MikroTik Securing Router

نمای کلی

مراحل زیر توصیه‌هایی برای افزایش امنیت دستگاه MikroTik هستند؛ به‌خصوص در شرایطی که روتر از قبل دارای قوانین قدرتمند Firewall باشد.

هدف اصلی این تنظیمات، کاهش سطح حمله (Attack Surface)، جلوگیری از دسترسی غیرمجاز و غیرفعال کردن سرویس‌هایی است که در محیط عملیاتی موردنیاز نیستند.

1. به‌روزرسانی RouterOS

اولین قدم برای ایمن‌سازی روتر، به‌روزرسانی RouterOS به آخرین نسخه موجود است.

برخی نسخه‌های قدیمی RouterOS دارای آسیب‌پذیری‌ها و ضعف‌های امنیتی بوده‌اند که در نسخه‌های جدیدتر برطرف شده‌اند.

بنابراین برای اطمینان از امنیت دستگاه، همیشه RouterOS را به‌روز نگه دارید.

در WinBox یا WebFig

از گزینه:

Check for Updates

استفاده کنید.

همچنین توصیه می‌شود اطلاعیه‌های امنیتی MikroTik را دنبال کنید تا در صورت انتشار آسیب‌پذیری یا مشکل امنیتی جدید، سریعاً مطلع شوید.

نکته: به‌روزرسانی RouterOS یکی از مهم‌ترین اقدامات امنیتی است و نباید فقط به تنظیم Firewall اکتفا کرد.

2. ایمن‌سازی دسترسی به روتر

تغییر نام کاربری پیش‌فرض

بهتر است نام کاربری پیش‌فرض:

admin

را به یک نام کاربری دیگر تغییر دهید.

استفاده از نام کاربری سفارشی می‌تواند در صورتی که شخصی به روتر دسترسی مستقیم داشته باشد، امنیت دسترسی مدیریتی را افزایش دهد.

ایجاد کاربر جدید

/user add name=myname password=mypassword group=full

در این دستور:

• name = نام کاربر

• password = رمز عبور

• group=full = دسترسی کامل مدیریتی

پس از اطمینان از اینکه کاربر جدید به‌درستی ایجاد شده است، کاربر admin را غیرفعال کنید:

/user disable admin

نکته مهم

بهتر است قبل از غیرفعال کردن admin یک‌بار با حساب کاربری جدید وارد روتر شوید و مطمئن شوید که:

• Username صحیح است.

• Password صحیح است.

• سطح دسترسی full است.

• امکان ورود از WinBox یا Terminal وجود دارد.

در غیر این صورت ممکن است دسترسی مدیریتی خودتان را از دست بدهید.

3. انتخاب رمز عبور قدرتمند

MikroTik توصیه می‌کند حتماً برای روتر رمز عبور تعیین کنید و برای تولید رمز عبور از Password Generator استفاده کنید.

یک رمز عبور امن باید:

حداقل ۱۲ کاراکتر داشته باشد

مثلاً:

12 characters or more

شامل اعداد باشد

مانند:

0 1 2 3 4 5

شامل نمادها باشد

مانند:

! @ # $ % & *

شامل حروف بزرگ و کوچک باشد

مثلاً:

A B C
a b c

کلمه فرهنگ لغت نباشد

نباید از کلماتی مانند:

password
mikrotik
admin
router

یا ترکیب ساده چند کلمه قابل حدس استفاده کنید.

نمونه تنظیم رمز عبور

/user set myname password="!={Ba3N!40TуX+GvKBz?jTLIUcx/,"

نکته فنی

اگر در رمز عبور از علامت‌های خاص، مخصوصاً " " استفاده می‌کنید، باید در Syntax مربوط به RouterOS آنها را به‌درستی Escape کنید.

همچنین بهتر است برای هر سرویس و هر دستگاه، رمز عبور منحصربه‌فرد داشته باشید.

4. ایمن‌سازی دسترسی به دستگاه

RouterOS به‌صورت پیش‌فرض دارای Firewall است که اتصال‌های ورودی از سمت:

WAN / Internet

را مسدود می‌کند.

این رفتار کاملاً عمدی است.

هشدار بسیار مهم

قوانین پیش‌فرض Firewall را حذف نکنید؛ مگر اینکه کاملاً مطمئن باشید چه کاری انجام می‌دهید و جایگزین امنی برای آنها ایجاد کرده باشید.

این قوانین یکی از مهم‌ترین لایه‌های امنیتی روتر هستند.

