تنظیمات امنیتی میکروتیک: چک لیست امن سازی روتر در RouterOS 7

روتر میکروتیک (MikroTik) در بسیاری از شرکت های ایرانی دروازه اصلی اینترنت است و همه ترافیک ورودی و خروجی از آن عبور می کند؛ به همین دلیل هدف جذابی برای مهاجم است. در سال های گذشته، روترهای میکروتیکی که آپدیت نشده بودند و Winbox آن ها از اینترنت در دسترس بود، در شبکه های بات نت بزرگ به کار گرفته شدند. تنظیمات امنیتی میکروتیک را برای روتر شرکت در چند قدم نوشته ایم و همه دستورها مربوط به RouterOS 7 هستند.

قبل از امن سازی روتر میکروتیک چه چیزهایی را مشخص کنیم؟

• اینکه کدام پورت (WAN) به مودم یا لینک اینترنت وصل می شود و IP آن ثابت است یا از DHCP یا PPPoE گرفته می شود.
• رنج IP شبکه داخلی (مثلا 192.168.10.0/24)، و اینکه به VLAN جدا برای مهمان، دوربین یا سرورها نیاز دارید یا نه.
• سرویس هایی که باید از بیرون در دسترس باشند (مثلا ایمیل سرور). هر Port Forward ریسک دارد و باید دلیل مشخصی پشتش باشد.
• اینکه چه کسانی روتر را مدیریت می کنند و از کجا.

پیکربندی اولیه: Quick Set یا تنظیم دستی؟

روترهای خانگی و دفتری میکروتیک مثل سری hAP با یک پیکربندی پیش فرض (defconf) عرضه می شوند که پورت اول را WAN در نظر می گیرد، بقیه پورت ها را در یک bridge قرار می دهد و یک فایروال پایه هم دارد. در دستگاه های جدید، رمز پیش فرض روی برچسب دستگاه چاپ شده است. Quick Set در Winbox یا WebFig برای یک دفتر کوچک کافی است.

برای شرکت ها معمولا بهتر است پیکربندی را خودتان و آگاهانه بسازید تا بدانید هر قانون چه کاری می کند. اگر این مسیر را انتخاب کردید، روتر را بدون تنظیمات پیش فرض ریست کنید و از طریق Winbox با اتصال MAC وارد شوید:

/system reset-configuration no-defaults=yes skip-backup=yes

دستورهای بعدی با این فرض نوشته شده اند که ether1 پورت WAN است و بقیه پورت ها شبکه داخلی را تشکیل می دهند.

گام 1: آپدیت RouterOS و فرمور

اولین کار، نصب آخرین نسخه پایدار است. بسیاری از آسیب پذیری های جدی میکروتیک در نسخه های بعدی بسته شده اند.

/system package update set channel=stable
/system package update check-for-updates
/system package update install

# بعد از ریبوت، فرمور RouterBOOT را هم هم تراز کنید
/system routerboard print
/system routerboard upgrade
/system reboot

روی مدل های دارای فضای ذخیره سازی کم، قبل از آپدیت فضای آزاد را با /system resource print بررسی کنید. کانال long-term هم برای محیط هایی که تغییر کمتر می خواهند گزینه مناسبی است.

گام 2: کاربران و رمز عبور

نام کاربری admin را همه می شناسند. یک کاربر جدید با رمز قوی بسازید، با آن وارد شوید و بعد admin را غیرفعال کنید. برای کسی که فقط باید تنظیمات را ببیند، گروه read کافی است.

/user add name=netadmin group=full password="Str0ng-Long-Passphrase"
# پس از ورود موفق با netadmin:
/user disable admin

# محدود کردن ورود کاربر به شبکه مدیریت
/user set netadmin address=192.168.10.0/24,10.99.0.0/24

# سیاست حداقل طول رمز
/user settings set minimum-password-length=12

گام 3: بستن سرویس های غیرضروری

روتر به صورت پیش فرض چند سرویس مدیریتی را روشن دارد. هر سرویسی که استفاده نمی کنید را خاموش کنید و بقیه را به شبکه داخلی محدود کنید:

# سرویس های مدیریتی
/ip service disable telnet,ftp,www,api,api-ssl
/ip service set winbox address=192.168.10.0/24,10.99.0.0/24
/ip service set ssh address=192.168.10.0/24,10.99.0.0/24
/ip ssh set strong-crypto=yes

