Побудова корпоративної мережі на базі обладнання MikroTik

Халай, Володимир Станіславович

Будь ласка, використовуйте цей ідентифікатор, щоб цитувати або посилатися на цей матеріал: https://er.chdtu.edu.ua/handle/ChSTU/8274

Назва:	Побудова корпоративної мережі на базі обладнання MikroTik
Автори:	Івченко, Олександр Віталійович Халай, Володимир Станіславович
Ключові слова:	корпоративна мережа;Mikrotik;FIREWALL;захист інформації;VPN;ROUTER OS
Дата публікації:	2020
Короткий огляд (реферат):	В роботі запропонована модель компютерної мережі, що характерна для ІТ інфраструктури малого і середнього бізнесу та рекомендації для базового налаштування мережного обладнання на прикладі обладнання Mikrotik. Запропонований оптимальний варіант з точки зору економічного підходу до вибору мережевого обладнання для рівня малого та середнього бізнесу
URI (Уніфікований ідентифікатор ресурсу):	https://er.chdtu.edu.ua/handle/ChSTU/8274
Розташовується у зібраннях:	172 Електронні комунікації та радіотехніка (Телекомунікації)

Файли цього матеріалу:

Файл	Опис	Розмір	Формат
Б_172_Халай_Івченко.pdf Restricted Access		4.53 MB	Adobe PDF	Переглянути/Відкрити Запит копії

Показати повний опис матеріалу Перегляд статистики

Усі матеріали в архіві електронних ресурсів захищено авторським правом, усі права збережено.

Extracted text

Форма № Н-6.01

ЧЕРКАСЬКИЙ ДЕРЖАВНИЙ ТЕХНОЛОГІЧНИЙ УНІВЕРСИТЕТ
(повне найменування вищого навчального закладу)

електронних технологій і робототехніки
(повне найменування інституту, назва факультету (відділення))

кафедра радіотехніки, телекомунікаційних і роботехнічних систем
(повна назва кафедри, циклової комісії)

Пояснювальна записка
до дипломної роботи
бакалавр
(освітньо-кваліфікаційний рівень)
на тему: «Побудова корпоративної мережі на базі
обладнання MikroTik»

Виконав: Студент ІV курсу, групи ТК-65
спеціальності 172 – «Телекомунікації та
радіотехніка» освітня програма «Телекомунікації»
Халай В. С.
(прізвище та ініціали)
Керівник Івченко О.В.
(прізвище та ініціали)
Рецензент Cтась С. В.
(прізвище та ініціали)

м. Черкаси – 2020 рік
Форма № Н-9.01
Черкаський державний технологічний університет

Факультет електронних технологій і робототехніки
Кафедра радіотехніки, телекомунікаційних і роботехнічних систем
Освітньо-кваліфікаційний рівень бакалавр
Напрям підготовки
(шифр і назва)
Спеціальність 172–«Телекомунікації та радіотехніка» спеціалізація
Телекомунікації
(шифр і назва)

ЗАТВЕРДЖУЮ
Завідувач кафедри В.В. Палагін
“_____” ___________________ 2020 року

З А В Д А Н Н Я
НА ДИПЛОМНУ РОБОТУ СТУДЕНТУ

Халай Володимир Станіславович .
(прізвище, ім’я, по батькові)
1. Тема роботи Побудова корпоративної мережі на базі обладнання MikroTik
керівник роботи Івченко Олександр Віталійович, к.т.н.
(прізвище, ім’я, по батькові, науковий ступінь, вчене звання)
затверджені наказом вищого навчального закладу від “24” лютого 2020 р. № 76/01
2. Строк подання студентом проекту (роботи) 26.05.2020
3. Вихідні дані до проекту (роботи) Комп’ютерна мережа; Мережеве
обладнання Mikrotik; пропускна здатність мережі; Wi-Fi роумінг; VPN IPSec /
L2TP клієнти;
4. Зміст розрахунково-пояснювальної записки (перелік питань, які потрібно
розробити) 1. огляд циклу проектування корпоративної комп'ютерної мережі;
2. модель корпоративної комп'ютерної мережі;3 вибір мережевого обладнання
для проектованої корпоративної комп'ютерної мережі 4. рекомендації по
налаштуванню мережевого обладнання mikrotik. 5. охорона праці

5. Перелік графічного матеріалу (з точним зазначенням обов’язкових креслень)
Порядок робіт на етапі встановлення та налагодження мережі, Мережеві
топології, Фізична модель комп’ютерної мережі, мережеве обладнання
Mikrotik, Основне вікно WinBox,

6. Консультанти розділів проекту (роботи)
Підпис, дата
Прізвище, ініціали та посада
Розділ завдання завдання
консультанта
видав прийняв
Основний розділ к.т.н. Івченко О.В.
Розділ охорони праці ст. викладач Кожем’якін О. С.

7. Дата видачі завдання 12 лютого 2020 року

КАЛЕНДАРНИЙ ПЛАН

№ Назва етапів дипломного Строк виконання Примітка
з/п проекту (роботи) етапів проекту
(роботи)
1. огляд циклу проектування корпоративної 12.02.2020 –

комп'ютерної мережі 28.02.2020
2. модель корпоративної комп'ютерної мережі 28.02.2020 –

15.03.2020
3. вибір мережевого обладнання для 15.03.2020 –
30.03.2020
проектованої корпоративної комп'ютерної
мережі
4. рекомендації по налаштуванню мережевого 30.03.2020 –
01.05.2020
обладнання mikrotik
5. проробка розділу охорона праці 01.05.2020 –

15.05.2020
9. оформлення пояснювальної записки 10.05.2020 –

24.05.2020

Студент __________ Халай В.С.
(підпис) (прізвище та ініціали)
Керівник проекту (роботи) _________ Івченко О.В.
(підпис) (прізвище та ініціали)

ЗМІСТ

ПЕРЕЛІК УМОВНИХ ПОЗНАЧЕНЬ…………………………………….……..6
ВСТУП……………………………………………………………………….……....8
РОЗДІЛ 1. ОГЛЯД ЦИКЛУ ПРОЕКТУВАННЯ КОРПОРАТИВНОЇ
КОМП'ЮТЕРНОЇ МЕРЕЖІ …………………………………………..…...........9
1.1 Типові етапи виконання мережевих проектів………………………………....9
1.2.Висновки до розділу ……………………………………………………..…….15
РОЗДІЛ 2 МОДЕЛЬ КОРПОРАТИВНОЇ КОМП'ЮТЕРНОЇ МЕРЕЖІ...16
2.1 Розробка технічної моделі проектованої корпоративної комп'ютерної мережі
(ККС)........................................................................................................................16
2.2 Мережеві топології............................................................................................19
2.3 Розробка фізичної моделі проектованої корпоративної комп'ютерної мережі
(ККС)………………………………………………………………………………...24
2.4 Мережеве обладнання Mikrotik..........................................................................27
2.5.Висновки до розділу ……………………………………………………….......32
РОЗДІЛ 3 ВИБІР МЕРЕЖЕВОГО ОБЛАДНАННЯ ДЛЯ
ПРОЕКТОВАНОЇ КОРПОРАТИВНОЇ КОМП'ЮТЕРНОЇ МЕРЕЖІ…….33
3.1 Маршрутизатора Mikrotik RouterBoard RB1100AHx2………………………33
3.2 Wi-Fi точка доступа MikroTik cAP ac (модель RBcAPGi-5acD2nD)………..38
3.3 Керований комутатор 2-го рівня MikroTik CSS326-24G-2S + RM………….41
3,4.Висновки до розділу.........................................................................................44
РОЗДІЛ 4 РЕКОМЕНДАЦІЇ ПО НАЛАШТУВАННЮ МЕРЕЖЕВОГО
ОБЛАДНАННЯ MIKROTIK ……………………………………………………45
4.1 Керування пристроями Mikrotik через WinBox…………………………...….45
4.2 Налаштування роутера MikroTik на два провайдера………………………...47

ТК65.020701.248 ПЗ
Зм. Арк. № докум. Підпис Дата
Розроб. Халай В.С. Літера Аркуш Аркушів
Керівник Івченко О.В. Побудова корпоративної 4 105
Реценз Стась С.В. мережі на базі обладнання
Н.контр. ЧДТУ, ТК-65
Затверд MikroTik

4.3 Налаштування автоматичного перемикання інтернет каналів між двома
провайдерами……………………………………………………………………….53
4.4 Ізоляція трафіку на MikroTik за допомогою VLAN………………………….57
4.5 Налаштування Wi-Fi роумінга в MikroTik CAPsMAN………………………64
4.6 Налаштування гостьової Wi-Fi мережі………………………………………..76
4.7. Налаштування VPN IPSec / L2TP сервера на Mikrotik……………………...85
4.8 Висновки до розділу……………………………………………………………90
РОЗДІЛ 5 ОХОРОНА ПРАЦІ……………………………………...……………91
5.1 Аналіз небезпек та шкідливостей, які виникають в дослідницькій
лабораторії при створенні проекту мережі……………………………………….91
5.2 Способи захисту працівників лабораторії від ураження електричним
струмом…………………………………………………………………………….95
5.3 Висновки до розділу…………………………………………………………..103
ВИСНОВКИ……………………………………………………………………….104
СПИСОК ВИКОРИСТАНОЇ ЛІТЕРАТУРИ ………………………….…….….105

Арк.
ТК65.020701.248 ПЗ 5
Зм. Арк. № документа Підпис Дат.

РЕФЕРАТ
Атестаційна робота містить 105 с., 13 табл., 65 рис., 14 джерел.
КОМП’ЮТЕРНІ МЕРЕЖІ, ЗАХИСТ ІНФОРМАЦІЇ, MIKROTIK,
ROUTER OS, FIREWALL, VPN.
Об'єкт дослідження – локальна комп`ютерна мережа на основі
маршрутизатора Mikrotik, що підключена до мережі Інтернет.
Предмет дослідження – компютерна мережа побудована на базі
обладнання Mikrotik.
Мета роботи – розглянути ключові аспекти налаштування в
комп’ютерних мережах, побудованих на основі обладнання Mikrotik.
Основним завданням роботи є наведення рекомендацій по вибору і
налаштуванню обладнання Mikrotik за допомогою програмного забезпечення
Winbox.
В роботі запропонована модель компютерної мережі, що характерна для
ІТ інфраструктури малого і середнього бізнесу та рекомендації для базового
налаштування мережного обладнання на прикладі обладнання Mikrotik.
Запропонований оптимальний варіант з точки зору економічного підходу
до вибору мережевого обладнання для рівня малого та середнього бізнесу.

Арк.
ТК65.020701.248 ПЗ 5
Зм. Арк. № документа Підпис Дат.

ПЕРЕЛІК УМОВНИХ ПОЗНАЧЕНЬ

ККС –корпоративна комп'ютерна мережа
ІС – Інформаційна система
КМ – Комп’ютерна мережа
КМО – Комп’ютерна мережа організації
ІБ – Інформаційна безпека
СПД - Середовища передачі даних
ОС – Операційна система
ЛОМ- Локальна обчислювальна мережа
ПЗ – Програмне забезпечення
НСД – Несанкціонований доступ
ЦОД – Центр обробки даних
ЦП – Центральний процесор
DNS – Domain Name System
FTP – File Transport Protocol
IDS – Intrusion Detection System
IIS – Internet Information Services
SSH – Secure Shell
SSL – Secure Socket Layer
VPN – Virtual Private Network
REP – Robots Exclusion Standard
SSI – Server Side Includes
ASP – Active Server Pages
ISP – Internet Service Provider

Арк.
ТК65.020701.248 ПЗ 6
Зм. Арк. № документа Підпис Дат.

ВСТУП

В сучасному світі використання комп’ютерних технологій є невід’ємною
частиною успішного розвитку малого бізнесу. В компаніях, де робота ведеться
з використанням комп’ютерів постає необхідність в побудові локальної або
корпоративної мережі, в яких зазвичай задіяні майже всі комп'ютери компанії.
Робота по проектуванню або вдосконаленню мережі може бути виконана або
силами ІТ персоналу компанії, або задіяні аутсортингові компанії відповідного
напрямку. Важливим залишається питання вибору мережевого обладнання, яке
б задовольняло поставленим вимогам і було прийнятне з економічної точки
зору.
Слід пам’ятати, що з моменту появи мереж виникла проблема її
надійності і безпеки. Події останніх часів показали, що нехтування правилами
безпеки може призвести до несанкціонованого входу у корпоративну мережу і
вплинути на роботу організації.
Кожен керівник повинен розуміти важливість захисту своєї мережі від
несанкціонованих втручань в роботу системи з глобальної, локальної мережі
тощо. Кожна поважаюча себе компанія спілкується з іншими локальними
мережами через Інтернет, оскільки встановити окремі канали зв'язку між
окремими філіями досить дорого, а дозволити собі це можуть лише найбільші
компанії. Як результат, можна очікувати порушення захисту мережі не лише
від співробітників їхньої компанії, але і від хакерів через Інтернет та збоку
конкуруючих компаній, які можуть наймати тих самих хакерів і направити їх
діяльність на завдання матеріальної шкоди компанії шляхом виходу із строю
якихось зовнішніх чи внутрішніх ресурсів, або викрадення інформації, що
являється комерційною таємницею.

Арк.
ТК65.020701.248 ПЗ 7
Зм. Арк. № документа Підпис Дат.

РОЗДІЛ 1 ОГЛЯД ЦИКЛУ ПРОЕКТУВАННЯ ККС
1.1 Типові етапи виконання мережевих проектів
Проектування корпоративної комп'ютерної мережі досить відповідальний
процес і вимагає системного підходу. Виходячи із досвіду мережевих
інтеграторів, які розробляють своїх методології проектування ККС, можна
виділити типові етапи виконання мережевих проектів [1]. Розглянемо
послідовність основних етапів проектування.
1 етап Аналіз вимог
Визначення проблем і ділових цілей підприємства, а також
формулювання завдань і цілей проектування мережі відповідно до них. Аналіз
вимог до мережі допоможе оцінити ділову значимість інформаційно-
технологічних рішень, визначити головні цілі і вибрати пріоритети для окремих
частин комп'ютерної системи, яку необхідно поліпшити або розширити. Чітке
визначення вимог до функцій мережі допоможе уникнути реалізації
непотрібних властивостей мережі, що заощадить кошти підприємства.
Інакше кажучи, перш ніж проектувати мережу, потрібно зрозуміти, які
вигоди має отримати підприємство від модернізації ККС (наприклад,
скорочення виробничого циклу, більш оперативний прийом замовлень або
підвищення продуктивності праці за рахунок більш ефективної взаємодії
співробітників), які завдання буде вирішувати мережа, якими будуть основні
потоки трафіку, як фізично будуть розташовані користувачі і ресурси, чи
потрібно завдання пріоритетів видів трафіку, як будуть вирішуватися питання
захисту інформації всередині мережі, як мережа буде підключена до Інтернету,
як вирішити завдання білінгу, управління правами доступу користувачів. Крім
того, на етапі аналізу вимог необхідно вивчення стану будівель і споруд в місці
розгортання мережі, аналіз існуючої інфраструктури. Ця інформація життєво
необхідна як для постановки задачі проектування, так і для самого
проектування.
Арк.
ТК65.020701.248 ПЗ 8
Зм. Арк. № документа Підпис Дат.

2 етап Розробка функціональної моделі
Функціональна (або бізнес-модель) виробництва відображає
послідовність робіт і технологічних процесів підприємства, а також кожного з
підрозділів окремо, визначає набір мережевих завдань, які виконуються в
кожному з підрозділів, на підставі яких формулюються вимоги до проектованої
мережі, що пред'являються до неї специфікою бізнес процесів кожного з
підрозділів окремо і підприємства в цілому.
Одночасно з формулюванням вимог до корпоративної мережі, потрібно
отримати загальне уявлення про те, що відбувається в кожному відділі. Саме це
і описує функціональна модель. У ній зазвичай не згадується комп'ютерна
система, вона концентрується на діловій практиці і послідовності робіт.
Спочатку будується модель, в якій відбивається послідовність робіт всього
підприємства, а потім - модель для послідовності робіт в кожному відділі. Тут
же необхідно вказати, як виконуються роботи, хто виконує ці роботи і які
взаємозв'язки між робочими групами і відділами.
Для розробки функціональної моделі ККС необхідно зібрати бригаду, що
складається з керівників відділів, провідних фахівців і співробітників відділу
автоматизації, і виконати наступне:
- опитати керівників відділів і кінцевих користувачів корпоративної
мережі, щоб визначити їх функції та з'ясувати, як їх комп'ютерні системи
допомагають їм в роботі;
- з'ясувати, як робота переходить з одного відділу в інший, і яким чином
інформація і завдання передаються від одного співробітника до іншого;
- дізнатися, в чому полягають залежності - хто стверджує будь-якої етап
роботи і в якій послідовності повинні завершуватися етапи;
- зрозуміти, які вузькі місця є у системи - занадто великий час відповіді
або ж неефективна обробка даних.

Арк.
ТК65.020701.248 ПЗ 9
Зм. Арк. № документа Підпис Дат.

3 етап Розробка технічної моделі
Після розробки функціональної моделі і визначення того, які процедури
вимагають зміни чи поліпшення, необхідно побудувати технічну модель ККС.
Технічна модель описує в досить загальних термінах, яке комп'ютерне
обладнання треба використовувати, щоб досягти цілей, визначених раніше.
Щоб побудувати технічну модель, потрібно проаналізувати існуюче
обладнання, визначити системні вимоги, оцінити сьогоднішні і завтрашній стан
техніки.
Аналіз існуючого обладнання зводиться до інвентаризації апаратної і
прикладної бази, що експлуатується в корпоративній мережі, в результаті якої
буде прийнято рішення про використання частини обладнання в новому проекті
ККС. Дане рішення має спиратися на відповідність обладнання вимогам, що
пред'являються до проектованої мережі на етапі створення функціональної
моделі, а також на етапі визначення системних вимог до технічної моделі.
Процес інвентаризації можна і потрібно автоматизувати. Існують програми, які
можуть автоматично дослідити склад апаратного і програмного забезпечення
вже працюючих в мережі комп'ютерів. У загальному випадку такі програми
можуть з'ясувати тип процесора, наявну пам'ять, тип диска і вільний простір на
ньому, наявні додаткові контролери - такі як мережеві адаптери, факс-модеми і
т.п. Щодо програмного забезпечення можна дізнатися найменування і версію
додатків, версії операційної системи, встановлені мережеві драйвери.
Для з'ясування системних вимог необхідно відповісти на наступні
питання:
- Що потрібно з'єднувати?
- Чи потрібно співробітникам будь-якого підрозділу спілкуватися з
невеликою (великою) кількістю людей в межах невеликої території або ж їм
потрібно спілкуватися з невеликою (великою) кількістю людей в межах
географічно великої області? Обсяг і розподіл трафіка допоможе визначити
Арк.
ТК65.020701.248 ПЗ 10
Зм. Арк. № документа Підпис Дат.

