MikroTik с нуля 01. Первое подключение и первичная защита

Это первая статья серии «MikroTik с нуля». Вы достали роутер из коробки и не знаете, с чего начать. RouterOS — это операционная система роутеров MikroTik, а firewall — набор правил, которые решают, какой трафик пропускать, а какой блокировать. Здесь мы пройдём путь от включения до состояния, в котором устройством уже можно спокойно пользоваться: подключимся к нему, сменим пароль, заведём собственного администратора, выставим имя и время, обновим RouterOS и загрузчик, сделаем две разные резервные копии и закроем лишние сервисы. Отдельно разберём, что делать, если вы отрезали себе доступ: сброс, Netinstall и «страховочный» Safe Mode.

К концу статьи у вас будет роутер с обновлённой прошивкой, личным администратором вместо admin, правильным временем, резервной копией и минимальной защитой управления. Сам firewall, подключение к интернету и раздача адресов — в следующих статьях.

Что понадобится

• Роутер MikroTik с RouterOS 7 и блок питания.
• Компьютер с сетевой картой и кабель Ethernet (патч-корд). Для телефона подойдёт мобильное приложение, но на первое время компьютер удобнее.
• Скрепка или тонкий предмет для кнопки Reset, если она утоплена в корпус.
• Наклейка на корпусе или упаковке: на ней может быть пароль для входа.
• Для обновления RouterOS нужен интернет на роутере. Если он ещё не настроен, шаги про обновление выполните после статьи 03.

Имена во всей серии одинаковы. Порт, в который включается кабель провайдера, называется ether1. Порты локальной сети (LAN) — ether2–ether5; на разных моделях число портов разное, это нормально. В заводской конфигурации они объединены в мост bridge, а адрес роутера в локальной сети — 192.168.88.1.

С чего начать: карта серии

Серия линейная, но не всё из неё нужно каждому. Если цель — рабочая защищённая сеть с Wi-Fi и удалённым доступом, обязательный путь такой:

Нужно всем	По необходимости
01 (эта статья), 03 (интернет и LAN), 04 (firewall), 06 (Wi-Fi), 10 (автокопии: читайте сразу после 04), 11 (VPN)	02 — справочник по консоли, заглядывайте по мере надобности; 05 — если в сети есть сервер, доступный снаружи; 07 — если нужны гостевая сеть и IoT; 08 — при проблемах; 09 — чтобы ограничить скорость; 12 — если у вас два провайдера

Статью 02 удобно открыть параллельно: в ней разобраны Tab-подсказки, print, Safe Mode и export.

Чем подключаться к роутеру

Все способы дают доступ к одним и тем же настройкам, различается только удобство.

Способ	Что это	Когда использовать
WinBox	Программа с графическим интерфейсом для Windows, Linux и macOS.	Основной способ. Умеет находить роутер без IP-адреса.
WebFig	Тот же интерфейс в браузере: http://192.168.88.1.	Если нельзя поставить WinBox. По умолчанию работает по HTTP без шифрования.
SSH	Командная строка через защищённое соединение, порт 22.	Копирование команд из статей, скрипты, удалённая работа.
Мобильное приложение MikroTik (Android, iOS)	Мастер быстрой настройки и расширенное меню.	Первичная настройка «в поле» и домашние сценарии.

WinBox 4 скачивается со страницы загрузок MikroTik: это архив с WinBox.exe. Распакуйте его в отдельную пустую папку (иначе не будет работать самообновление) и запустите. На macOS программу нужно перетащить из .dmg в папку Applications.

Команды этой серии удобнее всего выполнять в терминале: он есть в WinBox (в WinBox 4 открывается сочетанием Alt+T), в WebFig (в правом верхнем углу) и в обычном SSH-клиенте. Во всех трёх они работают одинаково. Пути команд в серии записаны через пробел (/ip service print); запись через слэш (/ip/service/print) — то же самое, в консоли и справке встречаются обе формы.

