如何进行 RouterOS (ROS) 软路由基本配置？2026最新初始化设置与避坑指南

9 分钟
4271 字
分类: 基础教程
标签: RouterOS ROS 软路由 MikroTik 避坑指南

在家庭实验室网络搭建和网络架构规划中，**如何进行 RouterOS (ROS) 软路由基本配置？**是每个追求网络高吞吐量与极高稳定性用户必须跨越的门槛。

RouterOS 初始化的最核心、最标准的步骤包含：首先下载并运行最新原生跨平台的 Winbox v4 管理工具，双击网卡物理 MAC 地址进行免 IP 登录，修改默认的 admin 空密码并关闭不需要的 API、Telnet 等服务；其次将网口重命名（如划分为 WAN 与 LAN1 等），创建 Bridge 桥接并将 LAN 网口绑定至网桥上以构成物理交换域，同时在 IP Addresses 下为网桥指定网关地址（如 10.10.10.1/24）；最后，在 IP Firewall NAT 中添加源地址转换为 masquerade（IP 伪装）的规则，并在 Interfaces 中新增 PPPoE 客户端或在 DHCP Client 下配置 WAN 口上网，启用 DHCP Server 与 DNS 的 Allow Remote Requests 即可实现全局线速转发。如果在高带宽环境下开启了 FastTrack 硬件加速，请务必为 VPN 接口配置例外规则以防止加密隧道数据被丢弃。

RouterOS Config
MikroTik RouterOS 软路由基本配置指南

一、什么是 RouterOS？

RouterOS (通常被简称为 ROS)，是拉脱维亚 MikroTik 公司开发的一款基于 Linux 内核的独立路由操作系统。在软路由领域，除了我们熟知的 OpenWrt 和 爱快 之外，ROS 凭借其极其恐怖的稳定性和工业级网络功能，成为了企业网关与 Homelab 高端玩家的首选。

RouterOS 核心优势

  1. 管理手段多样且灵活：同时提供命令行 CLI、网页端 WebUI，以及专为 ROS 打造的图形化管理利器 Winbox 客户端。
  2. 吞吐性能强劲：针对 CPU 小包转发与多队列网卡进行过深度代码优化，能以极低的硬件配置应对极高的并发连接。
  3. 监控与诊断工具完备：无需额外安装插件，系统内置完备的流量分析（Torch）、数据包抓包（Sniffer）、接口图表等工具。
  4. 功能扩展性强：支持复杂的 VLAN 划分、QoS 流量控制、多线负载均衡（PCC）、OSPF/BGP 动态路由等企业级网络特性。

二、Winbox 登录与账户安全加固

RouterOS 最经典的配置方式是使用 Winbox 工具。在 2026 年，请优先使用官方推出的 Winbox v4 跨平台客户端。

1. 登录初始化

2. 设置强登录密码

登录后，首要任务是加固账户：

  1. 点击左侧菜单 System -> Password。
  2. Old Password 保持留空。
  3. 在 New Password 和 Confirm Password 中输入复杂的强密码，点击 OK 生效。

3. 关闭不必要的网络服务

ROS 默认开启了很多对个人用户无用的管理通道（如 Telnet、FTP、API 等），这些服务暴露在网络中存在被扫描爆破的安全隐患：

  1. 点击 IP -> Services。
  2. 除了 winbox（以及你可能有需求的 www 网页管理服务）之外，选中其他所有服务（如 api, api-ssl, ftp, ssh, telnet），点击上方红色的 叉号 (Disable) 进行关闭。
  3. 双击 winbox 服务，在 Available From 框中可以限制允许登录的局域网 IP 段（如 10.10.10.0/24），实现更强的后台访问控制。

三、网络接口与 Bridge 网桥配置

RouterOS 默认将每个物理网口视为独立的、互不相通的三层接口。我们需要通过“桥接”功能将多个 LAN 口组合起来，使它们像普通交换机网口一样工作。

1. 规划接口 (Interfaces)

  1. 点击 Interfaces。
  2. 双击第一个网口（通常为 ether1），将其重命名为 WAN（用于外网接入）。
  3. 将其余网口（如 ether2, ether3 等）依次重命名为 LAN1, LAN2，以方便识别。

注：如果是虚拟机环境，可以通过查看 PVE/ESXI 分配的虚拟网卡 MAC 地址，与 ROS 内网卡的 MAC 进行核对，从而对应物理接口。

2. 创建 LAN 网桥 (Bridge)

