule input add protocol=icmp comment="Allow ICMP Ping"
/ip firewall rule input add src-address=10.0.0.0/24 \
comment="Allow access from our local network. Edit this!"
/ip firewall rule input add src-address=192.168.0.0/24 protocol=tcp dst-port=8080 \
comment="This is web proxy service for our customers. Edit this!"
/ip firewall rule input add action=drop log=yes \
comment="Log and drop everything else"
使用/ip firewall rule input print packets 命令可以看到有多少个数据包被里面的规则处理过。使用reset-counters 命令去复位统计值。检查系统日志文件通过/log print可以看到数据包被丢弃的信息。
你可能需要在里面添加允许来至确认主机的访问。例如：记住出现在列表中的防火墙规则在命令中被处理。一个规则匹配的数据包，不会被之后其他的规则处理。添加了新的规则后，如果想优先被处理，通过move命令移动到所以规则之上。
怎样保护你的MikroTik RouterOS™ 从来至 Spam的请求
Description
To protect your MikroTik RouterOS™ from being used as spam relay you have to:
保证你的路由器使用了防火墙规则。 See the How To section about it!
配置web proxy 访问列表
web proxy访问列表配置在/ip web-proxy access下。例如，添加下面规则允许来至确认主机的访问。 (只需要通过'copy 和paste'到路由器的Terminal Console（终端控制台）或 在winbox中配置相关的参数)：
/ip web-proxy access add src-address=192.168.0.0/24 \
comment="Our customers"
/ip web-proxy access add dst-port=23-25 action=deny \
comment="Deny using us as telnet and SMTP relay"
/ip web-proxy access add action=deny \
comment="Deny everything else"
注意，允许确认服务首先你应该由规则，并且在规则的最后通常为拒绝任何的访问。
如何连接你的家庭网络到xDSL?
属性描述
确认你的家用DSL modem以安装好，并想通过一个安全的方式将你的家庭网络连接到Internet，首先你需要安装MikroTik路由器在DSL modem和你家庭网络中间：
下一步连接你的家庭网络到xDSL：
首先你的MikroTik路由器有两张以太网卡，一个对应家庭的DSL modem ，一个对应你的家庭网络。
安装时，确定你安装了dhcp软件功能包。
启用两个网卡，如下：
/interface enable ether1,ether2
配置DHCP客户端在对外的接口上(xDSL) 接收来至IP配置的服务：
/ip dhcp-client set enabled=yes interface=ether1
检查，如果你收到IP配置信息后使用lease print，如下：
[admin@MikroTik] ip dhcp-client> lease print
address: 81.198.16.4/21
expires: may/10/2001 04:41:49
gateway: 81.198.16.1
primary-dns: 195.13.160.52
secondary-dns: 195.122.1.59
[admin@MikroTik] ip dhcp-client>
添加你的私有网络地址到ether2网卡上，如下：
/ip address add address=192.168.0.1/24 interface=ether2
在你的本地网络配置伪装：
/ip firewall src-nat add out-interface=ether1 action=masquerade \ comment="Masquerades everything leaving the external interface"
配置防火墙保护你的路由器：
/ip firewall rule input add connection-state=invalid action=drop \
comment="Drop invalid connection packets"
/ip firewall rule input add connection-state=established \
comment="Allow established connections"
/ip firewall rule input add connection-state=related \
comment="Allow related connections"
/ip firewall rule input add protocol=udp comment="Allow UDP"
/ip firewall rule input add protocol=icmp comment="Allow ICMP Ping"
/ip firewall rule input add src-address=192.168.0.0/24 \
comment="From my home network"
