MikroTik-TW (Line id:routeros)

假如你要把機器的Eth4跟Eth5這二個網口設成第二個區網網段並且要在這二個網口上面啟用第二組Dhcp server。

1.先去Bridge新增一個虛擬的橋接，Bridge的名字自訂。

2.在Bridge的port頁面把eth4跟eth5橋接進去剛剛新增的Bridge。假如eth4跟eth5已被橋接走了，就把它解除橋接接即可。如果vlan接口也要的話,一樣橋接進去即可。

3.在ip address裡面新增一個你想要的第二個區網網段，ip格式要怎麼填就參考裡面已經有的設定。然後把interfaces指定到剛剛做的虛擬Bridge這個接口。

接下來參考底下圖文設定，圖片裡面的ip位址自己修改成你要的。

照圖操作,先設定pool要分配的ip區間.

pool設定完成

17.設定dhcp server.

18.選擇lan端的網卡跟剛剛做的pool,把下圖的interface:ether2-Lan 換成剛剛新增的Bridge接口.

下圖的interface  ether2-Lan 一樣換成剛剛新增的Bridge接口.

network設定

設定完成

以上 dhcp server 設定完成.

接下來設定防火牆的nat轉發（MASQUERADE）,

這樣 lan 端的電腦才有辦法透過路由器上網.

19.照圖操作

設定完成

以上操作全部完畢。

因為太簡單,請看圖操作即可.

緣由:

大約在V6.42.1以前的版本因系統存在漏洞問題，導致駭客可以輕易的從遠端竊取管理員登入帳密後登入RouterOS.

目的:

駭客成功駭進去RouterOS之後會修改防火牆設定，藉由NAT封包轉送功能，會對路由器底下的使用者的瀏覽器強制引導轉向去開啟特定的網頁，以達到對使用者的瀏覽器植入惡意插件。

目前發現的狀況會有底下這些地方遭到修改。

1.WEB-PROXY跟Socks被啟用.

2.DNS被修改.

3.NAT裡面的80 PORT 被設定Redirect轉向到Proxy.

4.System裡面的Scripts跟Scheduler被加料.

5.防火牆裡面的filter跟Mangle被加了一堆設定.

6.files裡面多了proxy跟其它沒見過的檔案.

7.管理員帳戶被增加其它陌生帳號.

8.管理員帳戶Allowed address位置被增加陌生的ip設定.

9.ip services裡面的port可能也會被修改.

10.整個系統OS可能被更換成不能更新也不能降版的版本，也可能不能還原設定或是重置.

如何修復:

1.Netinstall重新安裝OS，這樣系統最乾淨。

2.如果實在沒有辦法重新安裝OS的話，只好使用系統更新，把版本更新到最新版。

3.系統在線更新時，如果你的機器Files儲存空間很小，記得先清空Files，否則可能會造成更新失敗而死機(這樣只能用Netinstall救活)。

4.如果在線或離線都更新失敗，這可能是系統已經被改寫成被修改過無法更新的版本所致，這時候只能用Netinstall重新安裝OS.

5.最後記得變更原本的管理員帳號跟密.

這裡有官方提供如何保護路由器與防火牆規則介紹 

以上。

相關資料參考（余老師blog）

www.irouteros.com/?p=338

其實這個設定非常的簡單,應該很好理解才對.

不過還是有人看不懂,只好弄個圖片簡單說明一下

底下這台機器是RB750Gr3 使用新版的OS出廠即會預設一組Bridge1.

ETH2～ETH5預設都是橋接起,變成一個SWITCH.

假設希望把ETH5獨立出來弄成第二個網段,請看以下圖示說明

1.選單位置 Bridge

2.RB750Gr3 使用新版的OS即會預設一組Bridge1.

先從Bridge按 +號 新增第二個Bridge,假設為Bridge2.

（Bridge2只是一個名稱,文字可以自訂）

3.設好Bridge2後如下圖

4.接下來從PORT選單把Ether5點出來,如下圖自行修改綁到Bridge2.

5.設好綁定後如下圖

6.接下來新增第二個網段如下圖操作.

5.設好ip後如下圖

至於第二個網段的dhcp server該如何設定,請參考這裡.

（從第16開始看）