MikroTik как домашний роутер: гайд по настройке homelab с нуля

Автор решил собрать домашнюю серверную лабораторию (homelab), чтобы не зависеть от облачных провайдеров и хранить резервные копии самому, облачное хранилище дорожает. Прежде чем ставить серверы, он занялся сетью: хотел контролировать трафик и вынести максимум устройств на проводное подключение, оставив Wi-Fi для второстепенных нужд. Выбор пал на роутер MikroTik L009UiGS-RM: достаточно портов Gigabit Ethernet, чтобы развести все розетки в квартире, поддержка PoE (питание точки доступа по тому же кабелю, без блока питания) и компактный корпус, который можно повесить на стену.

Перед настройкой роутера автор разбирается, как именно провайдер отдаёт интернет, от этого зависит вся дальнейшая конфигурация. Есть два независимых параметра. Первый, способ авторизации на WAN: IPoE (провайдер просто выдаёт адрес по DHCP) или PPPoE (нужны логин и пароль, иногда в отдельном VLAN). Второй, тип IPv4-адреса: публичный или приватный. Приватный адрес на WAN-порте всегда означает CGNAT, провайдер делит один публичный IPv4 на множество клиентов, и входящие соединения снаружи не доходят. Отдельно автор предупреждает про DS-Lite, самый жёсткий вариант CGNAT, когда WAN вообще не получает IPv4, только IPv6, а весь IPv4-трафик туннелируется до узла провайдера (AFTR). MikroTik умеет работать с самим DS-Lite-туннелем, но не умеет автоматически получать адрес AFTR, необходимый для его установки, поэтому проброс портов, UPnP и многие инструменты удалённого доступа извне перестают работать. Совет автора: если провайдер использует DS-Lite или приватный IPv4, а входящий доступ нужен, до покупки роутера уточнить у провайдера платный публичный IPv4 или сменить провайдера.

У самого автора, оптоволокно, PPPoE поверх VLAN 35 с приватным IPv4; дальше в статье описана настройка именно под этот сценарий. Первый шаг, подключить роутер по Ethernet к ноутбуку, зайти через WinBox, войти под admin без пароля и сразу сменить пароль на свой, потому что RouterOS на части устройств поставляется с пустыми или заводскими учётными данными. Затем через Quick Set роутеру задаётся стабильный адрес управления и локальная подсеть.

Для выхода в интернет кабель от оптического терминала (ONT) провайдера подключается в порт 1 роутера, это будущий WAN-порт. У части провайдеров, включая провайдера автора, подключение привязано к MAC-адресу роутера, который они выдали изначально: если поставить MikroTik с другим MAC, авторизация не пройдёт даже при верных настройках VLAN и PPPoE. Решение, клонировать MAC-адрес старого роутера (он указан на наклейке или в веб-интерфейсе) на порт ether1 командой /interface ethernet set ether1 mac-address=...; VLAN- и PPPoE-интерфейсы, построенные поверх ether1, автоматически унаследуют этот MAC. Клонированный адрес сохраняется после перезагрузки, а вернуть заводской можно командой reset-mac-address.

Далее создаётся VLAN-интерфейс с тегом 35 поверх ether1 (команда /interface vlan add), а поверх него, PPPoE-клиент, которому задаётся приём маршрута по умолчанию и DNS-серверов от провайдера (/interface pppoe-client add ... add-default-route=yes use-peer-dns=yes). После ввода логина и пароля статус подключения меняется с linking на connected за несколько секунд, а команда /ip route print подтверждает, что маршрут по умолчанию идёт через pppoe-out1.

За Wi-Fi отвечает отдельная точка доступа wAP, запитанная по PoE через порт 8 роутера, без отдельного блока питания. Чтобы не настраивать каждую точку доступа вручную, автор использует встроенный в RouterOS контроллер CAPsMAN: на роутере создаются общий профиль безопасности (WPA2/WPA3), шаблоны каналов для 2,4 и 5 ГГц и конфигурации SSID, а сама точка доступа переводится в режим CAP и подключается к контроллеру, после этого она автоматически получает нужные настройки, что видно по появлению динамических радиоинтерфейсов на контроллере.

