docs(routeros): add Obsidian-formatted MikroTik setup checklist

Convert the check-list PDF into an Obsidian note: task checkboxes,
control points as callouts, Wi-Fi steps consolidated into a per-band
table, and cross-links to the routeros scripts that automate each part.

Author: claude

routeros/docs/check-list-router-obsidian.md

@@ -0,0 +1,145 @@
+---
+title: Чек-лист настройки маршрутизатора MikroTik
+tags:
+  - mikrotik
+  - routeros
+  - checklist
+  - hardening
+  - firewall
+created: 2026-06-13
+aliases:
+  - check-list-router
+  - чек-лист MikroTik
+  - mikrotik checklist
+---
+
+# Чек-лист настройки маршрутизатора MikroTik
+
+> [!info] О документе
+> Это **чек-лист для проверки результата** настройки роутера MikroTik, а не пошаговая инструкция. Чек-лист не универсален (топологий много), но покрывает основную массу конфигураций.
+> - **Автор:** Скоромнов Дмитрий Анатольевич
+> - **Актуальность:** RouterOS v7
+> - **Источник:** [[mikrotik_check-list_router|оригинальный PDF]] (`routeros/docs/mikrotik_check-list_router.pdf`)
+
+> [!abstract] Термины
+> - **WAN (внешняя сеть)** — сеть, через которую выполняется выход в Интернет.
+> - **LAN (локальная сеть)** — сеть, в которой работают сотрудники.
+> - **Гостевая сеть** — есть доступ в Интернет, нет доступа в LAN (например, Wi-Fi для клиентов).
+> - **Внешний интерфейс** — относится к WAN. **Внутренний интерфейс** — относится к LAN.
+
+## Полезные ссылки
+
+- Онлайн-курс «Администрирование сетевых устройств Mikrotik (MTCNA)»: <https://курсы-по-ит.рф/mikrotik-mtcna>
+- Настройка MikroTik с нуля: <https://mikrotik.wiki/wiki/Настройка_MikroTik_с_нуля>
+- Настройка точки доступа Wi-Fi на MikroTik с нуля: <https://mikrotik.wiki/wiki/Настройка_точки_доступа_Wi-Fi_на_MikroTik>
+- Telegram-канал «MikroTik-сэнсэй»: <https://t.me/mikrotik_sensei>
+- Telegram-чат «MikroTik Lab»: <https://t.me/mikrotiklab>
+
+## Подготовка к настройке
+
+- [ ] Подготовить всю необходимую информацию:
+    - [ ] схемы IP-адресации для внешней, локальной и гостевой сети;
+    - [ ] настройки беспроводной сети: SSID и пароли к ним;
+    - [ ] IP-адреса вышестоящих DNS-серверов, диапазон IP-адресов для DHCP-сервера;
+    - [ ] другую необходимую информацию.
+- [ ] Установить последнюю версию RouterOS из каналов **Stable** или **Long term**.
+- [ ] Установить последнюю версию загрузчика **RouterBOOT**.
+- [ ] Удалить всю имеющуюся конфигурацию: сброс настроек **без применения** заводских настроек.
+
+## Базовая настройка
+
+- [ ] Задать пароль для учётной записи администратора.
+- [ ] Изменить имя учётной записи администратора (при необходимости).
+- [ ] Задать имя устройства (identity).
+- [ ] Переименовать внешний интерфейс.
+- [ ] Объединить внутренние проводные и беспроводные интерфейсы с помощью **bridge**-интерфейса.
+- [ ] Настроить внешний интерфейс (PPPoE / DHCP-клиент / статический IP — по топологии).
+- [ ] Назначить IP-адрес bridge-интерфейсу LAN.
+- [ ] Добавить маршрут по умолчанию.
+
+> [!check] Контрольная точка №1 — связность по IP
+> Если роутер подключён к Интернету, с него должен успешно проходить **ping по IP-адресу** до узлов в Интернете (например `1.1.1.1`, `8.8.8.8`, `77.88.8.1`, `77.88.8.8`).
+
+- [ ] Настроить **DNS-клиента**: прописать вышестоящие DNS-серверы. При необходимости отключить получение адресов DNS по PPPoE/DHCP на внешнем интерфейсе.
+
+> [!check] Контрольная точка №2 — связность по доменам
+> С роутера должен успешно проходить **ping по доменному имени** (например `ya.ru`, `rbc.ru`, `rg.ru`).
+
+- [ ] Настроить **DNS-сервер**: разрешить отвечать на DNS-запросы от других устройств.
+- [ ] Настроить **DHCP-сервер** для локальной сети.
+
+> [!check] Контрольная точка №3 — LAN получает настройки
+> Устройства в LAN успешно получают IP по DHCP; проходит ping до внутреннего (`192.168.100.1`) и внешнего интерфейса роутера. Ping до Интернета **ещё не должен** проходить.
