divitКоротко: чтобы защитить MikroTik в офисе, замените пользователя admin на личную учётную запись, отключите ненужные службы (telnet, ftp, www, api), ограничьте Winbox и SSH офисной сетью, проверьте правило firewall «drop all not coming from LAN» и обновите RouterOS.
MikroTik — надёжный и недорогой роутер для офиса, но в заводских настройках многое открыто для удобства. Ниже — минимум, который стоит сделать на каждом устройстве. Команды — для терминала Winbox.
1. Свой администратор вместо admin
/user add name=netadmin group=full password="ДлинныйПароль"
/user disable adminПеред отключением admin зайдите под новым пользователем и убедитесь, что вход работает.
2. Отключите лишние службы и ограничьте доступ
/ip service disable telnet,ftp,www,api,api-ssl
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24Подставьте свою офисную сеть. Если управляете роутером из дома — через VPN, а не через открытый Winbox.
3. MAC-доступ и обнаружение — только из локальной сети
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN4. Firewall: всё, что пришло не из LAN, — запрещено
В стандартной конфигурации MikroTik уже есть правило «defconf: drop all not coming from LAN». Проверьте, что оно на месте и стоит после разрешающих правил:
/ip firewall filter print where chain=inputЕсли конфигурацию когда-то сбросили без стандартных правил, минимальный набор для цепочки input: разрешить established/related, запретить invalid, разрешить ICMP, разрешить нужное (например, порт VPN), запретить всё, что пришло не из интерфейсов списка LAN.
5. DNS не должен отвечать в интернет
Если включено allow-remote-requests=yes (нужно, чтобы роутер был DNS-сервером для офиса), убедитесь, что правило firewall из пункта 4 блокирует запросы снаружи. Иначе ваш роутер станут использовать для DDoS-атак.
6. Обновите RouterOS и прошивку
/system package update check-for-updates
/system package update installПосле перезагрузки обновите загрузчик: /system routerboard upgrade и ещё одна перезагрузка. Обновляйтесь в нерабочее время.
7. Сохраните резервную копию настроек
/export file=office-config
/system backup save name=office-backupСкачайте оба файла с роутера (Files) и храните вне роутера. Файл .backup подходит для восстановления на этом же устройстве, текстовый .rsc — чтобы перенести настройки на новый роутер.
Проверьте результат
Наша проверка портов покажет, не виден ли Winbox (8291) или другие службы из интернета.
Если у вас много устройств и нет специалиста, который следит за их настройками, такие задачи берёт на себя ИТ-аутсорсинг в Москве.
Частые вопросы
Можно ли оставить Winbox открытым в интернет? Нет. Ограничьте доступ адресом офисной сети, а управлять роутером из дома — через VPN. Что видно снаружи, покажет проверка портов: Winbox использует порт 8291.
Что проверить, если конфигурацию когда-то сбрасывали? Наличие стандартного правила «defconf: drop all not coming from LAN» в цепочке input и его место после разрешающих правил. Команда: /ip firewall filter print where chain=input.
Как не потерять настройки при обновлении или замене роутера? Перед работами сделайте /export file=office-config и /system backup save. Файл .backup подходит для этого же устройства, текстовый .rsc — для переноса на новый роутер.