Создание гостевой сети Wi-Fi с ограничением скорости на примере маршрутизаторов Mikrotik под управлением RouterOS

Далее переходим в раздел IP –> DHCP Server, переключаемся на вкладку Networks (сети), где создаем новую DHCP-сеть

• Отключаем fasttrack
• Ограничение скорости всем пользователям подсети
• Ограничение скорости по IP адресу определенному пользователю
• Ограничение скорости по MAC адресу
• Ограничение скорости всем «качальщикам»
• Ограничение скорости определенному «качальщику» по IP адресу
• Ограничение скорости по часам и дням недели
• Определяем, какой IP адрес больше всех потребляет трафик
• Распределение скорости интернета поровну
• Распределение скорости интернета поровну с приоритезацией трафика

В этой статье мы опишем различные способы, как ограничить скорость на роутере MikroTik: по IP адресу, по MAC адресу, для всей подсети, разделить скорость интернета поровну и т.д.

Распределение скорости интернета поровну

Этот способ подходит для использования на домашнем роутере или в небольшом офисе.

Допустим у вас есть входной интернет канал 20 Мбит/с. В доме есть компьютер сына, ноутбук отца и планшет у мамы. Когда сын начнет качать торренты, нужно чтобы он не занял весь интернет канал. При этом отец смог смотреть фильм онлайн, а мама открывать интернет странички. Но если в сети работает только компьютер сына, то он получит всю доступную скорость интернета 20 Мбит/с.

В данном примере скорость будет делиться поровну, только если все трое начнут качать на максимальной скорости. В этом случае каждый получит скорость около 6,7 Мбит/с (20/3).

Но если отец будет качать файл на скорости 4 Мбит/с, а мать на скорости 2 Мбит/с, то сын получит остальные 14 Мбит/с. Т.е. скорость распределится пропорционально загрузке.

Добавим правило с ограничением скорости.

• Откройте меню Queues.
• Перейдите на вкладку Simple Queues.
• Нажмите синий плюсик.
• На вкладке General в поле Name укажите название правила queue-limit.
• В поле Target укажите IP адрес подсети 192.168.88.0/24. Если адрес вашей подсети отличается, то укажите необходимый.
• В поле Max Limit в колонке Target Upload укажите максимальную скорость отдачи 18M (18 Мбит/с), которую мы выделяем на всю подсеть.
  Значение Max Limit нужно указывать на 5-10% меньше, чем скорость интернета. Если ваша скорость интернета равна 20 Мбит/с, то значение Max Limit нужно указать 18 Мбит/с, чтобы правила сработали. Иначе скорость будет упираться в шейпер провайдера и правила не будут срабатывать.
• В поле Max Limit в колонке Target Download укажите максимальную скорость загрузки 18M (18 Мбит/с), которую мы выделяем на всю подсеть.
• Перейдите на вкладку Advanced.
• В списке Queue Type в колонке Target Upload выберите очередь pcq-upload-default.
  Эти очереди используют алгоритм PCQ, который позволяет равномерно распределить скорость между всеми пользователями вне зависимости от количества открытых подключений.
• В списке Queue Type в колонке Target Download выберите очередь pcq-download-default.
• Нажмите кнопку OK.

Теперь запустите закачки на компьютерах в сети и посмотрите, как будет распределяться скорость.

Данный способ настройки очень простой, но имеет один недостаток. Если сын включит закачку торрентов, то на его компьютере станут плохо открываться интернет странички или будут задержки в онлайн играх. Чтобы это не происходило, необходимо трафику присваивать различные приоритеты. Например, интернет страничкам и онлайн играм дать более высокий приоритет, чем закачке файлов. Как это сделать, читайте ниже.

Ограничение скорости всем «качальщикам»

Роутер MikroTik позволяет сделать настройку так, что при просмотре интернет страничек каждый клиент получит максимальную скорость, а как только начнет качать большие файлы, его скорость уменьшится. Для этого настраивается взрывная скорость Burst.

Допустим у нас есть входной интернет канал 20 Мбит/с. Мы хотим, чтобы каждый пользователь по возможности просматривал интернет странички с максимальной скоростью 20 Мбит/с. Но как только он начнет качать большие файлы, его скорость уменьшилась до 3 Мбит/с.

Добавим pcq очередь на загрузку с параметрами Burst.

• Откройте меню Queues.
• Перейдите на вкладку Queue Types.
• Нажмите синий плюсик.
• В поле Type Name укажите название очереди на загрузку pcq-burst-download.
• В списке Kind выберите pcq.
• В поле Rate укажите скорость на загрузку 3M (3 Мбит/с), которая будет действовать, если пользователь начнет качать файлы. Значение Rate должно быть меньше значения Burst Rate.
• В поле Burst Rate укажите максимальную скорость на загрузку 18M (18 Мбит/с), которая будет по возможности действовать для просмотра интернет страничек, пока пользователь не начнет качать файлы. Если два пользователя будут одновременно просматривать интернет странички, то 18 Мбит/с поделятся между ними. Каждый получит скорость по 9 Мбит/с. Если скорость вашего интернет-канала 20 Мбит/с, то скорость Burst Rate нужно ставить немного меньше, например, 18 Мбит/с, чтобы правила не уперлись в шейпер провайдера и сработали.
• В поле Burst Threshold укажите скорость 2M (2 Мбит/с), при превышении которой начнет действовать ограничение скорости Rate 3M. Значение Burst Threshold должно быть меньше значения Rate.
• В поле Burst Time укажите время для подсчета средней скорости загрузки 64. Роутер будет вычислять скорость каждую 1/16 периода. Например, при Burst Time=16 роутер будет вычислять каждую 1 сек, а при Burst Time=32 будет вычислять каждые 2 сек.
  Фактическое время, через которое сработает ограничение на загрузку вычисляется по формуле Real Time = Burst Threshold * (Burst Time / Burst Rate). В нашем случае ограничение сработает через Real Time = 2 * (64 / 20) = 6,4 секунды.
  Для тестирования работы Burst рекомендую сначала поставить большим значение Burst Time. Например, для данного случая лучше поставить Burst Time=192. При этом значении ограничение скорости сработает через 19,2 секунды. Это позволит запустить торрент на компьютере и посмотреть, как будет срабатывать Burst.
• Проверьте, что напротив Dst. Address стоит галочка.
• Нажмите кнопку OK.