Физическое подключение и поиск роутера

1. Кабель компьютера включите в любой порт, кроме ether1. В заводской конфигурации он предназначен для провайдера, и управлять роутером через него нельзя. Исключение — модели без заводской конфигурации (см. заметку ниже).
2. Если заводская конфигурация есть, кабель провайдера включите в ether1. Если нет — пока не подключайте.
3. Подайте питание и подождите около минуты.
4. Если компьютер настроен на автоматическое получение адреса, роутер выдаст его сам из сети 192.168.88.0/24: в заводской конфигурации на локальной сети работает DHCP-сервер (служба, которая автоматически раздаёт устройствам IP-адреса).

Адрес роутера по умолчанию — 192.168.88.1. Если автоматический адрес не получен, задайте компьютеру вручную, например, 192.168.88.2 с маской 255.255.255.0.

WinBox

Запустите WinBox, откройте вкладку Neighbors: роутер должен появиться в списке. Выберите его и нажмите Connect. У каждого устройства два адреса: IP и MAC. Если IP не подходит или показан как 0.0.0.0, подключайтесь по MAC-адресу: это работает без IP-настроек на обеих сторонах и выручает на «чистом» роутере. Но MAC-соединение использует широковещательные пакеты и менее надёжно, поэтому при возможности переходите на IP.

Логин — admin, пароль — пустой или с наклейки (см. следующий раздел).

SSH

В Windows, Linux и macOS есть встроенный клиент SSH:

ssh admin@192.168.88.1

Эту строку вводят в консоли вашего компьютера, а не в RouterOS. После входа вы увидите приглашение вида [admin@MikroTik] >. Имя после @ — это identity, имя устройства; оно же видно в WinBox.

WebFig и мобильное приложение

В WebFig введите в браузере http://192.168.88.1 и войдите так же, как в WinBox. HTTP не шифрует логин и пароль; позже мы отключим этот сервис.

Телефон подключается к Wi-Fi роутера (имя сети и пароль у новых моделей обычно тоже на наклейке; если сети не видно, работайте с компьютера). В приложении нажмите Connect, затем Quick setup. Приложение работает через сервис winbox (порт 8291) и перестанет подключаться, если вы отключите его или закроете своей подсети в available-from (см. раздел про защиту).

Заводская конфигурация и проверка пароля

Каждый MikroTik поставляется с заводской конфигурацией (default configuration), она зависит от типа устройства. Для домашних и офисных роутеров это обычно «AP Router»: ether1 — к провайдеру, на нём включены DHCP-клиент (получает адрес от провайдера), NAT (подмена адресов для выхода в интернет) и firewall. Остальные порты и Wi-Fi объединены в мост bridge с адресом 192.168.88.1/24 и DHCP-сервером. На порту провайдера отключены MAC-доступ и обнаружение устройств. Точные команды для вашей модели покажет:

/system default-configuration print

Что проверить сразу:

• Логин всегда admin.
• Пароль зависит от модели. На старых моделях его нет: оставьте поле пустым. На новых у каждого устройства свой заводской пароль на наклейке с серийным номером (на корпусе, коробке и листе Quick Guide). У некоторых моделей (например, hAP ac³, hAP ax³) наклейка спрятана в отсеке с информацией о продукте на нижней стороне корпуса. Сверьтесь с разделом документации «Default Configuration Passwords».
• Этот же пароль возвращается при каждом стандартном сбросе.
• Если наклейки нет, пароль можно узнать у поставщика по серийному номеру; иначе остаётся сброс или переустановка (разделы ниже).

При первом подключении WinBox может предложить оставить или удалить заводскую конфигурацию. Новичкам рекомендуется оставить: в ней уже есть bridge, DHCP, NAT и базовый firewall. Если позже вы решите сбросить роутер в ноль, сначала прочитайте начало статьи 03: там объяснено, когда сброс нужен, а когда его можно пропустить.

Safe Mode: страховка перед рискованными шагами

Дальше встретятся команды, которые могут отрезать вас от роутера: смена пользователей, ограничение сервисов, настройка MAC-доступа. Для таких случаев есть Safe Mode («безопасный режим»): роутер запоминает изменения сессии, и если соединение оборвётся, откатывает их.

