نصب میکروتیک CHR روی سرور مجازی و امنیت روز اول

بیشتر ارائه‌دهنده‌های سرور مجازی، CHR را در لیست سیستم‌عامل‌های آماده ندارند. ولی چون CHR یک ایمیج دیسک کامل است، می‌شود آن را از داخل یک سرور لینوکسی مستقیم روی دیسک نوشت. این روش رایج است، ولی دیسک سرور را کاملاً پاک می‌کند؛ پس فقط روی سرور تازه انجامش دهید.

قبل از شروع

• کنسول (VNC/noVNC) در پنل سرور: حتماً لازم است. بعد از نصب، اولین ورود و هر قفل شدنی از کنسول حل می‌شود.
• مشخصات شبکه: IP، ماسک و gateway سرور را از پنل یا با ip addr و ip route یادداشت کنید. CHR بعد از نصب IP را خودکار نمی‌گیرد، مگر سرور DHCP داشته باشد.
• نام دیسک: با lsblk ببینید دیسک اصلی vda است یا sda.

نوشتن ایمیج روی دیسک

از داخل لینوکس سرور (اوبونتو یا دبیان)، با کاربر root:

ip addr; ip route            # IP و gateway را یادداشت کنید
lsblk                        # نام دیسک اصلی، مثلاً vda

cd /tmp
wget https://download.mikrotik.com/routeros/7.25.1/chr-7.25.1.img.zip
unzip chr-7.25.1.img.zip

# از اینجا به بعد دیسک پاک می‌شود
echo u > /proc/sysrq-trigger       # فایل‌سیستم‌ها فقط‌خواندنی
dd if=chr-7.25.1.img of=/dev/vda bs=4M oflag=sync
echo b > /proc/sysrq-trigger       # ری‌استارت فوری

نسخه را با آخرین stable یا long-term از صفحهٔ دانلود میکروتیک عوض کنید. اگر پنل سرور حالت Rescue دارد، اجرای همین دستورها از Rescue امن‌تر است چون دیسک در حال استفاده نیست.

اولین ورود از کنسول

بعد از ری‌استارت، کنسول پنل را باز کنید. کاربر admin است با رمز خالی و همان لحظه رمز تازه می‌خواهد. یک رمز طولانی بگذارید. بعد شبکه را تنظیم کنید:

/ip/address/add address=203.0.113.50/24 interface=ether1
/ip/route/add dst-address=0.0.0.0/0 gateway=203.0.113.1
/ip/dns/set servers=1.1.1.1,8.8.8.8
/ping 1.1.1.1 count=3

فوری: فایروال

CHR برخلاف روتر خانگی هیچ کانفیگ و فایروال پیش‌فرضی ندارد. یعنی همین الان Winbox، SSH، WebFig و API روی IP عمومی برای همهٔ اینترنت باز است و ربات‌های اسکنر ظرف چند دقیقه پیدایش می‌کنند. قبل از هر کار دیگری، از کنسول:

/ip/firewall/address-list/add list=mgmt address=YOUR-OFFICE-IP comment="office"
/ip/firewall/filter
add chain=input action=accept connection-state=established,related,untracked
add chain=input action=drop connection-state=invalid
add chain=input action=accept protocol=icmp
add chain=input action=accept src-address-list=mgmt
add chain=input action=accept protocol=udp dst-port=13231 comment="WireGuard"
add chain=input action=drop comment="drop everything else"

/ip/service/disable telnet,ftp,www,api,api-ssl
/ip/service/set winbox address=YOUR-OFFICE-IP/32
/ip/service/set ssh address=YOUR-OFFICE-IP/32

اگر IP ثابت ندارید، به جای address-list دفتر، مدیریت را فقط از داخل یک تونل WireGuard ممکن کنید؛ روشش در مقالهٔ VPN است. بقیهٔ کارهای امن‌سازی (کاربر جدید به جای admin، خاموش کردن neighbor discovery و MAC server روی اینترفیس عمومی) را از چک‌لیست امن‌سازی انجام دهید.

فعال کردن لایسنس

بعضی ارائه‌دهنده‌ها ماشین‌ها را از یک الگو می‌سازند و چند CHR ممکن است System ID یکسان بگیرند. میکروتیک توصیه می‌کند قبل از درخواست لایسنس، روی سطح Free یک System ID تازه بسازید:

/system/license/print
/system/license/generate-new-id
/system/license/renew account="MIKROTIK-ACCOUNT" password="ACCOUNT-PASSWORD" level=p1

دستور آخر لایسنس آزمایشی یا خریداری‌شده را از حساب mikrotik.com فعال می‌کند. حساب و رمزش را جایی امن نگه دارید؛ به مقالهٔ لایسنس برای اینکه لایسنس به اسم چه کسی باشد سر بزنید.

بعد از نصب

1. /system/identity/set name=chr-tehran و تنظیم ساعت با NTP.
2. آپدیت به آخرین نسخه (آپدیت امن).
3. بکاپ خودکار (بکاپ) و یک snapshot در پنل سرور.
4. از بیرون با پورت‌اسکنر چک کنید فقط پورت‌هایی که می‌خواهید باز باشند.