راهکار جامع MikroTik برای مدارس؛ از زیرساخت شبکه و Wi-Fi تا امنیت و مدیریت کاربران

شبکه یک مدرسه مدرن فقط وظیفه رساندن اینترنت به کلاس‌ها را ندارد. بخش اداری، معلمان، دانش‌آموزان، آزمایشگاه کامپیوتر، دوربین‌های مداربسته، تلفن‌های VoIP، سرورها، تجهیزات هوشمند و مهمانان هرکدام نیاز متفاوتی دارند و قرار دادن همه این تجهیزات در یک شبکه مشترک می‌تواند مشکلات امنیتی و عملکردی جدی ایجاد کند.

MikroTik با ترکیب RouterOS، Router، Switch، Access Point و قابلیت‌هایی مانند VLAN، Firewall، CAPsMAN، RADIUS، 802.1X، HotSpot، Queue، WireGuard و Monitoring می‌تواند بخش بزرگی از زیرساخت شبکه مدارس و مراکز آموزشی را پوشش دهد.

شبکه یک مدرسه چه تفاوتی با یک دفتر معمولی دارد؟

در یک دفتر ممکن است تعداد Deviceها و نوع کاربران نسبتاً ثابت باشد، اما شبکه مدرسه در بازه‌های کوتاه با تغییر شدید Load مواجه می‌شود.

برای مثال در شروع کلاس ممکن است ده‌ها لپ‌تاپ، Tablet و Mobile تقریباً هم‌زمان به Wi-Fi متصل شوند.

هم‌زمان ممکن است این سرویس‌ها نیز فعال باشند:

• کلاس آنلاین
• LMS
• VoIP
• Cloud Storage
• Windows Update
• CCTV
• Backup
• سامانه حضور و غیاب

بنابراین فقط Peak Internet Speed مهم نیست.

Capacity
+
Security
+
Segmentation
+
Authentication
+
QoS
+
Monitoring
=
School Network

معماری پیشنهادی شبکه مدرسه

 ISP 1 ISP 2
 \ /
 \ /
 MikroTik Gateway
 RB5009 / CCR
 |
 10G
 |
 Core Switch
 |
 +---------------+----------------+
 | | |
 PoE Switch Servers NVR / PBX
 |
 +-----+------+---------+
 | | |
 cAP ax cAP ax cAP ax
 |
 Wi-Fi Clients

Gateway مسئول Routing، Firewall، VPN، DHCP و Policy است.

Switchها مسئول Layer 2، VLAN و PoE هستند و Access Pointها از طریق CAPsMAN به‌صورت متمرکز مدیریت می‌شوند.

شبکه را به VLANهای جدا تقسیم کنید

قرار دادن همه تجهیزات در یک Subnet یکی از بزرگ‌ترین خطاهای طراحی شبکه مدرسه است.

سپس Firewall فقط ارتباط‌های لازم را بین VLANها مجاز می‌کند.

چه Routerی برای مدرسه مناسب است؟

انتخاب Router فقط براساس تعداد دانش‌آموزان انجام نمی‌شود.

پارامترهای اصلی:

• سرعت WAN
• تعداد Connectionها
• Firewall Rules
• VPN
• Queue
• تعداد VLANها
• Multi-WAN

برای مدرسه کوچک تا متوسط، RB5009 یکی از گزینه‌های قابل بررسی است.

برای Campus بزرگ‌تر یا بار سنگین‌تر می‌توان CCR2004 یا مدل‌های بالاتر را بررسی کرد.

PoE Switch در شبکه مدرسه

Access Pointها، IP Phoneها و بعضی Cameraها را می‌توان از PoE Switch تغذیه کرد.

مزیت:

One Ethernet Cable
=
Data
+
Power

مدل‌هایی مانند CRS328-24P-4S+RM می‌توانند برای Distribution یا Access Layer مورد بررسی قرار گیرند.

اما همیشه:

• تعداد Port
• PoE Standard
• Power per Port
• Total PoE Budget

را محاسبه کنید.

برای جزئیات بیشتر مقاله راهنمای PoE میکروتیک را مطالعه کنید.

Wi-Fi مدرسه را براساس ظرفیت طراحی کنید

بزرگ‌ترین اشتباه این است که فقط Signal Coverage را بررسی کنیم.

در یک کلاس ممکن است:

30 Students
+
30 Laptops
+
30 Phones

وجود داشته باشد.

بنابراین AP باید براساس Client Density و Airtime طراحی شود.

cAP ax با Wi-Fi 6 دو بانده برای محیط‌های آموزشی مدرن قابل بررسی است.

