چک‌لیست امن‌سازی میکروتیک: از سرویس‌ها تا فایروال

تقریباً همهٔ حمله‌های بزرگ به میکروتیک در سال‌های اخیر یک نقطهٔ مشترک داشتند: سرویس مدیریتی (Winbox، SSH یا WebFig) از اینترنت باز بود. این چک‌لیست بر اساس راهنمای رسمی «Securing your router» میکروتیک است، با توضیح اینکه هر قدم جلوی چه چیزی را می‌گیرد.

۱. آپدیت

هیچ تنظیمی جای وصله را نمی‌گیرد. اول به آخرین نسخه بروید؛ روش امنش در مقالهٔ آپدیت RouterOS آمده است.

۲. کاربر و رمز

/user/add name=ali password="LONG-RANDOM-PASS" group=full
/user/disable admin
/user/set ali address=192.0.2.0/24

• کاربر admin را غیرفعال کنید؛ مهاجم‌های خودکار اول همین نام را امتحان می‌کنند.
• برای هر مدیر یک کاربر جدا بسازید و حساب مشترک نداشته باشید. لاگ بعداً می‌گوید چه کسی چه کرد.
• برای کسی که فقط باید ببیند، گروه سفارشی با کمترین دسترسی بسازید. گروه پیش‌فرض read هم می‌تواند روتر را ری‌استارت کند و اطلاعات حساس را ببیند.
• address ورود هر کاربر را به یک بازهٔ IP محدود می‌کند.
• رمز حداقل ۱۲ کاراکتر، تصادفی و تکراری نباشد. در رمز داخل گیومه، علامت $ را با \$ بنویسید؛ وگرنه RouterOS آن را متغیر حساب می‌کند و رمز بی‌صدا کوتاه می‌شود.

۳. SSH امن با کلید

# upload ali.pub to the router, then:
/user/ssh-keys/import public-key-file=ali.pub user=ali
/ip/ssh/set strong-crypto=yes

وقتی برای کاربری کلید ثبت شود، ورود SSH با رمز برایش بسته می‌شود. strong-crypto الگوریتم‌های ضعیف (SHA-1، MD5، 3DES و CBC) را خاموش می‌کند.

۴. سرویس‌های مدیریتی

/ip/service/print
/ip/service/disable telnet,ftp,www,api
/ip/service/set winbox available-from=192.0.2.0/24
/ip/service/set ssh available-from=192.0.2.0/24

• Telnet و FTP رمز را بدون رمزنگاری می‌فرستند؛ خاموششان کنید.
• اگر WebFig لازم ندارید، www و www-ssl را هم خاموش کنید. حفرهٔ بحرانی CVE-2026-84411 (مهر ۱۴۰۵) دقیقاً در همین سرویس بود و بدون ورود اجرای کد می‌داد.
• در نسخه‌های قدیمی‌تر به جای available-from پارامتر address است.
• محدود کردن در فایروال (قدم بعد) بهتر از این تنظیم است، چون اتصال اصلاً به سرویس نمی‌رسد. هر دو را با هم داشته باشید.

۵. فایروال زنجیرهٔ input

زنجیرهٔ input از خود روتر محافظت می‌کند (forward از شبکهٔ پشت آن). کانفیگ پیش‌فرض میکروتیک همهٔ دسترسی از WAN را می‌بندد؛ این قانون‌ها را پاک نکنید. اگر روتر بدون کانفیگ پیش‌فرض راه افتاده، این یک قالب پایه است. اول آدرس‌های مدیریت را در یک لیست بگذارید:

/ip/firewall/address-list
add list=mgmt address=192.0.2.0/24 comment="NOC / admin network"

/ip/firewall/filter
add chain=input action=accept connection-state=established,related,untracked \
    comment="accept established,related,untracked"
add chain=input action=drop connection-state=invalid comment="drop invalid"
add chain=input action=accept protocol=icmp comment="accept ICMP"
add chain=input action=accept src-address-list=mgmt protocol=tcp \
    dst-port=22,8291 comment="management from mgmt list only"
add chain=input action=accept in-interface-list=LAN comment="accept from LAN"
add chain=input action=drop comment="drop everything else"

• ترتیب قانون‌ها مهم است؛ اولین قانونی که بخورد اجرا می‌شود. با /ip/firewall/filter/print ترتیب را چک کنید.
• اگر «LAN» شما شبکهٔ مشتریان است (مثلاً در ISP)، قانون accept from LAN را برندارید ولی آن را به سرویس‌هایی که مشتری لازم دارد (مثل DNS و DHCP) محدود کنید. مشتری نباید به Winbox روتر برسد.
• اگر روتر روی کانفیگ پیش‌فرض است، فقط قانون accept مدیریت را با place-before قبل از قانون defconf: drop all not coming from LAN اضافه کنید.