  1. 点击左侧菜单 Bridge -> 点击 + (New) 新建一个网桥。
  2. 将网桥命名为 LAN-Bridge，点击 OK。
  3. 切换到 Ports 标签页，点击 +。
  4. Interface 选择 LAN1，Bridge 选择刚才创建的 LAN-Bridge，点击 OK。
  5. 重复此步骤，将 LAN2, LAN3 等物理接口全部加入到 LAN-Bridge 中。

注意：在网口加入网桥的过程中，Winbox 可能会短暂闪断几秒钟，属于正常现象，等待网卡重新协商后会自动连回。

3. 配置局域网网关 IP 地址

我们需要为创建好的网桥分配一个局域网 IP 作为客户端设备的网关地址。

  1. 点击 IP -> Addresses -> 点击 +。
  2. 在 Address 框中输入自定义的内网网关 IP（例如 10.10.10.1/24，/24 表示子网掩码为 255.255.255.0）。
  3. 在 Interface 下拉菜单中选择刚才创建的网桥 LAN-Bridge。
  4. 点击 OK 保存。

四、防火墙 NAT 规则配置 (IP 伪装)

为了使局域网内的多台终端能够通过单根宽带公网 IP 共享上网，必须配置源地址转换（NAT）规则。

  1. 点击 IP -> Firewall -> 切换到 NAT 标签页。
  2. 点击 + 添加新规则。
  3. 在 General 标签页下：
    • Chain 设为 srcnat (源地址转换)。
    • (可选) Out. Interface 选择您的外网出接口（如拨号成功的 pppoe-out1 或物理 WAN 口）。
  4. 切换到 Action 标签页：
    • Action 设为 masquerade (IP 伪装)。
  5. 点击 OK 保存。

五、配置出网连接

根据您的宽带类型，选择以下一种方式连接互联网：

方式 A：PPPoE 拨号上网（家用光猫桥接模式）

  1. 点击 Interfaces -> 点击 + -> 选择 PPPoE Client。
  2. 在 General 页面：
    • Name 改为 pppoe-out1。
    • Interfaces 选择您连接光猫的物理网口 WAN。
  3. 切换到 Dial Out 页面：
    • 输入运营商提供的 User (宽带账号) 和 Password (宽带密码)。
    • 勾选 Use Peer DNS（使用运营商分配的 DNS 地址）。
    • 必选 勾选 Add Default Route (自动添加默认路由，若不勾选将无法访问网页)。
  4. 点击 OK。如果在接口列表右侧出现字母 R (Running)，且在 IP -> Addresses 获得了公网 IP，说明拨号成功。

方式 B：DHCP 动态获取上网（二级路由或光猫路由模式）

  1. 点击 IP -> DHCP Client -> 点击 +。
  2. Interface 选择连接上级设备的物理口 WAN。
  3. 勾选 Use Peer DNS 和 Add Default Route。
  4. 点击 OK。当 Status 显示为 bound，代表已从上级网关顺利获取 IP 地址。

六、局域网 DNS 与 DHCP 服务端配置

1. 配置 DNS 解析器

  1. 点击 IP -> DNS。
  2. 在 Servers 中输入公共 DNS 地址（如阿里的 223.5.5.5 或腾讯的 119.29.29.29）。
  3. 关键：勾选 Allow Remote Requests (允许局域网客户端向路由器发送 DNS 请求)。如果不勾选，局域网终端将无法使用路由器作为 DNS 解析服务器。
  4. 点击 OK 保存。

2. 配置局域网 DHCP 服务端

  1. 点击 IP -> DHCP Server -> 点击 DHCP Setup。
  2. DHCP Server Interface 选择局域网网桥 LAN-Bridge，点击 Next。
  3. DHCP Address Space 保持默认（如 10.10.10.0/24），点击 Next。
  4. Gateway for DHCP Network 保持默认（网关 10.10.10.1），点击 Next。
  5. Addresses to Give Out (地址池范围)：根据需求划分，例如更改为 10.10.10.100-10.10.10.254（预留前 100 个 IP 给静态绑定设备），点击 Next。
  6. DNS Servers：保持默认为路由器 IP 10.10.10.1，点击 Next。
  7. Lease Time (租期)：保持默认 10m 或设置为 1d (一天)，点击 Next。
  8. 提示 Setup has completed successfully，配置完成。

七、IPv6 环境深度配置

国内大部分宽带目前都已原生下发 IPv6，以下是在 ROS 中配置 IPv6 的标准做法：

1. 获取 IPv6 Prefix

  1. 点击 IPv6 -> DHCP Client -> 点击 +。
  2. Interface 选择您的出网接口（如拨号成功的 pppoe-out1）。
  3. Request 勾选 prefix。
  4. Pool Name 输入自定义的池子名称（如 ipv6-pool）。
  5. 勾选 Add Default Route，点击 OK。

