我之前宽带始终都是光猫拨号，电脑和NAS直连光猫，光猫下挂个二级无线路由器来给其余设施联网，但我早就对这个拓扑不爽了，次要起因是本人花大钱买的AC86U派不上用场，只能干点边缘的杂活，而且搞两套局域网怎么看都挺恶心的。之前也试过把路由器改成AP模式，让所有设施都直连光猫，然而万恶的电信光猫限度了设施数，只有前5台机器能上网，其它的机器尽管能拿到地址，然而上网必然超时。那当初既然有了台服务器，那罗唆装个软路由。
软路由零碎我打算玩玩RouterOS，毕竟iKuai据说过没用过，据说还出过劫持流量这种问题，不敢用也不想用；OpenWRT以前玩过，没啥新鲜感，而RouterOS，之前装着玩的时候就感觉倍低档，早就想搞搞它玩玩了。
获取光猫中的配置
我找装维徒弟说要玩猫棒，须要进后盾看参数，徒弟就把明码查给我了。
用超级明码登录光猫后盾，把LOID、PPPoE的用户名和明码（明码须要base64解码能力失去实在的明码）、IPv6前缀长度记在一个文档里备查。
筹备猫棒
因为我懒得找运营商的装维徒弟给我改桥接（之前沟通过，徒弟说要先换光猫，新光猫又得等），也思考到留着原来的光猫配置不变的话，在我折腾翻车的时候也不须要再找装维徒弟改回路由模式，间接把光纤接回去就能复原网络，所以我间接在淘宝上买了根ODI的猫棒。又因为服务器上没有SFP口，我也不想再买个网卡，就顺便一起买了个光电转换器。
之前理解到，光纤的端面接口有PC、UPC、APC三种，之所以抉择ODI的光猫，就是因为咱们个别宽带光纤的端面是UPC的，而诺基亚和阿尔卡特之类的猫棒是APC接口，还要套个转换器才行，硬插进去可能会损坏光纤，但ODI这款采纳的就是UPC接口，不必再买转换器。然而我无奈保障笼罩所有状况，如果你也想用猫棒，请肯定提前跟店家和装维徒弟确认好，如果顶坏了光纤端面，你只能喊装维徒弟来给你从新做接头，别无他法！
抓住光纤的蓝色滑套，往后抽，就能够把光纤从光猫上拔出来，而后对准接口插进猫棒，再把猫棒插进光电转换器，而后接上网线和电源，就能够了。
稍等几分钟等猫棒开机，开机之后，转换器在猫棒方向的灯会亮起来。这时候先把网线跟电脑连起来，给电脑调配一个192.168.1.0/24范畴的地址（当然别用192.168.1.1，那是猫棒后盾的地址），而后用浏览器关上192.168.1.1，就能看见猫棒后盾的登陆页面了。账号和明码找商家要，我这款是admin/admin，但不保障所有ODI猫棒都是这一对账号密码。登陆进去后，进入Settings页面，填入LOID，点Apply Changes，而后进入Commit/Reboot页面，点Commit and Reboot按钮保留配置并重启，猫棒端就配置实现了。
不过电信、联通、挪动的光猫注册形式各有不同，下面说的操作都是针对电信的。其余运营商能够参考猫棒商家发的文档，或参考网上其他人的胜利案例。这里援用猫棒阐明中的一部分内容：
★注册-高级:（局部型号光猫没有 GPON SN，可不批改）
电信&联通 GPON/XGPON/XGSPON：Loid
挪动 GPON/XGPON/XGSPON：Ploam 明码
电信&联通&挪动 EPON/10G EPON：Loid★注册-中级:
电信&联&挪动 GPON/XGPON/XGSPON：GPON SN
电信&联通&挪动 EPON/10G EPON：MAC/PON MAC+MAC KEY★注册-高级：（GPON/XGPON/XGSPON）
厂商 ID/Vendor ID：如 HWTC/华为、FHTT/战火、ZTEG/中兴、SCTY/天邑、YHTC/友华
设施型号
OUI：6 位
设施标号：个别为 17 位
软件版本号
ONT 版本/硬件版本号★注册-高级：（EPON/10G EPON）
设施型号
ONT 版本/硬件版本号
原本重启之后，应该先看一下ONU状态是不是O5来着，然而过后我忘了看，间接电脑上拨号胜利，间接也证实了LOID注册胜利。不过还是放个文档里扒进去的图好了。
装置RouterOS
一开始我认为装这玩意跟装别的零碎没啥区别，就ISO一挂，顺着向导装就行。可看了文档发现，RouterOS有一个专门面向虚构平台的版本，叫Cloud Hosted Router (CHR)，在官网的下载页面下载OVA Template，而后导入ESXi就行。具体的装置办法能够看Mikrotik的Wiki。
RouterOS CHR作为一个付费的零碎，当然也须要买受权能力用。买受权的办法也能够跟着Mikrotik的Wiki-GettingtheLicense)操作，就是留神别买成RouterOS的Key，这两者是不通用的。
配置ESXi的网络
如果我没记错的话，ESXi一开始只给Ethernet 1口做了配置，咱们得手动给Ethernet 2配置虚构网络。
首先到网络的虚构交换机页面，创立一个新的虚构交换机，名字按本人爱好起就行，比方我就顺着已有的vSwitch0给它命名vSwitch1。而后点进vSwitch1，点增加上行链路，把vmnic1调配给它，这样在ESXi外面就能够用这个接口了。
而后到端口组页面，增加一个新的端口组VM Network 2，虚构交换机抉择刚创立的vSwitch1。
接下来点进虚拟机RouterOS，关机之后编辑设置，给它增加一个网络适配器，而后给网络适配器1调配VM Network 2，给网络适配器2调配VM Network 1，保留，开机。
配置RouterOS
如果猫棒的ONU状态是O5，那就能够把转换器连到Gen 8的Ethernet 2口上了。你问为啥不是Ethernet 1？因为Ethernet 1我改成了与iLO共享，所以只能拿Ethernet 2当WAN口。上面进入RouterOS，开始配置软路由。