необхідну потужність комп'ютерів, а також типи та швидкості комунікаційного
обладнання та сервісів.
- Що з існуючого апаратного та програмного забезпечення буде
використовуватися в новій системі?
- Які системи потрібно залишити в розроблюваній корпоративній
мережі? Чи потрібно ці системи з'єднувати в мережу? Чи будуть існуючі
системи нормально працювати в новій мережі? Чи існують які-небудь
стандарти підприємства, чи існують домінуючі програми? Яке обладнання та
додатки потрібно додати, щоб досягти поставлених виробничих цілей?
- Які обсяги інформації будуть передаватися по мережі?
- Обсяг інформації, що передається визначає необхідну пропускну
здатність мережі. Визначити це можна підрахунком кількості користувачів
мережі, середньої кількості виконуваних транзакцій в день кожним з
користувачів і середнього обсягу транзакції. Такий підрахунок допоможе
визначити технологію доступу до середовища передачі даних (Ethernet, FDDI) і
вимоги до глобальних сервісів.
- Який час реакції мережі є прийнятним?
- Чи будуть користувачі чекати одну секунду, півсекунди або дві
секунди? Такі вимірювання допоможуть визначити вимоги до швидкості
обладнання, додатків і комунікаційних зв’язків.

4 етап Розробка фізичної моделі
Після того, як для мережі обрана технічна модель, необхідно оцінити,
наскільки вона задовольняє виробничим вимогам. Потрібно повернутися до
функціональної моделі і зіставити її вимоги з технічними рішеннями.
Наприклад, якщо на підприємстві співробітники часто переміщаються з відділу
у відділ, то вимогою функціональної моделі є висока мобільність. Технічна
модель повинна в такому разі забезпечувати швидке приєднання і від'єднання
робочої станції.
Арк.
ТК65.020701.248 ПЗ 11
Зм. Арк. № документа Підпис Дат.

Після оцінки відповідності технічної моделі виробничим вимогам,
необхідно побудувати фізичну модель. Фізична модель конкретизує специфіку
технічної моделі і є дуже докладним описом мережі, із зазначенням технічних
характеристик пасивного, активного і кінцевого обладнання, в той час як
технічна модель використовує для її опису більш загальні терміни.
На стадії фізичного моделювання проектувальник повинен точно
описати, які компоненти потрібні, в якій кількості, де вони будуть розташовані,
і як ці компоненти будуть з'єднуватися один з одним в корпоративну мережу.
Приклад фізичної моделі мережі показаний на рис.1.1.

Рис. 1.1 Фізична модель ККС
5 етап Встановлення і налагодження системи
До даного етапу, в результаті роботи над етапами попередніми, вже має
бути сформоване технічне завдання (ТЗ), яке з цього моменту буде втілюватися
в життя.
Схематично набір і послідовність робіт на етапі встановлення та
налагодження системи можна уявити так, як показано на рис. 1.2.
Арк.
ТК65.020701.248 ПЗ 12
Зм. Арк. № документа Підпис Дат.

Прикладне ПЗ (розгортання і конфігурування)
Процеси адміністрування Вирішення задач безпеки
Системне ПЗ (розгортання і конфігурування)
Активне комутацІйне Активне комутацІйне Серверне
обладнання обладнання обладнання
канального рівня мережевого рівня
Інфраструктура СПД (СКС, бездротові канали, глобальні канали)

Рис. 1.2 - Порядок робіт на етапі встановлення та налагодження мережі
Інфраструктура середовища передачі даних (СПД) - фундамент ККС, від
якісного виконання якого залежить якість роботи мережі в цілому. Саме тут
знаходяться «брудні» і трудомісткі роботи: виконується монтаж структурованої
кабельної системи (СКС), що само по собі є складним багатоетапним процесом,
розгортаються бездротові лінії зв'язку, реалізуються зовнішні підключення і
підключення до глобальних каналах. При розгортанні СКС «з нуля», необхідно
мати ліцензію на виконання відповідних монтажних робіт.
Розгортання і конфігурація активного обладнання включає в себе, крім
простого налаштування, ще й розширене, яке може складатися з:
- контролю широкомовного трафіку,
- управління пропускною здатністю каналу зв'язку,
- пріоритетності трафіку і управління чергами,
- створення списків доступу та розгортання політики безпеки на рівні
комутуючого устаткування,
- розгортання VLAN,
Арк.
ТК65.020701.248 ПЗ 13
Зм. Арк. № документа Підпис Дат.

- агрегування каналів для окремих ділянок магістралі,
- та ін.
Всі функції, в яких виникне необхідність відповідно до вимог, що
пред'являються до ККС в ТЗ, повинні бути враховані при виборі і придбанні
обладнання як канального рівня, так і мережевого.
Якщо в ТЗ позначено створення центру обробки даних (ЦОД), то робота
над ЦОД починається паралельно з монтажем комунікаційного обладнання
СКС. По суті, створення ЦОД - такий же складний багатоетапний процес, як і
розгортання СКС, і повинен мати свою супровідну документацію (ТЗ), так
само, як і процес створення СКС.
Розгортання і конфігурація системного і прикладного програмного
забезпечення включає в себе безліч завдань, що вирішуються адміністраторами
ККС і підтримується ними протягом усього терміну експлуатації проектованої
ККС. До таких завдань відносяться:
- розгортання системи і процедур автоматизації адміністрування та
управління ККС,
- розгортання системи безпеки на рівні серверів і кінцевих станцій,
- розгортання системи відновлення та забезпечення відмовостійкості
засобами ОС:
- розгортання і налаштування прикладного ПО відповідно до вимог,
- та ін.

6 етап Тестування системи
Оцінка ефективності роботи мережі (або тестування мережі) передбачає
використання технічних, організаційних і програмних рішень і повністю
узгоджується зі схемою адміністрування системи. Оцінка ефективності мережі
здійснюється в реальному режимі часу і може бути реалізована за допомогою
вбудованих інструментальних засобів операційної системи і за допомогою
спеціальних програм типу аналізаторів мережі.
Арк.
ТК65.020701.248 ПЗ 14
Зм. Арк. № документа Підпис Дат.

7 етап Супровід та експлуатація системи
Цей етап не має чітко визначених часових меж, а являє собою
безперервний процес.
Для кожного зі згаданих етапів і навіть для окремих дрібніших завдань
може бути розроблено технічне завдання.
В наступних розділах роботи розглянемо детально особливості виконання
3-4 етапів проектування комп’ютерної мережі, що відповідає поставленій задачі
даної дипломної роботи.
Вихідні дані для побудови мережі будемо обирати з наступних міркувань:
 Кількість робочих місць, підключених до мережі має тенденцію
збільшення з часом;
 Необхідність в можливості збільшення пропускної здатності каналу для
робочих місць у відповідності сучасним додаткам, які використовують онлайн
доступ;
 Необхідність в підключенні віддалених користувачів до корпоративної
мережі засобами VPN, кількість яких не обмежується;
 Необхідність захисту даних корпоративної мережі на всіх рівнях;
 Гнучкість адміністрування мережевого обладнання;
 Організація гостьового доступу;
 Вибір мережевого обладнання має бути компромісом між його вартістю і
виконуваними функціями.

1.2 Висновки до розділу
В розділі наведені послідовності основних етапів проектування
корпоративної комп'ютерної мережі. На основі наведеного підходу
пропонується розробити модель корпоративної мережі, яка буде виконувати
основні задачі , які характерині для вимог малого і серднього бізнесу

Арк.
ТК65.020701.248 ПЗ 15
Зм. Арк. № документа Підпис Дат.

РОЗДІЛ 2 МОДЕЛЬ КОРПОРАТИВНОЇ КОМП'ЮТЕРНОЇ МЕРЕЖІ
2.1 Розробка технічної моделі проектованої корпоративної комп'ютерної
мережі (ККС)
Вимоги до активного обладнання.
Нові робочі місця ЛОМ повинні бути інтегровані в існуючу мережу і
максимально використовувати наявні, власні, орендовані ресурси.
Локальна обчислювальна мережа повинна включати наступні
компоненти:
- інформаційну кабельну підсистема з пропускною здатність 1000 Мб/с;
- активне обладнання (комутатори, маршрутизатори);
Інформаційна кабельна підсистема повинна будуватися відповідно до
вимог стандарту ISO / IEC 11801 Class D, категорія 5Е.
Загальна кількість автоматизованих робочих місць: 24-100.
Максимальна довжина кабелю від інформаційного порту RJ45 до
комутаційної панелі не повинна перевищувати 90 м.
Локальна обчислювальна мережа в цілому повинна відповідати категорії
не нижче 5Е, всі комплектуючі (кабель, розетки, комутаційні панелі,
з'єднувальні шнури) повинні відповідати категорії не нижче 5Е.
Кожне автоматизоване робоче місце повинно складатися з інформаційної
розетки RJ-45 в кількості 2 штуки.
Для створення локальної обчислювальної мережі необхідно
використовувати тільки високоякісні компоненти, які пройшли стовідсоткове
тестування відповідно до вимог ISO 9001 (ГОСТ 40.9001-88).
Всі кабельні системи локальної обчислювальної мережі повинні бути
виконані з урахуванням вимог щодо фізичного захисту трас від пошкодження
включають:
- прокладку кабелю за підвісною стелею, за гіпсокартоновими стінами, в
металевий лотках і в кабель-каналах.
Арк.
ТК65.020701.248 ПЗ 16
Зм. Арк. № документа Підпис Дат.

- кріплення кабелю по всій трасі за допомогою спеціальних стяжок по
всій довжині.
- Обладнання ЛОМ і схеми його з'єднань повинні забезпечувати подвійне
резервування каналів передачі даних.
Загальні вимоги до інформаційної кабельної підсистеми.
Інформаційна кабельна підсистема призначена для передачі інформації
між локальними пристроями автоматизованих робочих місць (комп'ютери,
активне обладнання, багатофункціональними пристроями) і повинна
забезпечувати підключення до вузла доступу, що встановлюється провайдером,
який забезпечує доступу до мережі Інтернет. Причому передбачається резервне
підключення до мережі Інтернет засобами іншого провайдера або засобами
мобільного оператора зв’язку (модем 4, 5G).
Кількість автоматизованих робочих місць може бути змінено
Підрядником за погодженням із замовником на етапі проектування локальної
обчислювальної мережі.
Всі порти RJ-45 розташовані на робочих місцях, а так само на
комутаційній панелі в комутаційній шафі повинні бути промарковані таким
способом, що б їх можна було однозначно ідентифікувати. Маркування
повинно бути виконана друкарським способом або за допомогою лазерного
принтера.
Технологія прокладки кабелю повинна забезпечувати збереження
естетичного вигляду приміщень після проведення монтажних робіт.
Технічні вимоги до активного обладнання.
Обладнання повинно функціонувати 24 години на добу, 7 днів на
тиждень, без урахування часу, необхідного для проведення регламентних робіт
відповідно до рекомендацій виробника.
Число портів активного обладнання повинно забезпечувати
функціонування 100% автоматизованих робочих місць і мати додатковий запас
не менше 20%.
Арк.
ТК65.020701.248 ПЗ 17
Зм. Арк. № документа Підпис Дат.

Обладнання повинно мати можливість для установки в 19 '' комутаційну
шафу.
Для побудови локальної мережі використовуються маршрутизатори,
комутатори, точки бездротового доступу, фаєрволи, бездротові
маршрутизатори, модеми та мережеві адаптери. Рідше використовуються
перетворювачі (конвертери) середовища, підсилювачі сигналу (повторювачі
різного роду) і спеціальні антени [2].
Маршрутизація в локальних мережах найчастіше це статична або
динамічна маршрутизація (заснована на протоколі RIP).
Іноді в локальній мережі організовуються робочі групи - формальне
об'єднання декількох комп'ютерів в групу з єдиною назвою.
Адміністратор - людина, відповідальний за роботу локальної мережі або її
частини. В його обов'язки входить забезпечення і контроль фізичного зв'язку,
налаштування активного обладнання, налаштування загального доступу і
зумовленого кола програм, що забезпечують стабільну роботу мережі.
Технології локальних мереж реалізують, як правило, функції тільки двох
нижніх рівнів моделі OSI - фізичного і канального. Функціональності цих рівнів
досить для доставки кадрів в межах стандартних топологій, які підтримують
LAN: зірка, загальна шина, кільце і дерево. Однак з цього не випливає, що
комп'ютери, пов'язані в локальну мережу, не підтримують протоколи рівнів,
розташованих вище канального. Ці протоколи також встановлюються і
працюють на вузлах локальної мережі, але виконувані ними функції не
належать до технології LAN.

Арк.
ТК65.020701.248 ПЗ 18
Зм. Арк. № документа Підпис Дат.

2.2 Мережеві топології

Мережева топологія це спосіб з'єднання комп'ютерів в мережу.
Виділяють три базових мережевих топології [2]: шина, кільце, зірка. Шіна це
топологія, згідно з якою всі комп'ютери під'єднуються до деякого загального
кабелю (шині, магістралі) (Рисунок 1.2). Шина є однією з найстаріших
топологій, переваги якої полягають в простоті і невисокої вартості мережі, а
недоліки - в наявності проблем спільного доступу до єдиної розділяється
середовищі і низької надійності.

Рисунок 1.2 Топологія «шина»
Кільце - це топологія, при якій кожен комп'ютер з'єднаний з двома
іншими: від одного він тільки отримує інформацію, а іншому тільки передає
(Рисунок 1.3).
Перевагами кільцевої топології є простота і невисока вартість, відсутність
проблем доступу до середи, а основним недоліком - невисокая надійність
(поломка будь-якого комп'ютера призводить до виходу з ладу всієї мережі).
.
Рисунок 1.3 Топологія «кільце»
Арк.
ТК65.020701.248 ПЗ 19
Зм. Арк. № документа Підпис Дат.

Модифікацією топології «кільце» є топологія «подвійне кільце»
(Рисунок1.4), яка передбачає наявність двох ліній зв'язку основний і резервної.
У разі виходу з ладу будь-якого вузла комп'ютерної мережі або будь-якого
кабельного сегмента основна лінія зв'язку об'єднується з резервної, в результаті
чого мережа продовжує функціонувати.

Рисунок 1.4 Топологія «подвійне кільце» в нормальному режимі роботи, також
при пошкодженні кабельного сегмента між паройкомпьютеров
Мережі на основі подвійного кільця виявляються більш надійними, ніж
мережі, побудовані відповідно до топології «зірка». Мережі з топологією
«зірка» також відрізняються високою надійністю, але поломка центрального
вузла (концентратора, комутатора або ін.) все ж може привести до виходу з
ладу всієї мережі. Топологія «зірка», на відміну від попередніх, передбачає
наявність додаткового зв'язуючого пристрою (концентратора, комутатора або
ін.), до якого приєднані всі комп'ютери (Рисунок1.5) .Мережі на основі
«зіркової» топології відрізняються високою стійкістю до відмов і
продуктивністю. Завдяки можливості централізованого управління можна
забезпечити розмежування доступу і високий рівень безпеки. Ці мережі легко
розширюються за рахунок незалежного підключення користуватських
пристроїв і можливості з'єднання декількох зв'язуючих пристроїв. Як недоліки
можна вказати більш високу вартість (придбання додаткового обладнання,
Арк.
ТК65.020701.248 ПЗ 20
Зм. Арк. № документа Підпис Дат.

висока витрата кабелю), а також уразливість мережі в частині виходу з ладу
зв'язуючих пристроїв.

Рисунок 1.5 Топологія «зірка»
Топологія зірка стала можлива завдяки появі комутаторів, взагалі, з
появою комутаторів мережеві інженери позбулися багатьох проблем, які були
притаманні мережам, побудованим на хабах з топологією загальна шина.
Мабуть, мінусом такої топології є її слабка захищеність від обривів ліній та
відключення електроживлення.
Варто відзначити, що в одній мережі може бути декілька зіркових
топологій, які зв’язані між собою. На рис. 1.6 можна виділити не одну, а цілих
три зірки: в основі першої лежить «Комутатор 1», друга зірка утворюється з
«комутатор 2», а третя зірка утворюється з «комутатор 6», таких зірок можна
утворити дуже багато.
Арк.
ТК65.020701.248 ПЗ 21
Зм. Арк. № документа Підпис Дат.

Рисунок 1.6 Топологія «зірка»

Якщо уявити, що буде, якщо в нашій мережі порветься фізична лінія між
першим і другим комутатором. В цьому випадку шостий комутатор теж не буде
працювати. А якщо ви провайдер і у вас така схема, при цьому «Комутатор 2»
стоїть в одному бізнес-центрі, а «Комутатор 6» в іншому, і тут несподівано
відбувається аварія за електроживлення в будинку, де розташований
«Комутатор 2». Клієнти, які знаходяться в тій же будівлі, природно, вам не
будуть скаржитися, у них теж немає світла, а от клієнти, які включені від
«комутатор 6» вас не зрозуміють, адже у них світло є, а послуги немає.
Напевно, вам доведеться в терміновому порядку відправлятися на «Комутатор
2» і живити його від дизельного генератора або ж встановлювати ДБЖ на вузлі,
де розташований «Комутатор 2».
Арк.
ТК65.020701.248 ПЗ 22
Зм. Арк. № документа Підпис Дат.

Як сказано вище, існує можливість з'єднання декількох зв'язують
пристроїв, а значить, і комп'ютерних мереж, що мають «зоряну» топологію.
Якщо при такому з'єднанні не утворюється кільце, то виходить топологія, яка
називається «дерево» .Як правило, сучасні локальні мережі, побудовані більш
ніж на одному комутаторі, мають деревоподібну топологію. У рідкісних
випадках такі мережі можуть включати в себе старі сегменти мереж, що мають
топологію «шина», або фрагменти, де використовуються спеціальні рішення
для резервування ліній зв'язку. В цьому випадку отримується гібридна
(змішана) топологія (Рисунок 1.6).

Рисунок 1.6 Приклад структури мережі гібридної (змішаної) топології
Існує також полносвязная топологія, яка передбачає, що кожен вузол
комп'ютерної мережі підключений до всіх інших. Перевагами такої мережі є
висока надійність, швидкість і безпеку передачі даних між вузлами, а недоліком
висока складність реалізації, яка експоненціально збільшується з ростом
кількостей

Арк.
ТК65.020701.248 ПЗ 23
Зм. Арк. № документа Підпис Дат.