• Включение: в WinBox — кнопка Safe Mode на верхней панели, в консоли — F4 или Ctrl+X (в приглашении появится SAFE).
• Принять изменения и выйти: Ctrl+X или F4 ещё раз. Выйти с откатом: Ctrl+D. Команда /quit изменения не откатывает.
• Откат при обрыве не мгновенный: он зависит от таймаута TCP и занимает до 9 минут.
• Safe Mode не вернёт уже выполненный сброс настроек или загрузку backup, поэтому с такими командами его не используют.
• История хранит не больше 100 последних действий; при переполнении сессия выходит из режима без отката. Вносите изменения небольшими порциями (двойное Ctrl+X очищает список).

Правило серии: перед шагом, после которого связь с роутером может пропасть, включайте Safe Mode. Подробнее — в статье 02.

Пароль admin и собственный пользователь

Пользователь admin известен всем, поэтому его перебирают в первую очередь. Хорошая практика из руководства по безопасности: завести собственную учётную запись, проверить вход и только потом отключить admin.

Надёжный пароль — от 12 символов, с цифрами, символами, заглавными и строчными буквами, не словарное слово. Пользуйтесь генератором паролей.

Шаг 1. Смените пароль admin

Самый безопасный способ — интерактивный, пароль при вводе скрыт:

/password

Роутер спросит old-password (пустой или с наклейки), new-password и confirm-new-password.

Если задаёте пароль одной строкой, учтите: в кавычках символы ", \ и $ нужно экранировать обратной косой чертой, иначе $ будет принят за начало имени переменной и пароль окажется короче, чем вы ввели.

/user set admin password="<ПАРОЛЬ>"

Угловые скобки <...> здесь и дальше обозначают место для вашего значения: сами скобки удалите.

Шаг 2. Требования к паролям (необязательно)

Настройки действуют на все новые пароли:

/user settings set minimum-password-length=12 minimum-categories=3

minimum-categories — число категорий символов из четырёх (цифры, строчные, заглавные, символы).

Шаг 3. Создайте собственного администратора

/user add name="<ЛОГИН>" password="<ПАРОЛЬ>" group=full

Имя может содержать буквы, цифры и символы _ . # - @, должно заканчиваться буквой или цифрой и не может начинаться с точки или дефиса. Группа full даёт полные права. Встроенная группа read только выглядит безобидной: в неё входят право перезагружать роутер и видеть секретные данные конфигурации. Для посторонних создавайте отдельную группу с минимальным набором прав.

Шаг 4. Проверьте вход и отключите admin

Откройте второе окно WinBox или SSH и войдите под новым пользователем. Только если вход прошёл, отключайте admin:

/user disable admin

Как проверить:

/user print

В списке должны быть ваш пользователь и строка admin с флагом X (отключён). Если вход под новым пользователем не получился, admin не отключайте и разберитесь с ошибкой.

Необязательно: параметр address ограничивает вход пользователя подсетью, например локальной:

/user set <ЛОГИН> address=192.168.88.0/24

Включайте это только убедившись, что входите из этой подсети. Позже список придётся расширить подсетями VLAN и VPN (см. предупреждение про available-from ниже). Ограничение address действует только на IP-подключения: у входа по MAC-адресу (MAC Telnet, MAC WinBox) нет IP-источника, поэтому такое ограничение на него не распространяется, и пользователь с address всё равно сможет войти по MAC, пока MAC-доступ разрешён. Закрывать вход по MAC нужно отдельно, настройками MAC-сервера (см. раздел про MAC-доступ ниже).

Имя роутера, часовой пояс и NTP

Имя (identity)

Имя видно в приглашении консоли, заголовке WinBox, списке обнаружения и мониторинге. Латинские буквы, цифры и дефисы работают везде, в том числе как имя хоста в DHCP. Далее в серии используется имя office-gw:

/system identity set name=office-gw

Как проверить:

/system identity print

Должна появиться строка name: office-gw, а приглашение примет вид [<ЛОГИН>@office-gw] >.

