Como configurar MikroTik: passo a passo para provedores
Como configurar MikroTik num provedor: comece apagando a configuração de fábrica, que foi feita para casa e escritório, e monte a base na mão, com nome, usuários, interfaces nomeadas, endereços, rotas, horário, registro e cópia automática. Só depois dessa base o roteador recebe a função dele, como borda BGP, concentrador PPPoE ou CGNAT.
Resumo
- A configuração de fábrica do RouterOS traz NAT, servidor DHCP e firewall de uso doméstico.
- O Safe Mode desfaz as mudanças sozinho se a conexão com o roteador cair no meio da janela.
- [object Object]
- A base termina com registro remoto e export automático, antes de qualquer função de produção.
Por que a configuração de fábrica não serve para provedor
Porque ela foi pensada para ligar uma casa ou um escritório à internet, com NAT, rede local e servidor DHCP prontos. Num provedor, essas regras escondem endereços, entregam IP onde não devem e confundem quem vai manter o roteador.
Muitos modelos da MikroTik saem da caixa com a chamada configuração padrão: uma porta vira a de internet, as outras viram uma ponte de rede local, e o roteador já faz NAT e distribui endereços. Para uma loja, é ótimo. Para um concentrador ou uma borda de provedor, quase tudo ali atrapalha.
| Item de fábrica | Pensado para | No provedor |
|---|---|---|
| NAT masquerade na porta de internet | Esconder a rede de casa atrás de um IP | Sai; o NAT do provedor é o CGNAT, desenhado à parte |
| Ponte com as demais portas | Ligar computadores na mesma rede | Sai; cada porta recebe uma função e um nome |
| Servidor DHCP na rede local | Entregar IP aos aparelhos da casa | Sai; endereço de assinante vem do PPPoE ou do IPoE |
| Firewall doméstico | Bloquear quem vem de fora | Sai; entra a proteção da chain input para roteador de operadora |
O suporte MikroTik para provedores parte sempre de um roteador zerado. É mais rápido montar a base certa do que descobrir, meses depois, qual regra de fábrica sobrou no meio da configuração.
Winbox ou terminal?
Os dois configuram a mesma coisa, mas o terminal deixa rastro. Um bloco de comandos pode ser revisado antes, colado em vários roteadores e guardado como documentação.
O Winbox é útil para enxergar tráfego e estado das interfaces. Para montar a base, use o terminal, de preferência pela console ou pelo acesso por MAC, já que o roteador zerado ainda não tem endereço.
Como configurar MikroTik do zero, passo a passo
São nove passos, da escolha da versão ao export automático, e a ordem evita perder o acesso no meio do caminho. Faça tudo com o Safe Mode ligado e confira cada passo antes do seguinte.
- Versão: atualize o RouterOS para a versão do canal escolhido e, em seguida, o firmware da placa.
- Zerar: reinicie a configuração sem os padrões de fábrica e entre de novo pela console ou pelo MAC.
- Identidade: dê ao roteador um nome com cidade, POP e função, igual ao do monitoramento.
- Usuários: crie um usuário por pessoa, teste o login e só depois desative o usuário admin.
- Interfaces: renomeie cada porta pela função, como uplink, OLT ou gerência.
- Endereços e rotas: configure a loopback, os enlaces e a rota de saída.
- DNS e horário: aponte os servidores DNS do provedor, o fuso e o cliente NTP.
- Registro: envie os eventos para um servidor de syslog fora do roteador.
- Cópia: agende um export diário e leve o arquivo para fora do equipamento.
Safe Mode, o botão que salva a janela
No terminal, o atalho Ctrl+X liga o Safe Mode. Se a conexão cair antes de você sair dele, o RouterOS desfaz o que foi feito desde que o modo foi ligado.
É a proteção mais simples contra a regra que tranca a equipe fora. O limite é o tamanho do histórico guardado, por isso mudanças muito grandes devem ser divididas em blocos [CONFIRMAR na versão do equipamento].
Qual canal de versão usar
Para roteador de produção, o canal long-term ou uma versão stable já testada pela equipe costumam ser a escolha. Versão de testes fica no laboratório.
Anote a versão instalada na documentação do roteador. Quando aparecer uma falha conhecida, é essa anotação que diz se o seu equipamento está afetado.
