Эксперты в подборе IT-оборудования
Главная функция маршрутизатора - соединять сети и решать, куда отправить каждый пакет данных. Всё остальное, что умеет коробка от провайдера или офисный роутер, надстроено сверху: раздача адресов, выход всех устройств в интернет через один внешний IP, фильтрация трафика, VPN, Wi-Fi. Часть функций работает с завода, часть годами лежит выключенной в меню настроек, а одну лучше выключить самому.
Сначала разберём базовые функции маршрутизатора, без которых сеть не заработает. Потом дополнительные: USB-порт, WPS, IPTV, режимы репитера и моста, приоритет трафика. В конце - что из этого нужно небольшому офису.
Маршрутизатор - сетевое устройство, которое принимает пакеты данных от источника и определяет оптимальный путь для их доставки к месту назначения. «Роутер» означает то же: router по-английски и есть маршрутизатор. Дома так называют Wi-Fi коробку от провайдера, в офисе и у операторов связи - устройства в стойке, но базовую работу они делают одну и ту же.
Маршрутизатор работает на сетевом, третьем уровне модели OSI. Коммутатор пересылает данные по физическим MAC-адресам устройств, а маршрутизатор смотрит на IP-адреса. Поэтому он и умеет связывать сети между собой: домашнюю с сетью провайдера, офис с филиалом, один сегмент офисной сети с другим.
Каждый пакет, пришедший на порт маршрутизатора, проходит один и тот же путь. Устройство читает адрес получателя, ищет подходящую строку в таблице маршрутизации и отправляет пакет в нужный порт. Если подходящих строк несколько, выигрывает та, что точнее описывает адрес. Если подходящей строки нет, срабатывает маршрут по умолчанию, и пакет уходит в сторону провайдера.
В домашней и небольшой офисной сети таблица короткая: роутер знает свои подключённые сети и маршрут по умолчанию к провайдеру. Если нужно что-то ещё, например доступ к сети филиала, администратор прописывает статический маршрут руками. Динамические маршрутизаторы узнают друг от друга по протоколам OSPF, BGP или RIP. Это нужно там, где путей много и они меняются. Домашний роутер, офисный маршрутизатор в стойке и магистральное устройство оператора делают это одинаково, разница в скорости и числе маршрутов. Путь пакета по шагам разобран в статье о том, как маршрутизатор работает в сети.
Даже простой роутер приходит с набором функций, включённых с завода. О них вспоминают, когда что-то перестаёт работать, поэтому в таблице рядом с каждой - типичный повод в неё заглянуть.
| Функция | Что делает | Когда о ней вспоминают |
|---|---|---|
| Маршрутизация | Передаёт пакеты между локальной сетью и интернетом, между сегментами сети | Всегда: без неё сети друг друга не видят |
| NAT (трансляция адресов) | Выпускает все устройства сети в интернет под одним внешним IP и возвращает ответы тому, кто спрашивал | Когда к устройству внутри сети нужно достучаться снаружи |
| DHCP-сервер | Раздаёт устройствам IP-адреса, адрес шлюза и DNS-серверов | Когда принтер «теряется» после перезагрузки или два устройства конфликтуют из-за одного адреса |
| Межсетевой экран | Пропускает ответы на запросы изнутри и отбрасывает незапрошенные входящие соединения | Когда снаружи не открывается камера или сервер |
| Проброс портов | Направляет входящие соединения на порт конкретного устройства в сети | Удалённый доступ к видеорегистратору, серверу 1С, игровому серверу |
| DNS-ретрансляция | Принимает DNS-запросы устройств и передаёт их серверам провайдера или выбранным вручную | Когда сайты открываются по IP-адресу, но не по имени |
| IPv6 | Работает с адресами нового формата, если их выдаёт провайдер | Когда провайдер включил IPv6, а правила фильтрации написаны только для IPv4 |
NAT и межсетевой экран часто считают одним и тем же. NAT прячет внутренние адреса, и снаружи к компьютеру в домашней сети просто так не подключиться. Но это побочный эффект трансляции адресов, защитой его считать нельзя. Фильтрацией занимается межсетевой экран: он смотрит на адреса, порты и состояние соединения. Содержимое файлов он не разбирает и антивирус не заменяет.