+
+- [ ] Настроить **NAT**: `action=src-nat` при постоянном IP, иначе `action=masquerade`.
+
+> [!check] Контрольная точка №4 — выход LAN в Интернет
+> С устройств LAN проходит ping до Интернета по доменным именам. Если по IP проходит, а по именам — нет, проблема в службе **DNS**.
+
+## Настройка беспроводной сети Wi-Fi
+
+Шаги одинаковы для каждого используемого диапазона. Выполнить для **2,4 ГГц**, **5 ГГц** и **6 ГГц** (по наличию радиомодулей):
+
+| Шаг | 2,4 ГГц | 5 ГГц | 6 ГГц |
+|---|:---:|:---:|:---:|
+| Переименовать беспроводной интерфейс | ☐ | ☐ | ☐ |
+| Задать SSID | ☐ | ☐ | ☐ |
+| Задать макс. мощность передатчика по регуляторике страны | ☐ | ☐ | ☐ |
+| Активировать использование кадров RTS/CTS | ☐ | ☐ | ☐ |
+| Разрешить самую последнюю поправку к стандарту IEEE 802.11 | ☐ | ☐ | ☐ |
+| Задать ширину канала | ☐ | ☐ | ☐ |
+| Задать диапазон(ы) частот по регуляторике страны | ☐ | ☐ | ☐ |
+| Задать способы аутентификации | ☐ | ☐ | ☐ |
+| Задать пароль | ☐ | ☐ | ☐ |
+| Отключить использование **WPS** | ☐ | ☐ | ☐ |
+| Включить беспроводной интерфейс | ☐ | ☐ | ☐ |
+
+## Брандмауэр (`/ip/firewall/filter`)
+
+> [!note] Принцип
+> Снаружи (трафик из WAN) брандмауэр **нормально закрытый**; изнутри (трафик из LAN) — **нормально открытый**.
+
+- [ ] Цепочка **Input**:
+    - [ ] правило, разрешающее `established`- и `related`-соединения;
+    - [ ] правило, запрещающее `invalid`-соединения;
+    - [ ] правила-исключения: ICMP, VPN-протоколы, списки доверенных IP, port-knocking и др.;
+    - [ ] правило, отбрасывающее любые соединения, начатые **не из LAN**.
+- [ ] Цепочка **Forward**:
+    - [ ] правило, разрешающее `established`- и `related`-соединения;
+    - [ ] правило, запрещающее `invalid`-соединения;
+    - [ ] правило, отбрасывающее соединения, начатые не из LAN и не относящиеся к пробросам портов.
+
+## Дополнительные параметры безопасности
+
+- [ ] Создать список **доверенных интерфейсов** и поместить в него bridge LAN.
+- [ ] Разрешить обнаружение «соседей» (neighbor discovery) только для доверенных интерфейсов.
+- [ ] Разрешить **MAC-telnet** только для доверенных интерфейсов.
+- [ ] Разрешить **WinBox по MAC** только для доверенных интерфейсов.
+- [ ] Запретить **MAC-ping**.
+- [ ] Отключить **IPv6**, если он не используется.
+- [ ] Отключить службы, которые не будут использоваться.
+
+## Прочие обязательные шаги
+
+- [ ] Настроить **NTP-клиента** (служба времени).
+- [ ] Сделать резервное копирование (`backup` + `export`) и **вынести копии за пределы роутера**. Выполнять **после** шагов из раздела ниже.
+
+> [!tip] Автоматизация бэкапа
+> Пункт «backup + export наружу» автоматизирует [[backupandupdate-obsidian|BackupAndUpdate.rsc]]: ежедневный бэкап (система + конфиг) на e-mail и автообновление RouterOS/RouterBOARD.
+
+## Прочие шаги (по необходимости)
+
+- [ ] Настроить пробросы портов.
+- [ ] Настроить гостевые Wi-Fi: отдельный bridge, при необходимости DHCP-сервер, VLAN и др.
+- [ ] Настроить приоритизацию трафика (**QoS**) — в базовом виде равномерное распределение канала при нехватке ресурсов.
+- [ ] Учесть в QoS использование гостевых беспроводных сетей.
+
+## Связанные скрипты в репозитории
+
+| Раздел чек-листа | Скрипт |
+|---|---|
+| Базовая настройка, отключение небезопасных сервисов, NTP, identity | [[autorun]] (`autorun.rsc`) |
+| Bridge, interface-lists, firewall (port-knocking, ICMP), NAT, DNS, харднинг, OSPF | [[initial-setup-obsidian\|initial-setup]] (`initial-setup.rsc`) |
+| Свежий RouterOS из Stable/Long-term, backup + export наружу | [[backupandupdate-obsidian\|BackupAndUpdate]] (`BackupAndUpdate.rsc`) |
+| Автообновление прошивки RouterBOARD | `routerboard_fwupgrade`, шаг 2 в `BackupAndUpdate.rsc` |
+| Резервирование двух провайдеров (dual-WAN) | [[check-isp-obsidian\|check-isp]] (`check-isp.rsc`) |