RouterOS 路由设置教程：从零配置 WAN/LAN、DHCP、NAT 与防火墙

MikroTik RouterOS 是很多软路由、企业网关和机房线路的核心系统，功能强大但上手门槛偏高。本文以“一台全新 RouterOS 设备从开箱到可上网”为主线，把 WAN/LAN 划分、DHCP 服务、NAT 伪装、DNS、防火墙、无线与端口映射 一次性讲清楚，适合新手照着做，也适合老手做配置复查。

一、准备工作

• 工具：WinBox（推荐）、WebFig 浏览器管理、SSH 客户端（如 PuTTY / Xshell）。
• 线路：光猫/上级路由已拨号或已提供 DHCP 的网口，接入 RouterOS 的 WAN 口。
• 网段规划：建议 LAN 使用 192.168.88.0/24（RouterOS 默认网段），避免与上级网络冲突；若上级路由也是 192.168.88.x，请改成 192.168.10.0/24 等自定义网段。
• 重置设备：旧设备建议先恢复出厂，避免历史配置干扰。命令行：/system reset-configuration no-defaults=yes（不加载默认配置，最干净）。

二、登录设备与基础识别

电脑网线接入 LAN 口，网卡设为自动获取 IP，用 WinBox 通过 MAC 地址即可登录（无需知道 IP）。登录后先确认接口名称：

/interface print

会看到 ether1、ether2、wlan1 等接口。一般约定 ether1 为 WAN，其余为 LAN，也可以按需改名：

/interface set ether1 name=WAN
/interface set ether2 name=LAN

三、配置 WAN（外网）

1. PPPoE 拨号（家庭宽带最常见）

/interface pppoe-client add name=pppoe-out1 interface=WAN user=宽带账号 password=宽带密码 add-default-route=yes use-peer-dns=yes disabled=no

2. DHCP 客户端（光猫已拨号 / 上级路由下挂）

/ip dhcp-client add interface=WAN disabled=no

3. 静态 IP（专线 / 机房）

/ip address add address=203.0.113.10/24 interface=WAN
/ip route add dst-address=0.0.0.0/0 gateway=203.0.113.1
/ip dns set servers=223.5.5.5,119.29.29.29

配置完成后执行 /ip address print 与 /ip route print，确认已获取到 IP 且存在默认路由（0.0.0.0/0）。

四、配置 LAN 与 DHCP 服务

/ip address add address=192.168.88.1/24 interface=LAN
/ip pool add name=lan-pool ranges=192.168.88.100-192.168.88.200
/ip dhcp-server add name=dhcp-lan interface=LAN address-pool=lan-pool lease-time=1d disabled=no
/ip dhcp-server network add address=192.168.88.0/24 gateway=192.168.88.1 dns-server=192.168.88.1

若希望固定某台设备的 IP（如 NAS、打印机），可用静态租约：

/ip dhcp-server lease add address=192.168.88.50 mac-address=AA:BB:CC:DD:EE:FF comment=NAS

五、NAT 伪装（让内网能上网）

/ip firewall nat add chain=srcnat out-interface=WAN action=masquerade comment=LAN-to-WAN

如果 WAN 是固定公网 IP，也可以用 action=src-nat to-addresses=公网IP，性能略优于 masquerade。

六、防火墙基础规则（强烈建议）

RouterOS 默认不拦截任何流量，直接暴露在公网非常危险。建议先放行已建立连接，再丢弃 WAN 侧主动入站：

/ip firewall filter
add chain=input action=accept connection-state=established,related comment=established
add chain=input action=accept protocol=icmp comment=allow-ping
add chain=input action=accept in-interface=LAN comment=allow-lan
add chain=input action=drop in-interface=WAN comment=drop-wan-input
add chain=forward action=accept connection-state=established,related comment=fwd-established
add chain=forward action=accept in-interface=LAN out-interface=WAN comment=lan-to-wan
add chain=forward action=drop connection-state=invalid comment=drop-invalid

注意顺序：防火墙按从上到下匹配，drop 规则必须放在放行规则之后。修改前请务必保留 WinBox 会话，避免把自己锁在门外。

七、DNS 与上网体验优化

/ip dns set servers=223.5.5.5,119.29.29.29 allow-remote-requests=yes cache-size=4096KiB