Проброс портов рискованнее остальных базовых функций. Каждый проброшенный порт открывает дверь в сеть, и её найдут сканеры, которые круглосуточно обходят интернет. Классический пример - RDP, открытый наружу ради удалённой работы бухгалтера. К таким портам пароли подбирают раньше всего. Для удалённого доступа надёжнее поднять VPN, а проброс оставить для того, что действительно должно быть видно снаружи. Туда же функция UPnP, через которую устройства сами открывают себе порты на роутере: дома с ней удобнее играм и приставкам, в офисе её лучше выключить.
DHCP в настройках обычно трогают ради одного: закрепить постоянный адрес за принтером, сервером или камерой, чтобы они не меняли IP после перезагрузки. Как устроена выдача адресов и где ещё может жить DHCP, кроме роутера, - в статье о том, как работает DHCP-сервер.
Если WAN-порт, в который приходит кабель провайдера, вышел из строя, часть роутеров разрешает отдать его роль одному из LAN-портов. Кабель переключают в этот порт, и сеть работает дальше. Портов стало на один меньше, только и всего. Чаще всего WAN выгорает после грозы, когда наводка приходит по длинному кабелю из подъезда или с улицы.
Искать функцию нужно в разделе настроек интернета (WAN) или в настройках портов. У Keenetic роль порта меняется в веб-интерфейсе, у части моделей ASUS и TP-Link LAN-порт назначают вторым или основным WAN через режим двух провайдеров. У многих бюджетных роутеров такой возможности нет, и тогда остаётся замена.
Пункт «зеркалирование портов» к этому отношения не имеет. Зеркалирование копирует трафик одного порта на другой для анализа, и подключить через него интернет не получится. И ещё одно: если порт сгорел от грозы, за роутером стоит какое-то время понаблюдать. Наводка редко бьёт точно в один разъём, и через неделю могут начаться сбои, перезагрузки или отвал Wi-Fi.
USB-порт в роутере нужен, чтобы превратить его в небольшой файловый сервер, принт-сервер или резервный канал интернета. Что из этого получится, зависит от прошивки: на одной модели разъём умеет всё сразу, на другой только раздаёт флешку в сеть.
| Что подключить | Что получите | Ограничения |
|---|---|---|
| Флешку или внешний диск | Общую папку для всех устройств сети | Скорость упирается в процессор роутера. На диске с FAT32 не поместится файл больше 4 ГБ |
| Диск + FTP-сервер | Доступ к файлам, в том числе из интернета | Обычный FTP передаёт пароль открытым текстом, снаружи лучше заходить через VPN |
| Диск с фильмами и музыкой | Медиасервер DLNA для телевизора и приставки | Телевизор должен поддерживать DLNA |
| Принтер | Сетевую печать без отдельного компьютера | Работает не со всеми моделями. МФУ часто печатает по сети, но не сканирует |
| USB-модем 4G/5G | Резервный интернет, если основной канал упал | Только модемы из списка совместимых у производителя роутера |
USB 3.0 (разъём обычно синий) заметно быстрее USB 2.0, но и он не делает из роутера полноценное хранилище. Процессор роутера занят маршрутизацией и Wi-Fi, а файлы раздаёт по остаточному принципу. RAID нет, снимков состояния нет, а при внезапном отключении питания файловая система на флешке может повредиться. Для пары общих папок дома этого хватит. Рабочие документы офиса лучше держать на отдельном сетевом хранилище NAS.
Встроенный загрузчик качает файлы, в том числе торренты, прямо на подключённый к USB-порту диск. Компьютер можно выключить: роутер работает круглые сутки и докачает сам. В настройках обычно задают папку для загрузок, ограничение скорости, число одновременных загрузок и расписание, например качать только ночью, чтобы днём не занимать канал.
Минусы те же, что у общего диска. Процессор слабый, и активные раздачи нагружают его настолько, что начинает подтормаживать Wi-Fi. В офисе торрент-клиент на шлюзе лучше не включать вовсе: это лишняя нагрузка и лишний сервис, открытый наружу, на устройстве, через которое идёт весь трафик компании.
WPS (Wi-Fi Protected Setup) подключает устройство к Wi-Fi без ввода пароля. Нажимаете кнопку WPS на роутере, а затем, в течение двух минут, такую же кнопку или пункт меню на подключаемом устройстве. Роутер сам передаст ему настройки сети. Это удобно для принтеров и ТВ-приставок, где вводить длинный пароль с пульта мучительно.
У WPS есть второй режим: подключение по восьмизначному PIN-коду, который напечатан на наклейке роутера. С ним и связаны проблемы.