2.3 Розробка фізичної моделі проектованої корпоративної комп'ютерної
мережі (ККС)
Схема організації зв'язку.
Корпоративна мережа будується на технології Ethernet [2].
Ethernet - пакетна технологія передачі даних переважно локальних
комп'ютерних мереж.
Стандарти Ethernet визначають дротяні з'єднання і електричні сигнали на
фізичному рівні, формат кадру та протоколи управління доступом до
середовища - на канальному рівні моделі OSI. Ethernet в основному описується
стандартами IEEE групи 802.3. Ethernet став найпоширенішою технологією
ЛВС в середині 1990-х років, витіснивши такі застарілі технології, як Arcnet і
Token ring
Вибір мережевого обладнання
Мережеве обладнання - пристрої, з яких складається комп'ютерна мережа.
Умовно виділяють два види мережевого обладнання:
Активне мережеве обладнання - обладнання, яке здатне обробляти або
перетворювати передану по мережі інформацію. До такого обладнання
відносяться мережеві карти, маршрутизатори, принт-сервери.
Пасивне мережеве обладнання - обладнання, що служить для простої
передачі сигналу на фізичному рівні. Це мережеві кабелі, коннектори і
мережеві розетки, повторювачі і підсилювачі сигналу.
Для монтажу дротової локальної мережі нам в першу чергу знадобляться:
 мережевий кабель і роз'єми (коннектори);
 мережеві карти - по одній в кожному ПК мережі, і дві на комп'ютері, який
слугує сервером для виходу в інтернет;
 пристрій або пристрої, що забезпечують передачу пакетів між
комп'ютерами мережі. Для мереж з трьох і більше комп'ютерів потрібно
спеціальний пристрій -коммутатор, який об'єднує всі комп'ютери мережі;
Арк.
ТК65.020701.248 ПЗ 24
Зм. Арк. № документа Підпис Дат.

 додаткові мережеві пристрої. Найпростіша мережа будується і без такого
обладнання, однак при організації загального виходу в інтернет,
використанні загальних мережевих принтерів додаткові пристрої можуть
полегшити вирішення подібних завдань.
Фізична модель комп’ютерної мережі представлена на рис.2.8.
Основними мережевими пристроями, які забезпечують захист і конфігурацію
мережі виступають маршрутизатор, комутатор рівня L2, WI-FI точки доступу.
Фаєрвол Cisco ASA
VPN зєднання 5006x
Провайдер1
Користувачі VPN мережа Інтернет Провайдер2
L2TP
Маршрутизатор Mikrotik RB 1100 AHx2
VPN зєднання
Комутатор L2 MikroTik
RB260GS
Робочі місця користувачів Ethernet
Серверна
(192.168.88.0/24)
Wi-Fi точка доступа
MikroTik cAP ac
Гостьовий доступ
(192.168.1.0/24)
Wi-Fi точка доступа
MikroTik cAP ac

Рисунок 2.8 Фізична модель комп’ютерної мережі
Враховуючи вимоги наведені в технічній моделі мережі розглянемо
основні вимоги до мережевого обладнання.
Арк.
ТК65.020701.248 ПЗ 25
Зм. Арк. № документа Підпис Дат.

Маршрутизатор – повинен бути з функцією підтримки Vlan [3] і мати
можливості підключення до вузла доступу і задовольняти вимогам (див.
табл.2.1).
Таблиця 2.1 Вимоги до маршрутизатора мережі
Процесор ARM, не менше, 680MHz
Пам’ять не менше: 256MB DDR
не менше: 512MB на чипі памяті
Жорсткий диск
NAND, microSD слот
не менше: Пяти 10/100/1000 Mbit/s
Ethernet порти Ethernet портів з підтримкою Auto
MDI/X
Продуктивність в режимі брандмауера не менше 1 Гбит/с
Підтримка протоколів маршрутизації RIP,
да
OSPF, BGP
Підтримка EoIP тунелей не обмежено
Підтримка PPPoE тунелей Не менше 500
Підтримка PPTP тунелей Не менше 500
Підтримка L2TP тунелей Не менше500
Підтримка OVPN тунелей не обмежено
Підтримка VLAN интерфейсы не обмежено
Правила брандмауера P2P не обмежено
NAT правила не обмежено
Активних пользователей Хот-Спот 500
багаторівневі L2 / L3 / L4 списки контролю
Для інтеграції з мережею ТМС
доступу

Комутатор – повинен бути з функцією підтримки Vlan і і задовольняти
вимогам (див. табл.2.2).
Таблиця 2.2 Вимоги до комутатора мережі
Кл-ть портів Gigabit Ethernet 10/100/1000 не менше: 24 порта
Кл-ть портів SFP не менше: 4 слота
не менше: 48 Гбіт/сек;
Пропускна здатність
35.7 Mpps
Системна пам'ять memory не менше: 128 Мбайт
Обєм буфера пакетів не менше: до 0.75 Мбайт
Арк.
ТК65.020701.248 ПЗ 26
Зм. Арк. № документа Підпис Дат.

Вбудована флеш-пам'ять не менше: 32 Мбайт
не менше: 8000 MAC-
Розмір бази даних адрес
адрес
Число VLAN не менше: 1024
Число транків не менше: 64
Число черг не менше: 8
Число маршрутизованих VLAN не менше: 32
Вимоги до кабель-каналів, інформаційних і електричних розеток.
Для реалізації проекту виконавець самостійно вибирає виробника
кабельної системи. Тип і розмір кабель каналу для горизонтальної кабельної
підсистеми повинен бути однаковий у всіх приміщеннях.
2.4 Мережеве обладнання Mikrotik
Загальні відомості про MikroTik
MikroTik [4] - це латвійський виробник мережевого устаткування.
Компанія займається розробкою і продажем провідних і безпровідних
мережевих маршрутизаторів, мережевих комутаторів, точок доступу, що
називають RouterBOARD, а також операційних систем (RouterOS) і
допоміжного програмного забезпечення. Ці продукти відносяться до
напівпрофесійного сегменту, який займає нішу між домашніми
маршрутизаторами типу D-Link, TP-Link, Asus і професійним обладнанням
типу Cisco і Juniper. У порівнянні з домашніми роутерами продукти MikroTik
відрізняються значно більшою кількістю можливостей.
З професійним же обладнанням їх порівняти непросто, але низькі ціни
роблять роутери MikroTik привабливими для малого і середнього бізнесу і
навіть для деяких великих мережевих провайдерів.
При виборі маршрутизаторів, комутаторів або точок доступу складно
порівнювати MikroTik з роутерами типу D-Link, TP-Link, бо безпека і
надійність їх програмного забезпечення та потужність апаратної частини явно
Арк.
ТК65.020701.248 ПЗ 27
Зм. Арк. № документа Підпис Дат.

недостатні для організації безпечної комп'ютерної мережі, навіть на рівні
малого чи середнього бізнесу.
З обладнанням Cisco, порівнювати теж досить складно, тому що в першу
чергу це обладнання абсолютно іншого класу. По функціональності обладнання
MikroTik можна порівнювати з обладнанням Cisco, адже обидва виробники
закладають у своє обладнання масу можливостей, зокрема, реалізацію
обладнанням різних мережевих завдань, наприклад, з'єднань VPN різного типу,
налаштування міжмережевих екранів, реалізацію безшовного роумінгу,
гнучкість налаштувань, тощо.
Складно посперечатися з високою надійністю систем Cisco і його
висококласною цілодобовою підтримкою, чого явно немає в MikroTik, є ще
маса переваг Cisco, але як показує практика, якщо споживачем є не величезна
корпорація, а малий і середній бізнес, то ключовим питанням стане ціна, а цей
пункт кардинально відрізняє ці дві компанії. Для порівняння, аналог
обладнання MikroTik від Cisco буде за ціною вище в 5-10 разів, наприклад,
порівняємо два приблизно аналогічних по можливості бюджетних
маршрутизатора від цих двох фірм, при цьому MikroTik RB2011UiAS-IN
обійдеться в 2500 грн, а аналогічне обладнання Cisco Catalyst 2960C вийде в
ціну 11000 грн, тобто ціна різниться в 4,5 рази, при дуже схожих
характеристиках. Звідси можна зробити висновок, що малі та середні компанії
віддадуть перевагу більш дешевому обладнанню, тим більше, що необхідно
закупити далеко не один елемент комп'ютерної системи, що дозволить
заощадити не одну тисячу доларів.
На своєму рівні головним конкурентом MikroTik є виробник Ubiquiti.
Якщо необхідно забезпечити якісне покриття Wi-Fi з більш стабільно
працюючим безшовним роумінгом, то необхідно використовувати точки
доступу Ubiquiti, бо радіомодулі Ubiquiti, як правило, більш потужні, а
реалізована технологія MIMO і безшовний роумінг, більш якісно працюють по
відношенню до конкурента. Якщо ж основним завданням є побудова безпечної
Арк.
ТК65.020701.248 ПЗ 28
Зм. Арк. № документа Підпис Дат.

та відмовостійкої мережі, то переваги мають рішення компанії MikroTik, адже
воно має більш гнучке налаштування обладнанням з великими можливостями і
при правильному налаштуванні, як показує практика, більш стабільним і таким,
що забезпечує захист від атак [5,6].
Переваги мережевого обладнання MikroTik:
⎯ Співвідношення ціна-якість;
-функціональність. Вирішує більшість мережевих завдань:
Маршрутизація, комутація, Wi-Fi, безшовна мережа, RADIUS, VPN, LTE та ін.
При цьому аналогічні рішення від конкурентів коштують в рази дорожче,
наприклад, відносно Cisco, аналог буде коштувати мінімум в 10 разів дорожче.
⎯ Дистрибутив об'ємом 15 Мб.
⎯ Зручність і простота сприйняття інтерфейсу.
⎯ Швидкість і зручність настройки.
⎯ Постійні оновлення.
⎯ Швидкість виправлення помилок. Наприклад, після виявленої
вразливості в протоколі TLS, експлуатуючи яку зловмисники могли обійти
систему аутентифікації і отримати віддалений доступ до пристрою,
розробникам знадобилося менше ніж за 24 годин з моменту виявлення
вразливості, щоб усунути пролом в ОС, протестувати і випустити оновлення,
яке б закривало цю уразливість.
⎯ Широкий температурний режим (40 .. + 70). При тому що у конкурентів
показники зазвичай на рівні 0 ... +40.
⎯ Хороший функціонал в промислових рішеннях: LTE, GPS, LORA, 60G;
при цьому конкуренти Sierra Wireless, Teltonika і ін. в рази дорожче і менш
гнучкі в функціоналі.
⎯ Дуже функціональний і гнучкий firewall, зручний інтерфейс iptables.
⎯ Гарна стійкість до атак типу DoS.
Основні недоліки:
Арк.
ТК65.020701.248 ПЗ 29
Зм. Арк. № документа Підпис Дат.

⎯ Оновлення, з новими оновленнями іноді з'являються і інші помилки, які
все ж надалі усуваються, але вони є.
⎯ Не реалізовані технології: MU-MIMO, Beamforming, High Density WiFi,
5GHz offloading, Deep analytics

Mikrotik Router OS [5], не є OpenSource проектом і поширюється
виключно на комерційній основі. Устаткування компанії, побудоване на
платформах Mikrotik RouterBoard, як правило поставляється з уже
встановленою Router OS з ліцензією одного з чотирьох рівнів (Level 3, 4, 5 або
6) і не вимагають придбання ключа.
При цьому, в разі необхідності є можливість підвищення рівня ліцензії за
додаткову плату. Порівняльну таблицю рівнів ліцензії Mikrotik Router OS
наведено в таблиці 2.3.
В Mikrotik Router OS також є вбудовані утиліти:
⎯ ping, traceroute;
⎯ bandwidth test, ping flood;
⎯ packet sniffer, torch;
⎯ telnet, ssh;
⎯ відправка E-mail і SMS про стан мережі;
⎯ автоматичне виконання скриптів;
⎯ file Fetch tool;
⎯ advanced traffic generator.

Арк.
ТК65.020701.248 ПЗ 30
Зм. Арк. № документа Підпис Дат.

Таблиця 2.3 Порівняльна таблиця рівнів ліцензії Mikrotik Router OS

Арк.
ТК65.020701.248 ПЗ 31
Зм. Арк. № документа Підпис Дат.

2.5 Висновки до розділу
В розділі проведена:
 Розробка технічної моделі проектованої корпоративної комп'ютерної
мережі (ККС);
 Наведені технічні вимоги до активного обладнання проектуємої мережі;
 Розглянуті основні мережеві топології;
 Проведена розробка фізичної моделі проектованої корпоративної
комп'ютерної мережі (ККС). Згідно якої можна виділити, що:
1.Корпоративна мережа будується на технології Ethernet;
2.Основними мережевими пристроями, які забезпечують захист і
конфігурацію мережі виступають маршрутизатор, комутатор рівня L2, WI-
FI точки доступу;
 Показані основні переваги мережевого обладнання MikroTik, серед яких
можна виділити: широкий набір функціональних можливостей порівнянний з
можливостями аналогічного обладнання іменитих виробників, не висока
вартість обладнання, висока частота оновлень ПО, зручне конфігурування;
 Наведена порівняльна таблиця рівнів ліцензії Mikrotik Router OS

Арк.
ТК65.020701.248 ПЗ 32
Зм. Арк. № документа Підпис Дат.

РОЗДІЛ 3 ВИБІР МЕРЕЖЕВОГО ОБЛАДНАННЯ ДЛЯ
ПРОЕКТОВАНОЇ КОРПОРАТИВНОЇ КОМП'ЮТЕРНОЇ МЕРЕЖІ
Як було зазначено в завданні на роботу в якості мережевого обладнання
буде використане обладнання фірми Mikrotik. У відповідності вимог які
ставляться до мережевого обладнання, розглянемо бульш детально технічні
особливості основних мережевих пристроїв.
3.1 Маршрутизатора Mikrotik RouterBoard RB1100AHx2
RB1100AHx2 Mikrotik [7] - потужний центральний маршрутізатoр від
Мікротік, має двоядерний процесор який забезпечує прискорене апаратне
шифрування. На бoрту 13 гігабітних портoв Ethernet, які складають 2-х 5-ти
пoртoві коммутатoрні групи. У Mikrotik RB 1100ahx2 є один слот SODIMM, з
інтегрованою оперативною пам'яттю (RAM) 2 Гбайта, один слот для картки
microSD, послідовний порт. На рисунку 3.1 показаний зовнішній вигляд
маршрутизатора Mikrotik RouterBoard RB1100AHx2. RouterBoard 1100 AH x2
Mikrotik має алюмінієвий корпус для монтажу в стійку.

Рис. 3.1 Зовнішній вигляд маршрутизатора Mikrotik RouterBoard RB1100AHx2
Арк.
ТК65.020701.248 ПЗ 33
Зм. Арк. № документа Підпис Дат.

Функціональна схема маршрутизатора Mikrotik RouterBoard
RB1100AHx2 представлена на рис 3.2 [8].

Рис. 3.2 Функціональна схема маршрутизатора Mikrotik RouterBoard
RB1100AHx2
Характеристики и особливості маршрутизатора RB1100AHx2:
У лінейках коміркових маршрутівзаторів RB1100AHx2 займає високу
позицію серед обладнання Mikrotik цього типу. Даний роутер обладнаний
спеціальним мережевим процесором з маркуванням MPC8533 PowerPC, в
якому частота 1066МГц. Процесори цього типу підтримують прискорене
апаратне шифровання.
Маршрутизатор Mikrotik RB1100AHx2 обладнаний тринадцятьма
окремими портатами Gigabit Ethernet. 2 п’яти портові групи(13х 10/100/1000
Арк.
ТК65.020701.248 ПЗ 34
Зм. Арк. № документа Підпис Дат.

Мбіт / з Ethernet з Auto-MDI / X;). Ще є байпас, є можливість включення
обхідного Ethernet в два порта.
Оперативна пам'ять вставляється в слот SODIMM. З заводу
встановлюється з 2 ГБ оперативної пам’яті. Додатково присутній слот для карт
пам'яті MicroSD, послідовний порт та біпер.
З заводом роутера Mikrotik RB1100AHx2 поставляється в алюмінієвому
корпусі з для стійок 1U. (+ Р)
На маршрутизаторі істановлена ОС MikroTik RouterOS v4, ліцензія 6
рівня.
Підтримує режим accesspoint (AP), wireless station/client, point 2 point и
point 2 multipoint;
підтримує RIP, OSPF та BGP;
небмежену кількість туннелей EoIP;
небмежену кількість PPPoE тунелей;
небмежену кількість туннелей PPTP;
небмежену кількість туннелей L2TP;
небмежену кількість тунелей OVPN;
небмежену число інтерфейсів VLAN;
небмежену кількість користувачів Hotspot;
небмежене число сесій UserManager.
Управління:
- Console (SSH, Telnet, MAC Telnet);
- Winbox;
- WebFig.
Продуктивність:
- 500 тис. пакетів в секунду standard forwarding;
- 1,5 млн. пакетів в секунду FastPath forwarding (швидкість всіх портів);
- до 5 Gbit / s пропускна здатність.

Арк.
ТК65.020701.248 ПЗ 35
Зм. Арк. № документа Підпис Дат.

Технічні характеристики RB1100 ahx2.
Основны технічні характеристики маршрутизатора RB1100 ahx2 наведені
в таблицях 3.1 -3.2 [8].
Таблиця 3.1 Технічні характеристики RB1100 ahx2
Процесорний тип: MPC8533 PowerPC 1066МГц x2
Підтримка ОС: MikroTik RouterOS v4, 6-ого рівня
Основна пам’ять: SODIMM DDR слот - 2ГБ (розширення до 1,5 Гб)
Зберігання даних: NAND Мікросхема
Наявність портів: 13-ть х 10-1000 Mбіт/с Інтернет с Aвто-MDI/X
Наявність паролей: Паролі Інтернет в двух портах
Наявність памяті-флеш: 1 - microSD слот
Наявність послідовного
Асинхроний паралельний DB9 RS232C
порта:
PoE електроживлення: 10-28В постійний за допомогою Ether 13
Тип охолодження: вентилятор 2-подвійний
Маса плати, в кг: 0,375
Розмір в корпусі, в мм: 45 х 75 х 440

Таблиця 3.2 Пропускна здатність Ethernet RB1100 ahx2
64 byte 512 byte 1518 byte
RB1100AHx2 (тест на 2-4 порта)
пакети пакети пакети
IP
Conntrack Режим Mbps Fps Mbps Fps Mbps Fps
Firewall
викл викл Мост 469 916000 2580 630000 3942 324600
вкл викл Маршрутизація 369 720000 2334 570000 3643 300000
вкл выкл Мост 239 466300 1740 425000 3327 274000
вкл вкл Маршрутизація 215 420000 1536 375000 3012 248000
вкл вкл Мост 164 321000 1218 297500 2951 243000

Результати тестування маршрутизатора RB1100 ahx2 наведені в таблицях
3.3 -3.4.

