Ինչպես կարգավորել MikroTik-ը փոքր բիզնեսի համար․ անվտանգ հիմնական կոնֆիգուրացիա՝ քայլ առ քայլ

MikroTik ռաութերները հզոր են և մատչելի, ուստի կան շատ գրասենյակներում։ Բայց գործարանային կարգավորումներով և բաց կառավարմամբ ռաութերը հեշտ թիրախ է․ 2026-ին RouterOS-ի մի քանի խոցելիություն ակտիվորեն շահագործվել է։ Այս ուղեցույցը տալիս է անվտանգ հիմնական կարգավորում սովորական գրասենյակի համար՝ մեկ ինտերնետ կապ, գրասենյակային ցանց և հյուրերի Wi-Fi։

Քայլ 1. Թարմացրեք RouterOS-ը և ծրագրային ապահովումը

Տեղադրեք վերջին տարբերակը stable կամ long-term ալիքից, հետո թարմացրեք RouterBOOT-ը։

/system package update check-for-updates
/system package update install
# after the router restarts:
/system routerboard upgrade
/system reboot

Քայլ 2. Փոխարինեք լռելյայն admin օգտատիրոջը

Ստեղծեք ձեր ադմինիստրատորին՝ երկար եզակի գաղտնաբառով, մուտք գործեք նրանով և անջատեք admin-ը։

/user add name=netadmin group=full password="Long-Unique-Password"
# log in again as netadmin, then:
/user disable admin

Քայլ 3. Փակեք ավելորդ ծառայությունները և սահմանափակեք կառավարումը

Անջատեք չօգտագործվող ծառայությունները և Winbox-ն ու SSH-ը թույլատրեք միայն գրասենյակային ցանցից։ Նաև սահմանափակեք MAC մուտքը և հարևանների հայտնաբերումը LAN ինտերֆեյսներով։

/ip service disable telnet,ftp,www,api,api-ssl
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LAN
/tool bandwidth-server set enabled=no
/ip proxy set enabled=no
/ip socks set enabled=no
/ip upnp set enabled=no

Քայլ 4. Firewall․ ռաութերի և ցանցի պաշտպանություն

Եթե լռելյայն firewall-ը ջնջվել է, վերականգնեք այս կանոնները։ Ռաութերը կառավարում ընդունում է միայն LAN-ից, իսկ ինտերնետից նոր միացումները մերժվում են, եթե դրանց համար պորտի վերահասցեավորում չկա։

/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="accept established"
add chain=input action=drop connection-state=invalid comment="drop invalid"
add chain=input action=accept protocol=icmp comment="accept ICMP"
add chain=input action=drop in-interface-list=!LAN comment="drop everything not from LAN"
add chain=forward action=fasttrack-connection connection-state=established,related hw-offload=yes
add chain=forward action=accept connection-state=established,related,untracked
add chain=forward action=drop connection-state=invalid
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="drop new from WAN not port-forwarded"

Քայլ 5. Առանձին հյուրերի Wi-Fi

Ստեղծեք առանձին bridge (այստեղ՝ bridge-guest) իր ենթացանցով և DHCP սերվերով հյուրերի Wi-Fi-ի համար (կօգնեն Quick Set-ը կամ /ip dhcp-server setup-ը)։ Այնուհետև արգելեք հյուրերին մուտք գործել գրասենյակային ցանց․

/ip firewall filter add chain=forward in-interface=bridge-guest out-interface-list=LAN action=drop comment="guests cannot reach office LAN" place-before=0

Քայլ 6. Ժամանակ, պահուստային պատճեն և գրանցամատյաններ

Ճիշտ ժամանակը անհրաժեշտ է գրանցամատյանների և վկայագրերի համար։ Պահպանեք կոդավորված պահուստային պատճեն և ընթեռնելի export, և պահեք երկուսն էլ ռաութերից դուրս։ Եթե ունեք գրանցամատյանների սերվեր, ուղարկեք դրանք այնտեղ /system logging-ով։

/system clock set time-zone-name=Asia/Yerevan
/system ntp client set enabled=yes
/system ntp client servers add address=pool.ntp.org
/system backup save name=office-router password="Backup-Password"
/export file=office-router-config

Ինչ չանել

• Մի վերահասցեավորեք Winbox-ը (8291), SSH-ը կամ WebFig-ը ինտերնետին։ Հեռակա կառավարման համար օգտագործեք VPN՝ տե՛ս մեր WireGuard ուղեցույցը։
• Մի բացեք պորտեր UPnP-ով։
• Մի պահեք RouterOS-ի հին տարբերակները «որովհետև աշխատում է»։

Ռաութերը կարգավորում են մեկ անգամ, իսկ սպասարկում են անընդհատ՝ թարմացումներ, պահուստային պատճեններ և հայացք գրանցամատյաններին։

Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։

Հաճախ տրվող հարցեր

Բոլոր հոդվածները