Режим WPS по PIN-коду уязвим. Роутер проверяет PIN двумя половинами, и для подбора хватает около 11 тысяч попыток вместо миллионов. Уязвимость нашли в 2011 году, а атака Pixie Dust (2014) на уязвимых прошивках вскрывает PIN за минуты. Такие модели исследователи находили и в 2025 году. Если WPS не пользуетесь, выключите его в настройках Wi-Fi. Если пользуетесь, оставьте только кнопку и отключите PIN.
Ещё одна деталь: с WPA3 WPS не работает. Если перевести Wi-Fi на WPA3, кнопка перестанет подключать устройства. Для них придётся оставить смешанный режим WPA2/WPA3 или ввести пароль вручную.
Роутер необязательно ставить в сеть главным маршрутизатором. Режим переключают в настройках, у части моделей переключателем на корпусе, и в каждом режиме устройство делает свою работу.
Репитер, он же повторитель, ловит Wi-Fi основного роутера и раздаёт его дальше. Кабель не нужен, но платить приходится скоростью. На одной частоте репитер и принимает, и передаёт, поэтому за ним скорость падает примерно вдвое, а каждый следующий репитер в цепочке режет её снова.
Точка доступа подключается к основному роутеру кабелем и только добавляет Wi-Fi. Адреса раздаёт и NAT делает основной роутер, второй работает как продолжение той же сети. Если до дальней комнаты, второго этажа или соседнего кабинета можно протянуть кабель, лучше варианта нет.
Беспроводной мост соединяет по Wi-Fi две части проводной сети. Производители называют этот режим по-разному: WDS, клиент, мост. Типичный случай: офис и склад через двор, куда кабель тянуть дорого. Со стороны склада за мостом стоит коммутатор или компьютеры, подключённые кабелем.
Когда точек нужно несколько, удобнее Mesh-система. Роутер и точки одного производителя образуют одну сеть с одним именем, и телефоны с ноутбуками сами переходят от точки к точке. Как соотносятся роутер, точка доступа и репитер, подробно написано в статье о том, чем отличается роутер от маршрутизатора.
Ограничение доступа в роутере решает две задачи: не пустить в сеть чужих и ограничить своих.
Фильтр по MAC-адресам разрешает подключение только известным устройствам. Защита это слабая. MAC-адрес виден в эфире, а подменить его можно одной настройкой на ноутбуке. К тому же Android и iOS по умолчанию подставляют для каждой сети случайный MAC вместо настоящего, и в белый список приходится вносить именно его. Сотрудник сбросил на телефоне настройки сети, адрес сменился, и подключиться он уже не может. Основная защита Wi-Fi - длинный пароль и шифрование WPA2 или WPA3, фильтр работает только как дополнение.
Родительский контроль и расписания отключают интернет отдельным устройствам по времени или блокируют категории сайтов. Блокировка сайтов на роутере обычно работает через DNS и обходится, если на устройстве прописан свой DNS-сервер или включён VPN. Для детского планшета этого достаточно, для политики доступа в офисе нет.
Отдельно стоит закрыть доступ к самому роутеру. Заводской пароль администратора меняют в первый же день, а управление роутером из интернета держат выключенным, если без него можно обойтись.
IPTV - телевидение от провайдера по той же линии, что и интернет. Роутер здесь передаёт видеопоток к приставке или телевизору. Чтобы картинка не рассыпалась на квадраты, нужна поддержка IGMP (в настройках это IGMP proxy и IGMP snooping): с ней роутер отправляет поток канала только туда, где его смотрят, а не во все порты сразу. У части провайдеров приставку ещё и подключают в отдельный порт с собственной VLAN, номер которой сообщает провайдер. Без этих настроек телевизор либо не показывает, либо поток забивает домашнюю сеть.
DLNA - стандарт, по которому телевизор, приставка или колонка находят в сети медиафайлы и воспроизводят их. Роутер с USB-портом становится медиасервером: подключили диск с фильмами, и телевизор видит его как источник. Сам альянс DLNA распустили ещё в 2017 году, а сертификацию передали коммерческой компании. Протокол от этого не пострадал: его по-прежнему поддерживают телевизоры, приставки и медиаплееры.
QoS (Quality of Service, качество обслуживания) решает, чей трафик пойдёт первым, когда канала на всех не хватает. Пока канал свободен, QoS ничего не делает. Работать он начинает в моменты перегрузки: кто-то выгружает в облако архив на десятки гигабайт, а у бухгалтера в это время видеозвонок и 1С через удалённый рабочий стол.