/ip firewall rule input add action=drop log=yes \
comment="Log and drop everything else"
(可选)配置DHCP服务散发IP配置到你的家庭网络中去：
/ip pool add name=private ranges=192.168.0.2-192.168.0.254
/ip dhcp-server network add gateway=192.168.0.1 address=192.168.0.0/24 \
dns-server=195.13.160.52,195.122.1.59 domain="mail.com"
/ip dhcp-server add name=home interface=ether2 lease-time=3h \
address-pool=private
/ip dhcp-server enable home
这样！你能通过你的家庭网络访问Internet。
如何保持我的路由器的更新
属性描述
保持你的路由器更新，你应该：
更新最新的RouterOS软件版本
如果你有一个RouterBoard，需要更新BIOS固件版本
在这部分将介绍你如何升级你的RouterBoard的BIOS固件版本。
首先，At first, 检查你的一个routerboard功能包被安装
[admin@MikroTik] system package> print
Flags: I - invalid
# NAME VERSION BUILD-TIME UNINSTALL
0 routerboard 2.8.14 aug/06/2004 15:30:32 no
1 security 2.8.14 aug/06/2004 14:08:54 no
2 system 2.8.14 aug/06/2004 14:03:02 no
3 advanced-tools 2.8.14 aug/06/2004 14:04:55 no
4 wireless 2.8.14 aug/06/2004 14:42:17 no
[admin@MikroTik] system package>
检查你的RouterBoard BIOS固件：
[admin@MikroTik] system routerboard> print
routerboard: yes
model: 230
serial-number: 8387617
current-firmware: 1.3.1 (Aug/06/2004 15:30:19)
upgrade-firmware: 1.3.1 (Aug/06/2004 15:30:19)
[admin@MikroTik] system routerboard>
可以通过在下载页面查看在all packages文档最新的BIOS更新（http://www.routerboard.com/archive.html）。BIOS更新文件被命名为wlb-bios-[version_number].fwf 这里的version_number 是BIOS固件版本。
如果这个文件包含一个较新的版本，通过FTP使用二进制文件传输模式，拷贝到路由器。但完成后，你应该能在/file目录看到文件以及包含的BIOS固件信息：
[admin@MikroTik] system routerboard> /file print
# NAME TYPE SIZE CREATION-TIME
0 wlb-bios-1.3.2.fwf routerbios 73079 sep/07/2004 00:12:05
[admin@MikroTik] system routerboard>
检查RouterBoard的BIOS固件版本和你可以看到能一个能用于更新的版本：
[admin@MikroTik] system routerboard> print
routerboard: yes
model: 230
serial-number: 8387617
current-firmware: 1.3.1 (Aug/06/2004 15:30:19)
upgrade-firmware: 1.3.2 (Aug/22/2004 12:13:56)
[admin@MikroTik] system routerboard>
现在通过upgrade命令更新BIOS版本。
[admin@MikroTik] system routerboard> upgrade
Firmware upgrade requires reboot of the router. Continue? [y/n]
选择y后软件将升级BIOS，路由器将自动重启，请不要手动重启路由器。在路由器重启完成后，可用检查新的BIOS版本：
[admin@MikroTik] system routerboard> print
routerboard: yes
model: 230
serial-number: 8387617
current-firmware: 1.3.2 (Aug/22/2004 12:13:56)
upgrade-firmware: 1.3.2 (Aug/22/2004 12:13:56)
[admin@MikroTik] system routerboard>
如何配置透明桥在两个网络中？
属性描述
远程网络能通过MikroTik RouterOS™基于IP的以太传输（EoIP）或WDS功能简单桥接起来，使用EoIP能扩展到其他别的类型的网卡上，如PPTP, CISCO/Aironet, Prism 。WDS 只能工作在Prism与Atheros网卡上。
注：因为MikroTik RouterOS不能直接在两个无线设备上做透明桥，所以通过EoIP方式实现。
让我们假设下面的一个网络设置：
使用EoIP隧道的透明桥
下面的步骤将使用EoIP接口创建透明桥：
确定你以将两个MikroTik路由器连接，例如一个路由器配置为服务端 (AP)，另外一个则为客户端(station):