Арк.
ТК65.020701.248 ПЗ 36
Зм. Арк. № документа Підпис Дат.

Таблиця 3.3 Результати тестування Ethernet RB1100 ahx2
RB1100AHx2 P2020 1G all port test
1518 byte 512 byte 64 byte
Mode Configuration
kpps Mbps kpps Mbps kpps Mbps
Bridging none (fast path) 406.0 4,930.5 704.0 2,883.6 1,690.0 865.3
Bridging 25 bridge filter rules 308.0 3,740.4 396.0 1,622.0 412.0 210.9
Routing none (fast path) 345.0 4,189.7 704.0 2,883.6 1,495.0 765.4
Routing 25 simple queues 258.0 3,133.2 616.0 2,523.1 654.0 334.8
Routing 25 ip filter rules 243.0 2,951.0 262.0 1,073.2 278.0 142.3
1. Усі випробування проводяться за допомогою спеціалізованого
тестового обладнання Xena Networks (XenaBay), а також відповідно до
RFC2544 (Xena2544)
2. Максимальна пропускна здатність визначається 30+ секундними
спробами з 0,1% допуском втрат пакетів у розмірах пакетів 64, 512, 1518 байт
3. Результати тестування показують максимальну продуктивність
пристрою, і їх можна досягти за допомогою згаданої конфігурації обладнання
та програмного забезпечення, різні конфігурації, швидше за все, призведуть до
нижчих результатів
Таблиця 3.4 Результати тестування IPsec RB1100 ahx2
RB1100AHx2 RB1100AHx2 IPsec throughput
1400 byte 512 byte 64 byte
Mode Configuration
kpps Mbps kpps Mbps kpps Mbps
Single tunnel AES-128-CBC + SHA1 74.0 828.8 83.9 343.7 89.1 45.6
256 tunnels AES-128-CBC + SHA1 86.9 973.3 93.5 383.0 95.7 49.0
256 tunnels AES-128-CBC + SHA256 86.9 973.3 93.5 383.0 95.7 49.0
Арк.
ТК65.020701.248 ПЗ 37
Зм. Арк. № документа Підпис Дат.

RB1100AHx2 RB1100AHx2 IPsec throughput
1400 byte 512 byte 64 byte
Mode Configuration
kpps Mbps kpps Mbps kpps Mbps
256 tunnels AES-256-CBC + SHA1 85.7 959.8 92.5 378.9 95.6 48.9
256 tunnels AES-256-CBC + SHA256 85.7 959.8 92.5 378.9 95.6 48.9
1. Усі випробування проводяться за допомогою спеціалізованого
тестового обладнання Xena Networks (XenaBay), а також відповідно до
RFC2544 (Xena2544)
2. Максимальна пропускна здатність визначається 30+ секундними
спробами з 0,1% допуском втрат пакетів у розмірах пакетів 64, 512, 1400 байт
3. Результати тестування показують максимальну продуктивність
пристрою, і їх можна досягти за допомогою згаданої конфігурації обладнання
та програмного забезпечення, різні конфігурації, швидше за все, призведуть до
нижчих результатів
3.2 Wi-Fi точка доступа MikroTik cAP ac (модель RBcAPGi-5acD2nD)
MikroTik cAP ac (модель RBcAPGi-5acD2nD) [9] - це всенаправленная
двухдиапазонная Wi-Fi точка доступу, яка призначена для використання
всередині приміщення. Вона працює одночасно на частотах 2,4 і 5ГГц і
підтримує швидкісний ac стандарт.
У комплект поставки входять два види корпусу: круглий і квадратний.
Тому ви можете вибрати той дизайн, який вам більше подобається. На рисунку
3.3 показаний зовнішній вигляд Wi-Fi точка доступа MikroTik cAP ac.
Арк.
ТК65.020701.248 ПЗ 38
Зм. Арк. № документа Підпис Дат.

Рис. 3.3 Зовнішній вигляд Wi-Fi точка доступа MikroTik cAP ac
Основні характеристики
 Рабоча частота: 2,4 и 5ГГц
 Канальна швидкість Wi-Fi: 300 и 867 Мбіт/с (стандарт N - 300 Мбіт/с,
стандарт AC - 867 Мбіт/с)
 Max. вихідна потужність: 26 dBm (398 мВт)
 Кількість Lan портів: 2×1 Гбит/с
 Підсилення антенн: 2 dBi и 2.5 dBi
 Діаграма направленості: 360°

Таблиця 3.5 Технічні характеристики MikroTik cAP ac
Система
Процесор: IPQ-4018 716 MГц 4 ядра
RAM: 128 MB
Flash: 16 MB
Разъемы: 2 × 10/100/1000 Base-TX (Cat. 5, RJ-45) Ethernet
ОС: MikroTik RouterOS Level4 license
Радіомодуль
Стандарти: 802.11 a/b/g/n/ac
Access Point
Station
Режими роботи:
Point-to-point
Repeater
Швидкість Wi-Fi: 300 Мбит/с на 2.4ГГц / 866.7 Мбит/с на 5ГГц
Частота: 2,4 ГГц / 5 ГГц
Арк.
ТК65.020701.248 ПЗ 39
Зм. Арк. № документа Підпис Дат.

Антена
Вид: Вбудовані всенаправлені антени
2 × 2 dBi антени на 2,4ГГц
Підсилення
2 × 2.5 dBi антени на 5ГГц
Другое
Круглый корпус: диаметр 136 мм, высота 30 мм
Размеры:
Квадратный корпус: 145 мм × 145 мм × 30 мм
Вес:
PoE-in Ethernet port 1: 17–57 В (802.3af/at or Passive PoE)
Электропитание:
PoE-out Ethernet port 2: 17–57 В (Passive PoE)
Потребление: до 13 Вт
Рабочая температура: от -40°C до +50°С

Бездротова точка доступу встановлюється на стелю або на стіну (рис. 3.4)

Рис. 3.4 Монтаж MikroTik cAP ac на стелю і стіну
За допомогою MikroTik cAP ac можна побудувати безшовну Wi-Fi
мережу, в якій клієнт буде переміщатися від однієї точки до іншої без обриву
зв'язку. Централізоване управління такою мережею виконується за допомогою
контролера MikroTik CAPsMAN, який налаштовується на будь-якому роутере
MikroTik. Процес настройки контролера буде описаний в наступному розділі.
MikroTik RBcAPGi-5acD2nD має два гігабітних ethernet порти. Живлення
подається на пристрій з мережевого кабелю через перший ethernet порт за
стандартом PoE 802.3af / at. Підтримується PoE напруга 17-57 В.
Другий ethernet порт можна використовувати для подачі живлення на
інший пристрій за стандартом Passive PoE (висновки 4,5+ і 7,8-). При напрузі до
Арк.
ТК65.020701.248 ПЗ 40
Зм. Арк. № документа Підпис Дат.

30 В, порт дозволяє пропускати струм до 500 мА. При напрузі понад 30 В, порт
пропускає струм до 400 мА.
Таблиця 3.6 Характеристики Wi-Fi MikroTik cAP ac
RATE (2.4 GHz) Tx (dBm) Rx (dBm) RATE (5 GHz) Tx (dBm) Rx (dBm)
1MBit/s 26 -100 6MBit/s 26 -96
11MBit/s 26 -94 54MBit/s 21 -80
6MBit/s 26 -96 MCS0 26 -96
54MBit/s 23 -78 MCS7 20 -75
MCS0 26 -96 MCS9 18 -70

MCS7 22 -73

Таблиця 3.7 Результати теста продуктивності MikroTik cAP ac
RBcAPGi-5acD2nD IPQ-4018 1G all port test
1518 byte 512 byte 64 byte
Mode Configuration
kpps Mbps kpps Mbps kpps Mbps
Bridging none (fast path) 162.5 1973.4 469.9 1924.7 1484.8 760.2
Bridging 25 bridge filter rules 162.1 1968.5 352.9 1445.5 359.2 183.9
Routing none (fast path) 162.5 1973.4 469.9 1924.7 1488 761.9
Routing 25 simple queues 162.5 1973.4 469.9 1924.7 506.3 259.2
Routing 25 ip filter rules 162.2 1969.8 240.8 986.3 242.9 124.4

‘3.3 Керований комутатор 2-го рівня MikroTik CSS326-24G-2S + RM
Гігабітний Ethernet комутатор Mikrotik CSS326-24G-2S + RM (рис. 3.5)
оснащений операційною системою SwOS, 24 Ethernet-портами, двома портами
SFP + і новими властивостями комутації [10]. Пристрій забезпечений
мікросхемою комутації Marvell DX.

Рис. 3.5 Комутатор мережевий Mikrotik CSS326-24G-2S + RM
Арк.
ТК65.020701.248 ПЗ 41
Зм. Арк. № документа Підпис Дат.

Комутатор мережевий Mikrotik CSS326-24G-2S+RM працює під
управлінням операційної системи, спеціально розробленої для комутаторів
MikroTik - SwOS. SwOS конфигурується з веб-браузера. Вона надає
користувачеві базовий функціонал для керованих комутаторів, а крім того,
дозволяє управляти міжпортовим пересиланням, застосовувати МАС-
фільтрування, налаштовувати віртуальні локальні мережі (VLAN),
віддзеркалювати трафік, використовувати обмеження пропускної здатності і
навіть коригувати деякі поля MAC- і IP- заголовків. Шахта SFP підтримує як
модулі SFP 1.25 Гбіт / с, так і модулі SFP + 10 Гбіт / с.
CSS326-24G-2S + RM забезпечує наступні можливості:
• Комутація рівня Layer 2
• Фільтрація MAC
• Обмеження швидкості та налаштування деяких полів заголовків MAC і IP
• Таблиця хостів 16K
• IEEE 802.1Q VLAN
• Одночасна підтримка до 4K VLAN-ів
• Ізоляція портів
• Безпека портів
• Управління широкомовними запитами
• Віддзеркалення вхідного / вихідного трафіку
• Підтримка протоколу RSTP для виключення петель в мережі
• Листи контролю доступу
• Пошук в мережі пристроїв MikroTik
• Протокол SNMP v1
Живлення подається на пристрій за допомогою блоку живлення або через
перший Ethernet порт за технологією Passive PoE з напругою 10-30В.
Кріплення "вушка" дозволяють встановити комутатор в 19-дюймовий серверну
шафу або стійку.
Арк.
ТК65.020701.248 ПЗ 42
Зм. Арк. № документа Підпис Дат.

Таблиця 3.8 Технічні характеристики Mikrotik CSS326-24G-2S+RM
Система
Switch chip: 98DX3216A1
Flash: 2 MB
24 × 10/100/1000 Mbit/s Ethernet with Auto-MDI/X
2 × 10G SFP+ порта. Поддерживаются модули 1.25G и
Разъемы:
10G.
(Mini-GBIC; SFP+ модули не поставляются. )
ОС: MikroTik SwOS
Дополнительные функции
Управление
Web-интерфейс
устройством:
Другое
External 10-30V PSU included,
Электропитание:
Passive PoE input 10-30V
Потребление: ≤ 19 Вт
Размеры: 440 × 144 × 44 мм
Рабочая температура: от -40°C до +70°С

Таблиця 3.9 Результаты теста коммутации Mikrotik CSS326-24G-2S+RM
CSS326-24G-2S+RM
64 byte 512 byte 1518 byte
Mode Configuration
kpps Mbps kpps Mbps kpps Mbps
Non blocking
Switching Layer 2 65,476.2 33,523.8 10,338.3 42,345.9 3,576.1 43,427.8
throughput
Non blocking
Switching 65,476.2 67,047.6 10,338.3 84,691.7 3,576.1 86,855.7
Layer 2 capacity
Non blocking
Switching Layer 1 65,476.2 44,000.0 10,338.3 44,000.0 3,576.1 44,000.0
throughput
Non blocking
Switching 65,476.2 88,000.0 10,338.3 88,000.0 3,576.1 88,000.0
Layer 1 capacity

Арк.
ТК65.020701.248 ПЗ 43
Зм. Арк. № документа Підпис Дат.

3.4 Висновки до розділу
Згідно поставлених задач були обрані основні мережеві пристрої Mikrotik,
а саме:
 Маршрутизатора Mikrotik RouterBoard RB1100AHx2
 Wi-Fi точка доступа MikroTik cAP ac (модель RBcAPGi-5acD2nD)
 Керований комутатор 2-го рівня MikroTik CSS326-24G-2S + RM
Наведені основні характеристики даних пристроїв, показані результати
тестування пропускної здатності і комутації цих пристроїв

Арк.
ТК65.020701.248 ПЗ 44
Зм. Арк. № документа Підпис Дат.

РОЗДІЛ 4 РЕКОМЕНДАЦІЇ ПО НАЛАШТУВАННЮ
МЕРЕЖЕВОГО ОБЛАДНАННЯ MIKROTIK
4.1 Керування пристроями Mikrotik через WinBox
WinBox це програма для керування пристроями на базі Mikrotik RouterOS
[5], що використовує легкий для системи і простий для користувача інтерфейс.
В оригіналі WinBox випускається тільки для Windows, але також дає змогу
виконувати утиліти за допомогою емуляторів під Linux або MacOS.
Додаток може бути завантажено як з розділу завантажень сайту
розробника http://www.mikrotik.com/download, так і з самого маршрутизатора
(якщо ви перейдете в браузері за його IP адресою - посилання на завантаження
буде на сторінці привітання і всередині web інтерфейсу) . Підключитися до
маршрутизатора ви можете використовуючи IP-адресу, а також MAC-адресу
(рис. 4.1). Підключення за допомогою MAC-адреси найчастіше
використовується, якщо IP-адреса маршрутизатора ніхто не знає або він
відсутній.

Рис. 4.1 Вікно входу в WinBox
На рис. 4.2 показане "Основне вікно" WinBox. Показано 2 варіанти
основного вікна - при підключенні по MAC (цифри 1,3) або IP адресою (цифри
2,4). Так само крім MAC або IP адреси заголовок вікна містить наступну
інформацію:
Арк.
ТК65.020701.248 ПЗ 45
Зм. Арк. № документа Підпис Дат.

<Ім'я користувача> @ <IP або MAC адресу> (<ім'я системи>) - <версія
WinBox> on <модель пристрою> (архітектура пристрою).
Під цифрою 5 позначений статус елемента, для розшифровки позначення,
наведіть курсор миші на позначення.
Під цифрою 6 показаний приклад вимкненого елемента.
Під цифрою 7 показано позначення зміненого елемента (підсвічування
синім кольором).
Під цифрою 8 показаний приклад інверсії значення (логічне заперечення).
Під цифрою 9 позначена кнопка Safe mode - вона включає "Безпечний
режим" - після його активації система стежить за зв'язком між WinBox і
RouterOS і в разі, якщо ваші дії призвели до втрати зв'язку відкотить зміни
назад.

Рис. 4.2 Основне вікно після входу через WinBox
Подальше налаштування пристроїв Mikrotik буде продемонстроване з
використанням програми WinBox. Інструкції по налаштуванню мережевих
пристроїв під поставлені задачі були отримані з використанням ресурсів
виробника обладнання Mikrotik [4,8]

Арк.
ТК65.020701.248 ПЗ 46
Зм. Арк. № документа Підпис Дат.

4.2 Налаштування роутера MikroTik на два провайдера
Одночасне підключення до двох інтернет-провайдерів використовують,
щоб організуваті резервний канал зв'язку на той випадок, якщо пропаде зв'язок
з одним з провайдерів. У цьом випадку роутер автоматично переключитися на
іншого провайдера, робота в інтернеті продовжиться. Підключення до двох
провайдерів використовують в організаціях, де потрібно забезпечити постійний
доступ співробітніків до інтернету.
Налаштування 1-го WAN порту
Налаштовуємо 1-й порт на динамічне отримання мережевих налаштувань
від провайдера по DHCP (рис. 4.3).
1. Відкрийте меню IP - DHCP Client;
2. Натисніть кнопку Add (синій хрестик);
3. У вікні в списку Interface виберіть інтерфейс ether1;
4. Add Default Route виберіть No;
5. Натисніть кнопку OK.

Рис. 4.3 Основне вікно налаштування DHCP Client
Арк.
ТК65.020701.248 ПЗ 47
Зм. Арк. № документа Підпис Дат.

Таким чином отримується IP адреса від провайдера, який відображається
в стовпці IP Address рис. 4.3.
Налаштування 2-го WAN порту
2-й порт налаштовуємо на статичну IP-адресу 20.20.20.20, шлюз
20.20.20.1 і маску 255.255.255.0
1. Відкрийте меню IP - Addresses;
2. Натисніть кнопку Add (синій хрестик);
3. У вікні в полі Address пропишіть статичний IP адресу/маску підмережі
20.20.20.20/24;
4. У списку Interface виберіть інтерфейс ether2;
5. Натисніть кнопку OK (рис.4.4).

Рис. 4.4 Основне вікно налаштування IP-адрес інтерфейсів
Налаштуємо IP-адресу інтернет шлюзу:
1. Відкрийте меню IP - Routes;
2. Натисніть кнопку Add (синій хрестик);
3. У вікні в полі Gateway пропишіть IP адреса шлюзу 20.20.20.1;
4. Натисніть кнопку OK (рис. 4.5).
Арк.
ТК65.020701.248 ПЗ 48
Зм. Арк. № документа Підпис Дат.

Рис. 4.5 Основне вікно налаштування маршрутизації
Додамо IP-адресу DNS сервера:
1. Відкрийте меню IP - DNS;
2. У поле Servers пропишіть IP адреса DNS сервера, наприклад 8.8.8.8;
3. Приберіть галочку Allow Remote Requests;
4. Натисніть кнопку OK (рис. 4.6).

Рис. 4.6 Основне вікно налаштування DNS
Налаштування LAN портів 3-5 і Wi-Fi
LAN порти 3-5 будуть об'єднані з Wi-Fi інтерфейсом в єдину локальну
мережу, до якої будуть підключатися комп'ютери.
Об'єднуємо LAN порти 3-5 в свитч
1. Відкрийте меню Interface;
2. Виберіть інтерфейс ether4;
Арк.
ТК65.020701.248 ПЗ 49
Зм. Арк. № документа Підпис Дат.

3. У списку Master Port виберіть ether3 (головний порт нашого світча);
4. Натисніть кнопку ОК.
Повторіть те ж саме для інтерфейсу ether5 (рис. 4.7).