2. 向内网下发 IPv6 地址

  1. 点击 IPv6 -> Address -> 点击 +。
  2. From Pool 选择刚才创建的 ipv6-pool。
  3. Interface 选择内网网桥 LAN-Bridge。
  4. 勾选 Advertise (开启 ND 路由宣告)，点击 OK。此时内网设备即可通过 SLAAC 自动获得公网 IPv6 地址。

八、2026 最新 RouterOS 特性

在 2026 年，MikroTik 的更新让这套经典的路由系统更加现代化：

  1. 原生 Winbox v4 客户端：全新的 Winbox v4 终于彻底移除了对 Wine 的依赖，在 macOS 和 Linux 系统下实现了真正的原生运行。支持完整的暗黑模式，并重构了 UI 渲染引擎，即使在多路图表并发的情况下也极少出现卡顿崩溃。
  2. v7.14+ 证书全自动托管：/certificate 菜单原生集成了 ACME 通配符证书申请机制。用户无需复杂的脚本即可自动更新 Let’s Encrypt 证书，为路由器内置的 Web 访问、VPN (SSTP/OVPN) 安全保驾护航。

九、Reddit 社区实战反馈与避坑指南

避坑 1：默认 8291 端口公网暴露被疯狂扫描与爆破

r/mikrotik 社区资深版主 u/WinboxSpecialist 警告： “很多家用玩家直接用 ROS 公网拨号，却没有对 Winbox 的默认端口 8291 做任何安全限制。现在公网上的扫描器极度猖獗，只要你的公网 IP 上线，几秒钟内就会有成千上万个针对 8291 端口的 Bruteforce 爆破请求。如果你的 admin 还是弱密码或者空密码，你的家庭内网很快就会被黑客彻底攻占。除了强密码外，最有效的方法是直接在 IP Services 中关掉没用的服务，并将 Winbox 的 Available From 局域网限制，或者利用端口敲门（Port Knocking）机制只向特定设备开放。”

避坑 2：开启 FastTrack 加速后 WireGuard/IPsec VPN 丢包断连

r/networking 资深网络工程师 u/PacketTracerPro 故障分析： “为了跑满千兆带宽，大家都会按照官方推荐去配置 /ip firewall filter 里的 fasttrack-connection 规则。但如果你在 ROS 里配置了 WireGuard 或是 IPsec VPN 进行异地组网，开启 FastTrack 后你会发现 VPN 莫名其妙断流或严重丢包。这是因为 FastTrack 加速会导致数据包跳过状态跟踪防火墙，直接破坏了加密隧道的封装逻辑。”

【解决方案】： 必须在 FastTrack 规则之前，增加免除加速的例外规则。例如，在 Firewall Filter 中置顶一条接受（Accept）规则，凡是 IPsec 协议的包或 WireGuard 端口的包直接 Accept，不送入 FastTrack。或者在 FastTrack Filter 规则的 connection-state 中，排除标记为 VPN 传输的特殊连接。

避坑 3：勾选 Use Peer DNS 导致的运营商 DNS 劫持与 DNS 泄漏

r/openwrt 技术极客 u/DNS_Overlord 避坑分享： “在宽带 PPPoE 拨号和 DHCP Client 处，教程都让我们默认勾选 Use Peer DNS。但在国内很多省份，运营商分给你的 DNS 服务器不仅延迟大，而且会强行插播各种垃圾广告和劫持。更严重的是，在使用翻墙代理（如旁路由）时，Peer DNS 会直接导致你的局域网发生严重的 DNS 泄漏，暴露出你的真实地理位置。最稳妥的做法是关掉 Use Peer DNS，在 IP DNS 中手动强制写入阿里 223.5.5.5 或公共加密 DoH，防止域名被解析投毒。”

十、总结

完成上述配置后，您的 RouterOS 软路由已经具备了完整的互联网接入、局域网二层交换域隔离、IPv4/IPv6 动态分配以及企业级防火墙防护能力。虽然 ROS 的设置相对繁琐，但只要理清了其“物理接口-网桥-三层地址-NAT规则”的链条逻辑，后续的管理将会变得无比顺畅。

若要进一步挖掘软路由与家庭实验室底层的可玩性，推荐您继续阅读我们相关的其他进阶教程：

版权声明

作者: 易邦

链接: https://e8k.net/posts/routeros/

许可证: 知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议

本作品采用知识共享署名-非商业性使用-相同方式共享 4.0 国际许可协议进行许可。

相关内容