如需给内网域名做本地解析（如自建服务），可添加静态 DNS 条目：

/ip dns static add name=nas.lan address=192.168.88.50

八、无线（WiFi）快速配置

/interface wireless set wlan1 mode=ap-bridge band=2ghz-b/g/n ssid=MyHome disabled=no
/interface wireless security-profiles add name=home-sec mode=dynamic-keys authentication-types=wpa2-psk wpa2-pre-shared-key=请换成强密码
/interface wireless set wlan1 security-profile=home-sec

若设备支持 5G 频段（如 hAP ac 系列），建议 2.4G/5G 分开命名，减少干扰。

九、端口映射（内网服务对外）

/ip firewall nat add chain=dstnat protocol=tcp dst-port=8080 in-interface=WAN action=dst-nat to-addresses=192.168.88.50 to-ports=80 comment=web

同时要在 forward 链放行对应端口，否则映射不生效。

十、多线路、多账号与代理出口场景

不少用户用 RouterOS 做游戏多开、电商多店铺运营、爬虫采集等业务，这类场景除了基础路由配置，更关注“出口 IP 是否纯净、是否被平台风控标记”。常见做法是：

1. 在 RouterOS 中用 mangle 打标记，配合 /routing table 做策略路由；
2. 每台内网设备或每组业务走独立的上游代理网关（SOCKS5 / HTTP / L2TP 等）；
3. 出口侧使用高纯净住宅 IP，降低账号关联与封禁概率。

示例：将 192.168.88.100 单独走某个上游网关（需先添加网关地址）：

/ip firewall mangle add chain=prerouting src-address=192.168.88.100 action=mark-routing new-routing-mark=line2 passthrough=no
/ip route add dst-address=0.0.0.0/0 gateway=上游网关IP routing-mark=line2

如果你需要稳定的出口资源，可参考以下服务：

• JiuIP：国内性价比突出，覆盖国内家庭、天翼云、移动云、阿里云等资源，高纯净住宅 IP，适合日常业务、游戏与电商多场景。
  注册地址：https://jiuip.com/#/auth/register?p=mao ｜ 邀请码：mao
• 无双代理：以游戏专用代理为核心，提供海外 KT、中华、原生、云等游戏线路，并针对常见电商业务场景优化，配置简单、上手快。
  注册地址：https://ss.6nn.net
• 五五游 55U：独立 IP 隔离技术，专注海外游戏场景的独立转发线路，多账号、多游戏使用时可清晰隔离。
  注册地址：https://55u.net/#/login?c=22 ｜ 邀请码：22
• 国内独享：国内性价比线路，兼容 SOCKS5 / HTTP / L2TP，严格筛选 IP 纯净度，兼顾多开、账号隔离与业务连续性，适合游戏多开与电商防关联长期使用。
  注册地址：https://ss.jiuip.com/ ｜ 邀请码：SHPZYQMVB
• 七纵社区：面向全球游戏、电商、技术运营者的开放社区，七纵加速器功能强大、可永久免费使用。
  社区网站：www.7z3.com

在 RouterOS 中对接这类上游时，通常使用 SOCKS5 或 L2TP 方式建立隧道，再用策略路由把指定内网段或设备分流出去，既能保证主线路正常上网，又能实现业务隔离。

十一、配置备份与常见问题

• 备份：/system backup save name=backup-20250101；导出可读配置：/export file=config。
• 能连上但打不开网页：多半是 DNS 或 NAT 未生效，检查 /ip dns、/ip firewall nat。
• PPPoE 连不上：确认账号密码、VLAN ID（部分光猫需要设置 VLAN），并检查物理链路灯。
• 改完防火墙失联：本地接 LAN 口，用 MAC 登录 WinBox 恢复，或长按 Reset 键重置。
• 网速跑不满：检查是否把 fasttrack 加入 filter 规则：/ip firewall filter add chain=forward action=fasttrack-connection connection-state=established,related（需注意与策略路由/限速规则冲突）。

结语

RouterOS 的配置逻辑其实很清晰：接口 → IP → 路由 → DHCP → NAT → 防火墙，按这个顺序走一遍，绝大多数场景都能跑通。先把基础网络跑稳，再做分流、限速、代理出口等进阶配置，才是长期稳定的正确姿势。