首次登录
第一次登录的时候，因为我并不知道路由器的地址，所以没方法用IP地址关上RouterOS的配置页面，但MikroTik很贴心的提供了用MAC地址连贯的性能。在WinBox的Neighbors页面双击RouterOS的条目，用admin用户和空明码登录就能够。
为了前面分的分明，我先到Interfaces页面，把LAN口和WAN口对应接口的名字改了过去，毕竟默认的ether1和ether2不如LAN和WAN看的分明。通常来说察看接口的Tx和Rx就能分清哪个是LAN口，因为这时候没配置拨号，WAN口的流量通常只会是0。如果分不清，那就先把Gen 8的Ethernet 1拔了。
布局地址范畴，配置DHCP、DNS
在配置DHCP服务器前，要先布局好本人的局域网的网段。地址范畴能够从IPv4的三个公有地址范畴10.0.0.0/8、172.16.0.0/12和192.168.0.0/16之间选，肯定不要作死用公网网段（比方一些能干IT给路由器配了个1.1.1.1），不然我很难说你的网络会出什么奇怪的问题。我罗唆就遵循之前的网络，用了192.168.1.0/24段作为我的内网网段。
确定好地址范畴之后，就能够用这条命令给LAN口指定一个动态IP地址：
/ip/address/add \ interface=LAN \ address=192.168.1.3/24 \ network=192.168.1.0抉择给RouterOS调配192.168.1.3的起因是，192.168.1.1留给猫棒（尽管起初发现连不上），192.168.1.2留给AC86U路由器，它原本就是这个地址，我懒得再动它。
而后先给DHCP服务器增加一个地址池：
/ip/pool/add \ name=192.168.1.0/24 \ ranges=192.168.1.2-192.168.1.254接下来配置DHCP服务器：
# 增加DHCP服务器/ip/dhcp-server/add \ name=LAN \ address-pool=192.168.1.0/24 \ interface=LAN \ lease-time=1d# 配置DHCP服务器下发的网络参数/ip/dhcp-server/network/add \ address=192.168.1.0/24 \ dns-server=192.168.1.3 \ gateway=192.168.1.3此外我还想要给ESXi之类的机器配置一个固定的地址，于是：
/ip/dhcp-server/lease/add \ address=192.168.1.4 \ mac-address=D0:BF:9C:46:94:D8 \ server=LAN \ comment=ESXi下面DHCP网络参数中的dns-server=192.168.1.3配置的是让RouterOS作为DNS服务器，但当初RouterOS还不能响应近程的DNS申请，所以要用上面这条命令更改DNS的配置：
/ip/dns/set allow-remote-requests=yes创立本地管理员，禁用admin
平安起见，我倡议给RouterOS创立一个新的管理员账户，并禁用默认的admin账户。
# 创立新的管理员用户，仅容许在192.168.1.0/24网络内登录/user/add \ name=新用户的用户名 \ password=新用户的明码 \ group=full \ address=192.168.1.0/24# 禁用admin/user/set [ find name="admin" ] disabled=yes配置PPPoE拨号和NAT规定
首先创立一个PPPoE客户端来拨号：
/interface/pppoe-client/add \ name="PPPoE客户端名字" \ interface=WAN \ user="宽带账号" \ password="宽带明码" \ profile=default \ use-peer-dns=yes \ add-default-route=yes增加胜利后，RouterOS会主动开始拨号，在终端也能够用monitor命令实时监控PPPoE拨号端口的状态：
/interface/pppoe-client/monitor [ find running ] status: connected uptime: 13h59m53s active-links: 1 encoding: service-name: ac-name: SH-SH-ML-MSE-2.MAN.NE40E ac-mac: D0:D0:4B:06:EC:CC mtu: 1492 mru: 1492 local-address: 124.78.123.123 remote-address: 124.78.123.1 local-ipv6-address: fe80::5 remote-ipv6-address: fe80::d2d0:4bff:fe06:eccc-- [Q quit|D dump|C-z pause]这时候RouterOS本人曾经能够上网了，然而路由器上面的设施还不行，因为没有配置NAT。在终端执行这条命令，来创立一条NAT规定：
/ip/firewall/nat/add \ chain=srcnat \ action=masquerade \ out-interface="PPPoE接口的名字" \ comment=NAT当初路由下的设施就能够上网了。
配置IPv6
电信宽带曾经反对了IPv6，那既然有了，我不能不用。电信会给宽带调配一个前缀，上级设施通过前缀来调配本人的地址，就是prefix delegation。所以我只须要在RouterOS中配置一个IPv6的DHCP client就行。
