English · Ελληνικά
Δεν χρειάζεται κάθε site κεντρικό CAPsMAN — μερικές φορές είναι ένα AP σε ένα μαγαζί ή μια βίλα, και απλώς θέλεις στιβαρό, μοντέρνο Wi-Fi. Αυτό κάνει config ένα standalone AP RouterOS με το stack wifiwave2: WPA3, πολλαπλά SSIDs το καθένα στο δικό του VLAN, απομόνωση επισκεπτών, και μια καθαρή γραμμή για το πότε να προαχθείς σε διαχειριζόμενο fleet. Το αντίστοιχο του διαχωρισμού autonomous-vs-lightweight της Cisco.
Το wireless του RouterOS έχει δύο γενεές, και το να χρησιμοποιήσεις τη λάθος σε προδίδει: το legacy πακέτο /interface wireless, και το μοντέρνο stack wifiwave2 (στο τρέχον 7.x, το μενού είναι /interface wifi). Το wifiwave2 είναι αυτό που χρησιμοποιείς σε οποιοδήποτε hardware AC/AX — φέρνει WPA3, 802.11ax, και ένα πιο καθαρό μοντέλο profile. Αυτό το post είναι η standalone περίπτωση: ένα μεμονωμένο AP με config στο ίδιο το box, το άμεσο ανάλογο ενός autonomous AP της Cisco. Όταν το ξεπεράσεις, η απάντηση fleet είναι το CAPsMAN — το αντίστοιχο σε RouterOS ενός Cisco WLC.
Το μοντέλο είναι τρία επαναχρησιμοποιήσιμα profiles — security (auth + passphrase), configuration (SSID + mode), και channel (band/width) — δεμένα σε ένα radio, συν virtual APs για επιπλέον SSIDs. Το κέρδος ασφάλειας, ακριβώς όπως στο ενσύρματο και στη Cisco, είναι ένα SSID ανά VLAN. (Σημείωση μενού: σε 7.13+ είναι /interface wifi· παλιότερο 7.x χρησιμοποιούσε /interface wifiwave2 — ίδιες έννοιες.)
01
Ξεκίνα με το κύριο SSID: ένα profile security με WPA2/WPA3 μεικτό (ώστε παλιοί και νέοι clients να συνδέονται και οι δύο), ένα profile configuration με το SSID, και ενεργοποίησε το radio.
# Security: WPA2+WPA3 transitional ώστε legacy clients να μπαίνουν ακόμα. /interface wifi security add name=sec-corp authentication-types=wpa2-psk,wpa3-psk passphrase="S3cr3t-WiFi-Key" # Εφάρμοσε SSID + security στο radio και άναψέ το. /interface wifi set wifi1 configuration.ssid=CORP configuration.mode=ap \ security=sec-corp channel.band=5ghz-ax channel.width=20/40/80mhz disabled=no > /interface wifi print # τρέχει, οι clients μπορούν να συνδεθούν
Το WPA3 είναι ο σωστός στόχος, αλλά βάλε authentication-types=wpa3-psk μόνο του και κάθε τηλέφωνο, εκτυπωτής, και συσκευή IoT πριν το 2019 αποτυγχάνει σιωπηλά να συνδεθεί — με τους χρήστες να λένε απλώς «λάθος password». Χρησιμοποίησε τη μορφή transitional (wpa2-psk,wpa3-psk) ώστε οι μοντέρνοι clients να παίρνουν WPA3 και οι legacy να πέφτουν σε WPA2 στο ίδιο SSID. Πήγαινε WPA3-only μόνο όταν ελέγχεις κάθε client (ένα κλειδωμένο εταιρικό SSID). Αυτή είναι η ασύρματη εκδοχή του «μη σπας το estate για να κυνηγήσεις το νεότερο standard».
02
Ένα δίκτυο επισκεπτών και ένα δίκτυο IoT είναι επιπλέον virtual APs στο ίδιο radio, το καθένα κάνοντας tag την κίνησή του σε διαφορετικό VLAN μέσω του datapath — η ασύρματη μισή του segmentation.