Configuração inicial de referência no RouterOS 7
O bloco abaixo monta a base de um concentrador num POP, do reset até o export agendado. Nomes, interfaces e endereços são de exemplo e precisam ser ajustados ao modelo e à rede.
# 0. Zerar sem a configuração de fábrica (apaga tudo; use pela console)
/system reset-configuration no-defaults=yes
# 1. Identidade e horário
/system identity set name=ITJ-POP1-CONC01
/system clock set time-zone-name=America/Sao_Paulo
/system ntp client set enabled=yes
/system ntp client servers add address=192.0.2.123
# 2. Usuário individual; o admin sai depois do teste de login
/user add name=maria.noc group=full password="TROQUE-ESTA-SENHA"
# 3. Portas nomeadas pela função
/interface ethernet set [find default-name=ether1] name=ether1-uplink
/interface ethernet set [find default-name=sfp-sfpplus1] name=sfp1-olt
/interface ethernet set [find default-name=ether8] name=ether8-gerencia
# 4. Endereços, loopback e rota de saída
/ip address add address=192.0.2.10/32 interface=lo
/ip address add address=198.51.100.2/30 interface=ether1-uplink
/ip route add dst-address=0.0.0.0/0 gateway=198.51.100.1
# 5. DNS do provedor, sem responder a quem vem de fora
/ip dns set servers=192.0.2.53,198.51.100.53 allow-remote-requests=no
# 6. Registro remoto
/system logging action add name=syslog target=remote remote=192.0.2.50
/system logging add topics=info,warning,error,critical action=syslog
# 7. Export diário
/system scheduler add name=export-diario interval=1d on-event="/export file=export-diario"- No-defaults=yes: apaga tudo sem recriar a configuração de fábrica, por isso o acesso seguinte é pela console.
- Find default-name: acha a porta pelo nome original, mesmo depois de renomeada, o que deixa o bloco reaproveitável.
- Interface lo: é a loopback do RouterOS 7, endereço estável para gerência e para o roteamento.
- Allow-remote-requests=no: impede que o roteador responda consultas DNS de qualquer um.
- Scheduler: gera o export todo dia; um script ou o sistema de backup leva o arquivo para fora.
Prefere receber o MikroTik com a base pronta e testada?
No suporte MikroTik, um Especialista zera o equipamento, monta a base e a função dele no RouterOS 7 e entrega a configuração comentada para a sua equipe.
A proteção vem logo depois da base
A base acima ainda não fecha os serviços nem escreve o firewall da chain input. Esse é o passo seguinte, antes de o roteador receber tráfego de assinante.
O guia de como proteger MikroTik traz a ordem das regras, os serviços que devem sair e o que muda entre borda e concentrador.
Como configurar MikroTik para cada função no provedor
Com a base pronta, o roteador recebe uma função: borda BGP, concentrador PPPoE, CGNAT ou agregação. Cada função tem sua configuração própria e seus limites de equipamento.
| Função | O que entra | Onde o limite aparece |
|---|---|---|
| Borda BGP | Sessões com trânsito e IX.br, filtros, anúncio do bloco | Memória com tabela completa e tempo de reconvergência |
| Concentrador PPPoE | Servidor PPPoE, perfis, pools e RADIUS | CPU por número de sessões e por tráfego no pico |
| CGNAT | Faixa 100.64.0.0/10, regras de NAT e registro das sessões | Número de conexões e portas por cliente |
| Agregação | VLANs, OSPF e ligação entre POPs | Capacidade das portas e do switch chip |
Para a borda, o guia de como configurar BGP no MikroTik mostra template, connection e filtros. Para o NAT de assinantes, o de como configurar CGNAT no MikroTik segue a mesma linha de passo a passo.
Um equipamento para tudo ou um por função?
Em provedor pequeno, um único MikroTik faz borda, concentrador e CGNAT. Funciona até o crescimento fazer uma função roubar processamento da outra no horário de pico.
Separar funções em equipamentos diferentes deixa cada configuração mais curta e cada falha mais contida. O sinal para separar é a CPU alta à noite sem ataque nenhum, ou uma mudança no BGP que derruba sessões PPPoE.