Рис. 4.7 Основне вікно налаштування локальних інтерфейсів
Навпротив портів ether4 і ether5 з'явиться буква S (Slave - ведений).
Створення інтерфейсу Bridge-local і об’єднання в нього LAN портів і Wi-
Fi
Щоб LAN порти 3-5 об'єднати з Wi-Fi в одну мережу, потрібно створити
bridge інтерфейс, і додати в нього майстер порт світча ether3 і Wi-Fi інтерфейс
wlan1.
Створюємо інтерфейс bridge-local:
1. Відкрийте меню Bridge;
2. Натисніть кнопку Add (синій хрестик);
3. У поле Name пропишіть ім'я інтерфейсу bridge-local;

Рис. 4.8 Основне вікно налаштування bridge інтерфейсів
Арк.
ТК65.020701.248 ПЗ 50
Зм. Арк. № документа Підпис Дат.

Додаємо головний порт світча ether3 і Wi-Fi в bridge-local:
1. Перейдіть на вкладку Ports і натисніть кнопку Add (синій хрестик);
2. У списку Interface виберіть головний ethernet порт світча ether3;
3. У списку Interface виберіть бездротовий інтерфейс wlan1;
4. У списку Bridge виберіть інтерфейс bridge-local;
Призначаємо IP-адресу інтерфейсу bridge-local:
1. Відкрийте меню IP - Addresses;
2. Натисніть кнопку Add (синій хрестик);
3. В поле Address введіть IP-адресу і маску локальної мережі
192.168.88.1/24;
4. У списку Interface виберіть інтерфейс локальної мережі bridge-local
(рис. 4.9);
.
Рис. 4.9 Основне вікно налаштування IP-адрес інтерфейсів
Налаштовуємо DHCP сервер локальної мережі.
Щоб комп'ютери, підключені до роутера, отримували мережеві настройки
автоматично, налаштуємо DHCP сервер:
1. Відкрийте меню IP - DHCP Server і натисніть кнопку DHCP Setup;
2. В списку DHCP Server Interface виберіть bridge-local і натисніть
Next;
3. У цьому вікні вибирається мережа для роздачі DHCP. Ми
залишаємо без змін і натискаємо кнопку Next;
Арк.
ТК65.020701.248 ПЗ 51
Зм. Арк. № документа Підпис Дат.

4. У наступному вікні вказується адреса шлюзу. Натисніть кнопку
Next;
5. У цьому вікні прописується діапазон IP адрес, які роздаватиме
DHCP сервер. Натисніть кнопку Next (рис. 4.10);

Рис. 4.10 Налаштування DHCP сервер локальної мережі
Далі вводяться адреси DNS серверів. Натисніть кнопку Next; Тут
задається час резервування IP адрес. Натисніть кнопку Next;
Налаштування NAT
Щоб комп'ютери локальної мережі мали доступ до мережі Інтернет,
необхідно налаштувати NAT (Рис. 4.11).
Додаємо правило NAT для першого провайдера:
1. Відкрийте меню IP - Firewall;
2. Перейдіть на вкладку NAT;
3. Натисніть кнопку Add (синій хрестик);
4. У вікні на вкладці General в списку Chain має бути вибрано srcnat;
5. У списку Out. Interface виберіть інтерфейс першого провайдера ether1;
6. Перейдіть на вкладку Action;
7. У списку Action виберіть masquaerade;

Рис. 4.11 Налаштування NAT на роутері Mikrotik
Арк.
ТК65.020701.248 ПЗ 52
Зм. Арк. № документа Підпис Дат.

Правило NAT для другого провайдера створюються аналогічно,
обираючи в списку Out. Interface интерфейс другого провайдера ether2 (див
рис. 4.11 крок 5)
4.3 Налаштування автоматичного перемикання інтернет каналів
між двома провайдерами
Для настройки перемикання інтернет каналів між двома провайдерами
будемо використовувати маршрути (Routes) і вбудовану утиліту Netwatch.
У нас буде два маршрути, через які може йти інтернет трафік. Весь трафік
буде йти за замовчуванням через 1-го провайдера.
Якщо раптом пропаде зв'язок з 1-им провайдером, то ми активуємо 2-ий
маршрут, і весь трафік піде через 2-го провайдера.
Як тільки відновиться зв'язок через 1-го провайдера, ми деактивувавши 2-
ий маршрут, і весь трафік піде через 1-го провайдера.
Утиліта Netwatch допоможе пінгувати ip-адреса в інтернеті і виконувати
скрипти, якщо ip-адреса перестала пінгуватися або знову почала. Вона буде
виконувати активацію і деактивацію маршруту.
Спочатку видалимо маршрут через першого провайдера, який створився
автоматично, оскільки ми не можемо редагувати його властивості (рис. 4.12).
1. Відкрийте меню IP - Routes;
2. Клацніть лівою кнопкою миші по маршруту першого провайдера зі
шлюзом 10.10.10.1 unrechable;
3. Натисніть кнопку видалити (червоний мінус).

Рис. 4.12 Основне вікно налаштування маршрутизації
Арк.
ТК65.020701.248 ПЗ 53
Зм. Арк. № документа Підпис Дат.

Тепер змінимо параметри маршруту другого провайдера (рис. 4.13):
1. Виберіть маршрут другого провайдера;
2. У поле Gateway повинен бути вказаний шлюз другого провайдера
20.20.20.1;
3. В поле Distance ставимо пріоритет 2;
4. Натисніть кнопку Comment;

Рис. 4.13 Основне вікно налаштування маршрутизації другого провайдера
5. У полі напишіть коментар ISP2. Коментар необхідний для того, щоб
наші скрипти могли ідентифікувати маршрут і активувати або деактивувати їх.
6.Виберіть маршрут другого провайдера (рис. 4.13) і деактивуйте,
натиснувши кнопку з червоним хрестиком. Після цього маршрут стане сірого
кольору.
Далі потрібно додати маршрут першого провайдера заново, але спочатку
визначимо, яку IP-адресу шлюзу видає перший провайдер.
1. Відкрийте меню IP - DHCP Client;
2. Зробіть подвійне клацання лівою кнопкою миші на інтерфейсі ether1;
3. Перейдіть на вкладку Status;
4. Випишіть IP-адресу шлюзу з поля Gateway. Він буде потрібен при
створенні маршруту через першого провайдера.
Тепер додаємо маршрут через першого провайдера (рис. 4.14):
1. Відкрийте меню IP - Routes;
Арк.
ТК65.020701.248 ПЗ 54
Зм. Арк. № документа Підпис Дат.

2. Натисніть кнопку додати (синій плюсик);
3. В поле Gateway вкажіть шлюз першого провайдера 10.10.10.1;
4. У поле Distance ставимо пріоритет 3;
5. Натисніть Comment ;

Рис. 4.14 Вікно налаштування маршрутизації через першого провайдера
6. В поле напишіть коментар ISP1.
3-й маршрут знадобиться для того, щоб сервер Google за замовчуванням
пінгувати тільки через 1-го провайдера.
1. Натисніть кнопку додати (синій плюсик);
2. У поле Dst. Address вкажіть IP-адреса сервера Google 8.8.4.4;
3. В поле Gateway вкажіть шлюз першого провайдера 10.10.10.1;
4. У поле Distance ставимо пріоритет 1;
5. Натисніть Comment;

Рис. 4.15 Вікно налаштування маршрутизації для перевірки відновлення
інтернету
Арк.
ТК65.020701.248 ПЗ 55
Зм. Арк. № документа Підпис Дат.

6. Напишемо коментар GOOGLE.
Також додамо в Firewall правило, яке заборонить пінгувати ip-адресу
8.8.4.4 через 2-го провайдера. Інакше утиліта Netwatch подумає, що зв'язок з 1-
им провайдером відновилася, і буде постійно перемикати маршрути по колу
(рис. 4.16).
1. Відкрийте меню IP - Firewall і перейдіть на вкладку Filter Rules;
2. Натисніть кнопку додати (синій плюсик);
3. У списку Chain виберіть Output;
4. У поле Dst. Address введіть адресу сервера 8.8.4.4;
5. У списку Out. Interface виберіть ether2;
6. Перейдіть на вкладку Action;
7. В списку Action виберіть Drop;

Рис. 4.16 Вікно налаштування Firewall правил
Netwatch перевірятиме зв'язок з інтернетом шляхом пінгування сервера
Google з IP-адресою 8.8.4.4. Як тільки сервер перестане пінгуватися,
виконається скрипт, який активує 2-й маршрут і трафік піде через 2-го
провайдера. Як тільки зв'язок через 1-го провайдера відновиться, то
виконається інший скрипт, який деактивує 2-й маршрут і трафік піде через 1-го
провайдера (рис. 4.17).
1. Відкрийте меню Tools - Netwatch;
2. Натисніть кнопку додати (синій плюсик);
3. В поле Host вкажіть сервер Google 8.8.4.4, який утиліта буде пінгувати;
Арк.
ТК65.020701.248 ПЗ 56
Зм. Арк. № документа Підпис Дат.

4. У полі Interval вкажіть інтервал часу 00:00:05, через який буде
пінгувати сервер. Для налагодження роботи скриптів поставимо невеликий
інтервал 5 секунд. Після налагодження перемикання між двома провайдерами
збільшимо інтервал до 30 секунд.
Перейдите на вкладку Down;

Рис. 4.17 Вікно налаштування Netwatch правил
5. На вкладці Down вставляємо скрипт /ip route enable [find comment =
"ISP2"] Цей скрипт буде активувати маршрут через другого провайдера, якщо
перестане пінгувати сервер Google;
6. Перейдіть на вкладку Up;
7. На вкладці Up вставляємо скрипт / ip route disable [find comment =
"ISP2"] Цей скрипт буде деактивувати маршрут через другого провайдера, якщо
відновиться зв'язок через першого провайдера;
8. Натисніть кнопку OK.

4.4. Ізоляція трафіку на MikroTik за допомогою VLAN
Технологію VLAN використовують для ізоляції клієнтського трафіку або
трафіку різних бездротових базових станцій. Це дозволяє зменшити
широкомовний трафік в мережі і збільшити пропускну здатність.
Принцип налаштування VLAN в роутерах MikroTik відрізняється від
того, як це робиться в керованих комутаторах. Розглянемо приклад, як
розділити трафік клієнтських пристроїв і трафік для управління роутером
MikroTik.
Арк.
ТК65.020701.248 ПЗ 57
Зм. Арк. № документа Підпис Дат.

Віртуальний інтерфейс VLAN працює так як і фізичний інтерфейс. VLAN
інтерфейс можна прив'язати до фізичного Ethernet порту, Bridge інтерфейсу і
навіть EoIP тунелю.
Припустимо, на перший порт роутера MikroTik приходить п'ять Вланів з
наступними номерами:
• 10 - призначений для управління маршрутизатором;
• 20 - трафік для 2-го LAN порту;
• 30 - трафік для 3-го LAN порту;
• 40 - трафік для 4-го LAN порту;
• 50 - трафік для 5-го LAN порту.
Наше завдання налаштувати роутер і вирішити такі завдання:
1. Щоб підвищити безпеку мережі, управління маршрутизатором має
виконуватися тільки через VLAN з номером 10.
2. Трафік з VLAN з номерами 20, 30, 40, 50 повинен видаватися без
тегування до відповідних мережевих портів.
Приступимо до виконання поставлених завдань. Зайдіть в налаштування
MikroTik і відкрийте меню Interface. Тут з'являється п'ять мережевих портів
ether1-ether5. рис 4.7.
Перейдіть на вкладку VLAN і додайте п’ять VLAN інтерфейсів (рис.
4.18):
 vlan_10 с VLAN ID:10 на порту ether1
 vlan_20 с VLAN ID:20 на порту ether1
 vlan_30 с VLAN ID:30 на порту ether1
 vlan_40 с VLAN ID:40 на порту ether1
 vlan_50 с VLAN ID:50 на порту ether1
Арк.
ТК65.020701.248 ПЗ 58
Зм. Арк. № документа Підпис Дат.

Рис. 4.18 Вікно налаштування VLAN інтерфейсів
На вкладці Interface в списку з'явилися нові VLAN, які прив'язані до
інтерфейсу ether1.
Для управління роутером через VLAN 10, потрібно привласнити Влану
IP-адресу (рис. 4.19):
• Виберіть меню IP → Address і натисніть червоний плюсик;
• У полі Address введіть IP-адресу, наприклад 10.10.10.10/24;
• У списку Interface виберіть інтерфейс vlan_10.
• Натисніть кнопку OK.

Рис. 4.19 Вікно налаштування ІР- адрес VLAN інтерфейсів
Щоб на IP-адресу управління 10.10.10.10/24 можна було потрапити з
будь-якого місця мережі, налаштуємо маршрутизацію:
• Зайдіть в меню IP → Route і натисніть червоний плюсик;
• У полі Dst. Address введіть адресу 0.0.0.0/0;
Арк.
ТК65.020701.248 ПЗ 59
Зм. Арк. № документа Підпис Дат.

• У поле Gateway вкажіть IP-адреса шлюзу - це адреса центрального
маршрутизатора у вашій мережі, наприклад 10.10.10.1;
• Натисніть OK.
На цьому перше завдання управління роутером тільки через VLAN з
номером 10 ми вирішили. Приступимо до вирішення другого завдання.
Щоб трафік з VLAN інтерфейсів з номерами 20, 30, 40, 50 видавався до
відповідних LAN порти без тегування, потрібно створити бридж інтерфейси і
об'єднати в них відповідні Влани і мережеві порти.
Спочатку створимо чотири бридж інтерфейсу (рис.4.20):
• Під час використання меню Bridge і натисніть червоний плюсик;
• У полі Name вкажіть назву бридж інтерфейсу, наприклад bridge_50 - це
бридж для Вланів 50;
• Натисніть кнопку OK;
• Додайте по аналогії інтерфейси bridge_20, bridge_30 і bridge_40.

Рис. 4.20 Вікно налаштування бридж інтерфейсів
Тепер потрібно додати в кожен бридж, відповідний мережевий порт і
VLAN інтерфейс:
• У інтерфейс bridge_20 додаємо порти ether2 і vlan_20
• У інтерфейс bridge_30 додаємо порти ether3 і vlan_30
• У інтерфейс bridge_40 додаємо порти ether4 і vlan_40
• У інтерфейс bridge_50 додаємо порти ether5 і vlan_50
Додавання портів в бриджі виконується наступним чином:
Арк.
ТК65.020701.248 ПЗ 60
Зм. Арк. № документа Підпис Дат.

• Перейдіть на вкладку Ports і натисніть червоний плюсик (рис. 4.20);
• У списку Bridge виберіть ім'я бридж інтерфейсу bridge_50;
• У списку Interface виберіть відповідний мережевий порт ether5;
• Натисніть OK;
• Натисніть ще раз червоний плюсик для додавання VLAN інтерфейсу в
bridge_50;
• У списку Bridge виберіть ім'я бридж інтерфейсу bridge_50;
• У списку Interface виберіть відповідний VLAN інтерфейс vlan_50;
• Натисніть OK.
Додайте по аналогії порти в бриджі bridge_20, bridge_30 і bridge_40.
На цьому ми вирішили друге завдання, і трафік з кожного VLAN
інтерфейсу буде видаватися без тегування в відповідний мережевий порт
маршрутизатора.
Тепер нам потрібно в кожен мережевий порт видавати VLAN з номером
10 для управління пристроєм. Для цього створюємо на кожному бриджі VLAN
з номером 10 (рис. 4.21):
 Bridge_20 — vlan2_10
 Bridge_30 — vlan3_10
 Bridge_40 — vlan4_10
 Bridge_50 — vlan5_10

Рис. 4.21 Вікно налаштування інтерфейсів для управління
Арк.
ТК65.020701.248 ПЗ 61
Зм. Арк. № документа Підпис Дат.

В розділі Bridge створимо ще один інтерфейс і назвемо його bridge1_10.
Перейдіть на вкладку Ports і додайте в інтерфейс bridge1_10 наступні
порти (рис. 4.22):
 Vlan_10
 Vlan2_10
 Vlan3_10
 Vlan4_10
 Vlan5_10

Рис. 4.22 Вікно налаштування бридж інтерфейсів
Тепер VLAN з номером 10 буде доступний на всіх мережевих портах
маршрутизатора MikroTik.
Коли є будь-який інтерфейс з встановленою IP-адресою, і додати цей
інтерфейс в бридж, то на ньому перестає працювати IP-адреса. Тому для
управління мікротіком через IP-адресу 10.10.10.10/24 потрібно її перенести з
інтерфейсу vlan_10 на bridge1_10 (рис. 4.23):
• Перейдіть в меню IP -Address і відкрийте настройки інтерфейсу vlan_10;
• У списку Interface вкажіть інтерфейс bridge1_10.
• Натисніть кнопку OK.
Арк.
ТК65.020701.248 ПЗ 62
Зм. Арк. № документа Підпис Дат.

Рис. 4.23 Вікно налаштування ІР адреси бридж інтерфейсу
Тепер з усіх портів через VLAN 10 можна отримати доступ до
налаштування маршрутизатора по IP-адресі 10.10.10.10/24.
У висновку додамо, що MikroTik підтримує створення вкладених VLAN
Q-in-Q, тобто можна створювати VLAN у VLAN. Підтримується 10 і більше
вкладених VLAN, проте з кожним вкладенням розмір MTU зменшується на 4
байта. Тому не рекомендуємо робити більше 2-4 вкладень.

Рис. 4.24 Вікно налаштування VLAN інтерфейсів

Арк.
ТК65.020701.248 ПЗ 63
Зм. Арк. № документа Підпис Дат.

4.5 Налаштування Wi-Fi роумінга в MikroTik CAPsMAN
Що таке Wi-Fi роумінг
Wi-Fi роумінг [2] дозволяє клієнту переміщатися від однієї Wi-Fi точки
до іншої без обриву з'єднання. При цьому втрати переданих даних мінімальні
або взагалі відсутні (безшовний роумінг). В обладнанні MikroTik роумінг
реалізується за допомогою системи CAPsMAN (рис. 4.25).

Рис. 4.25 Реалізуація роумінга за допомогою системи MikroTik CAPsMAN
Система CAPsMAN призначена для централізованого управління
декількома Wi-Fi точками доступу MikroTik. З її допомогою можна
налаштувати для Wi-Fi точок одне ім'я мережі, пароль для підключення і
реалізувати роумінг. Після внесення змін до настройки CAPsMAN, вони
автоматично застосовуються до всіх Wi-Fi точок.
CAPsMAN налаштовується на будь-якому роутере MikroTik. Тобто
роутер виступає в ролі контролера, а Wi-Fi точки підключаються до нього і
отримують настройки. Тому вам не потрібно додатково купувати апаратний
контролер.
Арк.
ТК65.020701.248 ПЗ 64
Зм. Арк. № документа Підпис Дат.