Добавим pcq очередь на отдачу с параметрами Burst.

• Нажмите синий плюсик.
• В поле Type Name укажите название очереди на отдачу pcq-burst-upload.
• В списке Kind выберите pcq.
• В поле Rate укажите скорость на отдачу 3M (3 Мбит/с), которая будет действовать, если пользователь начнет передавать файлы в интернет. Значение Rate должно быть меньше значения Burst Rate.
• В поле Burst Rate укажите максимальную скорость на отдачу 18M (18 Мбит/с), которая будет по возможности действовать для просмотра интернет страничек, пока пользователь не начнет передавать файлы в интернет.
• В поле Burst Threshold укажите скорость 2M (2 Мбит/с), при превышении которой начнет действовать ограничение скорости Rate 3M. Значение Burst Threshold должно быть меньше значения Rate.
• В поле Burst Time укажите время для подсчета средней скорости отдачи 64.
  Для тестирования работы рекомендую сначала поставить большим значение Burst Time=192. При этом значении ограничение скорости сработает через 19,2 секунды. Это позволит запустить торрент на компьютере и посмотреть, как будет срабатывать Burst.
• Поставьте галочку напротив Src. Address.
• Уберите галочку напротив Dst. Address.
• Нажмите кнопку OK.

Теперь добавим в Simple Queues правило с ограничениями.

• Перейдите на вкладку Simple Queues.
• Нажмите синий плюсик.
• На вкладке General в поле Name укажите название правила queue-burst-limit.
• В поле Target укажите нашу подсеть 192.168.88.0/24
• Перейдите на вкладку Advanced.
• В списке Queue Type в колонке Target Upload выберите pcq-burst-upload.
• В списке Queue Type в колонке Target Download выберите pcq-burst-download.
• Нажмите кнопку OK.

Теперь проверьте на компьютере скорость с помощью сайта спидтест.нет. Она должна стремиться к максимальной 18 Мбит/с. После этого поставьте на закачку торрент и посмотрите, как измениться скорость. Если вы использовали Burst Time=192, то через 20 секунд после старта закачки торрента скорость упадет до 3 Мбит/с.

Распределение скорости интернета поровну с приоритезацией трафика

Этот способ позволит распределить интернет поровну между всеми пользователями, и дать более высокий приоритет для просмотра интернет страничек, Youtube, ICQ и других сервисов. Поэтому они не будут тормозить, даже если вы поставили на закачку торренты.

Весь трафик разделим по приоритетам на 4 группы:

• LOW — низкий (торренты, p2p и т.д.)
• HIGH — высокий (ICQ, Jabber, SSH, Telnet и т.д.)
• SUPER-HIGH — очень высокий (онлайн-игра Counter Strike, DNS, PING и т.д.)

Алгоритм работы будет такой:

• Маркируем все неизвестные соединения LOW.
• В соединениях пакеты на загрузку помечаем LOW-DOWNLOAD
• В соединениях пакеты на отдачу помечаем LOW-UPLOAD.
• Известные соединения маркируем в зависимости от сервиса: NORMAL, HIGH или SUPER-HIGH.
• В соединениях пакеты на загрузку помечаем NORMAL-DOWNLOAD, HIGH-DOWNLOAD или SUPER-HIGH DOWNLOAD.
• В соединениях пакеты на отдачу помечаем NORMAL-UPLOAD, HIGH-UPLOAD или SUPER-HIGH-UPLOAD.
• Создаем PCQ очереди, которые позволят равномерно делить скорость между всеми пользователями. Мы их будем использовать в правилах ограничения скорости.
• Создаем правила ограничения скорости в дереве Queue Tree.
  В правилах используем помеченные пакеты, которым задаем приоритет и PCQ очереди.
  Максимальную скорость указываем с помощью родителей DOWNLOAD — 18Мбит/с и UPLOAD — 18Мбит/с.
  Помеченным пакетам присваиваем следующие приоритеты:

• DOWNLOAD — 18M
  SUPER-HIGH-DOWNLOAD — приоритет 1HIGH-DOWNLOAD — приоритет 2NORMAL-DOWNLOAD — приоритет 3LOW-DOWNLOAD — приоритет 4
• UPLOAD — 18M
  SUPER-HIGH-UPLOAD — приоритет 1HIGH-UPLOAD — приоритет 2NORMAL-UPLOAD — приоритет 3LOW-UPLOAD — приоритет 4

Приступим к настройке.

