企业官网建设流程全解析

HomeLab #1：MikroTik 作为家用路由器

请自行承担风险！（……但这很值得）

一切是如何开始的……

有段时间，一直在考虑搭建自己的家庭实验室。想在不依赖云服务提供商的情况下开发项目，或拥有自己的存储空间存放备份，毕竟云存储价格越来越高。没有完善的网络设置，家庭实验室就不算完整。鉴于使用 ISP 提供的路由器时遇到性能和安全问题，希望更好地控制家庭网络流量。决定将流量集中在有线连接上，以减轻 WiFi 负担，确保本地网络中设备之间的连接尽可能快。这时，Mikrotik L009UiGS - RM 派上用场。它有足够多的千兆以太网端口，可连接墙上所有以太网接口。PoE 功能也是亮点，可不用电源适配器为接入点供电。这款路由器体积小巧，可安装在墙上。

了解你的 ISP

不过，动手设置路由器前，得先弄清楚 ISP 如何提供互联网连接，这可不简单。有两件事决定设置方式，且相互独立：广域网（WAN）的认证方式，以及它获取的 IPv4 地址类型。在技术论坛上快速搜索，或咨询 ISP 的客服，通常就能得到答案。

IPoE 还是 PPPoE

在波兰，有些提供商直接插入以太网电缆，通过 DHCP 分配地址，这就是 IPoE。而另一些则需要 PPPoE 用户名和密码，有时还需要通过专用 VLAN。具体的设置路径完全取决于这个细节。

公网还是私网 WAN IPv4

协议只说明了路由器的登录方式。另外，还需要检查获得的地址是公网还是私网地址，因为 WAN 端口使用私网 IPv4 地址通常意味着采用了 CGNAT：ISP 会在多个客户之间共享一个公网 IPv4 地址，并在向上游进行地址转换，这样就不会有未经请求的流量路由到这里。

警告：DS - Lite 注意事项
DS - Lite 是最严格的 CGNAT 形式：WAN 根本没有 IPv4 地址，只有一个公网 IPv6 地址，IPv4 流量会通过 IPv6 隧道传输到 ISP 的 AFTR。MikroTik 本身支持 DS - Lite 隧道，但它不支持自动接收建立隧道所需的 AFTR 地址。由于路径中没有公网 IPv4 地址，端口转发、UPnP、入站连接和许多远程访问工具都将无法工作。如果 ISP 提供 DS - Lite 或私网 IPv4 服务，而又需要入站 IPv4 访问，请在购买路由器之前询问是否有付费的公网 IPv4 附加服务，或者考虑更换 ISP。光纤连接使用的是 VLAN 35 上的 PPPoE，并且分配的是私网 IPv4 地址。本文接下来的内容将围绕这个设置展开。

设置 MikroTik 路由器

首先给路由器通电。用一根以太网电缆将笔记本电脑连接到 MikroTik 的任意 LAN 端口，通常是编号为 2 或更高的端口。将端口 1 留作光网络终端（ONT）的上行链路，稍后它将成为 WAN 端口。打开 WinBox，切换到 "Neighbors" 选项卡，应该能看到路由器的地址为 `192.168.88.1`（或者是它的默认 MAC 地址）。使用 `admin` 用户和空密码登录，然后立即更改默认的管理员密码，因为有些 RouterOS 设备仍然使用空白或默认的凭据。之后，运行快速设置，为路由器设置一个稳定的管理地址和本地子网。稍后还会回来移除默认的无线桥接，并进行更简洁的配置。

连接互联网

光网络终端位于家庭网络的边缘。用一根以太网电缆将 ONT 连接到 MikroTik 的端口 1。当链路指示灯亮起时，路由器就能检测到载波信号了。有些 ISP（包括我的）会将服务绑定到他们提供的路由器的 MAC 地址上。如果插入一个 MAC 地址不同的 MikroTik 路由器，即使 VLAN 和 PPPoE 设置正确，连接也无法认证。解决办法是将原路由器的 MAC 地址克隆到 WAN 端口。可以从 ISP 路由器的标签上或者其状态页面上读取该 MAC 地址。将其克隆到 `ether1` 上。由于 VLAN 接口和 PPPoE 客户端都基于 `ether1`，它们会自动继承这个 MAC 地址，这样 ISP 就能看到它期望的地址了。克隆的 MAC 地址在重启后仍然有效。如果以后要将连接改回原路由器，可以使用 `/interface ethernet reset - mac - address ether1` 命令恢复该端口的出厂地址。ISP 会给 PPPoE 流量打上 VLAN 35 的标签。RouterOS 需要在 `ether1` 之上创建一个 VLAN 接口，才能进行 PPPoE 通信。给它取一个有描述性的名字，这样以后就不用猜测 `vlan1` 是什么意思了。创建好 VLAN 后，就可以创建 PPPoE 客户端了。告诉它使用 VLAN 接口，接受 ISP 提供的默认路由，并使用 ISP 的 DNS 服务器。一开始先将用户名和密码留空，等接口创建好后再填写。现在设置 ISP 提供的凭据。状态应该会在几秒钟内从 `linking` 变为 `connected`。确认默认路由已经添加。如果输出显示 `pppoe-out1` 为网关，说明流量可以访问互联网了。