У кожного виробника Wi-Fi роумінг реалізований по-своєму. Тому не
можна організувати безшовну мережу, використовуючи Wi-Fi точки різних
виробників.
Повноцінний безшовний роумінг з відсутністю втрат передачі даних є
тільки в дуже дорогому обладнанні з застосуванням апаратних контролерів.
У будинок, кафе або готель таке обладнання можуть дозволити собі
далеко не всі.
У недорогих рішеннях, як у MikroTik, роумінг відбувається з невеликими
затримками і втратами даних. Наприклад, при розмові по Skype або Viber при
переході від точки до точки на 1-2 секунди може зникнути звук. Якщо ви
качаєте файл з сайту, який не підтримує докачку, то при переході станеться
обрив, і закачування доведеться виконати заново. При перегляді відео з Youtube
перемикання буде непомітно, оскільки дані кешуються. При серфінгу в браузері
перемикання так само непомітно.
Ще бувають ситуації, коли клієнтський пристрій підключається до однієї
Wi-Fi точки і ніяк не хоче перемикатися на іншу, навіть якщо стояти біля неї. В
цьому випадку можна налаштувати примусове скидання клієнта з точки в
залежності від рівня сигналу. Однак при такому скиданні, якщо ви розмовляєте
по Skype або Viber, відбудеться завершення дзвінка і потрібно буде
передзвонити.
Тому для організацій, яким дуже важливо висока якість VoIP телефонії c
постійним переміщенням між Wi-Fi точками, роумінг від MikroTik не підійде.
Для великих складів, по території яких активно переміщаються з Wi-Fi
терміналами збору даних (сканерами штрих-коду), роумінг від MikroTik теж не
рекомендується.
Для домашнього використання, кафе або невеликого готелю, описані
недоліки роумінгу MikroTik не істотні. Тому обладнання MikroTik дозволить
вам створити єдину Wi-Fi мережу за невеликі гроші.
Арк.
ТК65.020701.248 ПЗ 65
Зм. Арк. № документа Підпис Дат.

Далі розглянемо, як на роутері MikroTik налаштувати систему CAPsMAN
і підключити до неї Wi-Fi точки для організації роумінгу.
Вимоги до обладнання
На обладнанні MikroTik повинна бути встановлена операційна система
RouterOS Level4 не нижче версії v6.23.
Будемо використовувати двохдіапазонні пристрої з підтримкою ac
стандарту: роутер Mikrotik RouterBoard RB1100AHx2 і точку доступу MikroTik
cAP ac (модель RBcAPGi-5acD2nD), опис якої наведений в 3 розділі.
Активація пакета wireless-cm2
Перед налаштуванням, необхідно переконатися, що на всіх пристроях
використовується пакет wireless-cm2.
Відкрийте меню System – Packages (рис.4.26). У списку пакетів wireless-
cm2 повинен бути активним. Якщо він виділений сірим кольором, а активний
пакет wireless-fp або wireless-rep, тоді виберіть wireless-cm2 і натисніть кнопку
Enable. Після цього перезавантажте пристрій через меню System - Reboot.

Рис. 4.26 Вікно налаштувань встановлених пакетів розширення
обладнання Mikrotik
Арк.
ТК65.020701.248 ПЗ 66
Зм. Арк. № документа Підпис Дат.

Налаштування контролера
В якості контролера виступає обраний маршрутизатора Mikrotik
RouterBoard RB1100AHx2
Спочатку активуємо CAPsMAN (рис. 4.27):
1. Відкрийте меню CAPsMAN і перейдіть на вкладку Interfaces.
2. Натисніть кнопку Manager.
3. У вікні поставте галочку Enable.

Рис. 4.27 Вікно для активації CAPsMAN
Виконуємо настройку Wi-Fi каналу (рис. 4.28):
1. Перейдіть на вкладку Channels.
2. Натисніть синій плюсик.
3. У вікні в полі Name вкажіть назву каналу. В прикладі channel2,
оскільки він буде для частоти 2,4 ГГц. Для частоти 5ГГц використаємо назву
channel5.
4. У поле Frequency вкажіть частоту, на якій буде працювати Wi-Fi точка.
На жаль, немає списку з частотами і частоту потрібно прописати вручну.
Підглянути список частот можете тут або через меню Wireless - вкладка
Interfaces - відкрийте налаштування необхідного інтерфейсу, наприклад, wlan1 -
перейдіть на вкладку Wireless і в випадаючому списку Frequency подивіться
частоти. Якщо не вказати частоту, то вона буде вибиратися автоматично. Ми
вказали частоту 2412 Mhz.
Арк.
ТК65.020701.248 ПЗ 67
Зм. Арк. № документа Підпис Дат.

5. У поле Width можна вказати ширину каналу 20Mhz. Ширина 40Mhz і
80Mhz поки не підтримується.
6. У поле Band вказуються стандарти, в яких буде працювати Wi-Fi точка.
Для більшої сумісності ставимо стандарти b / g / n.
7. В поле Extension Channel вказується, в який бік від вибраної
періодичності буде розподілятися канал.
8. У поле Tx Power вказується вихідна потужність Wi-Fi, наприклад, 20
dBm (100 мВт). Залишати це поле порожнім не бажано, оскільки в цьому
випадку пристрої будуть працювати на максимальній потужності, а це потрібно
далеко не завжди.
9. Натисніть кнопку OK.

Рис. 4.28 Вікно для налаштувань Wi-Fi каналу
Для дводіапазонних пристроїв аналогічним чином налаштовуємо Wi-Fi
канал для частоти 5ГГц.
В результаті отримуємо два канали: channel2 і channel5.
Арк.
ТК65.020701.248 ПЗ 68
Зм. Арк. № документа Підпис Дат.

Налаштовуємо пароль для підключення до Wi-Fi мережі (рис. 4.29):
1. Перейдіть на вкладку Security Cfg.
2. Натисніть синій плюсик.
3. У вікні в полі Name вкажіть назву профілю. Ми залишили без зміни
security1.
4. У поле Autentification Type вкажіть тип авторизації WPA2 PSK.
5. У Encryption виберіть алгоритм aes ccm.
6. У списку Group Encryption виберіть алгоритм aes ccm.
7. В поле Passphrase введіть пароль для підключення до Wi-Fi точки.

Рис. 4.29 Вікно для налаштувань параметрів безпеки Wi-Fi

Налаштовуємо режим обробки даних Datapaths (рис. 4.30):
1. Перейдіть на вкладку Datapaths
2. Натисніть синій плюсик.
3. У поле Name залишаємо ім'я без зміни datapath1.
4. У списку Bridge виберіть бридж інтерфейс.
5. У поле Local Forwarding нічого не вказуємо, щоб наша система
працювала в режимі Manager Forwarding Mode.
У режимі Local Forwarding Mode обробка і перенаправлення даних
клієнтів здійснюється безпосередньо на Wi-Fi точці доступу, а не на роутері.
Арк.
ТК65.020701.248 ПЗ 69
Зм. Арк. № документа Підпис Дат.

У режимі Manager Forwarding Mode всі дані клієнтів передаються на
роутер, де проводиться їх обробка. В цьому випадку CAPsMAN повністю
контролює перенаправлення даних, включаючи обмін даними між клієнтами.
Цей режим більше надійний, але він створює більше навантаження на мережу і
роутер.
6. Поставте галочку Client To Client Forwarding, щоб дозволити клієнтам
обмінюватися даними один з одним.
7. Натисніть OK.

Рис. 4.30 Вікно для налаштувань режиму обробки даних Datapaths
Створюємо нову конфігурацію для частоти 2,4 ГГц (рис. 4.31).
1. Перейдіть на вкладку Configurations.
2. Натисніть синій плюсик.
3. У вікні на вкладці Wireless в поле Name вкажіть назву конфігурації
cfg2.
4. У списку Mode виберіть режим роботи ap - точка доступу.
5. У поле SSID вкажіть назву Wi-Fi точки, наприклад, mikrotik2.
6. Поставте все галочки навпроти HT Tx Chains і HT Rx Chains.
Перейдіть на вкладку Channel і в списку Channel виберіть наш канал на
2,4 ГГц під назвою channel2.
Арк.
ТК65.020701.248 ПЗ 70
Зм. Арк. № документа Підпис Дат.

Перейдіть на вкладку Datapath і виберіть datapath1.
Перейдіть на вкладку Security, вкажіть профиль безпеки security1 і
натисніть кнопку OK.
За аналогією створюють нову конфігурацію для частоти 5ГГц.

Рис. 4.31 Вікно для налаштувань конфігурації для частоти 2,4 ГГц
В результаті отримуємо дві конфігурації для 2,4 і 5ГГц.
Тепер необхідно налаштувати параметри розгортання Provisioning для
частоти 2,4 ГГц (рис. 4.32).
1. Відкрийте вкладку Provisioning.
2. Натисніть синій плюсик.
3. У списку Hw. Supported Modes виберіть стандарти gn. Це означає, що
зазначена конфігурація буде застосовуватися для пристроїв з підтримкою g і n
стандартів, тобто тих що працюють на частоті 2,4 ГГц.
4. У списку Action виберіть create dynamic enabled, щоб в контролері
CAPsMAN автоматично створювалися інтерфейси підключаємих точок.
5. У списку Master Configuration виберіть конфігурацію для 2,4 ГГц, тобто
cfg2.
Арк.
ТК65.020701.248 ПЗ 71
Зм. Арк. № документа Підпис Дат.

6. Натисніть OK.

Рис. 4.32 Вікно для налаштувань параметрів розгортання Provisioning
Додайте друге правило розгортання для частоти 5ГГц.
1. Натисніть синій плюсик.
2. У списку Hw. Supported Modes виберіть стандарти an. Це означає, що
зазначена конфігурація буде застосовуватися для пристроїв, що підтримують a і
n стандарти, тобто працюючих на 5ГГц.
3. У списку Action виберіть create enabled.
4. У списку Master Configuration виберіть конфігурацію для 5ГГц, тобто
cfg5.
5. Натисніть OK.

Додаємо правила Firewall в роутері
В останніх прошивках в конфігурації за замовчуванням Firewall блокує
трафік CAPsMAN. Тому потрібно додати в Firewall правила, які дозволять
проходження трафіку CAPsMAN.
Відкрийте в роутері меню New Terminal і виконайте наступні команди:
# Додаємо в фаєрвол правило розблокування трафіку CAPsMAN /ip
firewall filter add action=accept chain=input dst-address-type=local src-address-
type=local comment="UnblockCapsman" disabled=no
Арк.
ТК65.020701.248 ПЗ 72
Зм. Арк. № документа Підпис Дат.

# Переміщаємо в фаєрвол правило UnblockCapsman вгору вище за інших
правил
/ip firewall filter move [find comment="UnblockCapsman"] 1
В налаштуваннях менеджера CAPsMAN може бути обмежена його
робота на певних інтерфейсах. Потрібно включити CAPsMAN на всіх
інтерфейсах мережі, і заборонити на будь-якому інтерфейсі, на якому ви не
хочете слухати CAPsMAN, наприклад, на вхідному WAN порту ether1:
/caps-man manager interface remove [find where interface=bridge and
forbid=no] set [find default=yes] forbid=no add forbid=yes interface=ether1

Додаємо Wi-Fi точку в контролер
Через програму Winbox необхідно зайти в налаштування Wi-Fi точки в
меню Quick Set, виберати режим CAP і погодитись зі змінами (рис. 4.32). Після
цього режим CAP автоматично зміниться на Ethernet. Точку доступу потрібно
за допомогою Ethernet кабелю підєднати до контролера.

Рис. 4.32 Вікно для налаштувань параметрів Wi-Fi точки доступу
Якщо програма Winbox не знаходить вашу Wi-Fi точку, тоді підключіться
ноутбуком або смартфоном до пристрою по Wi-Fi. Після цього введіть в
браузері адресу 192.168.88.1, і ви потрапите в Web-інтерфейс настройки точки
доступу. Відкрийте меню Quick Set, виберіть режим CAP і натисніть кнопку
Арк.
ТК65.020701.248 ПЗ 73
Зм. Арк. № документа Підпис Дат.

Apply Configuration. Після цього Winbox повинен побачити пристрій, і можна
приступати до налаштування.
Перед налаштуванням необхідно перевірити, що у точці доступу в меню
System - Packages активований пакет wireless-cm2 і версія RouterOS збігається з
версією, встановленої на роутері (див. рис. 4.26).
Додаємо правила Firewall в точці доступу
В останніх прошивках в конфігурації за замовчуванням Firewall блокує
трафік CAPsMAN. Тому потрібно додати в Firewall правила, які дозволять
проходження трафіку CAPsMAN.
Відкрийте в точці доступу меню New Terminal і виконайте наступні
команди:
# Добавляем в фаервол правило разблокировки трафика CAPsMAN
/ip firewall filter add action=accept chain=input dst-address-type=local src-address-
type=local comment="UnblockCapsman" disabled=no

# Перемещаем в фаерволе правило UnblockCapsman вверх выше остальных
правил
/ip firewall filter move [find comment="UnblockCapsman"] 1
Налаштування Wi-Fi інтерфейсів точки доступу
1. Відкрийте меню Wireless, і на вкладці Interfaces натисніть кнопку
CAP (рис. 4.33).

Арк.
ТК65.020701.248 ПЗ 74
Зм. Арк. № документа Підпис Дат.

Рис. 4.33 Вікно для налаштувань Interfaces параметрів Wi-Fi точки
доступу
1. У вікні поставте галочку Enabled.
2. У поле Interfaces виберіть wlan1 на 2,4 ГГц. Щоб додати другий
інтерфейс, натисніть маленький чорний трикутник у напрямку вниз. З'явиться
ще одне поле для вибору інтерфейсу, в якому вкажіть wlan2 на 5ГГц.
3. У списку Discovery Interfaces виберіть бридж інтерфейс.
4. Натисніть OK.
Після цього Wi-Fi точка автоматично отримає налаштування і запустить
інтерфейси wlan1 на 2,4 ГГц і wlan2 на 5ГГц (рис. 4.34).

Рис. 4.34 Вікно для налаштувань Interfaces wlan1 на 2,4 ГГц і wlan2 на
5ГГц
Тепер відкрийте налаштування роутера, і перейдіть в меню CAPsMAN на
вкладку Interfaces (рис.4.35). Тут автоматично створилися ще два нових
інтерфейси точки доступу cap3 і cap4.

Рис. 4.35 Вікно для налаштувань CAPsMAN інтерфейсів точки доступу
cap3 і cap4

Арк.
ТК65.020701.248 ПЗ 75
Зм. Арк. № документа Підпис Дат.

4.6 Налаштування гостьової Wi-Fi мережі
Якщо ви надаєте безкоштовний доступ до Wi-Fi для гостей, то вам може
знадобитися в цілях безпеки розділити мережу організації і гостьову мережу.
Інакше гості зможуть отримати доступ до ваших серверів, робочих комп'ютерів
або принтерів. Далі ми розповімо, як створити окрему гостьову Wi-Fi мережу,
ізолювати її, і обмежити швидкість для відвідувачів.
Насамперед створимо бридж інтерфейс, який буде використовуватися для
Wi-Fi мережі з безкоштовним доступом до Інтернету.
1. У налаштуваннях роутера відкрийте меню Bridge (рис. 4.8).
2. Перейдіть на вкладку Bridge і натисніть синій плюсик.
3. У поле Name введіть ім'я інтерфейсу bridge-free.
4. Натисніть кнопку OK.
Налаштуємо IP адресацію нової мережі. Вона повинна відрізнятися від
адресації основної мережі. За замовчуванням мережу роутера MikroTik має IP
адреси 192.168.88.1 - 192.168.88.254. Тому ми вирішили створити нову мережу
з адресним простором 192.168.1.1 - 192.168.1.254.
1. Відкрийте меню IP - Addreses.
2. Натисніть синій плюсик.
3. В поле Address введіть IP адресу бридж інтерфейсу і маску
192.168.1.1/24
4. У поле Network введіть адресу мережі 192.168.1.0
5. У списку Interface виберіть бридж інтерфейс bridge-free.
6. Натисніть OK.
Арк.
ТК65.020701.248 ПЗ 76
Зм. Арк. № документа Підпис Дат.

Рис. 4.36 Вікно для налаштувань адресного простору гостьової Wi-Fi
мережі
1. Налаштовуємо DHCP Server, який буде автоматично призначати IP
адреси клієнтам (рис.4.36).
2. 1. Відкрийте меню IP - DHCP Server.
3. 2. На вкладці DHCP натисніть кнопку DHCP Setup.
У вікні виберіть інтерфейс bridge-free і натисніть кнопку Next.

Рис. 4.36 Вікно для налаштувань DHCP Server для гостьової Wi-Fi мережі
Арк.
ТК65.020701.248 ПЗ 77
Зм. Арк. № документа Підпис Дат.

Тепер необхідно налаштувати CAPsMAN, щоб він створив на пристроях
віртуальні Wi-Fi інтерфейси.
Відкрийте меню CAPsMAN, перейдіть на вкладку Security Cfg. і
натисніть синій плюсик (рис. 4.37).

Рис. 4.37 Вікно для налаштувань CAPsMAN інтерфейсів точки доступу
для гостьової Wi-Fi мережі

Тут вказуються параметри безпеки мережі. Оскільки гостьова мережа
буде без пароля, достатньо вказати ім'я профілю безпеки security-free і
натиснути кнопку OK.
Перейдіть на вкладку Datapaths і натисніть синій плюсик. Вкажіть ім'я
datapath-free і виберіть бридж інтерфейс bridge-free. Натисніть кнопку OK.
Параметр local forwarding ми не вказуємо, щоб гостьові пристрою не
спілкувалися один з одним в мережі.
Перейдіть на вкладку Configurations і натисніть синій плюсик, щоб
створити нову конфігурацію відкритої мережі (рис.4.38).
Спочатку створимо конфігурацію для частоти 2,4 ГГц.
1. На вкладці Wireless вкажіть назву конфігурації cfr2free.
Арк.
ТК65.020701.248 ПЗ 78
Зм. Арк. № документа Підпис Дат.

2. У списку Mode виберіть режим роботи ap - точка доступу.
3. В поле SSID вкажіть назву безкоштовної Wi-Fi точки, наприклад,
mikrotik2free.
4. Поставте все галочки навпроти HT Tx Chains і HT Rx Chains.

Рис. 4.38 Вікно для налаштувань нової конфігурації відкритої мережі для
гостьової Wi-Fi мережі
Перейдіть на вкладку Channel і в списку Channel виберіть наш канал на
2,4 ГГц під назвою channel2.
Перейдіть на вкладку Datapath і виберіть datapath-free.
Перейдіть на вкладку Security, вкажіть наш профіль безпеки security-free і
натисніть кнопку OK.
За аналогією додайте нову конфігурацію для частоти 5ГГц. Якщо ваші
пристрої не підтримують 5ГГц, то пропустіть цей крок.
У підсумку список будь-яких змін виглядає рис. 4.39.
Арк.
ТК65.020701.248 ПЗ 79
Зм. Арк. № документа Підпис Дат.