Добавим пару Layer7 наборов для определения http трафика.

Данные наборы анализируют трафик, пытаются найти в нем указанные последовательности и определить, что это http трафик, gif файл, png файл или jpg файл.

Откройте меню New Terminal и выполните следующие команды:

Для определения HTTP трафика я специально не маркирую трафик на 80 порту, а применяю Layer7, поскольку кроме браузера другие программы могут использовать 80-й порт. Если маркировать трафик по 80 порту, то все получат одинаковый приоритет, и интернет странички не будут быстро грузиться.

Много наборов Layer7 лучше не использовать, т.к. они существенно нагружают роутер.

В меню IP — Firewall на вкладке Layer7 Protocols отобразятся добавленные типы трафика.

По умолчанию промаркируем весь незнакомый трафик, как низкий — LOW.

Добавим маркировку трафика NORMAL.

/ip firewall mangle
add action=accept chain=forward comment=»############## NORMAL #########» disabled=yes
add action=mark-connection chain=forward comment=HTTP disabled=no layer7-protocol=HTTP new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=HTTPS disabled=no port=443 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=Proxy disabled=no port=3128,8080 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=FTP disabled=no port=20,21 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=SMTP disabled=no port=25 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=SMTPS disabled=no port=465 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=IMAP disabled=no port=143 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=POP3 disabled=no port=110 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=POP3S disabled=no port=995 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=IMAPS disabled=no port=993 new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=GIF_FILE disabled=no layer7-protocol=GIF_FILE new-connection-mark=NORMAL passthrough=yes
add action=mark-connection chain=forward comment=PNG_FILE disabled=no layer7-protocol=PNG_FILE new-connection-mark=NORMAL passthrough=yes
add action=mark-connection chain=forward comment=JPG_FILE disabled=no layer7-protocol=JPG_FILE new-connection-mark=NORMAL passthrough=yes
add action=mark-connection chain=forward comment=»100Kb Connections» connection-bytes=0-100000 disabled=no new-connection-mark=NORMAL passthrough=yes protocol=tcp
add action=mark-packet chain=forward comment=NORMAL-DOWNLOAD connection-mark=NORMAL disabled=no dst-address-list=LAN new-packet-mark=NORMAL-DOWNLOAD passthrough=yes src-address-list=!LAN-EXCEPTION
add action=mark-packet chain=prerouting comment=NORMAL-UPLOAD connection-mark=NORMAL disabled=no dst-address-list=!LAN-EXCEPTION new-packet-mark=NORMAL-UPLOAD passthrough=yes src-address-list=LANadd action=accept chain=forward comment=»############## END NORMAL ############» disabled=yes

Добавим маркировку трафика HIGH:

/ip firewall mangle
add action=accept chain=forward comment=»############## HIGH ############» disabled=yes
add action=mark-connection chain=forward comment=ICQ disabled=no port=5190 new-connection-mark=HIGH passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=Jabber disabled=no port=5222,5223 new-connection-mark=HIGH passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=IRC disabled=no port=6667-6669 new-connection-mark=HIGH passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=SSH disabled=no port=22 new-connection-mark=HIGH packet-size=0-1400 passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=TELNET disabled=no port=23 new-connection-mark=HIGH passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=SNMP disabled=no port=161-162 new-connection-mark=HIGH passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=PPTP disabled=no port=1723 new-connection-mark=HIGH passthrough=yes protocol=tcp
add action=mark-connection chain=forward comment=L2TP disabled=no port=1701 new-connection-mark=HIGH passthrough=yes protocol=udp
add action=mark-connection chain=forward comment=GRE disabled=no new-connection-mark=HIGH passthrough=yes protocol=gre
add action=mark-connection chain=forward comment=»50Kb Connections» connection-bytes=0-50000 disabled=no new-connection-mark=HIGH passthrough=yes protocol=tcp
add action=mark-packet chain=forward comment=HIGH-DOWNLOAD connection-mark=HIGH disabled=no dst-address-list=LAN new-packet-mark=HIGH-DOWNLOAD passthrough=yes src-address-list=!LAN-EXCEPTION
add action=mark-packet chain=prerouting comment=HIGH-UPLOAD connection-mark=HIGH disabled=no dst-address-list=!LAN-EXCEPTION new-packet-mark=HIGH-UPLOAD passthrough=yes src-address-list=LAN
add action=accept chain=forward comment=»############## END HIGH ##########» disabled=yes

Добавим маркировку трафика SUPER-HIGH:

Чтобы в онлайн игре CounterStrike не было лагов (запаздываний), я добавил ее порты 27005,27014-27025,27035,52046-52048,52146, протокол udp и пометил соединения, как SUPER-HIGH. Если вам нужно добавить другую онлайн игру, узнайте какие порты и протокол она использует, и добавьте свое правило.

В меню IP — Firewall на вкладке Mangle отобразятся добавленные правила маркировки трафика.

Добавим IP адрес нашей подсети и адреса соседних локальных сетей в список Address List:

LAN — это список с IP адресами нашей сети 192.168.88.0/24. Укажите другой, если адрес вашей подсети отличается. Этот адрес нужен, чтобы правила маркировали трафик пользователей нашей сети.

Проверьте на вкладке Address Lists, что подсети добавились.

Добавим PCQ очереди на загрузку и отдачу.