В домашних роутерах обычно есть автоматический режим, который сам распознаёт игры, видео и звонки и поднимает им приоритет. В офисных правила задают вручную: по устройствам, портам или сегментам сети. QoS нужна реальная скорость канала, и её вписывают в настройках чуть ниже тарифной. Если указать полную, очередь будет копиться у провайдера, а там роутер на неё уже не влияет.
За QoS платят нагрузкой на процессор. На части моделей включение QoS отключает аппаратное ускорение NAT, и на гигабитном тарифе скорость падает до того, что вытягивает процессор. Перед включением на быстром канале замерьте скорость до и после.
Съёмная антенна относится к корпусу, в прошивке её не включишь. Но при выборе роутера на неё смотрят. Внешние антенны на разъёмах можно заменить на антенны с большим усилением, вынести на кабеле повыше или поставить направленную и развернуть её в сторону склада или соседнего здания.
Чудес от замены ждать не стоит. Антенна с большим усилением сужает зону покрытия: в одном направлении сигнал станет сильнее, в другом слабее. А телефон или ноутбук отвечает роутеру своим слабым передатчиком, и связь упирается в него. Для покрытия большой площади надёжнее вторая точка доступа, чем новые антенны. У многих новых моделей антенны несъёмные или спрятаны в корпус, так что, если замена понадобится, проверьте это до покупки.
Список подключённых устройств - первое, куда смотрят, когда сеть тормозит или есть подозрение, что к Wi-Fi подключился кто-то чужой. Роутер показывает имя, IP- и MAC-адрес каждого клиента, способ подключения (кабель, Wi-Fi 2,4 или 5 ГГц), а многие модели и то, сколько трафика устройство тянет прямо сейчас.
Из этого же списка обычно можно заблокировать незнакомое устройство, закрепить за принтером постоянный адрес или ограничить скорость. Блокировка чужого по MAC-адресу помогает ненадолго. Надёжнее сменить пароль Wi-Fi: незваный гость отключится вместе со всеми, но своим новый пароль вы сообщите, а ему нет.
Офису на 10-50 человек важны функции, которые дома почти не нужны. Это не обязательно дорогой стоечный маршрутизатор: многое умеют и продвинутые роутеры для малого офиса, но проверять это нужно до покупки, по спецификации конкретной модели.
Второй провайдер оправдан там, где час простоя стоит дороже второго тарифа: розница с онлайн-кассами, колл-центр, офис, который работает в облачной 1С. Небольшому офису для начала часто хватает недорогого 4G-модема в USB-порт.
Главная ловушка при выборе - цифры в характеристиках. Скорость маршрутизации в паспорте обычно указана для простого NAT. С включёнными VPN, межсетевым экраном и QoS реальная пропускная способность бывает в разы ниже. Если канал гигабитный, а VPN-туннелей десяток, ищите в спецификациях и тестах скорость именно с шифрованием. Остальные критерии разобраны в статье о том, как выбрать маршрутизатор для офиса.
Соединять сети и выбирать путь для пакетов данных. Поверх этого в большинстве роутеров работают NAT (выход всех устройств в интернет через один адрес), DHCP (раздача IP-адресов), межсетевой экран и точка доступа Wi-Fi.
Чтобы подключить флешку или диск и открыть к ним доступ из сети, подключить принтер, USB-модем для резервного интернета или скачивать файлы без включённого компьютера. Набор возможностей зависит от прошивки конкретной модели.
Большинство роутеров для дома и офиса - да. Встроенный межсетевой экран отбрасывает незапрошенные входящие соединения и фильтрует трафик по адресам и портам. Содержимое файлов он не проверяет и антивирус на компьютерах не заменяет.
Режим по PIN-коду - да, он уязвим к подбору. Кнопку можно оставить, если вы ей пользуетесь. Если нет, WPS лучше выключить целиком.
Офисному нужны VPN на несколько туннелей, гостевая сеть, резервный канал, разделение сети на сегменты и запас производительности с включёнными функциями. Домашнему обычно хватает базовых функций и хорошего Wi-Fi.
Подбираете маршрутизатор для офиса или филиала?
Разберёмся, какие функции нужны вашей сети, и подберём устройство с запасом по производительности под VPN, резервный канал и разделение на сегменты. Посмотрите сетевое оборудование для офиса в каталоге или напишите нам: +7 (800) 551-80-12, info@ittelo.ru. Серверами и сетевым оборудованием мы занимаемся больше 11 лет и за это время накопили серьёзную экспертизу. Даём гарантию до 5 лет, берём оборудование на постпродажное обслуживание и не пропадаем после отгрузки.
