دسته: آموزش مهندسی شبکه

طراحی آدرس‌دهی شبکه پایه هر پروژه MikroTik است — از یک VLAN ساده تا شبکه چند شعبه با VLSM و مهاجرت تدریجی به IPv6. این راهنما مفاهیم را با ماشین‌حساب Subnet آبانت توضیح می‌دهد.

۱. IPv4 و CIDR

آدرس IPv4 چهار octet دارد؛ CIDR (مثل /24) تعداد bitهای network را مشخص می‌کند:

• 192.168.1.0/24 → 256 آدرس (254 usable)
• 10.0.0.0/8 → 16 میلیون آدرس
• /30 → 4 آدرس — رایج برای PtP link بین روترها

۲. VLSM (Variable Length Subnet Mask)

با VLSM یک block بزرگ را به subnetهای کوچک‌تر با سایز متفاوت تقسیم می‌کنید — بدون هدر رفت IP.

مثال: 10.10.0.0/16 را تقسیم کنید:

• 10.10.1.0/24 — VLAN اداری (254 host)
• 10.10.2.0/24 — VLAN مهمان
• 10.10.255.0/30 — لینک PtP HQ↔Branch
• 10.10.255.4/30 — لینک PtP HQ↔DC

۳. استفاده از ابزار Subnet آبانت

1. تب IP Subnet / VLSM را باز کنید.
2. آدرس شبکه و prefix را وارد کنید — network/broadcast/host range فوراً نمایش داده می‌شود.
3. برای VLSM: block والد را بدهید و subnetهای فرزند را اضافه کنید.
4. خروجی جدول آماده مستندسازی NOC است.

۴. IPv6 در کنار IPv4

IPv6 با 128-bit address فضای عملاً نامحدود دارد:

• /64 — یک subnet استاندارد (یک VLAN)
• /48 — block سازمانی از ISP
• /127 — لینک PtP (دو آدرس)
• SLAAC و DHCPv6 برای host؛ routing با OSPFv3 یا static

ابزار آبانت IPv4 و IPv6 را در یک رابط پشتیبانی می‌کند — برای dual-stack planning.

۵. نکات MikroTik

• هر interface/router باید IP در subnet درست داشته باشد — gateway همان روتر upstream
• از overlap subnet جلوگیری کنید — routing loop یا blackhole
• برای VLAN: یک subnet per VLAN؛ inter-VLAN routing روی L3 switch یا روتر
• /ip pool برای DHCP باید داخل usable range باشد

۶. چک‌لیست طراحی

1. تعداد host هر segment را تخمین بزنید
2. Block private (10.0.0.0/8، 172.16.0.0/12، 192.168.0.0/16) انتخاب کنید
3. PtP linkها را /30 یا /31 (RouterOS v7) در نظر بگیرید
4. فضای رزرو برای رشد آینده بگذارید
5. جدول VLSM را مستند کنید — ابزار آبانت export می‌دهد

جمع‌بندی

آدرس‌دهی درست = پایداری routing + DHCP بدون conflict + مهاجرت آسان به IPv6. قبل از deploy، subnetها را در ابزار محاسبه و تأیید کنید.

باز کردن ماشین‌حساب Subnet آبانت

راه‌اندازی لینک Point-to-Point بی‌سیم روی MikroTik نیاز به تنظیم دقیق wireless interface، security profile و alignment دارد. در این راهنما فرآیند provision لینک PtP را با ابزار Radio Provision آبانت مرور می‌کنیم.

۱. معماری PtP روی MikroTik

• هر طرف یک wireless interface در mode bridge یا station-bridge / ap-bridge
• یک طرف AP (access point)، طرف دیگر Station
• SSID و frequency ثابت — برای PtP از SSID اختصاصی استفاده کنید
• Security: WPA2-PSK یا wpa2-eap بسته به سیاست سازمان

۲. انتخاب فرکانس و channel width

در 5GHz band:

• 5180–5320 MHz — DFS channels؛ power محدودتر، radar detection
• 5745–5825 MHz — بدون DFS؛ مناسب PtP شهری
• Channel width: 20MHz پایدارتر؛ 40/80MHz throughput بیشتر ولی حساس‌تر به interference

۳. Radio Provision در ابزار آبانت

1. تب Radio Provision / Troubleshoot را باز کنید.
2. نقش روتر را مشخص کنید: AP یا Station.
3. SSID، frequency، channel width و security را وارد کنید.
4. MAC address طرف مقابل (برای station) را در صورت نیاز بنویسید.
5. اسکریپت RouterOS تولیدشده را در WinBox Terminal paste کنید.