[admin@AP] > interface wireless set wlan1 mode=bridge ssid=mikrotik \
\... disabled=no
[admin@Station] interface wireless> print
[admin@Station] interface wireless> set wlan1 mode=station ssid=mikrotik disabled=no
确定IP配置正确，并能从一个路由器访问到另一个:
[admin@AP] > ip address add address=10.1.0.1/24 interface=wlan1
[admin@Station] > ip address add address=10.1.0.2/24 interface=wlan1
[admin@Station] > ping 10.1.0.1
10.1.0.1 64 byte pong: ttl=64 time=1 ms
10.1.0.1 64 byte pong: ttl=64 time=1 ms
2 packets transmitted, 2 packets received, 0% packet loss
round-trip min/avg/max = 1/1.0/1 ms
[admin@Station] >
添加EoIP隧道接口：
[admin@AP] > interface eoip add remote-address=10.1.0.2 tunnel-id=1 disabled=no
[admin@Station] > interface eoip add remote-address=10.1.0.1 tunnel-id=1 \\... disabled=no
添加桥接口并将相应的接口放入：
[admin@AP] > interface bridge add forward-protocols=ip,arp,other disabled=no
[admin@AP] > interface bridge port set eoip-tunnel1,ether1 bridge=bridge1
[admin@Station] > interface bridge add forward-protocols=ip,arp,other \
\... disabled=no
[admin@Station] > interface bridge port set eoip-tunnel1,ether1 bridge=bridge1
注： 如果你是通过ether1连接的，那在设置后将会丢失连接。这是因为网卡设置的切换。
将以太网卡的IP地址移动到桥接口上：
[admin@AP] ip address> set [find interface=ether1 ] interface=bridge1
[admin@AP] ip address> print
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 10.0.0.215/24 10.0.0.0 10.0.0.255 bridge1
1 10.1.0.1/24 10.1.0.0 10.1.0.255 wlan1
[admin@AP] ip address>
[admin@Station] ip address> set [find interface=ether1 ] interface=bridge1
[admin@Station] ip address> print
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 10.0.0.216/24 10.0.0.0 10.0.0.255 bridge1
1 10.1.0.2/24 10.1.0.0 10.1.0.255 wlan1 [admin@Station] ip address>
现在你可以通过在ether1上的bridge1接口连接到路由器。
通过ping 测试桥连接从10.0.0.215到10.0.0.216。注，桥需要10到30秒时间学习地址和开始经过的流量。
如果你有prism、CISCO/Aironet网卡或加密的PPTP隧道，同样可以创建EoIP透明桥然而，EoIP隧道只能用于建立两个MikroTik路由器之间。
如何将公网地址连接到一个本地地址?
属性描述
例如一个电脑有一个自己在局域网的地址但需要使用公务网络的通信。
让我们假设两个地址（10.0.0.216和10.0.0.217）被分配到路由器。在这个例子中我们将在一个'full NAT'到内网地址192.168.0.4指向外网的10.0.0.216的地址。10.0.0.217的外网地址仍然用于自己内部网络的伪装。
添加10.0.0.216/24和10.0.0.217/24 地址到路由器的外网网卡上，并设置192.168.0.254/24到内网网卡：
/ip address
add address=10.0.0.216/24 interface=Public
add address=10.0.0.217/24 interface=Public
add address=192.168.0.254/24 interface=Local
Flags: X - disabled, I - invalid, D - dynamic
# ADDRESS NETWORK BROADCAST INTERFACE
0 10.0.0.216/24 10.0.0.0 10.0.0.255 Public
1 10.0.0.217/24 10.0.0.0 10.0.0.255 Public
2 192.168.0.254/24 192.168.0.0 192.168.0.255 Local