5. دسترسی از راه دور به روتر

اگر نیاز دارید از طریق اینترنت به RouterOS دسترسی مدیریتی داشته باشید، توصیه MikroTik این است که به‌جای باز کردن مستقیم سرویس‌های مدیریتی، از یک VPN استفاده کنید.

یکی از گزینه‌های پیشنهادی:

WireGuard

ساختار پیشنهادی:

Internet
    |
    |
[ Firewall ]
    |
[ WireGuard VPN ]
    |
[ MikroTik Router ]

در این حالت ابتدا کاربر از طریق VPN وارد شبکه می‌شود و سپس به سرویس مدیریتی روتر دسترسی پیدا می‌کند.

این روش بسیار امن‌تر از باز گذاشتن مستقیم WinBox، SSH یا سایر سرویس‌های مدیریتی روی اینترنت است.

6. غیرفعال کردن MAC Access

RouterOS قابلیت‌هایی برای مدیریت آسان دستگاه‌ها از طریق MAC Address دارد.

این قابلیت‌ها عبارت‌اند از:

• MAC-Telnet

• MAC-WinBox

• MAC-Ping

در شبکه‌های Production بهتر است این سرویس‌ها غیرفعال شوند.

غیرفعال کردن MAC-Telnet

/tool mac-server set allowed-interface-list=none

غیرفعال کردن MAC-WinBox

/tool mac-server mac-winbox set allowed-interface-list=none

غیرفعال کردن MAC-Ping

/tool mac-server ping set enabled=no

چرا MAC Access را غیرفعال کنیم؟

MAC Access وابسته به IP نیست.

بنابراین حتی اگر IP Address روتر را ندانید، در بعضی شرایط می‌توان از طریق Layer 2 به دستگاه دسترسی پیدا کرد.

در محیط‌های عملیاتی، اگر به این قابلیت‌ها نیاز ندارید، بهتر است آنها را غیرفعال کنید.

7. غیرفعال کردن Neighbor Discovery

MikroTik Neighbor Discovery Protocol برای شناسایی و نمایش سایر تجهیزات MikroTik در شبکه استفاده می‌شود.

برای مثال ممکن است روترهای MikroTik موجود در شبکه در WinBox در قسمت:

Neighbors

نمایش داده شوند.

برای افزایش امنیت، در محیط‌های حساس می‌توان Neighbor Discovery را غیرفعال کرد.

دستور:

/ip neighbor discovery-settings set discover-interface-list=none

با این تنظیم، Neighbor Discovery روی Interfaceها غیرفعال می‌شود.

8. غیرفعال کردن Bandwidth Server

Bandwidth Server در MikroTik برای آزمایش سرعت و Throughput بین دو دستگاه MikroTik استفاده می‌شود.

اگر در شبکه Production به آن نیاز ندارید، بهتر است غیرفعال شود.

/tool bandwidth-server set enabled=no

چرا؟

زیرا هر سرویس فعال، بالقوه یک سطح حمله اضافی ایجاد می‌کند.

قاعده امنیتی مهم:

هر سرویسی که لازم ندارید، غیرفعال کنید.

9. غیرفعال کردن DNS Remote Requests

RouterOS ممکن است به‌عنوان DNS Cache برای کلاینت‌های شبکه کار کند.

این قابلیت می‌تواند باعث کاهش زمان پاسخ DNS شود؛ زیرا درخواست‌های DNS در Cache روتر ذخیره می‌شوند.

اما اگر روتر شما نباید برای کلاینت‌ها DNS Resolver باشد، یا دستگاه دیگری این وظیفه را انجام می‌دهد، بهتر است قابلیت Remote DNS Request را غیرفعال کنید.

دستور:

/ip dns set allow-remote-requests=no

نکته مهم

این گزینه را بدون بررسی ساختار شبکه تغییر ندهید.

اگر کلاینت‌های LAN شما از MikroTik به‌عنوان DNS Server استفاده می‌کنند، غیرفعال کردن این گزینه ممکن است باعث شود DNS آنها دیگر کار نکند.

10. غیرفعال کردن سرویس‌های غیرضروری

RouterOS سرویس‌های دیگری نیز دارد که بهتر است در صورت عدم نیاز غیرفعال شوند.

MikroTik در این راهنما به موارد زیر اشاره می‌کند:

• Web Proxy

• SOCKS Proxy

• UPnP

• Cloud/DDNS

غیرفعال کردن Web Proxy

/ip proxy set enabled=no

غیرفعال کردن SOCKS Proxy

/ip socks set enabled=no

غیرفعال کردن UPnP

/ip upnp set enabled=no

UPnP می‌تواند به دستگاه‌های داخل شبکه اجازه دهد به‌صورت خودکار Port Mapping ایجاد کنند.