مدیریت Access Pointها با CAPsMAN

CAPsMAN اجازه می‌دهد چندین AP از یک محل مدیریت شوند.

مثلاً:

School-Staff
→ VLAN 30

School-Students
→ VLAN 40

School-Guest
→ VLAN 50

Frequency، Security، SSID و Provisioning از Controller مرکزی مدیریت می‌شوند.

برای شناخت Driverهای WiFi جدید نیز مقاله راهنمای WiFi Package در RouterOS 7 را مطالعه کنید.

مدیریت هویت کاربران با RADIUS

یک Password مشترک برای همه دانش‌آموزان طراحی مناسبی نیست.

معماری حرفه‌ای:

User
 ↓
802.1X
 ↓
Access Point / Switch
 ↓
RADIUS
 ↓
Authentication

RouterOS از RADIUS و 802.1X پشتیبانی می‌کند و User Manager نیز می‌تواند در بعضی Deploymentها نقش RADIUS Server را برعهده بگیرد.

در شبکه‌های بزرگ می‌توان FreeRADIUS یا سرویس متصل به Active Directory را استفاده کرد.

HotSpot برای Guest Network

HotSpot برای:

• مهمانان
• رویدادها
• کاربران موقت

مناسب‌تر است.

می‌توان User، Voucher، زمان و Accounting را کنترل کرد.

اما برای Staff Deviceهای Managed، 802.1X معمولاً گزینه حرفه‌ای‌تری است.

مدیریت پهنای باند

دانش‌آموزی که Update یا Download بزرگی شروع می‌کند نباید کل کلاس را تحت تأثیر قرار دهد.

RouterOS قابلیت‌هایی مانند:

• Simple Queue
• Queue Tree
• PCQ

دارد.

یک Policy نمونه:

VoIP
High Priority

Online Class
High Priority

Teachers
Normal / High

Students
Fair Share

Guest
Lower Priority

Backup
Lowest Priority

کنترل محتوای اینترنت

RouterOS دارای Firewall، DNS و DNS Adlist است، اما نباید آن را جایگزین کامل Secure Web Gateway یا UTM دانست.

برای مدرسه می‌توان معماری زیر را در نظر گرفت:

Student
 ↓
MikroTik Policy
 ↓
Approved Filtered DNS
 ↓
Internet

برای Category Filtering، Reporting دقیق و کنترل HTTPS بهتر است سرویس تخصصی Content Filtering نیز در کنار MikroTik استفاده شود.

امنیت شبکه مدرسه

اصول اصلی:

• Default Deny بین VLANها
• Management VLAN مستقل
• WPA3 در تجهیزات سازگار
• RADIUS و 802.1X
• DHCP Snooping
• BPDU Protection
• محدودکردن WinBox و SSH
• VPN برای Remote Management
• Patch کردن RouterOS

برای Hardening وایرلس مقاله امنیت لینک وایرلس MikroTik را مطالعه کنید.

CCTV و IoT را جدا کنید

CCTV نباید در VLAN دانش‌آموزان باشد.

Cameras
 ↓
VLAN 70
 ↓
NVR

Firewall فقط ارتباط‌های لازم را اجازه دهد.

مدیریت Remote با WireGuard

WinBox و SSH را مستقیماً روی Internet منتشر نکنید.

Administrator
 ↓
WireGuard
 ↓
Management VLAN
 ↓
Network Devices

برای جزئیات بیشتر مقاله اتصال امن با WireGuard را مطالعه کنید.

Monitoring

موارد مهم:

• ISP Availability
• Latency
• Packet Loss
• AP Status
• PoE
• CPU / RAM
• Interface Traffic
• VPN
• Servers

RouterOS از SNMP و Netwatch پشتیبانی می‌کند.

برای شبکه جدید بهتر است از NMSهایی مانند Zabbix، LibreNMS یا سامانه مشابه استفاده شود.

The Dude در سال ۲۰۲۶ توسط MikroTik در وضعیت Legacy قرار گرفته و توسعه فعال آن متوقف شده است؛ بنابراین انتخاب مناسبی برای معماری Monitoring بلندمدت جدید نیست.