/ipv6/dhcp-client/add \ interface="PPPoE客户端名字" \ add-default-route=yes \ pool-name=ipv6_pool \ pool-prefix-length=60 \ prefix-hint=::/56 \ request=prefix \ use-interface-duid=yes而后查看DHCP client的状态，是bound的话就阐明曾经胜利获取到地址和前缀。
/ipv6/dhcp-client/printColumns: INTERFACE, STATUS, REQUEST, PREFIX# INTERFACE STATUS REQUEST PREFIX 0 China Telecom bound prefix 240e:38a:5d27:5c00::/56, 2d21h48m59s而后让电脑从新连贯路由，就能看到电脑胜利获取到IPv6地址了。
配置防火墙
毕竟路由器这种玩意不能在网上裸奔，该禁的端口就得禁。
首先创立两个interface list，把公网接口和内网接口归类到各自的列表中，不便前面创立防火墙规定。
/interface list# 给内网接口的listadd name=local# 给公网接口的listadd name=internet/interface list member# LAN口归进local这个listadd interface=LAN list=local# WAN口和PPPoE口归进internet这个listadd interface=WAN list=internetadd interface="China Telecom" list=internet而后增加IPv4的防火墙规定：
/ip firewall filter# 放行状态为established、related、untracked的数据包add action=accept chain=input comment="accept established,related,untracked" connection-state=established,related,untracked# 容许外网ping，不想容许的话就不执行这条add action=accept chain=input comment="accept ping" protocol=icmp# 抛弃invalid状态的包add action=drop chain=input comment="drop invalid" connection-state=invalid# 兜底规定，抛弃所有来自公网的包add action=drop chain=input comment="drop all from WAN" in-interface-list=internet# RouterOS的疾速跟踪性能，能够跟踪已建设的连贯并让这些流量走快速通道，以升高设施的CPU负载# 如同必须要专门的硬件能力发挥作用，但总之先加在这里add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yesadd action=accept chain=forward comment="accept established,related, untracked" connection-state=established,related,untracked# 在forward链上也抛弃掉invalid状态的包add action=drop chain=forward comment="drop invalid" connection-state=invalid# 抛弃所有来自公网，且无端口转发规定匹配的包add action=drop chain=forward comment="drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=internet对于IPv6，要先创立两份address list，别离蕴含能够放行的地址和有问题的地址：
/ipv6 firewall address-listadd address=fe80::/16 list=allowedadd address=ff02::/16 comment=multicast list=allowedadd address=::/128 comment="defconf: unspecified address" list=bad_ipv6add address=::1/128 comment="defconf: lo" list=bad_ipv6add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6add address=100::/64 comment="defconf: discard only " list=bad_ipv6add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6add address=::224.0.0.0/100 comment="defconf: other" list=bad_ipv6add address=::127.0.0.0/104 comment="defconf: other" list=bad_ipv6add address=::/104 comment="defconf: other" list=bad_ipv6add address=::255.0.0.0/104 comment="defconf: other" list=bad_ipv6而后配置防火墙规定（其中一些规定我也不明确是啥作用，然而既然蕴含在默认配置里，那配进去应该不会造成什么问题）：