Часовой пояс

По умолчанию включено автоопределение пояса по внешнему IP через облачную службу MikroTik; провайдеры нередко регистрируют адреса не в том регионе. Надёжнее отключить автоопределение (иначе заданное вручную имя будет перезаписано) и указать пояс самим:

/system clock set time-zone-autodetect=no time-zone-name=Europe/Moscow

Названия поясов — из базы IANA, регистр важен. В консоли после time-zone-name= нажмите Tab, чтобы увидеть варианты. Несуществующее имя вызовет ошибку input does not match any value of time-zone-name.

Синхронизация времени (NTP)

NTP — протокол синхронизации времени. Верное время нужно для логов (иначе при разборе инцидентов не понять, что и когда случилось), проверки сертификатов и расписаний. Часы роутера неточны, а на новом или сброшенном роутере без источника времени дата может оказаться 1970-01-02.

/system ntp client set enabled=yes servers=ru.pool.ntp.org

Подойдёт любой доступный NTP-сервер: адрес или имя (имя разрешается через DNS — службу, которая переводит имена в IP-адреса, поэтому нужен работающий интернет). Если на роутере работает DHCP-клиент, серверы времени могут прийти от провайдера.

Как проверить:

/system ntp client print

В status должно быть synchronized, в synced-server — адрес сервера. Пока waiting, ни один сервер не отвечает: проверьте интернет и DNS. Затем:

/system clock print

Дата, время и пояс должны быть верными.

Обновление RouterOS и загрузчика

Обновляйте RouterOS сразу: в старых прошивках были уязвимости, исправленные позднее. Роутер скачивает обновления с серверов MikroTik сам по HTTPS, поэтому ему нужны интернет и DNS.

Каналы обновлений

• long-term — выходит редко, содержит только самые важные исправления. Для тех, кому важна неизменность.
• stable — выходит раз в несколько месяцев, включает проверенные новинки и исправления. Разумный выбор для большинства.
• testing — выходит раз в несколько недель, проходит базовую проверку. Для рабочей сети не годится.
• development — «сырые» изменения для энтузиастов.

Номера версий сравниваются по частям: точка — разделитель, а не десятичная запятая. Версия 7.9 старше, чем 7.16.

Шаг 1. Текущая версия

/system resource print

В version — установленная версия, в architecture-name и board-name — архитектура и модель.

Шаг 2. Канал и проверка обновлений

/system package update set channel=stable

/system package update check-for-updates

Подождите несколько секунд и только потом выполняйте print, иначе latest-version и status будут пустыми.

/system package update print

В installed-version — текущая версия, в latest-version — самая свежая в канале, а status скажет что-то вроде New version is available. Если обновление не находится, проверьте по порядку три вещи: имя сервера обновлений должно разрешаться в IP-адрес, до сервера должна доходить связь, а порт HTTPS (443) должен быть открыт. Первая команда проверяет DNS, вторая — связь с узлом, третья — порт 443.

:put [:resolve upgrade.mikrotik.com]

/tool ping address=upgrade.mikrotik.com count=3

/system telnet upgrade.mikrotik.com port=443

Если порт доступен, команда выведет «Connected to …» (адрес в выводе может со временем смениться, ориентируйтесь на слово «Connected»); после проверки закройте сеанс. Если DNS не разрешается, проверьте настройки DNS; если не проходит ping или порт, проверьте маршрутизацию и правила firewall у провайдера и на роутере.

Шаг 3. Установка

/system package update install

Чтобы перезагрузиться позже, вместо install выполните /system package update download, а в удобное время — /system reboot. После загрузки снова выполните /system resource print и убедитесь, что версия выросла.