Отдельная глава посвящена проблеме bufferbloat, избыточной задержке из-за переполненных очередей пакетов в сетевом оборудовании. Автор столкнулся с ней во время игры в Counter-Strike: пинг начал скакать, когда на другом устройстве стартовало обновление iOS, а телефон одновременно загружал фото в облачный бэкап. Суть в том, что большие буферы вместо быстрого сброса или маркировки пакетов удерживают их в очереди, и трафик реального времени (игровые пакеты, голос) застревает позади массовой передачи данных, особенно на исходящем канале, где буферы обычно хуже всего. Измерить bufferbloat автор советует тестом Cloudflare Speed Test (speed.cloudflare.com), который показывает задержку под нагрузкой и без неё; раньше для этого использовался DSLReports, но сайт закрылся в марте 2025 года. В качестве решения RouterOS поддерживает разные дисциплины очередей: стандартная FIFO хранит пакеты просто по порядку поступления, из-за чего при заполненном канале все потоки ждут друг друга; альтернатива, FQ-CoDel, которая разбивает трафик на множество мелких потоков и выделяет каждому свою долю. На этом текст обрывается, статья продолжается описанием настройки FQ-CoDel в отдельной части материала.

Ключевые факты

Автор строит домашнюю серверную лабораторию (homelab) и выбрал роутер MikroTik L009UiGS-RM: достаточно портов Gigabit Ethernet, есть PoE и компактный корпус для монтажа на стену.
Перед настройкой важно узнать у провайдера тип подключения (IPoE или PPPoE) и тип IPv4-адреса (публичный, приватный/CGNAT или DS-Lite), от этого зависит вся дальнейшая конфигурация и доступность входящих соединений.
У автора, оптоволокно, PPPoE поверх VLAN 35 с приватным IPv4; настройка включает клонирование MAC-адреса старого роутера на WAN-порт, создание VLAN-интерфейса и PPPoE-клиента.
Wi-Fi вынесен на отдельную точку доступа wAP с питанием по PoE; несколькими точками доступа централизованно управляет встроенный контроллер CAPsMAN.
Автор разбирает bufferbloat, задержки из-за переполненных очередей пакетов, которые портят пинг в играх при параллельной загрузке трафика, и переходит к настройке дисциплины очереди FQ-CoDel вместо стандартной FIFO.

Почему это важно

Материал показывает практическую сторону популярного тренда, самостоятельного хостинга (homelab) вместо облачных провайдеров: как удешевление контроля над своими данными и трафиком начинается не с серверов, а с грамотно настроенного домашнего роутера. Автор на реальном кейсе разбирает вещи, которые обычно скрыты внутри роутера от интернет-провайдера (IPoE/PPPoE, CGNAT, DS-Lite) и о которых пользователь часто не задумывается, пока не столкнётся с проблемой доступа или задержек.

Кому это важно

Материал адресован энтузиастам homelab и самостоятельного хостинга, техническим пользователям, которые хотят заменить роутер от провайдера на управляемое устройство (в частности MikroTik), а также геймерам и всем, кто страдает от скачков пинга при параллельной нагрузке на домашнюю сеть, им пригодится разбор bufferbloat и очередей FQ-CoDel.

Как это применить

Прежде чем покупать роутер, нужно выяснить у провайдера тип авторизации (IPoE/PPPoE) и тип IPv4 (публичный/приватный/DS-Lite), от этого зависит, будет ли работать проброс портов и удалённый доступ. Дальше, по шагам из статьи: сменить пароль администратора сразу после первого входа, клонировать MAC-адрес старого роутера на WAN-порт при необходимости, поднять VLAN-интерфейс и PPPoE-клиент под нужный VLAN, вынести Wi-Fi на отдельную точку доступа с CAPsMAN-управлением и, если под нагрузкой скачет пинг, проверить bufferbloat тестом Cloudflare Speed Test и переключить очередь на FQ-CoDel.

Можно ли доверять

Это личный технический блог практика (justsomebody.dev), а не официальная документация MikroTik или RouterOS, команды и конфигурации приведены из его собственной настройки и могут не совпадать с конфигурацией конкретного провайдера или модели читателя. Материал заявлен как первая часть серии ("HomeLab #1"), и предзагруженный текст обрывается на середине раздела про FQ-CoDel, часть решения проблемы bufferbloat остаётся за кадром этого пересказа.

Риски и подводные камни

Ошибка в настройке VLAN, PPPoE-клиента или клонировании MAC-адреса может полностью оборвать интернет-подключение до её исправления. Роутер по умолчанию идёт с пустым или заводским паролем администратора, если его не сменить сразу, устройство уязвимо для доступа извне. При DS-Lite или приватном IPv4 (CGNAT) входящие соединения, проброс портов и часть инструментов удалённого доступа не работают в принципе, и это нужно понять до покупки оборудования. Наконец, без настройки дисциплины очереди вроде FQ-CoDel любая параллельная нагрузка на канал (загрузка фото, обновления) будет вызывать заметные скачки пинга в реальном времени.

«Действуйте на свой страх и риск! (…но оно того стоит)»

— автор блога justsomebody.dev