👋 Привет, сетевой друг!

Расскажу еще о 3 способах прокачать защиту Mikrotik.

🟣Закрываем панель управления (Management plane hardening)
Не оставляй роутер с «всем открыто» — поменяй порты, отключи ненужные сервисы и пропускай админ‑доступ только с доверенных адресов.

# отключить ненужные сервисы
/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes

# включить HTTPS с конкретным сертификатом (предварительно импортируйте cert)
# пример: /certificate import file-name=mycert.crt
/ip service set www-ssl certificate=mycert.crt port=8443

# сменить порт Winbox/SSH (уменьшает шум сканеров)
# например, winbox на 39229, ssh на 2222
/ip service set winbox port=39229
/ip service set ssh port=2222

# разрешаем админ‑доступ только с ACL (создаём список разрешённых адресов)
/ip firewall address-list add list=admin_allowed address=203.0.113.5
/ip firewall filter add chain=input src-address-list=admin_allowed dst-port=39229,2222 protocol=tcp action=accept
/ip firewall filter add chain=input dst-port=39229,2222 protocol=tcp action=drop

🟣Централизованный лог и оповещения
Логи на роутере быстро теряются, шлём их на внешний syslog и на почту при критических событиях. Так увидим попытки взлома в реальном времени.

# отправляем логи на внешний syslog (пример 192.0.2.10:514)
# сначала добавляем действие (action), затем правило логирования
/system logging action add name=to-remote target=remote remote=192.0.2.10 remote-port=514
/system logging add action=to-remote topics=warning,critical,auth

# настраиваем e-mail (пример для оповещений)
# /tool e-mail set server=smtp.example.com from=alerts@example.com user=alerts password=secret
/tool e-mail set server=smtp.example.com from=alerts@example.com user=alerts password=secret

# шлём тестовое письмо (в реальной схеме — триггерить из скрипта при подозрении)
#/tool e-mail send to=you@org.com subject="MikroTik alert" body="Test alert"

# (опция) добавить правило, которое логирует и/или шлёт e-mail при попадании в blacklist
/ip firewall filter add chain=input src-address-list=blacklist action=log log-prefix="BLACKLISTED: "

🟣RBAC и ключи SSH, убираем «admin / password»: Создай пользователей с нужными правами, запрети стандартного admin и используй SSH‑ключи вместо паролей для безопасного доступа.

# добавить оператора с правами только на чтение (read) и отдельного администратора
/user add name=ops group=read password=Str0ngRead!
/user add name=adminops group=full password=VeryStr0ngAdmin!

# отключаем встроенного admin, если он не нужен
/user set admin disabled=yes

# импорт публичного SSH‑ключа для пользователя adminops (файл public_key.pub должен быть доступен)
# /user ssh-keys import user=adminops public-key-file=public_key.pub

# запретить вход по паролю для SSH и разрешить только ключи (опция — если хотите жестко)
# (в RouterOS можно реализовать через policy и внешние сценарии; как минимум используйте ключи и сложные пароли)

Серверная Админа | #Mikrotik