Шаг 4. Загрузчик (RouterBOOT)

Загрузчик — маленькая программа в железе, которая запускает RouterOS. Он не обновляется сам вместе с RouterOS, и документация советует обновлять его после каждого обновления системы. Сначала посмотрите, нужна ли замена:

/system routerboard print

current-firmware — используемая версия загрузчика, upgrade-firmware — доступная. Если они различаются:

/system routerboard upgrade

Роутер может спросить подтверждение. Затем перезагрузите его, чтобы новый загрузчик начал работать:

/system reboot

После перезагрузки current-firmware в /system routerboard print должно совпасть с upgrade-firmware.

Чтобы не делать это вручную, включите автоматическое обновление загрузчика: после очередного обновления RouterOS он обновится сам, а новая версия начнёт работать после ещё одной перезагрузки.

/system routerboard settings set auto-upgrade=yes

На x86-устройствах (архитектура i386) меню /system routerboard недоступно, и загрузчик там обновлять не нужно. Если команда не находится, пропустите шаг.

Резервные копии: backup и export

В RouterOS два принципиально разных вида копий, и нужны оба.

	Бинарная копия (/system backup)	Текстовый экспорт (/export)
Что это	Файл .backup: «снимок» всей конфигурации	Файл .rsc: текст с командами
Что включает	Практически всё, включая пользователей и MAC-адреса	Только конфигурацию. Пароли пользователей, сертификаты и ключи SSH не включаются
Куда восстанавливать	На то же устройство и ту же версию RouterOS	Читается глазами, части настроек переносятся на другие устройства
Как открыть	Только восстановлением на роутере	Любым текстовым редактором

Бинарную копию нельзя переносить на другую модель: в файл записаны MAC-адреса интерфейсов, и при восстановлении они возвращаются роутеру. Для переезда на новую железку используйте текстовый экспорт. Делайте копии после обновления: backup лучше восстанавливать на той версии RouterOS, на которой он создан.

Создание копий

/system backup save name=first-setup password="<ПАРОЛЬ>"

/export file=first-setup

Первая команда создаёт first-setup.backup, вторая — first-setup.rsc. Если пароль не указать, backup сохранится без шифрования, а в нём секретные данные: пароли, ключи. Поэтому всегда указывайте password и храните файл как пароль.

По умолчанию экспорт скрывает секретные значения (пароль Wi-Fi, ключи VPN, пароли PPPoE). Параметр show-sensitive добавляет их в файл; пользуйтесь им осознанно и храните такой файл так же бережно:

/export file=first-setup-secrets show-sensitive

Как проверить:

/file print

В списке должны быть first-setup.backup и first-setup.rsc с ненулевым размером.

Скачайте копии с роутера

Файл на самом роутере не спасёт, если сломается сам роутер. Кроме того, на моделях с папкой flash всё вне неё хранится в оперативной памяти и пропадает при перезагрузке. Скопируйте файлы на компьютер: в WinBox откройте Files, выделите файл и нажмите Download..., либо используйте SFTP-клиент (он работает через сервис SSH, FTP включать не нужно). Автоматические копии по расписанию — в статье 10.

Восстановление

Бинарная копия возвращается так (роутер спросит подтверждение и перезагрузится):

/system backup load name=first-setup password="<ПАРОЛЬ>"

Экспорт выполняется командой import и добавляет команды из файла к существующей конфигурации. Для «чистого» результата сначала сделайте сброс без заводской конфигурации (см. ниже):

/import file-name=first-setup.rsc

Первичная защита без firewall

Полноценная защита строится на firewall, ему посвящена статья 04. Но до него есть меры, которые ничего не ломают и сразу уменьшают поверхность атаки. Именно этот раздел — основной набор мер по закрытию управления: в следующих статьях на него ссылаются. Если вы оставили заводскую конфигурацию, firewall в ней уже блокирует управление со стороны интернета: не удаляйте эти правила.