Рис. 4.39 Вікно з результуючими налаштуваннями CAPsMAN для
гостьової Wi-Fi мережі
Тепер додамо створені конфігурації cfg2free і cfg5free в параметри
розгортання Provisioning (рис.4.40). Перейдіть на вкладку Provisioning і
відкрийте настройки розгортання для частоти 2,4 Ггц..

Рис. 4.40 Вікно налаштуваннь параметрів розгортання Provisioning для
гостьової Wi-Fi мережі

У списку Slave Configuration вкажіть конфігурацію cfg2free і натисніть
кнопку OK.
Арк.
ТК65.020701.248 ПЗ 80
Зм. Арк. № документа Підпис Дат.

Тепер відкрийте настройки розгортання для частоти 5ГГц. У списку Slave
Configuration вкажіть конфігурацію cfg5free і натисніть кнопку OK.
Далі необхідно оновити настройки наших точок. Перейдіть на вкладку
Remote CAP, виділіть всі пристрої за допомогою клавіші Shift на клавіатурі, і
натисніть кнопку Provision.
Тепер в меню Wireless і на вкладці Interfaces рис. 4.41 видно, що на
роутері під основними Wi-Fi інтерфейсами створилися віртуальні інтерфейси,
які будуть використовуватися для підключення до відкритої мережі без пароля.
Такі ж інтерфейси створилися і на нашій точці Wap.
В меню CAPsMAN на вкладці Interfaces також видно нові віртуальні
інтерфейси. Вони знаходяться під основними

Рис. 4.41 Віртуальні інтерфейси для гостьової Wi-Fi мережі
Заборона клієнтам гостьовій мережі доступ до мережі адміністрації
Заборонимо клієнтам доступ з однієї мережі в іншу (рис. 4.42).
1. Відкрийте меню IP - Routes.
2. Перейдіть на вкладку Rules.
3. Натисніть синій плюсик.
4. У поле Src. Address введіть підмережа 192.168.88.0/24
5. У поле Dst. Address введіть відкриту підмережа 192.168.1.0/24
6. У списку Action виберіть drop.
7. Натисніть OK.
Цим правилом ми заборонили доступ з гостьової підмережі 192.168.1.0/24
в адміністративну підмережу 192.168.88.0/24.
Арк.
ТК65.020701.248 ПЗ 81
Зм. Арк. № документа Підпис Дат.

Рис. 4.42 Вікно налаштуваннь параметрів для заборони доступу між
мережами
Необхідно додати ще одне правило, щоб заборонити доступ з
адміністративної підмережі 192.168.88.0/24 в гостьову підмережа
192.168.1.0/24, тобто навпаки (рис.4.42).
1. Натисніть синій плюсик.
2. У поле Src. Address введіть підмережа 192.168.1.0/24
3. В поле Dst. Address введіть відкриту підмережа 192.168.88.0/24
4. У списку Action виберіть drop.
Обмежуємо швидкість в гостьовій Wi-Fi мережі
Щоб гості не зайняли весь канал інтернету, і співробітникам організації
було комфортно працювати, необхідно налаштувати обмеження швидкості для
кожного клієнта гостьовій мережі.
Припустимо у нас є вхідний інтернет канал 100 Мбіт/с. Для внутрішньої
мережі досить швидкості 80 Мбіт/с. Решта 20 Мбіт/с ми виділимо для гостьової
мережі. Кожному гостю зробимо обмеження швидкості в 2 Мбіт/с.
Перед налаштуванням необхідно переконатися, що на роутері в фаєрвол
відключений fasttrack. Ця технологія з'явилася починаючи з RouterOS 6.29 і
дозволяє збільшити продуктивність шляхом пересилання даних без їх
додаткової обробки. Однак якщо вона включена, то обмеження швидкості не
спрацюють. Зазвичай це проявляється так: швидкість завантаження не
Арк.
ТК65.020701.248 ПЗ 82
Зм. Арк. № документа Підпис Дат.

спрацьовує, а швидкість віддачі працює. Тому fasttrack необхідно відключити,
або застосувати для підмережі, в якій не діятимуть обмеження швидкості.
1. Відкрийте меню IP - Firewall.
2. На вкладці Filter Rules виберіть правило fasttrack connection.
3. Натисніть червоний хрестик Disable, щоб деактивувати правило.

Рис. 4.43 Вікно налаштуваннь правила firewall
Але ми не будемо його деактивувати, а застосуємо для внутрішньої
мережі адміністрації 192.168.88.0/24, в якій не діятимуть обмеження.
1. потрібно відкрити налаштування правила.
2. У поле Src. Address вказати мережу 192.168.88.0/24
3. Натисніть кнопку OK.

Рис. 4.44 Вікно налаштуваннь правила fasttrack
Тепер приступаємо до налаштування обмежень швидкості для гостьової
підмережі 192.168.1.0/24 (рис. 4.45).
Додамо pcq чергу на завантаження з обмеженням 2 Мбіт / с.
1. Відкрийте меню Queues.
Арк.
ТК65.020701.248 ПЗ 83
Зм. Арк. № документа Підпис Дат.

2. Перейдіть на вкладку Queue Types.
3. Натисніть синій плюсик.
4. У полі Type Name вкажіть назву черги на завантаження pcq-download-
2M.
5. У списку Kind виберіть pcq.
6. У полі Rate вкажіть обмеження швидкості на завантаження 2M
(2Мбіт/с).
7. Перевірте, що навпроти Dst. Address стоїть галочка.
8. Натисніть кнопку OK.

Рис. 4.45 Вікно налаштуваннь правила обмежень швидкості для гостьової
підмережі 192.168.1.0/24.
Додамо pcq чергу на віддачу з обмеженням 2 Мбіт / с.
1. Натисніть синій плюсик.
2. У поле Type Name вкажіть назву черги на завантаження pcq-upload-2M.
3. У списку Kind виберіть pcq.
4. У поле Rate вкажіть обмеження швидкості на віддачу 2M (2 Мбіт/с).
5. Поставте галочку навпроти Src. Address.
Арк.
ТК65.020701.248 ПЗ 84
Зм. Арк. № документа Підпис Дат.

6. Приберіть галочку навпроти Dst. Address.
7. Натисніть кнопку OK.
Тепер додамо правило з обмеженнями швидкостей.
1. Перейдіть на вкладку Simple Queues.
2. Натисніть синій плюсик.
3. У поле Name вкажіть назву правила queue-free-limit-2M.
4. У полі Target вкажіть нашу відкриту підмережа 192.168.1.0/24
5. У поле Max Limit в колонці Target Upload вкажіть максимальну
швидкість віддачі 20M (20 Мбіт/с), яку ми виділяємо на всю відкриту
підмережа.
6. У полі Max Limit в колонці Target Download вкажіть максимальну
швидкість завантаження 80M (80 Мбіт / с), яку ми виділяємо на всю відкриту
підмережа.
1. Перейдіть на вкладку Advanced.
2. У списку Queue Type в колонці Target Upload виберіть pcq-upload-2M.
3. У списку Queue Type в колонці Target Download виберіть pcq-download-
2M.
4. Натисніть кнопку OK.
4.7. Налаштування VPN IPSec / L2TP сервера на Mikrotik
Наведемо приклад налаштування VPN IPSec/L2TP сервера на Mikrotik, для
підключення до ресурсів локальної мережі. Користувачі можуть підключатися з
Windows, MacBook, iPhone і т.д.
1) Додамо діапазон IP-адрес для DHCP відкривши в Winbox «IP» - «Pool» і
вказавши:
Name: vpn_pool
Addresses: 192.168.88.10-192.168.88.115
Next pool: none
2) Додамо профіль відкривши в Winbox «PPP» — «Profiles»
Арк.
ТК65.020701.248 ПЗ 85
Зм. Арк. № документа Підпис Дат.

Name: l2tp_profile
Local address: vpn_pool (можна вказать default 192.168.88.1)
Remote address: vpn_pool
Change TCP MSS: yes
3) Додамо користувачів «PPP» — «Secrets» (рис. 4.46)
Name: ЛОГІН
Password: ПАРОЛЬ
Service: l2tp
Profile: l2tp_profile

Рис. 4.46 Основне вікно створення нового користувача L2TP сервера
4) Включим сервер в «PPP» — «Interface» — «L2TP Server» (рис. 4.47)
Enabled: yes
MTU/MRU: 1460
Keepalive Timeout: 30
Default profile: l2tp_profile
Authentication: mschap2
Use IPSec: yes
IPSec Secret: КЛЮЧ_ШИФРУВАННЯ (також вказується в клієнтах)
Арк.
ТК65.020701.248 ПЗ 86
Зм. Арк. № документа Підпис Дат.

Рис. 4.47 Основне вікно налаштувань L2TP сервера
Налаштуємо протокол, що використовуються для забезпечення сервісів
приватності і аутентифікації на мережевому рівні моделі OSI.
Для цього необхідно відкрити «IP» — «IPSec» — «Peers» (рис. 4.48).
Address: 0.0.0.0/0
Port: 500
Auth method: pre shared key
Exchange mode: main l2tp
Passive: yes (set)
Secret: КЛЮЧ_ШИФРОВАНИЯ (такий як вказувався вище)
Policy template group: default
Send Initial Contact: yes
NAT Traversal: yes
My ID Type: auto
Generate policy: port override
Lifitime: 1d 00:00:00
DPD Interval: 120
DPD Maximum failures: 5
Proposal check: obey
Hash algorithm: sha1
Арк.
ТК65.020701.248 ПЗ 87
Зм. Арк. № документа Підпис Дат.

Encryption Algorithm: 3des aes-128 aes-256
DH Group: modp 1024
6) «IP» — «IPSec» — «Proposals»
Name: default
Auth algorithms: sha1
Enrc. algorithms: 3des, aes-256 cbc, aes-256 ctr
Life time: 00:30:00
PFS Group: mod 1024

Рис. 4.48 Основне вікно налаштувань IPSec
Додамо правила які дозволяють проходження трафіку по портам
VPN IPSec / L2TP сервера
7) «Firewall» — «Add New»
Добавим первое правило разрешающее входящие VPN соединения:
Chain: Input
Protocol: udp
Any. Port: 1701,500,4500
Action: Accept
И второе:
Chain: Input
Protocol: ipsec-esp
Action: Accept
Правила должны находится в начале списка.
Арк.
ТК65.020701.248 ПЗ 88
Зм. Арк. № документа Підпис Дат.

Для підключення ВПН користувачів потрібно надати таку інформацію:
 ІР-адресу маршрутизатора (статична ІР адреса яку видає
провайдер Інтернету),
 ім’я користувача l2tp і пароль.
 ключ ipsec

4.8 Висновки до розділу
В данному розділі були наведені рекомендації по налаштуванню
мережевого обладнання згідно поставлених вимог, а саме:
 Розглянуті оособливості керування пристроями Mikrotik через
програмне забезпечення WinBox;
 Показано налаштування роутера MikroTik на два провайдера з
можливістю автоматичного перемикання інтернет каналів між двома
провайдерами;
 Наведені налаштування для ізоляція трафіку на MikroTik за допомогою
VLAN;
 Показано налаштування Wi-Fi роумінга в MikroTik CAPsMAN;
 Здійснене налаштування гостьової Wi-Fi мережі і можливістю
обмеження швидкості в гостьовій Wi-Fi мережі;
 Здійснені налаштування для заборони клієнтам гостьовій мережі
доступу до мережі адміністрації;
 Здійснені налаштування VPN IPSec/L2TP сервера на Mikrotik для
можливості підключення віддалених користувачів до ресурсів корпоративної
мережі.

Арк.
ТК65.020701.248 ПЗ 89
Зм. Арк. № документа Підпис Дат.

РОЗДІЛ 5
ОХОРОНА ПРАЦІ
5.1 Аналіз небезпек та шкідливостей, які виникають в дослідницькій
лабораторії при створенні проекту мережі
Розробка даної бакалаврської роботи проводиться в приміщенні
дослідницькій лабораторії. Проектування корпоративної мережі неможливе без
використання сучасної комп’ютерної техніки. Тому необхідно створити
раціональні та безпечні умови праці працівників під час роботи в лабораторії.
Потрібно звернути особливу увагу на фактори робочого середовища, які
безпосередньо впливають на працюючого, що призводить до зміни його
продуктивності, впливають на здоров'я і працездатність співробітника, який
працює в лабораторії. За рівнем фізичних навантажень робота співробітника
лабораторії відноситься до категорії I а, оскільки практично не потребує
деякого фізичного навантаження при роботі ПК.
Розміри лабораторії становлять: ширина – 5,2 м, довжина – 7,6 м, висота
2
стелі – 2,8 м, площа приміщення складає 39,52 м . Лабораторія розрахована на
максимальну кількість працюючих 4 особи. Звідси площа, яка припадає на одну
2 3
людину, дорівнює: 9,88 м . Об’єм приміщення складає: 110,656 м . Звідси об'єм,
3
який припадає на одну людину, дорівнює 27,664 м , що відповідає вимогам
нормативних документів.
Лабораторія розташована в північній частині корпусу підприємства, стіни
мають світле забарвлення із коефіцієнтом відбиття світла понад 50%, колір має
матову структуру.
Параметри мікроклімату в робочому приміщенні мають дуже важливе
значення, оскільки вони безпосередньо впливають на здоров’я та самопочуття
співробітника. Згідно з ДСН 3.3.6.042-99 нормативні значення основних
факторів мікроклімату наступні:
1. Температури повітря:
Арк.
ТК65.020701.248 ПЗ 90
Зм. Арк. № документа Підпис Дат.

- в теплий період року – 23 - 25 °С (допустима – 20 - 28 °С). ;
- в холодний період року – 22 - 24 °С (допустима – 21 - 25 °С).
2. Вологість повітря:
- в теплий період року – 40 - 60 %;
- в холодний період року – 40 - 60 %.
3. Швидкість руху повітря:
- в теплий період року – 0,1 м/с (допустима – 0,1...0,2 м/с) ;
- в холодний період року – 0,1 м/с (допустима – менше 0,1 м/с) .
Фактичні значення даних параметрів становлять відповідно:
1. Температури повітря:
- в теплий період року – 21-23 °С ;
- в холодний період року –21-22 °С .
2. Вологість повітря:
- в теплий період року – 45-52 %;
- в холодний період року – 47-54 %.
3. Швидкість руху повітря:
- в теплий період року – 0,1 м/с;
- в холодний період року – 0,1м/с.
Фактичні параметри мікроклімату повністю відповідають нормативним
вимогам згідно ДСН 3.3.6.042-99.
В лабораторії в холодний період року функціонує система
централізованого водяного опалення, яка відповідає ДБН В.2.5.67-2013. Для її
забезпечення встановлено 5 біметалевих радіаторів, що підтримують
температуру повітря в холодний період року – 22 - 24 °С.
Дослідницька лабораторія - це приміщення з однобічним природним
освітленням, північно-східною орієнтацією віконних отворів. Природне
освітлення забезпечується крізь вікна. Розміри чотирьох вікон приміщення
однакові і становлять 1,31,4 м.
Арк.
ТК65.020701.248 ПЗ 91
Зм. Арк. № документа Підпис Дат.

Згідно з ДБН В.2.5-28-2018 нормування природного освітлення
проводиться за допомогою коефіцієнта природного освітлення (КПО), розряд
зорової праці – II в, найменший об’єкт розрізнення – 0,25 мм, що відповідає
дуже високому ступеню точності зорової праці. Контрастність найменшого
об’єкту розрізнення та фонів: між текстом на моніторі та фоном, між текстом на
аркуші паперу та аркушем, букв на клавіатурі, між платою та деталями є
середньою. Фактичне значення КПО становить 15-18 %, що відповідає вимогам
ДБН В.2.5-28-2018.
Для темного часу доби передбачене штучне освітлення. При штучному
освітленні нормується величина освітленості в люксах (Лк), яка вибирається в
залежності від характеристик зорової праці з урахуванням найменшого розміру
об'єкта розрізнення, фону, контрасту об'єкта розрізнення з фоном.
Лабораторія обладнана двома світильниками ЛПО 11У–36-212, кожний з
яких має дві люмінесцентні лампи. Фактичний рівень штучного освітлення
складає 408 лк. Отже, рівень штучного освітлення на робочому місці
відповідає ДБН В.2.5-28-2018 тому система загального штучного освітлення не
потребує модернізації.
Головним джерелом шуму в приміщенні лабораторії є вентилятор
охолодження в системному блоці комп’ютера та принтер. Згідно з ДСН
3.3.6.037-99 «Санітарні норми рівнів шуму на робочих місцях» нормативне
значення еквівалентного рівня шуму при даному видові діяльності та типу
робочого місця складає 60 дБА, а рівень фактичного шуму становить 42-44
дБА, що відповідає нормативному рівню.
Робоче місце співробітника є постійним і представляє собою стіл (для
вільного переміщення інженера за столом встановлено рухоме крісло, яке
повторює анатомію тіла людини), в лівій частині якого встановлений
персональний комп'ютер. Робоче місце знаходиться в окремій лабораторії,
мебльованій столами зі встановленими на них обладнанням, зокрема ПК.
Монітори комп'ютерів розміщені так, щоб відстань від очей користувача до
Арк.
ТК65.020701.248 ПЗ 92
Зм. Арк. № документа Підпис Дат.

о
екрану складала не менше 70 cм, кут зору 30 , для мінімізації впливу
випромінювання на зір.
Умови праці інженерів - розробників при роботі з обладнанням крім
стану параметрів виробничого середовища, визначаються також
характеристиками використовуваного устаткування, якістю робочих матеріалів
у робочій зоні, конструкцією робочих меблів та її розмірними
характеристиками. Тип робочого крісла обирається у відповідності ДСТУ
7951:2015 та в залежності від тривалості роботи: при тривалій - масивне, при
короткочасній - крісло легкої конструкції, в якому легко пересуватися. Ширина
столу 0,85 м, усі предмети, що знаходяться на ньому розташовані на відстані не
більш 70 см від працівника, отже вони знаходяться в робочій зоні.
Електропроводка живлячої мережі в даному приміщенні прихованого
типу – прокладена під шаром штукатурки. Приміщення відноситься до 2 класу
приміщень: приміщення з підвищеною небезпекою ураження людини
електричним струмом (оскільки в приміщенні струмопровідна залізобетонна
підлога). Обладнання, встановлене в ньому живиться напругою 220 В і
споживає потужність менше ніж 2,5 кВт. Деяке обладнання, зокрема системний
блок ПК, має металевий корпус, тому згідно ДСТУ Б В.2.5-82:2016 в
лабораторії повинна бути передбачені заходи, щодо захисту працівників від
ураження електричним струмом.
Лабораторія відноситься до приміщень з категорією вибухопожежо-
небезпеки типу В, згідно з ДСТУ Б В.1.1-38:2016 (горючі та важкогорючі
рідини, тверді горючі та важкогорючі речовини, а також речовини, здатні
горіти тільки при взаємодії з водою, киснем повітря або один з одним.). В
даному приміщенні забезпечуються необхідні заходи щодо протидії
виникнення пожежонебезпечних ситуацій згідно з НАПБ А.01.001-2014
«Правила пожежної безпеки в Україні». План евакуації розміщений на стіні
лабораторії з вільним доступом до нього. Для попередження пожеж в ній
використовується електрична пожежна сигналізація променевого типу та
Арк.
ТК65.020701.248 ПЗ 93
Зм. Арк. № документа Підпис Дат.

