Content Hub
Poradniki, playbooki operacyjne, materiały o WinBox, notatki LTE i artykuły o strategii firmware dla środowisk MikroTik.
Płaska sieć, w której kamery IP dzielą domenę rozgłoszeniową z biurowymi PC-tami, to zobowiązanie: jedna przejęta kamera dosięgnie udziałów plików, a szum multicast ciągnie wszystkich w dół. Oto jak rozdzielić kamery, biuro i zarządzanie na VLAN-y na MikroTiku, z firewallem inter-VLAN domyślnie odmawiającym, który pozwala tylko NVR-owi dosięgnąć kamer.
Switch niezarządzalny jest naprawdę w porządku na małych płaskich zleceniach, a obciążeniem na wszystkim, co potrzebuje VLAN-ów, kontroli PoE, ochrony przed pętlami, IGMP snooping albo zdalnej diagnozy. Oto uczciwa granica między nimi, opcje MikroTika i dlaczego tani switch staje się martwym polem, którego nie naprawisz zza biurka.
Fabrycznie domyślny RouterOS na publicznym IP zostaje znaleziony i ostukany w ciągu minut. Oto dziesięć konkretnych kroków do wykonania, zanim trafi do produkcji: zmień port winbox, zamknij /ip service, wymień użytkownika admin, odgrodź neighbor discovery i MAC-server, ustaw firewall input i zrób backup — bez zamykania się na zewnątrz.
Projektowanie failoveru LTE na RouterOS, który naprawdę działa: distance trasy, check-gateway, skrypty netwatch, recursive routing dla pewnej detekcji, automatyczny failback z histerezą i dyscyplina pakietowa, która nie pozwoli, by łącze LTE stało się niespodzianką na rachunku.
Laptop dwa pokoje dalej wciąż trzyma się pierwszego AP, do którego dołączył, na -80 dBm, podczas gdy bliższy AP stoi bezczynnie. Oto co naprawdę robią 802.11r, 802.11k i 802.11v, dlaczego to klient (nie AP) decyduje o roamingu i jak go popchnąć przez access-list i signal-range w RouterOS.
Jeden zdublowany patchcord albo szeregowo wpięty switch niezarządzalny potrafi zalać sieć CCTV tak, że odpadają wszystkie kamery. Oto jak powstaje pętla, dlaczego ruch broadcast ją wzmacnia i jak STP/RSTP plus loop-protect na MikroTiku to zatrzymują.
Klasa PoE per port to łatwa liczba; całkowity budżet switcha i spadek napięcia na 90 metrach Cat5e to miejsca, gdzie instalacje naprawdę padają. Oto jak wymiarować, by każdy oświetlacz IR mógł zaskoczyć o zmierzchu bez gaszenia szafy.
Przemysłowy RF jest wrogi: metalowe regały, beton, maszyny i szum elektryczny niszczą założenia działające w biurze. Każde pasmo wymienia zasięg na pojemność i czystość — 2,4 GHz sięga, ale jest zatłoczone i wąskie, 5 GHz ma miejsce, ale krótszy zasięg i niespodzianki DFS, 6 GHz dodaje czyste widmo tam, gdzie je masz. Haczyk: szerokie kanały 80 MHz często wypadają gorzej niż 20/40 MHz w zaszumionej hali.
Płaska /24 ze 150 kamerami i biurem w tej samej domenie rozgłoszeniowej to pożar czekający na zapłon. Oto jak warstwować dostęp/agregację/rdzeń, segmentować VLAN-ami i policzyć oversubscription, by NVR nigdy nie głodował.
Karty katalogowe podają jeden zgrabny bitrate; prawdziwe instalacje tak grzeczne nie są. Oto jak bitrate naprawdę skaluje się z rozdzielczością, liczbą klatek, kodekiem i ruchem w kadrze — i jak zsumować N kamer w uplink, którego nie pożałujesz.
U większości operatorów LTE i mobilnych twój router nigdy nie dostaje prawdziwego publicznego IP — siedzi za carrier-grade NAT, więc przekierowanie portów i DDNS po prostu nie zadziałają. Oto jak potwierdzić CGNAT i jeden wzorzec, który to naprawia: wychodzący tunel WireGuard do VPS-a.
