• Einfache Konfiguration selbst ohne IP-Adressvergabe über MAC-Adresse per Winbox.
• SafeMode (oben links): Konfiguration wird sofort aktiv, aber nicht zurück geschrieben bis man Safe-Mode beendet. Vorher reicht aus/ein für Urzustand.
• Komplette Konfiguration per Winbox, WEB-Gui oder SSH.
• Werksreset: Reset-Taste (ca. 5 sek.) + Power-on oder SSH: /system reset-configuriation

RouterOS wird in Lizenzlevel 0 (Demo) bis 6 (Controller) angeboten.
Preise und Funktionen: https://help.mikrotik.com/docs/display/ROS/RouterOS+license+keys
Alle Lizenzen:

• gelten zeitlich unbegrenzt
• beinhalten alle zukünftigen Updates
• können unbegrenzt Interfaces nutzen
• sind für ein Gerät

Einrichtung:

• Passwort unter System / Users festlegen
• IP unter IP / Addresses (pro Interface oder Bridges)
• Internetzugang kann auf beliebigen Port definiert werden
  - DHCP-Client einrichten, DNS, NTP, Default-Gateway aktivieren (Default-Route wird automat. erstellt unter IP -> Routes)
  - NAT einrichten (IP -> Firewall -> NAT): Chain: srcnat, Src.Address: [LAN\24], Out.Interface: Internet,  Action: masquerade
  - DNS-Weiterleitung: IP -> DNS: Allow Remote Requests ->aktivieren
• Firewall (IPTables) unter IP -> Firewall ist per Default aus
• Portforwardings: IP -> Firewall -> NAT: Chain:dstnat, Protocol:tcp, Dst.Port:80,443, In.Interface oder In.Interface List:festlegen(WAN), Action:dst-nat, To-Adresses:192.168.0.24/32

Firewallregeln
"Action: log" nutzen zur Fehlersuche
Regeln können deaktiviert werden (D/E), ohne sie zu löschen.
In den einzelnen Regeln wird der Traffic für jede Regel angezeigt, d.h. man sieht ob die Regel greift.

• INPUT Regeln zum Router
• Erlaube alle Antworten zur Verbindung (statefull): Chain: input,  Connection State: established+related, Action: accept
• Management-Interface erlauben: Chain: input,  In.Interface: festlegen oder Bridge-LAN, Action: accept
• DNS-Server des Routers erlauben: Chain: input,  Dst.Address: [LAN-IP des Routers], Protocol: UDP, Dst.Port: 56(DNS), Action: accept
• DNS-Server des Routers erlauben:  wie oben, aber TCP
• ggf. PING vom LAN erlauben: Chain: input, Protocol: icmp, In.Interface: Bridge-LAN, Action: accept
  
  
• INPUT DROP REGEL
  Drop All: Chain: input, Action: drop  (Achtung! Dann ist alles zu!, ggf. erst Action: log)
  
  
  
• FORWARD Regeln (Traffic durch den Router)
• Erlaube alle Antworten zur Verbindung (statefull): Chain: forward+related,  Connection State: established, Action: accept
• Erlaube lokale PCs über HTTP/S zu Internet: Chain: forward, Dest.Address: NICHT! 192.168.1.0/24 (LAN), Protocol: TCP, Dst.Port: 80,443, In.Interface: LAN-Ports/Bridge, Action: accept
• Bsp: Erlaube PING LAN ins Gäste-LAN: Chain: forward, Protocol: ICMP, In.Interface: Bridge-LAN, Out.Interface: bridge-gast, Action: accept
• Bsp: Erlaube WebServer im Gäste-LAN aus LAN: Chain: forward, Protocol: TCP, Dst.Port:80.443, In.Interface: Bridge-LAN, Out.Interface: bridge-gast, Action: accept  (genauso in Gegenrichtung)
  
  
• FORWARD DROP REGELn
• Bsp: Trenne 2 Netze: Chain: forward, Src.Address: 192.168.10.0/24, Dst.Address: 192.168.20.0/24, Action: drop
• Drop All: Chain: forward, Action: drop  (Achtung! Dann ist alles zu!, ggf. erst Action: log)

Bedienung per Terminal

• Aktuelle Firmware und mögliche Updates ermitteln /system routerboard print
• Update Stable Version: /system package update set channel=current
• Update-Check online: /system package update check-for-updates
• 1.Schritt: RouterOS Update: /system package update download
• 2.Wichtig: Reboot!: /system reboot
• 3.Schritt: Bootlader aktualisieren: /system routerboard upgrade
• 4.Wieder Reboot: /system reboot
• SSH Hostkey neu erstellen: /ip ssh regenerate-host-key
• System-Name setzen: /system identity set name="UKRouter"
• Benutzer Admin neu einrichten:/user set admin name="maxmuster"
• Benutzer Passwort setzen: /passwort
  
• Routing Table: /ip route print
• komplette Konfig ausgeben: /export verbose
• nur von Default abweichende Konfiguration ausgeben: /export compact
  
• Export (compact) in Datei: /export file=configuration.rsc  (Datei kann dann unter "Files-Download" übertragen werden
  
• Import Konfigurationsdatei von "Files": /import file=configuration.rsc
  

VPN IPSec

• Verbindung mit Preshare oder Zertifikat
• Ausführliche Beschreibung: VPN IPSec zwischen Lancom und MikroTik Router

VPN Wireguard:

• Verbindung mit öffentlichem und privatem Key
• Ausführliche Beschreibung: VPN Wireguard Verbindung von MikroTik Routern

VPN L2TP:

• L2TP ohne Zertifikate: https://administrator.de/forum/mikrotik-router-als-vpn-client-1721997934.html#comment-1736463492