搭建简洁的 WiFi 网络

对于无线网络，使用了一个通过以太网供电的独立 wAP 接入点。路由器的端口 8 同时为接入点提供数据和电力。启用该端口的 PoE 输出功能，wAP 无需电源适配器就能启动。逐个管理每个接入点并不现实。RouterOS 包含 CAPsMAN 功能，它可以让路由器充当中央控制器。只需定义一个安全配置文件、数据路径，以及 2.4 GHz 和 5 GHz 的信道模板，接入点就会自动下载这些配置。首先在控制器上创建共享对象。在接入点上，启用 CAP 模式，并将无线网卡指向管理器。回到控制器上，应该能看到动态无线网卡条目出现。每个无线网卡都会采用与其频段匹配的配置。

解决缓冲区膨胀问题

在一个典型的周末晚上，发现了一件奇怪的事情。正在玩《反恐精英》，但游戏开始出现延迟，原来是因为网络延迟波动。后来发现是另一台设备开始进行 iOS 更新，并且一部手机正在将照片上传到云备份中。问题的根源是缓冲区膨胀。缓冲区膨胀是指网络设备内部数据包队列过度填充导致的延迟过高问题。当链路饱和时就会出现这种情况，因为大缓冲区会保留数据包，而不是快速丢弃或标记它们。这样，实时流量就会在批量传输后面等待。队列填满，延迟飙升，游戏数据包被积压在大量流量后面。没有其他竞争流量时，延迟会保持在较低水平。游戏发送的数据包较小，队列中通常只保留一两个帧。另一台设备开始下载。缓冲区吸收了突发流量，但无法快速清空，因此游戏数据包在后面等待时，延迟就会上升。上传操作也加入进来，在非对称链路上，上传队列通常是问题最严重的地方。现在游戏在两个方向上都面临排队问题。缓冲区已满。即使是很小的游戏数据包也得等到前面的批量流量处理完才能通过，这就会导致游戏画面卡顿和语音聊天延迟。可以通过在线测试来测量这个问题；使用的是 Cloudflare 速度测试。它会报告加载和未加载时的延迟，这样就能直接看到缓冲区膨胀的等级。DSLReports 曾经是这方面的参考标准，但该网站在 2025 年 3 月关闭了。仍然可以通过在终端中 ping 一个稳定的主机并同时运行任何速度测试来大致了解情况。

FQ - CoDel 来救场

RouterOS 支持多种队列调度算法。默认的 FIFO 队列只是按照接收顺序存储数据包。当链路满负荷时，每个数据流都要在其他数据流后面等待。FQ - CoDel 则将流量分成许多小的数据流，并为每个数据流分配公平的处理时间，同时丢弃在队列中停留时间过长的数据包。这样可以在不使用复杂防火墙规则的情况下保持较低的延迟。要使用 FQ - CoDel，首先需要创建一个队列类型，因为 RouterOS 默认不包含它。默认参数是一个不错的起点。5 ms 的目标值定义了可接受的队列延迟。100 ms 的间隔时间大致对应最坏情况下的往返时间预算。重要的是最大限制值。它必须低于实际线路速率，而不是等于它。如果将速率限制设置为链路的 100%，ISP 的设备仍然会首先饱和，并且会在那里形成膨胀的队列，这就超出了控制范围。一个常见的经验法则是将限制设置为测量到的下载和上传速度的 90 - 95%。这样可以将瓶颈控制在路由器上，让 FQ - CoDel 能够真正管理队列。简单队列不适用于被防火墙快速转发的数据包。快速转发（Fast Track）为了提高性能会绕过队列系统。为了让队列生效，需要禁用或完全移除快速转发规则。如果存在这样的规则，可以选择禁用它或完全移除它。要注意：移除快速转发规则会增加高吞吐量链路上的 CPU 负载。对于配备能够处理线速转发的 CPU 的现代 MikroTik 路由器来说，为了降低延迟，这种权衡是值得的。做出更改后，再次运行 Cloudflare 速度测试。应该会看到缓冲区膨胀等级有所改善，尤其是在上传负载下。

脚注

1. IPoE 相关解释链接指向
2. PPPoE 相关解释链接指向
3. VLAN 相关解释链接指向
4. CGNAT 相关解释链接指向
5. 地址族转换路由器（Address Family Transition Router）。AFTR 是 DS - Lite 中 IPv4 - in - IPv6 隧道的 ISP 端终结点：它会对用户的 IPv4 流量进行解封装，执行 NAT 操作，并将其路由到 IPv4 互联网。
6. 光网络终端相关解释链接指向
7. 以太网供电相关解释链接指向
8. FQ - CoDel 相关解释链接指向