اگر به UPnP نیاز ندارید، بهتر است خاموش باشد.

غیرفعال کردن Dynamic DNS

/ip cloud set ddns-enabled=no update-time=no

اگر به MikroTik Cloud DDNS نیاز ندارید، می‌توانید آن را غیرفعال کنید.

11. افزایش امنیت SSH

RouterOS امکان استفاده از تنظیمات سخت‌گیرانه‌تر برای SSH را فراهم می‌کند.

برای فعال کردن Strong Crypto:

/ip ssh set strong-crypto=yes

این گزینه تنظیمات رمزنگاری SSH را سخت‌گیرانه‌تر می‌کند.

طبق مستند MikroTik، این گزینه الگوریتم‌های رمزنگاری قوی‌تر را فعال کرده و الگوریتم‌ها و گروه‌های مبتنی بر SHA-1 را محدود می‌کند.

12. ایمن‌سازی Interfaceهای روتر

Ethernet و SFP

یکی از اقدامات ساده و مؤثر امنیتی این است که Interfaceهایی که استفاده نمی‌شوند را غیرفعال کنید.

ابتدا Interfaceهای روتر را مشاهده کنید:

/interface print

سپس Interface بدون استفاده را غیرفعال کنید:

/interface set X disabled=yes

در اینجا:

X

شماره یا شناسه Interface موردنظر است.

مثلاً اگر ether10 استفاده نمی‌شود:

/interface set ether10 disabled=yes

چرا Interfaceهای بدون استفاده را خاموش کنیم؟

فرض کنید روتر شما ۱۰ پورت Ethernet دارد ولی فقط ۳ پورت مورد استفاده هستند.

اگر ۷ پورت باقی‌مانده فعال باشند، شخصی که بتواند به آنها کابل متصل کند ممکن است بتواند به شبکه دسترسی پیدا کند.

بنابراین بهتر است:

Used Interface → Enabled
Unused Interface → Disabled

این یک اقدام ساده اما مؤثر برای کاهش Attack Surface است.

13. ایمن‌سازی LCD در RouterBOARD

برخی مدل‌های RouterBOARD دارای نمایشگر LCD هستند.

این LCD معمولاً برای نمایش اطلاعات دستگاه استفاده می‌شود.

در صورت وجود LCD، می‌توانید برای آن PIN تعیین کنید.

مثال:

/lcd/pin/set pin-number=3659 hide-pin-number=yes

در این حالت PIN تنظیم شده و نمایش آن نیز مخفی می‌شود.

یا LCD را کاملاً غیرفعال کنید

اگر به LCD نیاز ندارید:

/lcd/set enabled=no

چک‌لیست نهایی ایمن‌سازی MikroTik

پس از نصب و راه‌اندازی روتر، بهتر است این موارد را بررسی کنید:

مهم‌ترین نکات امنیتی

اگر بخواهیم کل این راهنما را در چند اصل مهم خلاصه کنیم:

1. RouterOS را به‌روز نگه دارید

نسخه قدیمی می‌تواند دارای آسیب‌پذیری‌های شناخته‌شده باشد.

2. رمز عبور قوی استفاده کنید

حداقل ۱۲ کاراکتر، ترکیبی از حروف بزرگ و کوچک، عدد و Symbol.

3. کاربر پیش‌فرض admin را غیرفعال کنید

ابتدا کاربر جدید بسازید و دسترسی آن را آزمایش کنید.

4. Firewall پیش‌فرض را بی‌دلیل حذف نکنید

این Firewall بخش مهمی از امنیت روتر است.

5. مدیریت از اینترنت را مستقیماً باز نکنید

برای Remote Management بهتر است از VPN مانند WireGuard استفاده کنید.

6. سرویس‌های غیرضروری را خاموش کنید

مانند:

MAC-Telnet
MAC-WinBox
MAC-Ping
Bandwidth Server
Proxy
SOCKS
UPnP

7. Interfaceهای بلااستفاده را Disable کنید

هر پورت فعال، در صورت دسترسی فیزیکی، می‌تواند نقطه ورود بالقوه باشد.

8. اصل طلایی امنیت MikroTik

هر چیزی که نیاز ندارید، فعال نگذارید.

هر سرویس، Interface یا روش دسترسی غیرضروری، سطح حمله دستگاه را افزایش می‌دهد.