Сервисы управления

Посмотрите, какие сервисы включены. Строки без флага X слушают порт:

/ip service print

Порты по умолчанию: ftp — 21, ssh — 22, telnet — 23, www — 80, www-ssl — 443 (по умолчанию выключен), winbox — 8291, api — 8728, api-ssl — 8729. Telnet, FTP и www передают пароли открытым текстом, а api и api-ssl нужны только скриптам и сторонним программам. Если вы ими не пользуетесь, отключите. Если вы сейчас работаете через WebFig, после отключения www соединение оборвётся: сначала перейдите на WinBox или SSH и включите Safe Mode.

/ip service disable telnet,ftp,www,api,api-ssl

Останутся WinBox и SSH. Если хотите браузерный интерфейс, включайте только www-ssl и выпускайте для него сертификат, как описано в руководстве по WebFig.

Каждому оставшемуся сервису можно указать адреса, с которых к нему разрешено подключаться, параметром available-from:

/ip service set winbox,ssh available-from=192.168.88.0/24

Как проверить:

/ip service print proplist=name,port,available-from

У winbox и ssh должен быть указан 192.168.88.0/24, а telnet, ftp, www, api и api-ssl помечены X.

Чтобы SSH отказался от устаревших алгоритмов шифрования, включите:

/ip ssh set strong-crypto=yes

Очень старые SSH-клиенты после этого могут не подключиться: обновите клиент.

Сервер проверки скорости включён по умолчанию, в рабочей сети он не нужен:

/tool bandwidth-server set enabled=no

Если он понадобится для теста через туннель, его можно включить обратно (это сделано в статье 08).

Прокси (/ip proxy), SOCKS (/ip socks) и UPnP (/ip upnp) по умолчанию выключены, включать их не нужно. Облачные службы MikroTik (/ip cloud) без необходимости тоже не используйте.

MAC-доступ и обнаружение соседей

Доступ по MAC-адресу (MAC Telnet, MAC WinBox, MAC ping) работает на канальном уровне внутри одного сегмента и не проходит через IP-firewall: правило «запретить порт» его не остановит. Управлять им можно только настройками MAC-сервера. Протокол обнаружения (neighbor discovery) сообщает всем в сегменте имя роутера, версию и модель. В заводской конфигурации оба механизма на порту провайдера уже выключены, а на локальных интерфейсах работают.

Оставим доступ только из локальной сети:

/tool mac-server set allowed-interface-list=LAN

/tool mac-server mac-winbox set allowed-interface-list=LAN

/tool mac-server ping set enabled=no

/ip neighbor discovery-settings set discover-interface-list=LAN

Как проверить:

/tool mac-server print

/tool mac-server mac-winbox print

/ip neighbor discovery-settings print

Во всех трёх должен быть список LAN. Если запасной MAC-доступ не нужен, вместо LAN можно задать none, как в руководстве MikroTik по безопасности. Закрывать порты со стороны интернета будет firewall из статьи 04.

Сброс конфигурации

Сброс возвращает роутер к заводскому состоянию. Он нужен, если вы потеряли доступ, хотите начать с нуля или передаёте устройство другому человеку.

Из RouterOS

/system reset-configuration

Роутер спросит подтверждение и перезагрузится в заводскую конфигурацию. По умолчанию перед сбросом он сам сохраняет резервную копию текущей конфигурации. В WinBox это System > Reset Configuration. Параметры:

Параметр	Что делает
no-defaults=yes	Не загружать заводскую конфигурацию, просто очистить настройки
skip-backup=yes	Не создавать резервную копию перед сбросом
keep-users=yes	Не удалять существующих пользователей
run-after-reset=<файл.rsc>	После сброса выполнить указанный скрипт

Пример сброса в пустую конфигурацию:

/system reset-configuration no-defaults=yes skip-backup=yes

Кнопкой Reset

Если доступа нет совсем (забыт пароль, ошибка в сети):

1. Отключите питание.
2. Нажмите и удерживайте кнопку Reset.
3. Подайте питание, не отпуская кнопку.
4. Когда начнёт мигать светодиод (обычно USR), отпустите кнопку.

