MikroTik: настройка VLAN для домашней сети с нуля

VLAN позволяет разделить одну физическую сеть на несколько изолированных — например, отдельная сеть для гостей, для IoT-устройств и для домашних компьютеров. Разберём как настроить VLAN на MikroTik с нуля.

Зачем нужен VLAN дома

• Гостевая сеть — гости имеют доступ в интернет, но не к вашим домашним устройствам
• IoT-сеть — умные лампочки и камеры изолированы от основных компьютеров
• Рабочая сеть — рабочий ноутбук отделён от развлекательных устройств

Схема сети

В нашем примере создадим два VLAN:

• VLAN 10 — основная сеть (192.168.10.0/24)
• VLAN 20 — гостевая сеть (192.168.20.0/24)

Шаг 1 — Создаём VLAN-интерфейсы

Подключаемся к MikroTik через Winbox. Переходим: Interfaces → Add → VLAN.

/interface vlan
add name=vlan10 vlan-id=10 interface=bridge comment="Main"
add name=vlan20 vlan-id=20 interface=bridge comment="Guest"

Шаг 2 — Настраиваем IP-адреса

/ip address
add address=192.168.10.1/24 interface=vlan10
add address=192.168.20.1/24 interface=vlan20

Шаг 3 — Настраиваем DHCP-серверы

/ip pool
add name=pool-vlan10 ranges=192.168.10.100-192.168.10.200
add name=pool-vlan20 ranges=192.168.20.100-192.168.20.200

/ip dhcp-server
add name=dhcp-vlan10 interface=vlan10 address-pool=pool-vlan10 disabled=no
add name=dhcp-vlan20 interface=vlan20 address-pool=pool-vlan20 disabled=no

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1

Шаг 4 — Изолируем гостевую сеть

Гости должны выходить в интернет, но не видеть основную сеть:

/ip firewall filter
add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 action=drop comment="Block guest to main"

Шаг 5 — Настраиваем NAT для обоих VLAN

/ip firewall nat
add chain=srcnat src-address=192.168.10.0/24 action=masquerade
add chain=srcnat src-address=192.168.20.0/24 action=masquerade

Настройка портов на свитче

Если у вас управляемый коммутатор — настройте порты как access (для конкретного VLAN) или trunk (несёт несколько VLAN, обычно используется для порта к роутеру и к точкам доступа). Если свитч неуправляемый — подключите устройства напрямую к нужным портам MikroTik.

Итог

VLAN на MikroTik настраивается за 15–20 минут и даёт реальную изоляцию между сегментами сети. После настройки гостевые устройства будут иметь интернет, но не смогут добраться до ваших домашних компьютеров и NAS.