Они используют алгоритм PCQ, который позволяет равномерно распределить скорость между всеми пользователями вне зависимости от количества открытых подключений.

/queue type
add kind=pcq name=PCQ-DOWNLOAD pcq-rate=0 pcq-limit=50 pcq-total-limit=2000 pcq-burst-rate=0 pcq-burst-threshold=0 pcq-burst-time=10s pcq-classifier=dst-address pcq-src-address-mask=32 pcq-dst-address-mask=32 pcq-src-address6-mask=128 pcq-dst-address6-mask=128
add kind=pcq name=PCQ-UPLOAD pcq-rate=0 pcq-limit=50 pcq-total-limit=2000 pcq-burst-rate=0 pcq-burst-threshold=0 pcq-burst-time=10s pcq-classifier=src-address pcq-src-address-mask=32 pcq-dst-address-mask=32 pcq-src-address6-mask=128 pcq-dst-address6-mask=128

Посмотрите созданные очереди в меню Queues на вкладке Queue Types.

Построим дерево Queue Tree и присвоим приоритеты промаркированным пакетам.

max-limit=18M— это максимальная скорость 18 Мбит/с на всю подсеть. Укажите свою скорость.
Значение max-limit нужно указывать на 5-10% меньше, чем скорость интернета. Если ваша скорость интернета равна 20 Мбит/с, то значение max-limit нужно указать 18 Мбит/с, чтобы правила сработали. Иначе скорость будет упираться в шейпер провайдера и правила не будут срабатывать.

Посмотрите созданное дерево на вкладке Queue Tree. Здесь видно, с какой скоростью в данный момент передается и принимается каждый вид трафика.

Теперь весь интернет канал будет равномерно распределяться между пользователями, а при запуске торрентов, вы будете комфортно открывать интернет странички в браузере, смотреть видео на Youtube, общаться по ICQ и т.д.

Никто не застрахован от умников, которые могут подменить свой IP-адрес. Для того, чтобы запретить все статические IP в гостевой сети, вносим изменения в настройки DHCP-сервера. Открываем IP –> DHCP Server, выбираем гостевой dhcp и устанавливаем опцию «Add ARP For Leases».

Ограничение скорости определенному «качальщику» по IP адресу

MikroTik позволяет по IP адресу ограничить скорость определенному пользователю, который качает большие файлы из интернета. Пока пользователь будет смотреть интернет странички, скорость будет высокой, но как только начнет качать файлы, то скорость уменьшится. Для этого настраивается взрывная скорость Burst.

Допустим, мы хотим, чтобы пользователь просматривал интернет странички с максимальной скоростью 20 Мбит/с. Но как только он начнет качать большие файлы, его скорость уменьшилась до 3 Мбит/с.

• Откройте меню Queues.
• На вкладке Simple Queues нажмите на синий плюсик.
• В поле Name укажите имя ограничения dima-burst-limit-3M.
• В поле Target укажите IP адрес пользователя 192.168.88.254, для которого будет действовать ограничение.
• В поле Max Limit в столбце Target Upload укажите скорость отдачи файлов в интернет 3M (3 Мбит/с). Она должна быть меньше Burst Limit.
• В поле Max Limit в столбце Target Download укажите скорость загрузки файлов из интернета 3M (3 Мбит/с). Она должна быть меньше Burst Limit.
• В поле Burst Limit в столбце Target Upload укажите максимальную скорость отдачи 20M при просмотре интернет страничек. Она должна быть больше скорости Max Limit.
• В поле Burst Limit в столбце Target Download укажите максимальную скорость загрузки 20M при просмотре интернет страничек. Она должна быть больше скорости Max Limit.
• В поле Burst Threshold в столбце Target Upload укажите скорость отдачи 2M, при превышении которой, сработает ограничение скорости Max Limit. Значение Burst Threshold должно быть меньше скорости Max Limit.
• В поле Burst Threshold в столбце Target Download укажите скорость загрузки 2M, при превышении которой, сработает ограничение скорости Max Limit. Значение Burst Threshold должно быть меньше скорости Max Limit.
• В поле Burst Time в столбце Target Upload укажите время для подсчета средней скорости отдачи 64.
  Роутер будет вычислять скорость каждую 1/16 периода. Например, при Burst Time=16 роутер будет вычислять каждую 1 сек, а при Burst Time=32 будет вычислять каждые 2 сек.
  Фактическое время, через которое сработает ограничение вычисляется по формуле Real Time = Burst Threshold * (Burst Time / Burst Rate). В нашем случае ограничение сработает через Real Time = 2 * (64 / 20) = 6,4 секунды.
  Для тестирования работы Burst рекомендую сначала поставить большие значения Burst Time. Например, для данного случая лучше поставить Burst Time=192. При этом значении ограничение скорости сработает через 19,2 секунды. Это позволит запустить торрент на компьютере и посмотреть, как будет срабатывать Burst.
• В поле Burst Time в столбце Target Download укажите время для подсчета средней скорости загрузки 64.
• Нажмите кнопку OK.

На практике это правило будет работать следующим образом. Пользователь будет просматривать странички в интернете с максимальной скоростью 20 Мбит/с. Когда он начнет качать торренты и средняя скорость превысит 2 Мбит/с, то отключится ограничение 20 Мбит/с, и включится ограничение 3 Мбит/с.