Erros comuns na configuração inicial do MikroTik
Os erros mais comuns são manter restos da configuração de fábrica, trabalhar sem Safe Mode e não ter cópia fora do roteador. Todos parecem pequenos até a primeira queda.
Evite
- Configurar por cima da configuração de fábrica em vez de zerar o roteador.
- Deixar todas as portas com o nome original, sem dizer a função de cada uma.
- Desativar o admin antes de testar o login do usuário novo.
- Mexer em regras de acesso sem Safe Mode ligado.
- Atualizar para uma versão de testes num roteador de produção.
- Guardar o export só dentro do próprio roteador.
O último erro é o que mais custa. Quando a configuração se perde e a cópia estava no mesmo equipamento, o guia de recuperar a configuração do MikroTik mostra o que ainda dá para salvar.
Exemplo: o NAT de fábrica que escondia os IPs públicos
Um provedor instala um MikroTik novo como concentrador e configura o PPPoE por cima da configuração de fábrica. Os assinantes navegam, mas quem tem IP público fixo começa a reclamar que câmeras e servidores não são alcançados de fora.
- Sintoma: acesso de fora não chega aos clientes com IP público, e o registro mostra todo o tráfego saindo com o IP do roteador.
- Causa: a regra de masquerade da configuração de fábrica continuava ativa na porta de uplink e traduzia tudo.
- Correção: o roteador foi zerado sem padrões, a base foi montada do zero e o NAT ficou só para a faixa de CGNAT.
O problema não estava no PPPoE nem na operadora. Estava numa regra que ninguém tinha escrito e que, por isso, ninguém procurou.
Como saber se o MikroTik está pronto para produção?
Está pronto quando a base passa num checklist curto, a função foi testada com tráfego real e a configuração está guardada fora do roteador. Sem os três, ele ainda é um equipamento em instalação.
Confira antes de colocar o MikroTik em produção
- Nenhuma regra de NAT, ponte ou DHCP que tenha vindo da configuração de fábrica.
- Usuário admin desativado e um usuário por pessoa da equipe.
- Todas as portas em uso com nome que diz a função.
- Horário certo, conferido nos registros, e eventos chegando ao syslog.
- Export do dia guardado num servidor fora do roteador.
- Versão do RouterOS e do firmware anotadas na documentação.
Um item em branco já é motivo para voltar à base antes de ligar assinantes. Os dois últimos são os que mais se esquecem e os que mais fazem falta numa emergência.
A Táquion Tech configura MikroTik para provedores a partir do roteador zerado, com base, proteção e função documentadas e testadas antes de entrar em produção. Para saber do que depende o valor desse trabalho, o guia de quanto custa para configurar um MikroTik lista os fatores.
Como configurar MikroTik exige pouca coisa difícil e muita disciplina de ordem: zerar, montar a base, proteger e só então dar ao roteador a função de produção.
Perguntas frequentes
Preciso zerar um MikroTik novo antes de configurar?
Num provedor, sim, porque a configuração de fábrica traz NAT, ponte e DHCP pensados para rede doméstica. Zerar sem padrões leva poucos minutos e evita regras escondidas.
Como acessar o MikroTik depois de zerar sem configuração?
Pela porta de console, quando o modelo tem, ou pelo Winbox conectando no endereço MAC da porta ligada ao computador. O acesso por IP só volta depois que você configura um endereço.
Qual a diferença entre export e backup no MikroTik?
O export gera um texto com os comandos da configuração, que dá para ler, comparar e aplicar em outro roteador. O backup é um arquivo binário que restaura o mesmo equipamento, inclusive usuários.
RouterOS 6 ou 7 para um roteador novo de provedor?
Para equipamento novo, o RouterOS 7, que é a linha atual e traz o BGP reescrito. A versão 6 aparece em roteadores antigos e pede cuidado na migração, porque parte da sintaxe mudou.
Dá para usar a configuração rápida do Winbox no provedor?
Não é indicado. A configuração rápida monta um cenário de casa ou escritório, com NAT e rede local, e o provedor precisa justamente do contrário.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- Configuration Management (documentação MikroTik): reset sem padrões, Safe Mode, export e backup da configuração no RouterOS 7.
- User (documentação MikroTik): criação de usuários, grupos de permissão e desativação do usuário admin.
