RouterOS玩转高级DHCP：巧用Option 60，实现一个Wi-Fi下多业务隔离（访客、IoT、办公）
RouterOS高级DHCP实战：用Option 60实现单SSID多业务隔离
在咖啡馆里，顾客的手机、店内的智能咖啡机、员工的笔记本电脑都连接着同一个Wi-Fi网络。你是否想过，如何让这些设备自动获得不同的网络权限？传统方案需要创建多个SSID或配置复杂VLAN，而今天我要分享的是一种更优雅的解决方案——利用RouterOS的DHCP Option 60功能，在单一物理网络下实现多业务逻辑隔离。
这种技术特别适合以下场景：
- 民宿经营者希望为房客和智能门锁分配不同网络策略
- 小型办公室需要隔离访客设备和内部办公设备
- 家庭用户想让IoT设备与个人终端处于不同安全区域
1. 理解Option 60的工作原理
Option 60是DHCP协议中的厂商类别标识符(Vendor Class Identifier)，它允许设备在获取IP地址时向DHCP服务器"自我介绍"。我们可以把这个字段想象成设备的"身份证"，不同类别的设备携带不同的标识：
DHCP Discover/Request报文结构示例： +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+ | 选项类型(60) | 选项长度 | 厂商类别标识符(如"Guest-Device") | +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+RouterOS的DHCP服务器可以解析这个字段，并根据预设规则分配不同的IP地址池。与传统的多SSID方案相比，这种方法具有三大优势：
- 简化网络结构：无需维护多个无线网络名称
- 提升用户体验：用户只需连接一个SSID，设备自动获得适当权限
- 灵活扩展：新增设备类型只需添加匹配规则，不影响现有网络
2. 基础环境准备
在开始配置前，请确保已满足以下条件：
- 已安装RouterOS 6.45或更新版本
- 基本DHCP服务器已配置并正常运行
- 网络设备支持Option 60标识传递（或使用中间设备如OpenWRT路由进行标记）
网络拓扑示例：
| 设备类型 | 预期IP段 | Option 60值 | 网络权限 |
|---|---|---|---|
| 访客设备 | 192.168.10.0/24 | Guest-Client | 仅互联网访问 |
| IoT设备 | 192.168.20.0/24 | IoT-Device | 受限内部资源访问 |
| 办公设备 | 192.168.30.0/24 | Office-Device | 全权限访问 |
提示：如果客户端设备不支持直接设置Option 60，可以在接入点(如OpenWRT路由器)上统一添加标识。
3. 配置多地址池与匹配规则
3.1 创建多个DHCP地址池
首先登录RouterOS的Winbox或Web界面，进入IP → Pool菜单，添加三个地址池：
/ip pool add name=guest-pool ranges=192.168.10.100-192.168.10.200 /ip pool add name=iot-pool ranges=192.168.20.100-192.168.20.200 /ip pool add name=office-pool ranges=192.168.30.100-192.168.30.2003.2 配置DHCP服务器Option匹配
接下来设置DHCP服务器，使其根据Option 60值分配不同地址池：
/ip dhcp-server option add name=option60 code=60 value=STRING /ip dhcp-server option matcher add \ name=guest-matcher \ code=60 \ value=Guest-Client \ server=dhcp1 \ address-pool=guest-pool /ip dhcp-server option matcher add \ name=iot-matcher \ code=60 \ value=IoT-Device \ server=dhcp1 \ address-pool=iot-pool /ip dhcp-server option matcher add \ name=office-matcher \ code=60 \ value=Office-Device \ server=dhcp1 \ address-pool=office-pool关键参数说明：
code=60：指定匹配Option 60字段value：客户端发送的标识字符串（区分大小写）address-pool：匹配成功后使用的地址池
4. 防火墙策略与网络隔离
分配不同IP段只是第一步，真正的隔离需要通过防火墙规则实现。以下是典型配置示例：
4.1 基础隔离规则
/ip firewall filter add chain=forward src-address=192.168.10.0/24 dst-address=192.168.0.0/16 action=drop comment="阻止访客访问内部网络" /ip firewall filter add chain=forward src-address=192.168.20.0/24 dst-address=!192.168.30.0/24 action=drop comment="限制IoT设备仅能访问办公网络"4.2 带宽控制示例
为不同设备类型设置差异化的带宽限制：
/queue simple add name=guest-limit target=192.168.10.0/24 max-limit=5M/5M /queue simple add name=iot-limit target=192.168.20.0/24 max-limit=2M/2M /queue simple add name=office-limit target=192.168.30.0/24 max-limit=50M/50M实际效果测试：
使用Option 60值为"Guest-Client"的设备获取IP：
dhclient -v eth0 -s 192.168.1.1 -V Guest-Client应获得192.168.10.x地址，且无法ping通内部服务器
办公设备获取IP：
dhclient -v eth0 -s 192.168.1.1 -V Office-Device应获得192.168.30.x地址，可访问所有网络资源
5. 高级应用与故障排查
5.1 客户端标识方案
对于不支持原生Option 60的设备，可采用以下替代方案：
OpenWRT中间设备：在路由器上统一添加标识
# OpenWRT的DHCP客户端配置 config interface 'wan' option sendopts '-x 0x3c:Guest-Client'Windows设备：通过注册表添加
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{接口GUID}] "DhcpClassId"="Office-Device"
5.2 常见问题排查
问题1：设备获取不到预期IP地址
- 检查Option 60值是否完全匹配（包括大小写）
- 确认DHCP请求中确实包含Option 60字段（使用Wireshark抓包分析）
问题2：隔离策略不生效
- 检查防火墙规则顺序（RouterOS按从上到下顺序匹配）
- 确认地址分配正确（
/ip dhcp-server lease print）
问题3：某些设备无法获取IP
- 尝试创建默认匹配规则作为回退：
/ip dhcp-server option matcher add \ code=60 \ server=dhcp1 \ address-pool=default-pool
在实际部署中，我发现最常出现的问题是客户端标识不统一。建议先在小范围测试，确认所有设备类型都能正确发送预期的Option 60值，再逐步扩大部署范围。