Если у вас есть Burst правило для всей подсети, то правило для определенного пользователя нужно поднять выше него. Для этого перетащите его левой кнопкой мыши.

В разделе IP –> Adresses для wlan2 (либо нашего бриджа) создаем новый адрес как на фото ниже, где 10. 1 – адрес шлюза, и собственно сама сеть 10. 0/24.

Отключаем fasttrack

Перед настройкой ограничений скорости в MikroTik необходимо убедиться, что на роутере в фаерволе отключен fasttrack. Эта технология появилась начиная с RouterOS 6.29 и позволяет увеличить производительность путем пересылки данных без их дополнительной обработки. Однако если она включена, то ограничения скорости не сработают. Поэтому fasttrack необходимо отключить.

• Откройте меню IP — Firewall.
• На вкладке Filter Rules выберите правило fasttrack connection.
• Нажмите красный крестик Disable, чтобы деактивировать правило.

Ограничение скорости по часам и дням недели

Если вы хотите, чтобы ограничение скорости в MikroTik работало в определенные дни недели и часы, то выполните следующее:

• Нажмите раскрывающийся список Time.
• В первом поле Time укажите, с какого времени будут действовать ограничения.
• Во втором поле Time укажите, до какого времени будут действовать ограничения.
• Выберите по каким дням недели будет действовать правило.
• Нажмите кнопку OK.

Перед созданием нового DHCP-сервера необходимо создать новый пул адресов. Заходим в раздел IP –> Pool и создаем пул с диапазоном 10. 2-10. Предполагается использовать всего несколько устройств, для чего достаточно небольшого пула. При необходимости, вы можете увеличить адресный пул. При заполнении всех адресов из пула, DHCP-сервер перестанет выдавать адреса.

Ограничение скорости по MAC адресу

В MikroTik нельзя ограничить скорость, указав только MAC адрес устройства. Вам нужно сначала настроить ограничение скорости по IP адресу, а потом привязать IP адрес к MAC адресу конкретного устройства.

Привязка IP адреса к MAC адресу выполняется следующим образом:

• Подключите устройство к роутеру, чтобы оно получило IP адрес.
• В настройках роутера откройте меню IP — DHCP Server.
• Перейдите на вкладку Leases.
• Нажмите правой кнопкой мыши на устройстве, которому нужно привязать MAC адрес к IP адресу.
• Выберите в выпадающем меню Make Static.

Открываем выбранный тип управления, в поле «Available From» следует указать адрес и/или подсеть, из которой будет доступно подключение. В нашем случае мы разрешает только доступ из подсети 192. 168. 106. 0/24. При необходимости, можно указать несколько подсетей и/или адресов.

Всем пользователям ограничить скорость выгрузки на 5 Мб/с, а скорость загрузки на 10 Мб/с. В этом условии подразумевается, что ограничение общее на всех, а не на каждого пользователя в отдельности.

Первым делом может возникнуть вопрос: а зачем нам делать ограничение, если вдруг можно получать больше? Например, по договору с провайдером скорость 10 Мбит/с на загрузку и выгрузку, но провайдер дает немного больше. Ответ простой. Для того, что бы мы могли настроить QoS (равномерное распределение ширины канала между потребителями, приоритезация для IP-телефонии и др.) маршрутизатор должен знать относительно какой скорости ему делать выделение скоростей. Это условие является обязательным. Если ограничение максимальной скорости не указать или указать скорость выше реальной, то QoS не сможет работать корректно.

На Telegram-канале Mikrotik сэнсей можно получить доступ к закрытой информации от официального тренера MikroTik. В апреле и мае 2023 будут разбираться темы Wi-Fi и QoS. Подписывайтесь

Вариант с одним Интернет-каналом

Для идентификации интерфейсов можно указать их имена:/queue simpleadd max-limit=5M/10M name=»Internet download/upload limit» target=bridge-LAN

У этого варианта есть распространенная ошибка в которой не указывают значение параметра «target» и вместо него используют значение параметра «dst»:

/queue simpleadd max-limit=5M/10M name=»Internet download/upload limit»

В качестве аргумента корректности такой настройки озвучивают, что все работает. И действительно, если в качестве значения максимальных скоростей будут указаны максимальные скорости (например так:max-limit=10M/10M), то при проверка выяснить, что ограничение работает. Но если скорости на загрузку и выгрузку будут различаться, как в нашем примере (max-limit=5M/10M), при проверке выясниться, что значение приведенное для загрузки срабатывает для выгрузки и наоборот.

Вариант с двумя Интернет-каналами

Если используется два Интернет-канала, то надо создать два отдельных правила (по одному для каждого WAN-канала):

/queue simpleadd max-limit=5M/10M name=»Internet download/upload limit» target=bridge-LANadd max-limit=8M/16M name=»Internet download/upload limit» target=bridge-LAN

Если не сделать отдельное правило для каждого внешнего канала, то ограничение будет применяться суммарно к обоим каналам. Т. е. можно будет загружать не со скоростью 10 Мб/с с одного и 10 Мб/с с другого одновременно, а 10 с обоих суммарно. Разумеется это касается ситуации, когда оба внешних канала работают одновременно. Если внешние каналы настроены в режиме резервирования, то чаще всего Интернет-провайдер предоставляет разные скорости и поэтому надо делать два разных канала, что бы указать актуальное значение скорости.