/ipv6 firewall filter# 放行状态为established、related、untracked的数据包add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked# 抛弃invalid状态的包add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid# 容许IPv6 pingadd action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6# 容许IPv6 tracerouteadd action=accept chain=input comment="defconf: accept UDP traceroute" port=33434-33534 protocol=udp# 容许DHCPv6 prefix delegation的包add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/16# 容许IKE数据包add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udpadd action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ahadd action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-espadd action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec# 兜底规定，抛弃所有不是从local接口列表收回的包add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!local# forward链上放行状态为established、related、untracked的数据包add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked# forward链上抛弃invalid状态的包add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid# 禁止来自bad_ipv6这个地址列表外面的地址add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6add action=accept chain=forward comment="defconf: accept HIP" protocol=139add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udpadd action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ahadd action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-espadd action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsecadd action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!localRouterOS里一些其它的配置
最初就是一些杂七杂八的配置，比方开启NTP客户端来主动同步工夫：
/system ntp clientset enabled=yes/system ntp client serversadd address=time.windows.comadd address=time.nist.govadd address=time.apple.com禁用掉不须要的服务以减小攻击面：
/ip service# 禁用telnetset telnet disabled=yes# 禁用ftpset ftp disabled=yes# 限度www、ssh、winbox服务都只能从内网拜访set www address=192.168.1.0/24set ssh address=192.168.1.0/24set www-ssl address=192.168.1.0/24 disabled=noset winbox address=192.168.1.0/24# API用不到，所以禁用set api disabled=yesset api-ssl disabled=yes开启UPnP，尽管说开这玩意会有安全隐患，然而开了这么多年也没因为它出过事，这玩意也没法从外网开始口转发，也就是说首先内网得有机器中毒，我自认为我的应用习惯还算是平安的，所以，开。
# 启用UPnP/ip upnpset enabled=yes/ip upnp interfaces# 配置LAN口作为内网端add interface=LAN type=internal# 配置PPPoE端口作为公网端add interface="PPPoE接口的名字" type=external开启云服务，包含DDNS和主动备份：
/ip cloudset ddns-enabled=yes ddns-update-interval=1h update-time=yes