HomeLab #1MikroTik 作为家用路由器请自行承担风险……但这很值得一切是如何开始的……有段时间一直在考虑搭建自己的家庭实验室。想在不依赖云服务提供商的情况下开发项目或拥有自己的存储空间存放备份毕竟云存储价格越来越高。没有完善的网络设置家庭实验室就不算完整。鉴于使用 ISP 提供的路由器时遇到性能和安全问题希望更好地控制家庭网络流量。决定将流量集中在有线连接上以减轻 WiFi 负担确保本地网络中设备之间的连接尽可能快。这时Mikrotik L009UiGS - RM 派上用场。它有足够多的千兆以太网端口可连接墙上所有以太网接口。PoE 功能也是亮点可不用电源适配器为接入点供电。这款路由器体积小巧可安装在墙上。了解你的 ISP不过动手设置路由器前得先弄清楚 ISP 如何提供互联网连接这可不简单。有两件事决定设置方式且相互独立广域网WAN的认证方式以及它获取的 IPv4 地址类型。在技术论坛上快速搜索或咨询 ISP 的客服通常就能得到答案。IPoE 还是 PPPoE在波兰有些提供商直接插入以太网电缆通过 DHCP 分配地址这就是 IPoE。而另一些则需要 PPPoE 用户名和密码有时还需要通过专用 VLAN。具体的设置路径完全取决于这个细节。协议ISP 提供的内容MikroTik 上的典型设置IPoE通过 WAN 上的 DHCP 提供 IP 地址、网关和 DNS在 WAN 端口添加 DHCP 客户端PPPoE用户名和密码有时需要通过 VLAN如有需要创建 VLAN然后添加 PPPoE 客户端公网还是私网 WAN IPv4协议只说明了路由器的登录方式。另外还需要检查获得的地址是公网还是私网地址因为 WAN 端口使用私网 IPv4 地址通常意味着采用了 CGNATISP 会在多个客户之间共享一个公网 IPv4 地址并在向上游进行地址转换这样就不会有未经请求的流量路由到这里。WAN IPv4含义影响公网专用于线路的可路由地址端口转发、UPnP 和入站连接正常工作私网CGNATISP 的 NAT 后面的共享地址除非 ISP 提供公网 IPv4 附加服务否则入站连接通常无法工作警告DS - Lite 注意事项DS - Lite 是最严格的 CGNAT 形式WAN 根本没有 IPv4 地址只有一个公网 IPv6 地址IPv4 流量会通过 IPv6 隧道传输到 ISP 的 AFTR。MikroTik 本身支持 DS - Lite 隧道但它不支持自动接收建立隧道所需的 AFTR 地址。由于路径中没有公网 IPv4 地址端口转发、UPnP、入站连接和许多远程访问工具都将无法工作。如果 ISP 提供 DS - Lite 或私网 IPv4 服务而又需要入站 IPv4 访问请在购买路由器之前询问是否有付费的公网 IPv4 附加服务或者考虑更换 ISP。光纤连接使用的是 VLAN 35 上的 PPPoE并且分配的是私网 IPv4 地址。本文接下来的内容将围绕这个设置展开。设置 MikroTik 路由器首先给路由器通电。用一根以太网电缆将笔记本电脑连接到 MikroTik 的任意 LAN 端口通常是编号为 2 或更高的端口。将端口 1 留作光网络终端ONT的上行链路稍后它将成为 WAN 端口。打开 WinBox切换到 Neighbors 选项卡应该能看到路由器的地址为 192.168.88.1或者是它的默认 MAC 地址。使用 admin 用户和空密码登录然后立即更改默认的管理员密码因为有些 RouterOS 设备仍然使用空白或默认的凭据。之后运行快速设置为路由器设置一个稳定的管理地址和本地子网。稍后还会回来移除默认的无线桥接并进行更简洁的配置。连接互联网光网络终端位于家庭网络的边缘。用一根以太网电缆将 ONT 连接到 MikroTik 的端口 1。当链路指示灯亮起时路由器就能检测到载波信号了。有些 ISP包括我的会将服务绑定到他们提供的路由器的 MAC 地址上。如果插入一个 MAC 地址不同的 MikroTik 路由器即使 VLAN 和 PPPoE 设置正确连接也无法认证。解决办法是将原路由器的 MAC 地址克隆到 WAN 端口。可以从 ISP 路由器的标签上或者其状态页面上读取该 MAC 地址。将其克隆到 ether1 上。由于 VLAN 接口和 PPPoE 客户端都基于 ether1它们会自动继承这个 MAC 地址这样 ISP 就能看到它期望的地址了。克隆的 MAC 地址在重启后仍然有效。如果以后要将连接改回原路由器可以使用 /interface ethernet reset - mac - address ether1 命令恢复该端口的出厂地址。ISP 会给 PPPoE 流量打上 VLAN 35 的标签。RouterOS 需要在 ether1 之上创建一个 VLAN 接口才能进行 PPPoE 通信。