Равномерное распределение ширины канала между потребителями

В предыдущих примерах мы настроили ограничение верхней границы скорости загрузки и выгрузки. Но при этом может сложиться ситуация в которой кому-то из потребителей достается большая скорость чем другим. В этом разделе мы настроим возможность делить скорость между потребителями равномерно, т. е. 1 пользователь сможет делать загрузку со скоростью 10 Мбит/с, 2 пользователя — со скоростью 5 Мбит/с, 4 пользователя — со скоростью 2,5 Мбит/с и т. д. При этом, если одному пользователю будет нужно только 2 Мбит/с, а еще двоим по 20 Мбит/с, то первому достанется достанется именно 2 Мбит/с (т. к. это больше чем 1/3 от 10 Мбит/с), а двум другим достанется оставшийся канал поровну, т. е. по 4 Мбит/с.

/queue simpleadd max-limit=5M/10M name=»Internet download/upload limit» target=10.1.100.0/24

Режим вспышки (Burst) (временное превышение скорости, указанной в параметре max-limit)

Burst — это опция, которая позволяет на ограниченный промежуток времени увеличить скорость даже, если в параметре max-limit в настройках очереди (queue) указана более низкая скорость.

Вспышка может произойти только, если average-rate очереди за последние burst-time секунд меньше чем burst-threshold.
Вспышка остановится, если average-rate очереди за последние burst-time секунд больше или равно burst-threshold.

Если Вспышка разрешена, то значение параметра max-limit заменяется на значение параметра burst-limit. Когда наступает запрет на Вспышку, то значение max-limit возвращается на свое место.

Ограничение скорости и равномерное распределение ширины канала

Материал из MikroTik Wiki

Per Connection Queue (PCQ) разновидность очередей, которая может быть использована для того, что бы динамически выравнять или ограничить трафик множеству пользователей.

Переходим в раздел Bridge, выбираем гостевой бридж, напротив опции ARP необходимо указать «reply-only».

Полезные материалы по MikroTik

Создание гостевой сети

Переходим к настройке WiFi интерфейсов:

Переходим на вкладку Security Profiles — кликаем по плюсу для создания нового профиля — задаем имя для профиля и настраиваем безопасность:

* в данном примере будет создан профиль с названием profile_wifi_guest; разрешаем только WPA2; задаем ключ безопасности (пароль для подключения к WiFi).

На вкладке WiFi Interfaces создаем новый виртуальный интерфейс (Virtual):

На вкладке General задаем имя для нашей гостевой беспроводной сети:

Переходим на вкладку Wireless — задаем SSID — выбираем реальный беспроводной интерфейс (Master Interface) и профиль безопасности, который мы создали ранее:

Настройка гостевой сети WiFi на Mikrotik

Оборудование Mikrotik поддерживает возможность создания гостевой беспроводной сети, подключившись к которой пользователь будет изолирован от локальной сети — он получит доступ только к Интернет. Настройку выполним в несколько этапов.

Прежде чем начать, необходимо, чтобы была выполнена базовая настройка роутера.

Настройка IP-адресации

Переходим в раздел IP:

На вкладке Pools создаем новый диапазон адресов:

* в данном примере мы создали список адресов 172.16.10.2-172.16.10.254. Это диапазон для гостевых клиентов — при подключении компьютер будет получать один адрес из данного списка.

Переходим в раздел IP — DHCP Server:

На вкладке DHCP создаем новую настройку:

* где Name — имя для настройки; Interface — сетевой интерфейс, на котором будет работать данная настройка DHCP; Address Pool — выбираем созданный нами пул адресов.

Теперь переходим на вкладку Networks и создаем новую подсеть, которая соответствует нашему пулу:

* где 172.16.10.0/24 — подсеть для клиентов гостевой WiFi; 172.16.10.1 — шлюз (это будет наш Mikrotik); 77.88.8.8 и 8.8.8.8 — публичные DNS от Яндекса и Google.

Осталось назначить IP для самого микротика. Переходим в IP — Addresses:

* мы создадим новый IP адрес 172.16.10.1, который будет назначен роутеру гостевому интерфейсу.

Ограничение скорости для каждого отдельного потребителя

Задача: каждому отдельному пользователю ограничить скорость выгрузки на 1 Мб/с, а скорость загрузки на 2 Мб/с. Т. е. один пользователь будет загружать со скоростью 2 Мб/с, 2 пользователя будут загружать, каждый со скоростью 2 Мб/с, т. е. суммарно 4 Мб/с, 4 пользователя будут загружать, каждый со скоростью 2 Мб/с, т. е. суммарно 8 Мб/с и т. д. пока суммарная скоростью «не упрется» в скорость Интернет-канала.

/queue typeadd name=»pcq-download» kind=pcq pcq-rate=2M pcq-classifier=dst-addressadd name=»pcq-upload» kind=pcq pcq-rate=1M pcq-classifier=src-address

Определяем, какой IP адрес больше всех потребляет трафик

Если у вас в сети начал тормозить интернет, тогда необходимо посмотреть, кто больше всех потребляет трафик. Может для кого-то вы не правильно настроили правила, и он торрентами занял весь интернет-канал.