۶. دسترسی راه دور: VPN، نه پورت باز

توصیهٔ رسمی میکروتیک و CERT لهستان یکی است: Winbox، SSH و WebFig را به اینترنت باز نکنید. برای مدیریت از راه دور، یک تونل WireGuard به روتر بزنید و از داخل تونل وصل شوید. WireGuard یک پورت UDP دارد که به هر بستهٔ بدون کلید درست اصلاً جواب نمی‌دهد. اگر پورت مدیریت باید از اینترنت باز باشد (مثلاً زیرساخت ISP بدون درگاه VPN)، حتماً به IPهای مشخص محدودش کنید.

۷. سرویس‌های جانبی که باید خاموش باشند

# MAC-Telnet, MAC-WinBox and MAC-Ping
/tool/mac-server/set allowed-interface-list=none
/tool/mac-server/mac-winbox/set allowed-interface-list=none
/tool/mac-server/ping/set enabled=no

# neighbor discovery and bandwidth test server
/ip/neighbor/discovery-settings/set discover-interface-list=none
/tool/bandwidth-server/set enabled=no

# proxy, SOCKS and UPnP
/ip/proxy/set enabled=no
/ip/socks/set enabled=no
/ip/upnp/set enabled=no

• MAC server اجازه می‌دهد بدون IP و از لایهٔ ۲ به روتر وصل شوند. اگر لازمش دارید، فقط روی یک interface list مدیریتی باز بگذارید.
• Bandwidth test server در CVE-2026-67277 (شهریور ۱۴۰۵) راه از کار انداختن روتر بود.
• SOCKS و Proxy دقیقاً همان چیزی است که مهاجم‌ها روی روتر هک‌شده روشن می‌کنند تا ترافیک خودشان را از آن رد کنند.

۸. DNS باز

اگر روتر باید به کلاینت‌های داخلی DNS بدهد، allow-remote-requests=yes لازم است، ولی پورت ۵۳ نباید از WAN جواب بدهد؛ وگرنه روتر شما در حمله‌های DNS amplification استفاده می‌شود. قانون drop آخر زنجیرهٔ input بالا همین را می‌بندد. اگر روتر DNS نمی‌دهد:

/ip/dns/set allow-remote-requests=no

۹. Device-mode

RouterOS 7 حالتی به نام device-mode دارد که امکانات حساس را حتی برای مدیر دارای دسترسی کامل قفل می‌کند. تغییرش فقط با فشار دکمهٔ فیزیکی (یا قطع برق) در ۵ دقیقه تأیید می‌شود. یعنی اگر کسی از راه دور رمز را هم داشته باشد، نمی‌تواند این امکانات را باز کند:

/system/device-mode/print
# example: lock proxy, SOCKS and bandwidth test individually
/system/device-mode/update proxy=no socks=no bandwidth-test=no

جمع‌بندی در یک نگاه

• آخرین نسخهٔ RouterOS و RouterBOOT
• admin غیرفعال، یک کاربر برای هر مدیر، رمز قوی، کلید SSH
• Telnet، FTP، API و WebFig خاموش؛ Winbox و SSH محدود به IP مدیریت
• زنجیرهٔ input که در آخرش همه‌چیز drop می‌شود
• مدیریت راه دور فقط از طریق VPN
• MAC server، Neighbor Discovery، Bandwidth test، Proxy، SOCKS و UPnP خاموش
• پورت ۵۳ از WAN بسته
• بکاپ خودکار بیرون از روتر
• لاگ و مانیتورینگ تا اگر چیزی عوض شد، زود بفهمید