۴. تنظیمات پیشنهادی PtP

• wireless-fdb و wireless-protocol را روی هر دو طرف یکسان بگذارید
• country را مطابق مجوز تنظیم کنید — EIRP illegal باعث jam می‌شود
• Distance: در wireless interface مقدار فاصله تقریبی را وارد کنید — ACK timeout بهینه می‌شود
• Tx power: فقط به اندازه نیاز — power زیاد noise floor را بالا می‌برد

۵. Alignment و مانیتoring

1. ابتدا AP را up کنید؛ در Station «Scan» ببینید SSID دیده می‌شود
2. signal strength هدف: -50 تا -65 dBm برای PtP خوب
3. از /interface wireless monitor SNR و tx/rx rate را ببینید
4. پس از alignment، interface را lock frequency کنید

۶. عیب‌یابی رایج

• Station SSID را نمی‌بیند → frequency/country mismatch یا فاصله بیش از حد
• اتصال برقرار ولی ping نمی‌رود → bridge/NAT یا firewall
• CCQ پایین → interference، alignment ضعیف یا channel width زیاد
• قطع و وصل دوره‌ای → DFS radar یا power supply ناپایدار

جمع‌بندی

لینک PtP موفق = Site Survey قبل از نصب + provision یکسان دو طرف + alignment دقیق. ابزار Radio Provision اسکریپت symmetric تولید می‌کند.

باز کردن Radio Provision آبانت

اتصال HQ به شعبه با EoIP یا GRE یکی از رایج‌ترین سناریوهای MikroTik است. اشتباه در MTU/MSS باعث «سایت باز می‌شود ولی دانلود گیر می‌کند» می‌شود. این راهنما با ابزار تونل آبانت مسیر امن را نشان می‌دهد.

۱. EoIP در برابر GRE

• EoIP — تونل لایه ۲ MikroTik؛ bridge بین دو روتر؛ overhead بیشتر (~50 byte)
• GRE — تونل لایه ۳ استاندارد؛ IP داخل IP؛ overhead کمتر (~24 byte)
• EoIP برای bridge VLAN و سرویس‌های L2؛ GRE برای routing ساده بین subnetها

۲. چرا MTU/MSS مهم است؟

هر packet بزرگ‌تر از MTU مسیر، fragment می‌شود یا drop می‌شود. در تونل، header اضافه می‌شود پس effective MTU کمتر از 1500 است:

• Ethernet MTU استاندارد: 1500
• EoIP overhead: ~50 byte → MTU ایمن ~1450
• GRE overhead: ~24 byte → MTU ایمن ~1476

MSS clamping در firewall/NAT، TCP segment size را محدود می‌کند تا fragmentation رخ ندهد.

۳. تنظیم در ابزار آبانت

1. تب تونل VPN را باز کنید.
2. IP عمومی HQ و Branch را وارد کنید.
3. نوع تونل (EoIP یا GRE) را انتخاب کنید — MTU/MSS خودکار محاسبه می‌شود.
4. برای EoIP: پورت bridge محلی (مثلاً ether2) را مشخص کنید.
5. اسکریپت HQ و Branch در ترمینال پایین صفحه تولید می‌شود.

۴. ترتیب اجرای اسکریپت

1. اول HQ — interface تونل، IP داخلی، firewall rule و MSS clamp
2. سپس Branch — peer به HQ، route و MSS
3. از HQ یک ping با سایز بزرگ تست کنید: /ping 8.8.8.8 size=1400
4. اگر drop شد → MTU را 10-20 byte کم کنید

۵. MSS Clamping در RouterOS

ابزار آبانت rule مشابه زیر را در خروجی می‌گذارد:

/ip firewall mangle add chain=forward protocol=tcp tcp-flags=syn 
  action=change-mss new-mss=clamp-to-pmtu

این rule TCP SYN را intercept می‌کند و MSS را به PMTU مسیر تنظیم می‌کند — راه‌حل استاندارد برای تونل‌های VPN.