Na kapryśnym łączu LTE wybór protokołu VPN decyduje, czy tunel przeżyje zerwanie połączenia i zmianę IP. Sprawdzone w terenie porównanie narzutu, problemów z MTU, NAT traversal, kosztu CPU i zachowania przy reconnect.
Bezprzewodowo można niezawodnie nieść wideo z kamer — ale tylko gdy rzeczywistość RF współgra. Widoczność optyczna i czysta strefa Fresnela są bezdyskusyjne, przepustowość spada z odległością i szumem, a PtMP potrzebuje TDMA, by przeżyć ukryte węzły. Wymiaruj pod sumaryczny bitrate kamer plus zapas i pamiętaj, że link działający w marcu może paść, gdy wyjdą liście.
Przekierowanie portów RTSP, HTTP i ONVIF do kamery IP wystawia ją na automatyczne skanery internetu w ciągu kilku minut. Oto dlaczego "to tylko jedna kamera" wciąż jest furtką do całego LAN i jak zrobić zdalny dostęp poprawnie.
Jeden tunel do jednego NVR jest łatwy. Sto pięćdziesiąt lokalizacji to problem architektury: koncentrator na VPS, czysty plan IP, każda szprycha dzwoniąca na zewnątrz, by CGNAT nigdy nie miał znaczenia, i dyscyplina, by 150 konfiguracji peerów nie zamieniło się w bagno.
Szczegółowy przegląd mechanizmów bezpieczeństwa, standardów szyfrowania i środków zgodności, które czynią mikroHUB gotowym do wdrożeń enterprise w regulowanych środowiskach.
Techniczny przewodnik po formacie v2 vault z wersjonowaniem kluczy, podpisami HMAC webhooków i rotacją kluczy bez przestojów dla szyfrowania poświadczeń RouterOS.
Co NIS2 oznacza dla zespołów zarządzających infrastrukturą MikroTik, jak działa raportowanie incydentów i co mikroHUB zapewnia od razu.
Szczegółowe porównanie funkcja po funkcji mikroHUB i The Dude od MikroTik — architektura, wsparcie LTE, bezpieczeństwo, automatyzacja i całkowity koszt posiadania.
Praktyczna sekwencja testów, stagingu, okien serwisowych, backupów i decyzji rollback przy aktualizacji floty MikroTik.
Realne porównanie legacy i nowoczesnych buildów WinBox — wsparcie platform, bezpieczeństwo protokołu, kompatybilność z RouterOS i praktyczne rekomendacje.
Moc sygnału to za mało. Jak czytać metryki jakości LTE z realnymi progami, komendami RouterOS, technikami blokowania pasm i systematyczną logiką diagnostyczną.
Konkretna polityka mapowania kanałów wydań MikroTik do środowisk produkcyjnych, brzegowych, laboratoryjnych i pre-release — z realnymi komendami i praktyczną radą operacyjną.
Inwentarz jest bardziej użyteczny, gdy każda rodzina urządzeń ma w jednym miejscu architekturę, kod produktu, kontekst firmware i linki do pobrań.
Jak wyeliminować przychodzące porty zarządzania, zamknąć dostęp do usług, rotować poświadczenia i budować warstwową ochronę firewallem dla RouterOS na dużą skalę.
NVR siedzi w lokalizacji na CGNAT, a ty musisz widzieć kamery z laptopa. WireGuard na RouterOS robi to czysto — ale tylko jeśli rozumiesz, że allowed-address to dwie rzeczy naraz, a trasa powrotna to część, o której wszyscy zapominają.
Gdy obsługujesz więcej niż kilka AP MikroTik w kilku budynkach, konfigurowanie każdego ręcznie przestaje się skalować. CAPsMAN daje jeden kontroler, jedną konfigurację i reguły provisioningu, które same konfigurują nowe AP. Haczyk tkwi w forwardingu datapath — pomyłka między local a manager forwarding zatka cały obiekt.