مشکلات رایج پروژه‌های مدرسه

• یک SSID و یک Password برای همه
• قرار دادن تمام Deviceها در یک VLAN
• استفاده بیش از حد از 2.4GHz
• عدم Frequency Planning
• AP Placement اشتباه
• محاسبه‌نکردن PoE Budget
• استفاده از HotSpot برای همه کاربران
• تکیه کامل روی MAC Address
• نداشتن UPS
• نبود Monitoring
• بازبودن WinBox روی Internet
• نبود Backup خارج از Router

چک‌لیست نهایی

1. تعداد کاربران مشخص شده است.
2. Concurrent Device Count تخمین زده شده است.
3. Site Survey انجام شده است.
4. VLANها طراحی شده‌اند.
5. Management Network جدا است.
6. Student Network جدا است.
7. Guest Network جدا است.
8. CCTV جدا است.
9. Inter-VLAN Firewall وجود دارد.
10. CAPsMAN طراحی شده است.
11. RADIUS بررسی شده است.
12. 802.1X بررسی شده است.
13. PoE Budget محاسبه شده است.
14. QoS طراحی شده است.
15. Content Filtering Policy مشخص است.
16. Dual-WAN بررسی شده است.
17. WireGuard برای مدیریت Remote استفاده می‌شود.
18. Monitoring مرکزی وجود دارد.
19. Backup خارج از تجهیزات ذخیره می‌شود.
20. Disaster Recovery Plan وجود دارد.

سؤالات متداول

آیا MikroTik برای شبکه مدرسه مناسب است؟

بله؛ برای Routing، Switching، Wi-Fi، VLAN، Firewall، VPN، RADIUS و مدیریت پهنای باند امکانات گسترده‌ای ارائه می‌کند. انتخاب Hardware باید براساس اندازه و بار واقعی شبکه انجام شود.

برای مدرسه کوچک چه Routerی مناسب است؟

در بسیاری از سناریوهای کوچک تا متوسط RB5009 قابل بررسی است، اما سرعت اینترنت، VPN و تعداد کاربران باید قبل از انتخاب نهایی مشخص شود.

برای Wi-Fi مدرسه چه APی پیشنهاد می‌شود؟

cAP ax یکی از مدل‌های قابل بررسی برای Wi-Fi 6 سقفی است. تعداد AP باید براساس Site Survey و Client Density تعیین شود.

دانش‌آموز و معلم را چگونه جدا کنیم؟

با SSID و VLAN جدا و Firewall Policy مستقل.

آیا می‌توان برای هر دانش‌آموز Username داشت؟

بله؛ می‌توان از RADIUS، User Manager یا RADIUS Server خارجی استفاده کرد.

HotSpot بهتر است یا WPA3 Enterprise؟

برای Staff و Deviceهای Managed، 802.1X/WPA Enterprise معمولاً مناسب‌تر است. HotSpot بیشتر برای کاربران موقت و Guest Network کاربرد دارد.

آیا MikroTik می‌تواند اینترنت دانش‌آموزان را محدود کند؟

بله؛ با Queue، Firewall، Schedule، RADIUS و سایر Policyها امکان کنترل سرعت و دسترسی وجود دارد.

آیا MikroTik سایت‌های نامناسب را کامل فیلتر می‌کند؟

RouterOS ابزارهای DNS و Firewall دارد، اما برای Category Filtering و Reporting جامع بهتر است از سرویس Content Filtering تخصصی نیز استفاده شود.

آیا دوربین‌ها باید VLAN جدا داشته باشند؟

بله؛ جداکردن CCTV از Student و Guest Network از نظر امنیتی توصیه می‌شود.

آیا برای شبکه مدرسه Dual-WAN لازم است؟

اگر سرویس‌هایی مانند آزمون آنلاین، LMS یا VoIP برای فعالیت مدرسه حیاتی هستند، اینترنت Backup ارزش زیادی دارد.

برای مدیریت از راه دور چه کنیم؟

از VPN مانند WireGuard استفاده کنید و WinBox یا SSH را مستقیماً روی Internet باز نگذارید.

جمع‌بندی

راهکار موفق MikroTik برای مدرسه از خرید یک Router شروع نمی‌شود؛ از طراحی صحیح شبکه شروع می‌شود.

Router
+
Managed Switch
+
PoE
+
Wi-Fi 6
+
VLAN
+
CAPsMAN
+
RADIUS
+
Firewall
+
QoS
+
VPN
+
Monitoring
=
Managed School Network

در یک شبکه آموزشی حرفه‌ای، دانش‌آموز، معلم، مدیر، مهمان، دوربین و Server نباید Policy یکسان داشته باشند.

MikroTik زمانی بیشترین ارزش را ایجاد می‌کند که RouterOS به‌عنوان بخش مرکزی یک معماری Segmented و قابل مدیریت استفاده شود؛ نه اینکه فقط نقش Router اینترنت را داشته باشد.