۶. عیب‌یابی سریع

• سایت کوچک باز می‌شود، فایل بزرگ نه → MTU/MSS
• ping با size=1500 fail ولی size=1400 ok → fragmentation
• یک طرف تونل up، طرف دیگر down → IP عمومی یا firewall upstream
• latency بالا → مسیر ISP؛ تونل را روی UDP/IPsec در نظر بگیرید

جمع‌بندی

تونل پایدار = MTU درست + MSS clamp + ترتیب HQ→Branch. ابزار آبانت overhead را حساب می‌کند تا دستی حدس نزنید.

باز کردن ابزار تونل VPN آبانت

لینک Point-to-Point (PtP) در 5.8GHz قبل از خرید تجهیزات باید از نظر فیزیکی و RF تأیید شود. در این راهنما مفاهیم LoS، zone فرنل، FSPL و حاشیه حرارتی (Thermal Margin) را با ابزار Site Survey آبانت مرور می‌کنیم.

۱. Line of Sight (LoS) چیست؟

دو آنتن باید یکدیگر را «ببینند» — یعنی مسیر مستقیم بین TX و RX بدون مانع جسم جامد باشد. حتی یک ساختمان یا درخت در وسط مسیر می‌تواند لینک را ناپایدار کند. در ابزار آبانت، نقاط فرستنده و گیرنده را روی نقشه قرار دهید؛ خط اتصال و پروفیل ارتفاع به شما کمک می‌کند موانع احتمالی را ببینید.

۲. Zone فرنل (Fresnel Zone)

امواج RF فقط روی یک خط حرکت نمی‌کنند — یک لوله بیضی‌شکل حول خط دید دارند. ۶۰٪ zone فرنل باید آزاد باشد؛ در غیر این صورت تداخل چندمسیره (multipath) و افت شدید سیگنال رخ می‌دهد.

• هرچه فاصله بیشتر → zone فرنل پهن‌تر → نیاز به ارتفاع دکل بیشتر
• فرکانس بالاتر (5.8GHz) → zone باریک‌تر ولی حساس‌تر به مانع
• ابزار آبانت zone فرنل را از روی فاصله و فرکانس محاسبه می‌کند

۳. FSPL و EIRP

Free Space Path Loss (FSPL) افت توان در فضای آزاد است — تابع فاصله و فرکانس. EIRP (Effective Isotropic Radiated Power) توان مؤثر آنتن با در نظر گرفتن gain و توان فرستنده است.

در Site Survey، توان TX، gain آنتن و cable loss را وارد کنید. خروجی EIRP و FSPL به شما می‌گوید آیا لینک از نظر توان در حد قابل قبول است.

۴. Thermal Margin (حاشیه سیگنال)

Thermal Margin فاصله بین سطح سیگنال دریافتی و آستانه حساسیت گیرنده است. برای لینک پایدار:

• حداقل ۱۰ dB برای لینک شهری با تداخل متوسط
• ۱۵–۲۰ dB برای لینک بحرانی یا مسیر طولانی
• کمتر از ۶ dB → ریسک قطعی در باران، مه یا نوسان alignment

دکمه «ارزیابی هوشمند لینک» در ابزار، Thermal Margin را با در نظر گرفتن fade margin و noise floor محاسبه می‌کند.

۵. گام‌به‌گام در ابزار آبانت

1. تب Site Survey / Link Planner را باز کنید.
2. نقطه TX (فرستنده) و RX (گیرنده) را روی نقشه مشخص کنید.
3. ارتفاع دکل، توان TX، gain آنتن و cable loss را وارد کنید.
4. فرکانس 5.8GHz و bandwidth مورد نظر را انتخاب کنید.
5. «ارزیابی هوشمند لینک» را اجرا کنید و Thermal Margin را بررسی کنید.
6. اگر margin کافی نیست → ارتفاع دکل یا gain آنتن را افزایش دهید، یا مسیر جایگزین بیابید.