在添加默认路由的时你应该意识到有两个地址。While adding the default route to the router you should be aware of having two addresses. You should specify the address that the router will be using while talking to the outer networks:
/ip route
add gateway=10.0.0.1 preferred-source=10.0.0.217
Flags: X - disabled, I - invalid, D - dynamic, J - rejected,
C - connect, S - static, r - rip, o - ospf, b - bgp
# DST-ADDRESS G GATEWAY DISTANCE INTERFACE
0 S 0.0.0.0/0 r 10.0.0.1 1 Public
1 DC 10.0.0.0/24 r 0.0.0.0 0 Public
2 DC 192.168.0.0/24 r 0.0.0.0 0 Local
添加dst-nat规则允许从外网到内网服务器的访问：
/ip firewall dst-nat
add dst-address=10.0.0.216/32 action=nat to-dst-address=192.168.0.4
Flags: X - disabled, I - invalid, D - dynamic
0 dst-address=10.0.0.216/32 action=nat to-dst-address=192.168.0.4
添加src-nat规则允许内网服务器能与外网通信，并这是除192.168.0.4主机地址通过外网地址10.0.0.216出去，其他的内网地址通过10.0.0.217：
/ip firewall src-nat
add src-address=192.168.0.4/32 action=nat to-src-address=10.0.0.216
add src-address=192.168.0.0/24 action=nat to-src-address=10.0.0.217
Flags: X - disabled, I - invalid, D - dynamic
0 src-address=192.168.0.4/32 action=nat to-src-address=10.0.0.216
1 src-address=192.168.0.0/24 action=nat to-src-address=10.0.0.217
Oct
2
研究了一段时间ROUTEROS发现他的确是个不错的软路由下面说一下我的安装配置心得
先说一下我的网络环境
二根有限通是动态ip，要做负载均衡
内网ip段192.168.0.1-192.168.0.200
要完全开放192.168.0.168主机（就像路由中的dmz主机）
机器配置
赛扬1。1G 64M 3块3com网卡
1。用光盘版全选安装 （软盘版要另外下插件）
注意注册码都用大写
先插上一块网卡以便定下他作为连接内网的网卡
2。使用 admin用户登陆， 密码为空
3。配置第一块网卡的ip
输入setup，提示您配置ether1（第一块网卡连接内网），输入ip地址（192.168.0.1）子网掩码(255.255.255.0) gateway：192.168.0.254一路回车即可。
4。将剩下二块网卡插入电脑
5。在windows机器上，ip设成192.168.0.x ，在 ie 地址栏输上 192.168.0.1
出现 routeos 的欢迎画面。点击，提示下载 winbox ，保存
6。运行 winbox 输上 192.168.0.1 用户名 admin 密码为空，选连接。会出现路由的管理界面
7。激活新插入的二块网卡：点 interface ，点第二块卡，选勾，启用前面由x变为R
8。配置外网的二块网卡地址，在winbox选ip->dhcp-client 在窗口中勾上enabled interface选ether2（第二块网卡）勾上add default route 选hostname并添上wan1 表示第一块外网网卡，然后apply 这时假如拿到ip就会在ip->address里看到ip了
现在配置第三块网卡，现在有问题了routeros只能添加一个dhcp客户，所以假如再按上面的方法获得ip那么前面的到的ip就没有了，所以这里只能将就一下了，因为有限通ip一般只要连接就不会变ip所以就把更有一根线上的ip作为静态ip看，先记下ip然后在ip->address里按加号填入ip如219.233.23.23/24,在这里要注意：其实都是固定ip的话就在这配置即可，但假如您的二个ip在同一网段中如一个是219.233.23.23另一个是219.233.23.147的话就要在/后就是掩码这部分分一下
如219.233.23.23/25 219.233.23.147/24 这样在后面负载均衡时就不会出错了
9。现在您应该能ping通外网了，但是防火墙还没配置，在ip->firewall里选source nat 按加号添加规则，在规则里选action ->action里选masquerade
现在就能局域网里就能上网了。
10。现在来设负载均衡
在控制台里输入
ip route add gat=外网地址1,外网地址2
即可
是不是很简单啊
11。端口映射
端口映射很容易
在控制台里
ip firewall dst-nat> add action=nat protocol=tcp
^
这是协议能够选all
dst-address=外网地址/32:80 to-dst-address=内网ip地址
^
这里是您要映射的端口，假如全部就不要添 www.shumaziyuan.com
例子1：将外网任何80端口的请求都指向到168上
ip firewall dst-nat> add action=nat protocol=tcp