Zdalna aktualizacja firmware w realnej flocie to nie jeden przycisk. Żonglujesz dwiema osobnymi rzeczami, które RouterOS nazywa firmware, wybierasz i zamrażasz kanał aktualizacji, wdrażasz falami i trzymasz drogę powrotu, gdy urządzenie odetnie się na drugim końcu tunelu.
Na co naprawdę alertować w dziesiątkach zdalnych lokalizacji MikroTik, jak ustawić progi przeżywające kapryśne LTE, jak warstwować eskalację i jak dotrzeć do osoby na dyżurze, nie ucząc wszystkich ignorować alarmów.
Uczciwe spojrzenie na to, co The Dude wciąż robi znakomicie, gdzie design jednego hosta boli przy wielu zdalnych lokalizacjach i co kupuje ci nowoczesny monitoring chmurowy — wraz z kompromisami, które naprawdę płacisz.
Trzy funkcje, które ograniczają zasięg rażenia, gdy ktoś wepnie złą rzecz w zły port: storm-control ogranicza zalewy broadcast, bridge horizon izoluje porty klienckie, a limity uczenia MAC zatrzymują nieproszone urządzenia. Konkretna konfiguracja bridge RouterOS i pułapka horizon.
Jak zbudować jednoliniowy, idempotentny szablon .rsc, który wkleisz do dowolnego terminala RouterOS, sparametryzujesz per lokalizacja i bezpiecznie uruchomisz ponownie — żeby wdrożenie floty przestało być setką osobnych robót.
Binarny /system backup i /export .rsc to nie dwa sposoby na to samo — zawodzą i błyszczą w przeciwnych sytuacjach. Jeden to szybki snapshot na to samo urządzenie z wbudowanymi sekretami; drugi to przenośny, diffowalny, częściowo odtwarzalny plik tekstowy. Trzymaj oba i wiedz dokładnie, co każdy po cichu pomija.
Gdy RouterBOARD zapomni hasła, padnie w trakcie aktualizacji albo utknie w pętli bootowania, Netinstall jest narzędziem, które niezawodnie go przywraca. Haczyki są fizyczne i sieciowe: bezpośredni link warstwy 2, tryb etherboot, brak konkurencyjnego DHCP, właściwy pakiet architektury i firewall Windows, który uwielbia zjadać handshake BOOTP.
1G SFP kontra 10G SFP+, multimode kontra single-mode, kiedy DAC bije światłowód na przeskok w szafie, tolerancja kodowania producenta na MikroTiku, odczyt mocy optycznej przez DDM i niedopasowanie długości fali BiDi, które po cichu zabija link.
Większość firewalli na MikroTiku rozpada się nie dlatego, że brakuje reguły, ale dlatego, że reguły są w złej kolejności. Oto sprawdzony w terenie szablon bazowy: jak działa dopasowanie do pierwszej reguły, dlaczego raw działa przed connection tracking, logika established/related/invalid/new, rozdzielenie input od forward, kompromis fasttrack i jak nie odciąć się od urządzenia.
Na MikroTiku z układem przełączającym bridge powinien forwardować z prędkością łącza w krzemie. W dniu, gdy po cichu spada na software, CPU przykleja się do 100%, a przepustowość się załamuje — oto co dokładnie zabija offload i jak to potwierdzić.
Uczciwe podsumowanie skoku z v6 na v7 okiem praktyka: nowy kernel, wbudowany WireGuard, przebudowany silnik routingu, ROSE storage i kontenery — oraz niespodzianki migracyjne, które gryzą, gdy aktualizujesz żywy router brzegowy.
Ruch wideo cierpi z powodu jittera i strat na długo zanim zabraknie pasma. Znakowanie DSCP, kolejkowanie przez simple queue lub queue tree i okiełznanie bufferbloatu w jedynym punkcie zatoru, który naprawdę kontrolujesz.
Nowoczesny model bridge VLAN filtering zastępuje plątaninę wielu bridge'y i interfejsów VLAN, którą wielu instalatorów wciąż kopiuje ze starych wątków na forum. Pokazujemy, jak naprawdę współgrają porty tagged/untagged, PVID i tablica VLAN-ów na bridge'u — plus jeden błąd, który po cichu odcina dostęp do zarządzania.