• Открываем меню Interfaces.
• Выбираем в списке интерфейс, к которому подключены компьютеры локальной сети. Это может быть ethernet порт ether2 или Wi-Fi интерфейс wlan0. В нашем случае мы объединили ethernet и Wi-Fi порты в интерфейс brige, поэтому выбираем его.
• Правой кнопкой мыши кликаем на необходимом интерфейсе и выбираем в меню Torch.
• В появившемся окне нажимаем кнопку Start.
• Нажимаем на заголовок столбца TxRate, чтобы отсортировать и отобразить первыми IP адреса, которые больше всех потребляют трафик.

Как видим, больше всего потребляет трафик IP адрес 192.168.88.254, он качает файлы со скоростью 16 Mbps.

Нажмите кнопку OK.

Если в гостевой сети нет Интернета

• Корректно заданы настройки для сервера DHCP — адрес шлюза, DNS, назначен правильный интерфейс, на котором будет раздача адресов.
• Нет специально созданных правил Firewall, которые запрещают весь трафик.
• Убедиться, что микротик, в принципе, раздает Интернет.

В предыдущих шагах мы произвели предварительную настройку, поэтому можно приступать к созданию нового DHCP-сервера, для чего переключаемся на вкладку IP –> DHCP Server. В качестве интерфейса обязательно выбираем ранее созданный бридж и указываем адресный пул, созданный в предыдущем шаге.

Ограничение и лимиты

Рассмотрим некоторые ограничения, которые можно наложить на гостевую сеть.

Скорость

Чтобы уменьшить пропускную способность нашей гостевой WiFi, переходим в раздел Queues:

На вкладке Simple Queues добавляем новую очередь и на вкладке General задаем имя для настройки и выбираем интерфейс, для которого вводим ограничения, также задаем лимиты на скорость:

• Name — имя нашего скоростного ограничения.
• Target — для чего задается ограничение. Можно выбрать конкретный интерфейс или ввести адрес подсети (например, 172.16.10.0/24).
• Max Limit — максимальная скорость передачи данных.
• Burst Limit — скорость в режиме turbo.
• Burst Threshold — скорость, при превышении которой активируется режим ограничения.
• Burst Time — время в секундах для расчета средней скорости.

Нажимаем OK для завершения настройки.

Время (расписание работы WiFi)

Для включения и выключения гостевой сети мы воспользуемся встроенным планировщиком и командами:

* где Guest WiFi — имя нашей беспроводной сети; disabled=yes — выключаем WiFi-интерфейс; disabled=no — включает.

Переходим в раздел System:

Создаем новую задачу по расписанию и указываем следующие настройки:

• Name — имя для задания.
• Start Time — время начала отработки. Предположим, в 8 утра.
• Interval — период отработки. В данном примере каждый день.
• On Event — что выполняем.

И следом создаем задание на выключение WiFi:

Ограничение скорости всем пользователям подсети

Допустим у нас есть входной интернет канал 20 Мбит/с. Мы хотим каждому пользователю подсети сделать ограничение скорости 2 Мбит/с на загрузку и отдачу.

Добавим pcq очередь на загрузку с ограничением 2 Мбит/с.

• Откройте меню Queues.
• Перейдите на вкладку Queue Types.
• Нажмите синий плюсик.
• В поле Type Name укажите название очереди на загрузку pcq-download-2M.
• В списке Kind выберите pcq.
• В поле Rate укажите ограничение скорости на загрузку 2M (2 Мбит/с).
• Проверьте, что напротив Dst. Address стоит галочка.
• Нажмите кнопку OK.

Добавим pcq очередь на отдачу с ограничением 2 Мбит/с.

• Нажмите синий плюсик.
• В поле Type Name укажите название очереди на загрузку pcq-upload-2M.
• В списке Kind выберите pcq.
• В поле Rate укажите ограничение скорости на отдачу 2M (2 Мбит/с).
• Поставьте галочку напротив Src. Address.
• Уберите галочку напротив Dst. Address.
• Нажмите кнопку OK.

Теперь добавим правило с ограничениями скоростей.

• Перейдите на вкладку Simple Queues.
• Нажмите синий плюсик.
• На вкладке General в поле Name укажите название правила queue-limit-2M.
• В поле Target укажите нашу подсеть 192.168.88.0/24
• В поле Max Limit в колонке Target Upload укажите максимальную скорость отдачи 18M (18 Мбит/с), которую мы выделяем на всю подсеть.
  Если ваш интернет канал равен 20 Мбит/с, то значение нужно указать на 5-20% меньше, например, 18 Мбит/с, чтобы правила сработали. Иначе скорость будет упираться в шейпер провайдера и правила срабатывать не будут.
• В поле Max Limit в колонке Target Download укажите максимальную скорость загрузки 18M (18 Мбит/с), которую мы выделяем на всю подсеть.
• Перейдите на вкладку Advanced.
• В списке Queue Type в колонке Target Upload выберите pcq-upload-2M.
• В списке Queue Type в колонке Target Download выберите pcq-download-2M.
• Нажмите кнопку OK.

Теперь проверьте на компьютере скорость с помощью сайта www.speedtest.net или аналогичного мобильного приложения на смартфоне.

Заходим в раздел IP –> Route (маршруты), переходим на вкладку Rules (правила) и создаем по 2 правила для каждой сети, которую хотим изолировать. Необходимо запрещать трафик в обе стороны, поэтому правил “Action

Блокируем доступ к локальной сети

Гостевая сеть настроена, но пока, ее клиенты могут получить доступ к ресурсам основной сети. Для запрета настроим правила брандмауэра.