给它取一个有描述性的名字这样以后就不用猜测 vlan1 是什么意思了。创建好 VLAN 后就可以创建 PPPoE 客户端了。告诉它使用 VLAN 接口接受 ISP 提供的默认路由并使用 ISP 的 DNS 服务器。一开始先将用户名和密码留空等接口创建好后再填写。现在设置 ISP 提供的凭据。状态应该会在几秒钟内从 linking 变为 connected。确认默认路由已经添加。如果输出显示 pppoe-out1 为网关说明流量可以访问互联网了。搭建简洁的 WiFi 网络对于无线网络使用了一个通过以太网供电的独立 wAP 接入点。路由器的端口 8 同时为接入点提供数据和电力。启用该端口的 PoE 输出功能wAP 无需电源适配器就能启动。逐个管理每个接入点并不现实。RouterOS 包含 CAPsMAN 功能它可以让路由器充当中央控制器。只需定义一个安全配置文件、数据路径以及 2.4 GHz 和 5 GHz 的信道模板接入点就会自动下载这些配置。首先在控制器上创建共享对象。在接入点上启用 CAP 模式并将无线网卡指向管理器。回到控制器上应该能看到动态无线网卡条目出现。每个无线网卡都会采用与其频段匹配的配置。解决缓冲区膨胀问题在一个典型的周末晚上发现了一件奇怪的事情。正在玩《反恐精英》但游戏开始出现延迟原来是因为网络延迟波动。后来发现是另一台设备开始进行 iOS 更新并且一部手机正在将照片上传到云备份中。问题的根源是缓冲区膨胀。缓冲区膨胀是指网络设备内部数据包队列过度填充导致的延迟过高问题。当链路饱和时就会出现这种情况因为大缓冲区会保留数据包而不是快速丢弃或标记它们。这样实时流量就会在批量传输后面等待。队列填满延迟飙升游戏数据包被积压在大量流量后面。没有其他竞争流量时延迟会保持在较低水平。游戏发送的数据包较小队列中通常只保留一两个帧。另一台设备开始下载。缓冲区吸收了突发流量但无法快速清空因此游戏数据包在后面等待时延迟就会上升。上传操作也加入进来在非对称链路上上传队列通常是问题最严重的地方。现在游戏在两个方向上都面临排队问题。缓冲区已满。即使是很小的游戏数据包也得等到前面的批量流量处理完才能通过这就会导致游戏画面卡顿和语音聊天延迟。可以通过在线测试来测量这个问题使用的是 Cloudflare 速度测试。它会报告加载和未加载时的延迟这样就能直接看到缓冲区膨胀的等级。DSLReports 曾经是这方面的参考标准但该网站在 2025 年 3 月关闭了。仍然可以通过在终端中 ping 一个稳定的主机并同时运行任何速度测试来大致了解情况。FQ - CoDel 来救场RouterOS 支持多种队列调度算法。默认的 FIFO 队列只是按照接收顺序存储数据包。当链路满负荷时每个数据流都要在其他数据流后面等待。FQ - CoDel 则将流量分成许多小的数据流并为每个数据流分配公平的处理时间同时丢弃在队列中停留时间过长的数据包。这样可以在不使用复杂防火墙规则的情况下保持较低的延迟。要使用 FQ - CoDel首先需要创建一个队列类型因为 RouterOS 默认不包含它。默认参数是一个不错的起点。5 ms 的目标值定义了可接受的队列延迟。100 ms 的间隔时间大致对应最坏情况下的往返时间预算。重要的是最大限制值。它必须低于实际线路速率而不是等于它。如果将速率限制设置为链路的 100%ISP 的设备仍然会首先饱和并且会在那里形成膨胀的队列这就超出了控制范围。一个常见的经验法则是将限制设置为测量到的下载和上传速度的 90 - 95%。这样可以将瓶颈控制在路由器上让 FQ - CoDel 能够真正管理队列。简单队列不适用于被防火墙快速转发的数据包。快速转发Fast Track为了提高性能会绕过队列系统。为了让队列生效需要禁用或完全移除快速转发规则。如果存在这样的规则可以选择禁用它或完全移除它。要注意移除快速转发规则会增加高吞吐量链路上的 CPU 负载。对于配备能够处理线速转发的 CPU 的现代 MikroTik 路由器来说为了降低延迟这种权衡是值得的。做出更改后再次运行 Cloudflare 速度测试。应该会看到缓冲区膨胀等级有所改善尤其是在上传负载下。脚注1. IPoE 相关解释链接指向2. PPPoE 相关解释链接指向3. VLAN 相关解释链接指向4. CGNAT 相关解释链接指向5. 地址族转换路由器Address Family Transition Router。AFTR 是 DS - Lite 中 IPv4 - in - IPv6 隧道的 ISP 端终结点它会对用户的 IPv4 流量进行解封装执行 NAT 操作并将其路由到 IPv4 互联网。6. 光网络终端相关解释链接指向7. 以太网供电相关解释链接指向8. FQ - CoDel 相关解释链接指向