Роутер загрузится с заводской конфигурацией и заводским паролем. Если включена защита загрузчика (protected-routerboot), кнопка так не работает (см. предупреждение ниже). Остальные положения кнопки (режим CAPs, Netinstall, резервный загрузчик) зависят от времени удержания: не держите кнопку дольше, чем нужно для сброса. На очень старых моделях вместо кнопки может быть перемычка: если замыкали её, уберите после сброса, иначе настройки будут стираться при каждой перезагрузке.

Netinstall: когда не помогает ничего

Netinstall — утилита MikroTik для установки RouterOS с нуля. Она нужна, если система повреждена или роутер не загружается, обновление прошло неудачно, нужна чистая установка, либо пароль потерян, а сбросить кнопкой нельзя (например, нет физического доступа к ней). Netinstall переформатирует диск, но лицензия и настройки загрузчика сохраняются. Судьба конфигурации зависит от режима: в графической версии это флажок Keep Old Configuration, в Linux-версии (netinstall-cli) без ключей -r и -e конфигурация сохраняется, -r ставит заводскую, -e оставляет пустую. Если вы потеряли пароль, сохранение конфигурации выключите, иначе пользователи и пароль вернутся.

Порядок: компьютер соединяется с роутером напрямую кабелем, на его сетевом интерфейсе задаётся статический IP, на нём запускается Netinstall (Windows с графическим интерфейсом или Linux в командной строке), а роутер переводится в режим Etherboot (загрузка по сети): при включении удерживайте Reset до смены индикации светодиода (мигание, постоянное свечение, погасание). Кабель включается в ether1 или порт с надписью BOOT. Роутер появляется в списке, вы выбираете системный пакет и жмёте Install. Подробные инструкции для вашей ОС есть в документации MikroTik; нам достаточно знать, что такой способ существует.

Как вернуть доступ, если вы себя отрезали

Ситуация	Что делать
Включён Safe Mode и связь оборвалась	Подождите: изменения откатятся сами (до 9 минут)
Изменили адрес, мост или available-from, IP-доступа нет	Подключитесь по MAC из WinBox (вкладка Neighbors), если MAC-доступ разрешён на вашем порту, и исправьте настройку
Отключили winbox и ssh в /ip service	Зайдите по MAC (WinBox или MAC Telnet) и включите сервисы обратно
Закрыли MAC-доступ и не можете зайти по IP	Сброс кнопкой Reset, затем настройка заново или импорт из экспорта (.rsc)
Забыли пароль	Сброс кнопкой Reset либо Netinstall с выключенным сохранением конфигурации; потом восстановление из экспорта. При protected-routerboot нужно полное переформатирование (см. выше)
Роутер не загружается	Netinstall

Чтобы не дойти до последних строк, перед рискованным действием делайте /export и включайте Safe Mode.

Типичные ошибки

• Подключили кабель к ether1. В заводской конфигурации это порт провайдера, управление через него закрыто. Переключитесь на ether2–ether5.
• Не сменили пароль. Роутер с пустым или заводским паролем в сети провайдера взломают быстро. Меняйте пароль в первые минуты.
• Отключили admin, не проверив нового пользователя. Если логин или пароль не подошли, вы остались без входа. Сначала проверка, потом отключение.
• Ограничили available-from, забыв свой адрес. Следующий вход будет отклонён. Используйте Safe Mode и сразу проверяйте второе подключение.
• Копия лежит только на роутере. При поломке или сбросе она пропадает. Скачивайте файлы на компьютер.
• Восстановили бинарный backup на другой модели или версии. Он рассчитан на то же устройство и ту же версию RouterOS. Для переноса используйте экспорт.

Что дальше

• MikroTik с нуля 02. Командная строка RouterOS: шпаргалка — как устроена консоль, Safe Mode, поиск и отмена изменений.
• MikroTik с нуля 03. Настройка роутера: WAN, LAN, DHCP и NAT — подключение к провайдеру и раздача интернета.
• MikroTik с нуля 04. Firewall для начинающих — защита роутера и локальной сети.
• MikroTik с нуля 10. Автоматический бэкап и обновление по расписанию — чтобы копии делались без вашего участия.