теплові датчики типу (ИП-105-2) у кількості 4 шт відповідно ДБН В.2.5.56-
2014.
В приміщенні лабораторії встановлено порошковий вогнегасник ВП-5,
який закріплений у підставці на стіні поряд з дверима.
З усіма працівниками перед допуском до роботи проводять вступний та
первинний інструктажі згідно типового положення про навчання з питань
охорони праці (ДНАОП 0.00-4.12-05). Допуск до роботи відбувається після
проведення перевірки знань із вступного та первинного інструктажів. Перевірка
здійснюється згідно затвердженого переліку запитань.
Вступний інструктаж з питань охорони праці проводиться з усіма
працівниками, які щойно прийняті на роботу (постійну або тимчасову)
незалежно від їх освіти, стажу роботи за цією професією або посади.
Первинний інструктаж проводиться з працівниками та студентами на робочому
місці до початку роботи. Запис про проведення інструктажу робиться у
спеціальному журналі.
Повторний інструктаж проводиться на робочому місці з усіма
працівниками та студентами: на роботах з підвищеною небезпекою - 1 раз у
квартал, на інших роботах - 1 раз на півріччя.

Арк.
ТК65.020701.248 ПЗ 94
Зм. Арк. № документа Підпис Дат.

5.2 Способи захисту працівників лабораторії від ураження
електричним струмом
Для забезпечення захисту від ураження електричним струмом в
електроустановках повинні застосовуватися технічні способи і засоби захисту.
Вибір того або іншого способу або засобу захисту (або їх поєднань) в
конкретній електроустановці і ефективність його застосування залежать від
цілого ряду чинників, зокрема від:
- номінальної напруги;
- роду, форми і частоти струму електроустановки;
- способу електропостачання (від стаціонарної мережі, від автономного
джерела живлення електроенергією);
- режиму нейтралі джерела трифазного струму (середньої точки джерела
постійного струму) - ізольована нейтраль, заземлена нейтраль;
- виду виконання (стаціонарні, пересувні, переносні);
- умов зовнішнього середовища;
- схеми можливого включення людини в ланцюг протікання струму
(прямий однофазний, прямий двофазний дотик; включення під напругу кроку);
- виду робіт (монтаж, наладка, випробування) і ін.
Крім того, за принципом дії, всі технічні способи захисту поділяються на:
- що знижують до допустимих значень напруги дотику і кроку;
- що обмежують час дії струму на людину;
- що запобігають прямому дотику до струмопровідних частин.
Основними технічними засобами захисту є:
- захисне заземлення;
- автоматичне відключення живлення (занулення);
- пристрої захисного відключення.
Одним з основних засобів захисту від ураження електричним струмом є
пристрої захисного відключення (ПЗВ). ПЗВ - це пристрої автоматичного
відключення електроустановок при однофазному дотику до частин, що
Арк.
ТК65.020701.248 ПЗ 95
Зм. Арк. № документа Підпис Дат.

знаходяться під напругою, неприпустимою для людини, і (або) при виникненні
в електроустановці струму витоку (замикання), що перевищує задані значення.
Призначення захисного відключення – забезпечення електробезпеки, що
досягається за рахунок обмеження часу дії небезпечного струму на людину. Це
забезпечується спеціальним пристроєм захисного відключення, який забезпечує
електробезпеку при дотику людини до струмопровідних частин устаткування,
дозволяє здійснювати постійний контроль ізоляції, відключає установку при
замиканні струмопровідних частин на землю. Для захисту людей від ураження
електричним струмом застосовуються ПЗВ із струмом спрацьовування не
більше 30 мА.
Сфера застосування захисного відключення: електроустановки в мережах
з будь-якою напругою і будь-яким режимом нейтралі. Найбільше поширення
захисне відключення набуло в електроустановках, використовуваних в мережах
напругою до 1 кВ із заземленою або ізольованою нейтраллю.
Принцип роботи ПЗВ полягає в тому, що він постійно контролює вхідний
сигнал і порівнює його із заданою величиною. Якщо вхідний сигнал перевищує
цю величину, то пристрій відключає захищену електроустановку від мережі. Як
вхідні сигнали пристроїв захисного відключення використовують різні
параметри електричних мереж, які несуть в собі інформацію про умови
ураження людини електричним струмом. ПЗВ реагує на «струм витоку» і
протягом сотих доль секунди відключає електрику, захищаючи людину від
ураження електричним струмом, воно уловлює щонайменший витік струму і
розмикає контакти.
Конструктивно ПЗВ (рис. 5.1) бувають двох видів:
- електронні, залежні від напруги живлення, їх механізм для виконання
операції відключення потребує енергії, що отримується або від контрольованої
мережі, або від зовнішнього джерела;
- електромеханічні, незалежні від напруги живлення, вони дорожче
електронних ПЗВ, але мають більшу чутливість. Джерелом енергії, необхідної
Арк.
ТК65.020701.248 ПЗ 96
Зм. Арк. № документа Підпис Дат.

для функціонування таких ПЗВ є сам вхідний сигнал – диференціальний струм,
на який воно реагує.

Рисунок 5.1 - Схема пристрою захисного вимкнення

Всі ПЗВ за вхідним сигналом класифікують на декілька типів:
- що реагує на напругу корпусу щодо землі;
- що реагує на диференціальний (залишковий) струм;
- що реагує на комбінований вхідний сигнал;
- що реагує на струм замикання на землю;
- що реагує на оперативний струм (постійний; змінний 50 Гц);
- що реагує на напругу нульової послідовності.
Застосування ПЗВ повинне здійснюватися відповідно до Правил
улаштування електроустановок (ПУЕ).
Арк.
ТК65.020701.248 ПЗ 97
Зм. Арк. № документа Підпис Дат.

Технічні характеристики автоматичного вимикача диференційного
струму АВДТ34 наведены в таблицы 5.1.
Таблиця 5.1 - Технічні характеристики автоматичного вимикача
диференційного струму АВДТ34:
Найменування параметру Значення
Кількість полюсів 3Р+N
Наявність захисту від надструмів В кожному
фазному полюсі
Номінальна робоча напруга Ue, В 400
Діапазон робочих напруг U, В 50÷460
Номінальна частота мережі, Гц 50
Номінальний струм In, А 6; 10; 16; 20; 25;
32
Номінальний вимикаючий диференційний струм
10; 30; 100, 300
(уставка) IΔn, мА
Номінальний невідключаючий диференційний струм
0,5IΔn
IΔn0, А
Номінальна комутаційна спроможність Icn, А 6000
Робоча характеристика у випадку диференційного
А
струму зі складовою постійного струму, тип
Характеристика спрацювання від надструмів, тип С
Механічна зносостійкість циклів В-О, не менше 10000
Електрична зносостійкість, циклів В-О, не менше 6000
Максимальний перетин дроту, який приєднується до
25
затискачів, мм²
Маса, кг 0,4
Ступінь захисту IP20
Кліматичне виконання УХЛ3.1

ПЗВ вибираються за двома параметрами: чутливість (номінальний
вимикаючий диференційний струм) і номінальний струм. Для захисту людини
Арк.
ТК65.020701.248 ПЗ 98
Зм. Арк. № документа Підпис Дат.

від ураження струмом пропонується автоматичний вимикач диференційного
струму АВДТ34 з вбудованим захистом від надструмів, який реагує не лише на
синусоїдальні перемінні диференційні струми, але і на пульсуючі постійні
диференційні струми.
Автоматичні вимикачі диференціального струму АВДТ34 призначені для
захисту людини від ураження електричним струмом при ушкодженні ізоляції
електроустановок, для запобігання пожеж внаслідок протікання струмів витоку
на землю і для захисту від перевантаження і короткого замикання в мережах
змінного струму напругою 400 В і частотою 50 Гц.
Автоматичні вимикачі диференціального струму АВДТ34 (рис. 5.2)
випускаються в 4-полюсном виконанні на номінальні струми 6А, 10А, 16А,
25А, 32А і номінальні вимикаючі диференційні струми 10мА, 30мА, 100мА,
300мА.

Рисунок 5.2 - Автоматичний вимикач диференціального струму АВДТ34

Для захисту обладнання від стрибків напруги в живлячій мережі можливо
застосувати реле контролю напруги, зокрема, ZUBR D40, яке призначене для
захисту приміщень від стрибків і падінь напруги в однофазної мережі
220В/50Гц. Реле контролю напруги (відсікач напруги) Зубр D40
Арк.
ТК65.020701.248 ПЗ 99
Зм. Арк. № документа Підпис Дат.

комплектується потужними клемами з фібергласу, що дозволяє пропускати
через нього струм до 32 А, без застосування магнітних пускачів.
Реле захисту від перенапруги має цифровий формат, легко налаштовується
за допомогою 3 кнопок. Вручну задається верхня і нижня межа відключення.
Можливо також подивитися останню аварійну напругу, в результаті якої
прилад відключив живлення.
Реле контролю напруги призначене для захисту різноманітних споживачів
струму, а також електрообладнання, чутливого до відхилень напруги (рис. 5.3).

Рисунок 75.3 - Реле контролю напруги ZUBR D-40

Технічні характеристики реле контролю напруги ZUBR D-40:
• Потужність навантаження: 8800 ВА,
• Струм навантаження: 40 А,
• Напруга живлення: 100-400 В,
• Верхня межа напруги: 220-280 В,
• Нижня межа напруги: 120-210 В,
• Надійні та потужні обтискні клеми,
• Корпус з самозатухаючого полікарбонату,
• Запам'ятовування аварійного напруги,
• Час відключення навантаження при підвищенні: не більше 0,05 сек,
• Час відключення навантаження при пониженні: не більше 1,20 сек,
Арк.
ТК65.020701.248 ПЗ 100
Зм. Арк. № документа Підпис Дат.

• Час затримки на включення: 3-600 сек,
• Габарити: 7×8,5×5,3 см.
Реле має працювати таким чином, щоб уникнути перенапруження і при
цьому не допустити занадто малої напруги в електричній мережі.
Чинники, що вказують на необхідність встановлення РКН: при розриві
повітряної лінії електропередачі напруга може підвищуватися до 160 В більше
стандартної, в результаті чого електричні прилади згоряють і потребують
дорогого ремонту; у погану погоду обрив нейтрального проводу призводить до
збільшення навантаження і поломок електропобутової техніки; напруга може
знижуватися до надто низьких показників, якщо будинок знаходиться далеко
від трансформатора, а це може призвести до поломок техніки; електрична
мережа відчуває серйозні перевантаження під час включення потужних
приладів, при цьому інша техніка відчуває нестачу напруги.
Основа РКН — мікросхема, яка керує роботою приладу. Мікросхема
відстежує зміни показників напруги, і в разі необхідності посилає команду
електромагнітному реле про відключення пристрою, що стабілізує напругу.
Діапазон функціонування РКП знаходиться в межах 100-400 В.
РКН включає в себе два елементи: електронний та силовий. Електронна
частина відповідає за контроль напруги, силова частина — розподіляє
навантаження. Основна складова реле — мікропроцесор, який забезпечує
плавність зміни показника напруги. Найважливішим показником ефективності
РКП є здатність швидкого спрацьовування. Швидкість і поріг спрацьовування
визначаються параметрами потенціометра.
Від стабілізаторів РКН відрізняється принципом роботи. При раптових
змінах напруги реле нейтралізує ті місця, де показники напруги нижче
нормальних. На відміну від РКН, стабілізатори сприяють рівномірному
розподілу напруги електромережі. Використання РКН вважається більш
ефективним, оскільки в разі потреби — це пристрій відключить проблемні
ділянки мережі.
Арк.
ТК65.020701.248 ПЗ 101
Зм. Арк. № документа Підпис Дат.

РКН застосовуються для захисту:
- від розривів, злипання, зміни положення фази;
- однофазної або трифазної електромережі;
- електричного обладнання від перепадів напруги;
- пристроїв, які повільно функціонують в перехідному положенні;
- приладів з високим навантаженням на електричний двигун;
- деяких пристроїв, які потребують високоякісної напруги на повних
фазах;
Переваги РКН:
- широкий діапазон робочих температур: -20 C — +40 C, що дає
можливість застосовувати реле, як всередині будівель, так і назовні;.
- великий асортимент дозволяє підібрати прилад бажаної цінової групи;
- РКН гарантує ефективний захист чутливої до перепадів напруги техніки,
що дозволяє уникнути її поломки і дорогого ремонту;
- завдяки різноманітності моделей, є можливість підібрати саме таке РКН,
яке буде максимально відповідати технічним запитам споживача;
- при змінах напруги реле не допускають коливань інтенсивності
освітлення;
- пристрій здатний автоматично відключати аварійні місця в електричній
мережі;
- сучасні модифікації РКП мають привабливий дизайн, який може вдало
поєднуватися з інтер'єром приміщень.
Залежно від різновиду підключення реле класифікують за трьома типами:
у вигляді вилки і розетки; у вигляді подовжувача; монтується на рейку.
РКН першого різновиду характеризується присутністю вилки, завдяки
чому полегшується монтаж реле. Такий пристрій достатньо лише підключити в
розетку. Реле захищає лише окремих споживачів. Подібні прилади оснащені
кнопками, якими можна контролювати граничні рівні навантаження.
За видами навантаження РКН класифікуються як: однофазні та трифазні.
Арк.
ТК65.020701.248 ПЗ 102
Зм. Арк. № документа Підпис Дат.

Для захисту трифазних двигунів застосовуються однофазні реле. Такі
пристрої здатні захистити такі електроприлади, як холодильники, кондиціонери
та іншу техніку з електричним приводом.
Трифазні РКН застосовуються для забезпечення контролю повнофазності.
Якщо є трифазний вхід, можна поставити трифазні реле. Однак якщо зникне
якась фаза, з пара, що залишилась, буде тут же відключена. У випадку навіть
незначних коливань або перекосів фаз РКН буде тут же спрацьовувати.
Наприклад, при напрузі на одній з фаз в 220 Вт, а на іншій — 210 Вт,
відключаться обидві фази. При тому, що такі показники навантаження
нормальні і не заподіють шкоди електричних приладів.
5.3 Висновки до розділу
В результаті проведеного аналізу можливо зробити висновок про те, що
найбільш важливим чинником, що впливає на безпеку праці інженера-
розробника є можливість його ураження електричним струмом. Тому необхідно
запропонувати заходи захисту працівників лабораторії від ураження
електричним струмом.
Також слід зазначити, якщо є три фази на вході, рекомендується поставити
на кожну фазу власне однофазне реле. Підбираючи потужність РКН потрібно
брати до уваги, що на приладі вказана потужність, яку пристрій може
пропустити через себе, але не розімкнути. Виходячи з цього потрібно набувати
однофазне РКН на 30-50 ампер вище можливостей електричної мережі.

Арк.
ТК65.020701.248 ПЗ 103
Зм. Арк. № документа Підпис Дат.

ВИСНОВОК
В дипломній роботі розв’язана задача побудови і налаштування
комп’ютерної мережі з використанням мережевого обладнання фірми Mikrotik з
детальним наведенням послідовності конфігурування, що вирішує основні
задачі IT інфраструктури для мереж малого і середнього бізнесу.
При цьому отримані наступні результати:
огляд циклу проектування корпоративної комп'ютерної
мережі;
проведено розробку фізичної моделі проектованої корпоративної
комп'ютерної мережі;
-програмні засоби та
аспекти організації мережевої інфраструктури;
-
програмного засобу;

маршрутизатор MikroTik;

маршрутизатора і WI-FI точок доступу задля забезпечення максимального
захисту локальної мережі .
Завдання створення ефективних інтегрованих систем функціонування і
захисту комп'ютерної мережі може бути вирішено за допомогою набору
методів і технологій, реалізованих в сучасному телекомунікаційному
обладнанні, такому як mikrotik, cisco, juniper, ubiquiti, тощо. За умови
розумного проектування системи безпеки в організації такий підхід дозволяє
ефективно протидіяти порушенню інформаційної безпеки за невеликі кошти.

Арк.
ТК65.020701.248 ПЗ 104
Зм. Арк. № документа Підпис Дат.

СПИСОК ВИКОРИСТАНОЇ ЛІТЕРАТУРИ
1. https://dl.nure.ua/pluginfile.php/1143/mod_resource/content/1/content/co
ntent1.html
2. Олифер В.Г., Олифер Н.А. Компьютерные сети. Принципы,
технологии, протоколы: Учебник для вузов. — 5-е изд. — СПб.: Питер, 2019. —
992 с.: ил.- (Серия «Учебник для вузов»)
3. Стивен Браун. Виртуальные частные сети. – М.: Вильямс, 2003
4. Manual MikroTik веб-сайт. URL:
https://wiki.mikrotik.com/wiki/Manual:TOC
5. Mikrotik Router OS - описание и возможности: веб-сайт. URL:
https://lanmarket.ua/stats/mikrotik-router-os-opisanie-i-vozmozhnosti/ (дата
звернення: 19.02.2020);
6. Оглтрі Т.В. Firewalls. Практичні застосування міжмережевих
екранів. «ДМК», М., 2008. - 109 с .;
7. RB1100Hx2 basic setup: веб-сайт. URL: https://forum.mikrotik.com
(дата звернення: 15.03.2020);
8. Специфікація MikroTik RB1100AHx2: веб-сайт. URL:
https://mikrotik.com/product/RB1100AHx2#fndtn-specifications (дата звернення:
15.03.2020);
9. Специфікація MikroTik cAP ac: веб-сайт. URL:
https://mikrotik.com/product/cap_ac (дата звернення: 15.03.2020);
10. Специфікація MikroTik CSS326-24G-2S+RM: веб-сайт. URL:
https://mikrotik.com/product/CSS326-24G-2SplusRM
11. MikroTik product support service URL: https://help.mikrotik.com/docs/
12. Біячуев Т.А. Безпека корпоративних мереж. СПб., 2008. - 327 с.;
13. Щеглов А.Ю. Захист комп'ютерної мережі від несанкціонованого
доступу. «НиТ», СПб., 2009. - 202 с.;

Арк.
ТК65.020701.248 ПЗ 105
Зм. Арк. № документа Підпис Дат.

Репозиторій ЧДТУ