# دسترسی MAC فقط از داخل شبکه
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN

# سرویس هایی که معمولا لازم نیستند
/tool bandwidth-server set enabled=no
/ip proxy set enabled=no
/ip socks set enabled=no
/ip upnp set enabled=no
/ip cloud set ddns-enabled=no update-time=no

رنج 10.99.0.0/24 مربوط به VPN مدیریتی گام 7 است. دستورهای MAC و neighbor به interface list به نام LAN نیاز دارند که در گام بعد ساخته می شود. اگر روتر را بدون تنظیمات پیش فرض ریست کرده اید، این بخش را بعد از گام 4 اجرا کنید.

گام 4: interface list، شبکه داخلی و فایروال

تعریف WAN و LAN

/interface bridge add name=bridge-lan
/interface bridge port add bridge=bridge-lan interface=ether2
/interface bridge port add bridge=bridge-lan interface=ether3
/ip address add address=192.168.10.1/24 interface=bridge-lan

/interface list add name=WAN
/interface list add name=LAN
/interface list member add list=WAN interface=ether1
/interface list member add list=LAN interface=bridge-lan

# اینترنت از DHCP مودم (برای PPPoE یا IP ثابت متفاوت است)
/ip dhcp-client add interface=ether1

DHCP برای کاربران

/ip pool add name=lan-pool ranges=192.168.10.100-192.168.10.250
/ip dhcp-server add name=lan-dhcp interface=bridge-lan address-pool=lan-pool disabled=no
/ip dhcp-server network add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1

فایروال روتر میکروتیک

در فایروال پایه، زنجیره input از خود روتر محافظت می کند: فقط ارتباطات برقرار شده، ICMP و درخواست های شبکه داخلی پذیرفته می شوند. زنجیره forward از شبکه داخلی محافظت می کند: هر اتصال جدیدی که از WAN آمده و Port Forward نشده، رد می شود. این قوانین مشابه فایروال پیش فرض خود میکروتیک است:

/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="input: established"
add chain=input action=drop connection-state=invalid comment="input: drop invalid"
add chain=input action=accept protocol=icmp comment="input: icmp"
add chain=input action=drop in-interface-list=!LAN comment="input: drop all not from LAN"
add chain=forward action=fasttrack-connection connection-state=established,related hw-offload=yes comment="forward: fasttrack"
add chain=forward action=accept connection-state=established,related,untracked comment="forward: established"
add chain=forward action=drop connection-state=invalid comment="forward: drop invalid"
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="forward: drop WAN not dstnat"

میکروتیک قوانین را از بالا به پایین بررسی می کند و اولین قانونی را که منطبق شود اعمال می کند، پس ترتیب قوانین اهمیت دارد: هر قانون accept جدید در زنجیره input باید قبل از قانون drop آخر قرار بگیرد. اگر از IPv6 استفاده می کنید، فایروال IPv6 را هم جداگانه تنظیم کنید و آن را بدون قانون رها نکنید.

گام 5: NAT و دسترسی به اینترنت

برای اینکه کاربران شبکه داخلی به اینترنت دسترسی داشته باشند، یک قانون masquerade کافی است:

/ip firewall nat
add chain=srcnat action=masquerade out-interface-list=WAN comment="LAN to internet"

اگر سرویسی باید از بیرون در دسترس باشد، dst-nat را فقط برای همان پورت و در صورت امکان فقط برای IP های مشخص بسازید. پورت RDP یا پنل مدیریت سرورها را هرگز مستقیم Forward نکنید و برای این دسترسی ها از VPN استفاده کنید.

/ip firewall nat
add chain=dstnat action=dst-nat in-interface-list=WAN protocol=tcp dst-port=443 to-addresses=192.168.10.20 to-ports=443 comment="web server"

گام 6: DNS، ساعت و NTP

اگر کاربران از روتر به عنوان DNS استفاده می کنند، allow-remote-requests باید روشن باشد. در این حالت قانون drop زنجیره input که بالاتر ساختیم، جلوی درخواست DNS از اینترنت را می گیرد. بدون آن قانون، روتر شما به یک DNS باز برای حمله های تقویتی تبدیل می شود.