# Profile security επισκεπτών με client isolation ενεργό (οι επισκέπτες δεν βλέπουν επισκέπτες). /interface wifi security add name=sec-guest authentication-types=wpa2-psk,wpa3-psk passphrase="Guest-Pass" # Ένα virtual AP στο wifi1: δικό του SSID, και datapath VLAN 20. /interface wifi add name=wifi-guest master-interface=wifi1 configuration.ssid=GUEST \ security=sec-guest datapath.vlan-id=20 datapath.client-isolation=yes disabled=no # Το bridge πρέπει να έχει το VLAN 20 tagged προς αυτό το radio και το DHCP/gateway # για το VLAN 20 έτοιμο — δες το post των VLAN. SSID IoT = ίδιο pattern, VLAN 30.
Σε ένα SSID επισκεπτών, το datapath.client-isolation=yes σταματά μια συσκευή επισκέπτη από το να φτάσει μια άλλη στο ίδιο radio — το ασύρματο αντίστοιχο του horizon του bridge στην ενσύρματη πλευρά. Χωρίς αυτό, ένας επισκέπτης με malware μπορεί να σκανάρει και να επιτεθεί σε κάθε άλλο επισκέπτη, με ή χωρίς VLAN, γιατί μοιράζονται το broadcast domain του radio. Άναψέ το για κάθε μη έμπιστο SSID. Το guest isolation είναι ρύθμιση ανά-radio και ανά-VLAN, όχι κάτι που κάνει το password του Wi-Fi — ακριβώς το σημείο που κάνει ο απλός οδηγός guest-Wi-Fi στους ιδιοκτήτες.
03
Το radio κάνει tag την κίνηση client σε VLANs· το bridge πρέπει να τα κουβαλά. Μετά επιβεβαίωσε ότι τα SSIDs είναι up και οι clients προσγειώνονται στο σωστό VLAN.
# Βεβαιώσου ότι τα VLAN του AP υπάρχουν στο bridge και είναι tagged προς το uplink. /interface bridge vlan add bridge=bridge vlan-ids=20 tagged=bridge,ether1 add bridge=bridge vlan-ids=30 tagged=bridge,ether1 # --- Επαληθευση --- > /interface wifi print # όλα τα SSIDs τρέχουν > /interface wifi registration-table print # συνδεδεμένοι clients, σήμα, SSID > /interface wifi registration-table print stats # ρυθμοί, retries
04
Το standalone είναι τέλειο για ένα AP. Τη στιγμή που έχεις δύο ή περισσότερα, το config ανά-συσκευή γίνεται η ίδια παγίδα με το autonomous της Cisco — και η απάντηση είναι κεντρικοποίηση.
Ένα AP: κάνε του config standalone όπως παραπάνω και προχώρα. Δύο ή περισσότερα APs, ή οποιοδήποτε site όπου οι clients κάνουν roam ανάμεσά τους: σταμάτα να αντιγράφεις config με το χέρι και πέρνα στο CAPsMAN, που κάνει provision κάθε AP από έναν controller με ένα σύνολο profiles — το αντίστοιχο σε RouterOS του μοντέλου lightweight/WLC της Cisco. Το σημείο απόφασης είναι ακριβώς το ίδιο και στις δύο πλατφόρμες: standalone για ένα, διαχειριζόμενο fleet για πολλά. Μη χτίζεις ένα ξενοδοχείο πέντε APs από πέντε χειροχτισμένα standalone radios.
Βασικα Συμπερασματα
/interface wifi), όχι το legacy πακέτο wireless, σε μοντέρνο hardware — είναι αυτό με WPA3 και 802.11ax.datapath.vlan-id, και το bridge πρέπει να τα κουβαλά — το segmentation είναι και ασύρματο.client-isolation σε SSIDs επισκεπτων σταματά επιθέσεις guest-to-guest στο κοινό radio — το password δεν το κάνει αυτό.Είτε είναι ένα access point είτε ένα fleet, το σχεδιάζω σωστά — standalone με WPA3 και VLAN-segmented SSIDs για ένα μόνο site, ή κεντρικά διαχειριζόμενο με απρόσκοπτο roaming μόλις ξεπεράσεις μια χούφτα APs.
Κλεισε μια Discovery Call →