۶. نکات میدانی

• قبل از نصب، از زمین با binoculars یا دوربین LoS واقعی را تأیید کنید
• در فصل برگ‌ریزی درختان، zone فرنل را دوباره چک کنید
• برای PtP از مد 802.11a/n/ac یا رادیو اختصاصی با TDD/FDD مناسب استفاده کنید
• alignment آنتن: ابتدا RX را به TX قفل کنید، سپس TX را fine-tune کنید

جمع‌بندی

یک لینک 5.8GHz پایدار = LoS واقعی + zone فرنل آزاد + Thermal Margin کافی. با Site Survey آبانت قبل از خرید تجهیزات، از هزینه‌های اشتباه جلوگیری کنید.

باز کردن Site Survey آبانت

در این راهنما گام‌به‌گام یاد می‌گیرید چطور با ابزار دیوار آتش آبانت یک اسکریپت واحد RouterOS تولید کنید — بدون نوشتن دستی docenas rule. خروجی نهایی برای Paste در WinBox آماده است.

۱. پیش‌نیازها

• روتر MikroTik با RouterOS v6 یا v7 (ترجیحاً v7)
• دسترسی WinBox یا SSH به روتر
• شناخت پورت WAN متصل به مودم/ISP (مثلاً ether1)
• لیست زیرشبکه‌های LAN مجاز (یک یا چند رنج)

۲. تعریف رنج‌های LAN در Aban_Local_LANs

در ابزار آبانت، فیلد LAN Subnet رنج مجاز شبکه داخلی را مشخص می‌کند. اسکریپت تولیدشده آدرس‌ها را در address-list با نام Aban_Local_LANs ثبت می‌کند — به‌جای تکرار rule برای هر CIDR.

• یک رنج: 192.168.88.0/24
• چند رنج در یک فیلد: با کاما جدا کنید
• چند ردیف جدا: از دکمه + استفاده کنید (مثلاً VLAN یا شعبه)
• IP تکی: به‌صورت خودکار /32 در نظر گرفته می‌شود

۳. WAN و پورت‌های مدیریت

WAN Interface همان پورتی است که اینترنت/ISP به آن وصل است — فیزیکی یا مجازی (PPPoE). Admin Ports پورت‌های Winbox، SSH و WebFig هستند که فقط از LAN مجاز باز می‌مانند؛ پیش‌فرض: 8291,22,80.

۴. Blacklist Timeout

مدت زمان مسدودسازی IPهای مهاجم پس از port scan یا brute-force — مقدار RouterOS مثل 1d یا 12h.

۵. ماژول‌های IPS / امنیت

بسته به نیاز، ماژول‌ها را فعال کنید:

• Stateful Inspection — هسته (همیشه فعال)
• ضد DDoS (RAW) — SYN flood
• ضد اسکن پورت — PSD + address-list
• قفل مدیریت — Admin فقط از LAN
• مسدود SMTP — خروج spam از WAN
• سپر IPv6 — ND-safe + WAN drop
• Malware / IDS Log — پورت‌های باج‌افزار و لاگ حمله
• تزریق baseline ادمین آبانت — hardening پیشنهادی (روترهای ضعیف: با احتیاط)

۶. تولید و اجرای اسکریپت

1. در ابزار دیوار آتش فیلدها را پر کنید.
2. ترمینال پایین صفحه اسکریپت Unified Cyber Shield را نشان می‌دهد.
3. کپی اسکریپت → WinBox → New Terminal → Paste → Enter.
4. پس از اجرا، از بخش Firewall rules و address-list صحت را بررسی کنید.

۷. چند VLAN یا چند شعبه

برای هر رنج LAN جدا (مثلاً 10.10.1.0/24 کارخانه و 10.20.0.0/24 اداری) دکمه + را بزنید یا در یک فیلد با کاما بنویسید. همه در Aban_Local_LANs جمع می‌شوند و ruleهای admin lock یک‌بار اعمال می‌شوند.

جمع‌بندی

با این روش یک pipeline واحد دارید: LAN → address-list → RAW/Stateful → IPS → WAN drop. برای تست سریع از پیش‌فرض‌ها شروع کنید و فقط WAN و LAN را اصلاح کنید.

باز کردن ابزار دیوار آتش آبانت