/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

/system clock set time-zone-name=Asia/Tehran
/system ntp client set enabled=yes
/system ntp client servers add address=pool.ntp.org

ساعت درست برای خواندن لاگ ها و بررسی هر حادثه لازم است. سرورهای DNS را بر اساس سرویس دهنده اینترنت و سیاست شرکت خودتان انتخاب کنید.

گام 7: راه اندازی وایرگارد میکروتیک برای مدیریت از راه دور

Winbox یا SSH را حتی با پورت تغییر یافته روی اینترنت باز نگذارید؛ ریسکش زیاد است. RouterOS 7 از WireGuard پشتیبانی می کند که برای دسترسی امن مدیر شبکه از بیرون، راه سبکی است:

/interface wireguard add name=wg-admin listen-port=13231
/ip address add address=10.99.0.1/24 interface=wg-admin
/interface wireguard peers add interface=wg-admin public-key="PUBLIC-KEY-OF-ADMIN-LAPTOP" allowed-address=10.99.0.2/32
/interface list member add list=LAN interface=wg-admin

# این قانون را قبل از قانون drop زنجیره input قرار دهید
/ip firewall filter add chain=input action=accept protocol=udp dst-port=13231 in-interface-list=WAN comment="wireguard"

کلید عمومی روتر را با /interface wireguard print ببینید و در کلاینت WireGuard لپ تاپ مدیر وارد کنید. چون wg-admin عضو LAN شده، کاربر VPN همان دسترسی کاربر داخلی را دارد. اگر دسترسی محدودتری می خواهید، interface list جداگانه ای برای مدیریت بسازید. برای اتصال شعبه ها به دفتر مرکزی، طراحی متفاوتی لازم است که در صفحه اتصال شعب با VPN توضیح داده ایم.

اتصال کارمندان و شعبه ها با L2TP/IPsec و WireGuard و نمونه دستورها در VPN در میکروتیک آمده است.

گام 8: لاگ و بکاپ

لاگ داخل روتر بعد از ریبوت پاک می شود. لاگ های مهم را به یک سرور Syslog داخلی بفرستید:

/system logging action add name=remote target=remote remote=192.168.10.5
/system logging add topics=critical action=remote
/system logging add topics=error action=remote
/system logging add topics=warning action=remote
/system logging add topics=account action=remote

برای بکاپ دو نوع فایل لازم دارید. فایل .backup برای برگرداندن روی همان دستگاه است و با رمز ذخیره می شود. فایل .rsc خروجی متنی تنظیمات است که خواندنی است و روی دستگاه دیگر هم قابل استفاده است. در RouterOS 7 اطلاعات حساس به صورت پیش فرض در export نمی آید و برای بکاپ کامل باید show-sensitive را اضافه کنید:

/system backup save name=router-2026 password="Backup-Passphrase"
/export file=router-2026 show-sensitive

# export هفتگی خودکار
/system scheduler add name=weekly-export interval=7d on-event="/export file=weekly-export show-sensitive"

فایل ها روی خود روتر ذخیره می شوند. آن ها را به جای امنی خارج از روتر منتقل کنید و چون فایل export شامل رمزهاست، مثل یک سند محرمانه با آن رفتار کنید.

چک لیست نهایی راه اندازی امن روتر میکروتیک

بعد از راه اندازی

آپدیت های امنیتی RouterOS را دنبال کنید. هر چند ماه یک بار قوانین فایروال و NAT را مرور کنید و موارد بلااستفاده را بردارید، و بعد از هر تغییر مهم یک export تازه بگیرید.

اگر قانون نویسی فایروال برایتان تازه است، فایروال چیست مقدمه خوبی است.

منابع و مستندات رسمی

• مستندات رسمی MikroTik درباره امن سازی روتر
• مستندات رسمی MikroTik درباره فایروال
• مستندات رسمی MikroTik درباره پیکربندی اولیه

روتری که سال ها بدون بازبینی کار کرده، یا پیکربندی تازه ای که می خواهید از ابتدا درست چیده شود، کار سرویس راه اندازی و پشتیبانی میکروتیک است. تنظیمات فعلی روتر را می خوانیم، فایروال و دسترسی ها را اصلاح می کنیم و سند پیکربندی نهایی را به شما می سپاریم. درخواست بررسی را از صفحه خدمات میکروتیک ثبت کنید.

نحوه تهیه مقاله ها