dst-address=319.23.23.23/32:80 to-dst-address=192.168.0.168
例子2：完全开放192.168.0.168
ip firewall dst-nat> add action=nat protocol=tcp
dst-address=319.23.23.23/32 to-dst-address=192.168.0.168
12.来看看routeros的防火墙吧，功能不错哦
比如现在流行的震荡波和冲击波的端口134－139
在winbox中
ip->firewall->filter rules 先设input(在右边可选的)
选加
general
protocl选udp或tcp（其实这二个都要设，只要重复作就好了）
src.port勾上填入134－139
dst.port勾上填入134－139
action
在action里选drop丢弃包或reject拒绝包
ok完成
再选forward和output照上面设完，这样不论是外网的机器或内网的机器中毒都不会影响其他用户了。
其实ip filter rules可设很多规则能够作一个很不错的防火墙但是要注意input，forward，output根据不同情况的配置
补充一下，其实在端口映射里这样作，环流（就是内网也可用外网的地址访问内网的主机）功能也自然实现了
先说一下我的网络环境
二根有限通是动态ip，要做负载均衡
内网ip段192.168.0.1-192.168.0.200
要完全开放192.168.0.168主机（就像路由中的dmz主机）
机器配置
赛扬1。1G 64M 3块3com网卡
1。用光盘版全选安装 （软盘版要另外下插件）
注意注册码都用大写
先插上一块网卡以便定下他作为连接内网的网卡
2。使用 admin用户登陆， 密码为空
3。配置第一块网卡的ip
输入setup，提示您配置ether1（第一块网卡连接内网），输入ip地址（192.168.0.1）子网掩码(255.255.255.0) gateway：192.168.0.254一路回车即可。
4。将剩下二块网卡插入电脑
5。在windows机器上，ip设成192.168.0.x ，在 ie 地址栏输上 192.168.0.1
出现 routeos 的欢迎画面。点击，提示下载 winbox ，保存
6。运行 winbox 输上 192.168.0.1 用户名 admin 密码为空，选连接。会出现路由的管理界面
7。激活新插入的二块网卡：点 interface ，点第二块卡，选勾，启用前面由x变为R
8。配置外网的二块网卡地址，在winbox选ip->dhcp-client 在窗口中勾上enabled interface选ether2（第二块网卡）勾上add default route 选hostname并添上wan1 表示第一块外网网卡，然后apply 这时假如拿到ip就会在ip->address里看到ip了
现在配置第三块网卡，现在有问题了routeros只能添加一个dhcp客户，所以假如再按上面的方法获得ip那么前面的到的ip就没有了，所以这里只能将就一下了，因为有限通ip一般只要连接就不会变ip所以就把更有一根线上的ip作为静态ip看，先记下ip然后在ip->address里按加号填入ip如219.233.23.23/24,在这里要注意：其实都是固定ip的话就在这配置即可，但假如您的二个ip在同一网段中如一个是219.233.23.23另一个是219.233.23.147的话就要在/后就是掩码这部分分一下
如219.233.23.23/25 219.233.23.147/24 这样在后面负载均衡时就不会出错了
9。现在您应该能ping通外网了，但是防火墙还没配置，在ip->firewall里选source nat 按加号添加规则，在规则里选action ->action里选masquerade
现在就能局域网里就能上网了。
10。现在来设负载均衡
在控制台里输入
ip route add gat=外网地址1,外网地址2
即可
是不是很简单啊
11。端口映射
端口映射很容易
在控制台里
ip firewall dst-nat> add action=nat protocol=tcp
^
这是协议能够选all
dst-address=外网地址/32:80 to-dst-address=内网ip地址
^
这里是您要映射的端口，假如全部就不要添 www.shumaziyuan.com
例子1：将外网任何80端口的请求都指向到168上
ip firewall dst-nat> add action=nat protocol=tcp
dst-address=319.23.23.23/32:80 to-dst-address=192.168.0.168
例子2：完全开放192.168.0.168
ip firewall dst-nat> add action=nat protocol=tcp
dst-address=319.23.23.23/32 to-dst-address=192.168.0.168
12.来看看routeros的防火墙吧，功能不错哦
比如现在流行的震荡波和冲击波的端口134－139
在winbox中
ip->firewall->filter rules 先设input(在右边可选的)
选加
general
protocl选udp或tcp（其实这二个都要设，只要重复作就好了）
src.port勾上填入134－139
dst.port勾上填入134－139
action
在action里选drop丢弃包或reject拒绝包
ok完成
再选forward和output照上面设完，这样不论是外网的机器或内网的机器中毒都不会影响其他用户了。
其实ip filter rules可设很多规则能够作一个很不错的防火墙但是要注意input，forward，output根据不同情况的配置
补充一下，其实在端口映射里这样作，环流（就是内网也可用外网的地址访问内网的主机）功能也自然实现了