Переходим в IP — Firewall:

На вкладке Filter Rules создаем новое правило:

* мы должны создать правило в Chain forward; запрещающее запросы из локальной сети (192.168.88.0/24) в гостевую (172.16.10.0/24). В вашем случае это могут быть другие подсети.

Теперь создаем еще одно аналогичное правило, только запрещающее запросы из гостевой сети в локальную:

Перенесем созданные правила повыше:

• burst-limit (число) : максимальная скорость выгрузки/загрузки, которое может быть достигнуто пока Вспышка разрешена.
• burst-time (время) : период времени в секундах через который подсчитывается среднее значение скорости (Это НЕ время, которое будет работать вспышка).
• burst-threshold (число) : значение при котором Вспышка будет включаться/выключаться.
• average-rate (read-only) : каждую 1/16 времени указанного в параметре burst-time маршрутизатор подсчитывает среднее значение of each class over the last burst-time seconds.
• actual-rate (read-only) : актуальное значение скорости передачи в очереди.

Максимальная продолжительность вспышки = burst-threshold * burst-time / burst-limit

Значения: limit-at=1M, max-limit=2M , burst-threshold=1500k , burst-limit=4M

Клиент попытается загрузить 2 блока данных по 4 МБайта (32 Мбита). Первая загрузка начнется на нулевой секунде, а вторая начнется на 17-ой секунде. Последнюю минуту трафик через маршрутизатор не проходил.

/queue simpleadd burst-limit=4M/4M burst-threshold=1500k/1500k burst-time=16s/16s dst=ether1-LAN1 limit-at=1M/1M max-limit=2M/2M name=»Internet download/upload limit» target=ether5-WAN1

Как можно увидеть из графика первые 6 секунд клиент получил скорость 4Мб/c. Это самый длительный период вспышки с заданными значениями (самое длинное время вспышки = burst-threshold * burst-time / burst-limit). Как только время вспышки заканчивается в силу вступает значение max-limit, т. е. в нашем случае 2 Мб/с. С такой скоростью блок данных был загружен за 9 секунд. Без вспышки это заняло бы 16 секунд. У Вспышки есть 7 секунд для того, что бы обнулить счетчик до того, как начнется следующая загрузка.

Обратите внимание, что на момент начала второй загрузки Вспышка еще запрещена. Она запустится после, где-то к середине загрузки. С этим примером мы показали, что Вспышка может случиться и в середине загрузки. Продолжительность вспышки составила приближенно 4 секунды и второй блок был загружен приближенно на 4 секунды быстрее, чем это было бы без Вспышки.

Среднее значение подсчитывается каждые 1/16 значения burst-time. В нашем примере это 1 секунда.

/queue simpleadd burst-limit=4M/4M burst-threshold=1500k/1500k burst-time=8s/8s dst=ether1-LAN1 limit-at=1M/1M max-limit=2M/2M name=»Internet download/upload limit» target=ether5-WAN1

Если мы уменьшим burst-time до 8 секунд, то мы увидим, что в этом случае Вспышка доступна только в самом начале загрузки.

Среднее значение подсчитывается каждые 1/16 значения burst-time. В нашем примере это 0,5 секунды.

Ограничение скорости по IP адресу определенному пользователю

Если вам нужно определенному пользователю, например, директору сделать скорость выше чем у остальных, то выполните следующее:

• Откройте меню Queues.
• На вкладке Simple Queues нажмите синий плюсик.
• В появившемся окне на вкладке General в поле Name укажите название ограничения boss.
• В поле Target пропишите IP адрес компьютера, для которого будет действовать ограничение.
• В поле Max Limit в колонке Target Upload укажите необходимую скорость отдачи.
• В поле Max Limit в колонке Target Download укажите необходимую скорость загрузки.
• Нажмите кнопку OK.

Если у вас есть правило, которое ограничивает скорость для всех пользователей подсети, то правило для определенного пользователя нужно поднять выше этого правила, чтобы оно сработало. Для этого перетяните его левой кнопкой мыши вверх.

Теперь запустите на компьютере директора speedtest и проверьте скорость. Если на компьютере запустить закачку, то скорость в MikroTik можно посмотреть на вкладке Traffic:

• Откройте правило и перейдите на вкладку Traffic.
• В поле Rate в колонке Target Upload видим скорость отдачи.
• В поле Rate в колонке Target Download видим скорость загрузки.

DHCP сервер через какое-то время может назначить компьютеру другой IP адрес, если истечет время его аренды. Поэтому для указанного IP адреса перестанут действовать необходимые ограничения. Чтобы этого не произошло, нужно привязать IP адрес к MAC адресу конкретного устройства. Как это сделать, написано ниже.

Настройка NAT для внутренней сети предприятия

Возвращаемся на вкладку Interfaces (интерфейсы), в левой части нажимаем синий плюс, затем в выпадающем меню выбираем «Virtual AP» для создания виртуальной точки доступа. Указываем желаемое имя сети (SSID), в качестве мастер-интерфейса будет выступать wlan1. В поле Security Profile не забудьте выбрать созданный профиль безопасности.

Под wlan1 добавится виртуальный интерфейс.

Для того, чтобы ограничить доступ к управлению MikroTik из гостевой сети, необходимо указать список разрешенных сетей. Открываем IP –> Services, по-умолчанию здесь включено много портов, необходимо оставить только те, которыми вы пользуетесь. Лично я предпочитаю оставлять www и Winbox.