Access листы в RouterOS

Содержание

1. Access list
2. MAC Address
3. Interface
4. Signal Strenght Range
5. Allow Signal Out Of Range
6. AP TX Limit
7. Client TX Limit
8. Authentication
9. Forwarding
10. VLAN Mode
11. Private Key
12. Private Pre Shared Key
13. Management Protection Key
14. Time

Поговорим про Access листы на оборудовании MikroTik в стандартном Wi-Fi интерфейсе.

Access list: это набор правил, который разрешает или запрещает подключаться к точке доступа беспроводным клиентам.

Переходим в раздел Wireless / Access list и разберем, что здесь есть.

MAC Address

Основной параметр access list это MAC Address. На основании MAC Address мы можем подключаться или не подключаться к нашему беспроводному устройству.

Если мы не знаем MAC Address или нам не важно, какие mac адреса у наших клиентов, мы можем использовать пустое поле MAC Address, то есть для всех.

Interface

Следующим параметром является Interface. Мы можем настроить правила Access листа на конкретный интерфейс или выбрать набор Access листов к интерфейсу 2.4, 5GHz и. т. д.

Signal Strenght Range

Данный параметр используется для организации перехода с одной точки доступа на другую. То есть минимальный уровень сигнала, при котором разрешено подключение к точке доступа.

В среднем минимально удовлетворительный уровень сигнала от -75 dB до -20 dB. При этом -20dB это достаточно редко встречающаяся величина, когда точка доступа и клиент практически лежат друг на друге.

Allow Signal Out Of Range

Параметр отвечает за то, как быстро отработает правило с точки зрения уровня сигнала. Если уровень сигнала от клиента изменился, сколько времени мы будем прощать ему это изменение. По умолчанию стоит 10 секунд. Можно увеличить или поставить always, тогда применятся будет сразу и клиент будет отброшен. В некоторых ситуациях это может негативно сказываться на работе нашей беспроводной сети, поэтому оптимально оставлять 10 секунд.

AP TX Limit

Это ограничение скорости от точки доступа до клиента.

Client TX Limit

Ограничение скорости от клиента к точке доступа.
Client TX Limit работает только между RouterOS — RouterOS. То есть на смартфоны этот параметр не распространяется.

В основном эти два параметра больше для беспроводных мостов или операторов связи потому, что когда мы уменьшаем скорость передачи на беспроводных интерфейсах, мы в целом теряем в качестве беспроводной сети. Потому, что гораздо лучше, когда наш клиент передает какие-то данные по беспроводной сети на максимальной скорости и дает возможность другому клиенту делать то же самое.

Authentication

Если данный параметр отключен, то ни один клиент не сможет подключиться. Это будет запрещающее правило. Если параметр включен, это означает, что мы разрешаем подключаться клиентам с определенными параметрами.

Если у нас нет правил в access листе, то действуют правила из беспроводного интерфейса.

Forwarding

Разрешает обмен трафиком между клиентами одной беспроводной сети, то есть определяет, будут ли наши клиенты изолированы друг от друга.
Данный параметр может быть указан в Access List для конкретного устройства. Или может быть указан глобально в настройках беспроводного интерфейса.

VLAN Mode

Мы можем установить на конкретного клиента какой-то конкретный vlan и этот клиент автоматически будет попадать в необходимый vlan. Параметр достаточно специфичный и применяется, когда, например, у нас есть устройства, которые требуется подключить к корпоративной беспроводной сети, но они не поддерживают WPA2 EAP и они умеют только WPA2 PSK. Мы их подключаем к гостевой сети, но на них делаем настройку, которая позволяет их переключить в нужный vlan.

Private Key

Данный параметр устарел и практически не используется.

Private Pre Shared Key

А данный параметр может быть нам интересен. С его помощью можно установить на конкретный MAC адрес уникальный пароль и тем самым конкретный клиент будет подключаться с уникальным паролем к нашей точке доступа.

Management Protection Key

Используется для беспроводных мостов и работает только с оборудованием MikroTik

Time

Данная функция задает время работы наших правил. Например, можно сделать так, что подключаться к нашей сети можно только в рабочее время.