آپدیت امن RouterOS میکروتیک، بدون قطعی و دردسر

بیشتر روترهایی که هک می‌شوند، روترهایی‌اند که سال‌ها آپدیت نشده‌اند؛ معمولاً چون مدیرشان از قطعی بعد از آپدیت می‌ترسد. با کمی برنامه‌ریزی، آپدیت میکروتیک چند دقیقه کار است و خطرش خیلی کمتر از آپدیت نکردن است. در مقالهٔ حفره‌های امنیتی دیدیم که بعضی حفره‌ها بدون رمز به مهاجم دسترسی کامل می‌دهند.

کدام کانال؟

یک نکتهٔ مهم: رفع حفره‌های امنیتی گاهی اول در Stable می‌آید و دیرتر (یا هرگز) به Long-term می‌رسد. مثلاً رفع CVE-2026-89021 (حفرهٔ Container) فقط در Stable آمد. پس اگر روی Long-term هستید، صفحهٔ امنیتی میکروتیک را دنبال کنید.

قبل از آپدیت

• changelog نسخهٔ جدید را بخوانید، به‌خصوص اگر BGP، OSPF، MPLS یا CAPsMAN دارید.
• یک backup رمزدار و یک export بگیرید و هر دو را از روتر بیرون ببرید:

/system/backup/save name=pre-upgrade password="YOUR-BACKUP-PASS"
/export file=pre-upgrade
/system/resource/print
# check free-hdd-space: the new package must fit

• زمان کم‌ترافیک را انتخاب کنید و اگر روتر راه دور است، یک راه دسترسی دوم (کنسول، یک نفر در محل، یا روتر دیگر) داشته باشید.
• در شبکهٔ بزرگ، اول یک روتر کم‌اهمیت یا یک CHR آزمایشی را آپدیت کنید، بعد بقیه را.

آپدیت RouterOS

/system/package/update/set channel=stable
/system/package/update/check-for-updates
# if status = "New version is available":
/system/package/update/install

install بسته را دانلود می‌کند و روتر را خودش ری‌استارت می‌کند. در WinBox همین کار از System → Packages → Check for Updates انجام می‌شود. روتر برای این کار باید خودش به upgrade.mikrotik.com روی HTTPS دسترسی داشته باشد؛ اگر نسخهٔ جدید را نمی‌بیند، DNS و فایروال خود روتر را چک کنید.

آپدیت RouterBOOT را فراموش نکنید

RouterBOOT (بوت‌لودر) جدا از RouterOS است و با آپدیت RouterOS خودش عوض نمی‌شود. میکروتیک توصیه می‌کند بعد از هر آپدیت RouterOS آن را هم آپدیت کنید:

/system/routerboard/print
# if current-firmware is older than upgrade-firmware:
/system/routerboard/upgrade
/system/reboot

با /system/routerboard/settings/set auto-upgrade=yes این کار بعد از هر آپدیت RouterOS خودکار انجام می‌شود، ولی باز هم یک ری‌استارت دوم لازم است.

مهاجرت از نسخهٔ ۶ به ۷

1. اول به آخرین نسخهٔ ۶ (شاخهٔ 6.49) بروید.
2. کانال را upgrade بگذارید. با این کانال، روتر نسخهٔ ۶ فقط نسخهٔ واسط 7.12.1 را می‌بیند:

/system package update set channel=upgrade
/system package update check-for-updates
/system package update install

3. بعد از بالا آمدن روی 7.12.1، کانال را stable بگذارید و دوباره آپدیت کنید تا به آخرین نسخهٔ ۷ برسید.

• در بیشتر شبکه‌ها کانفیگ خودکار تبدیل می‌شود و کاری لازم نیست. ولی BGP، OSPF، MPLS و Routing filter در نسخهٔ ۷ بازطراحی شده‌اند؛ بعد از آپدیت آن‌ها را دقیق بررسی کنید.
• نسخهٔ ۷ روی دستگاه با کمتر از ۶۴ مگابایت رم توصیه نمی‌شود.
• تبدیل کانفیگ مسیریابی فقط یک بار انجام می‌شود. اگر به ۶ برگشتید، تغییر دادید و دوباره به ۷ آمدید، تغییرات آن فاصله منتقل نمی‌شود.

برگشت به نسخهٔ قبل

• ساده‌ترین راه: کانال را به long-term عوض کنید و Check for Updates بزنید؛ اگر نسخهٔ Long-term قدیمی‌تر باشد، همان منو امکان برگشت می‌دهد.
• راه دستی: بستهٔ .npk نسخهٔ قبلی را در Files بگذارید و /system/package/downgrade را اجرا کنید.
• اگر روتر اصلاً بالا نیامد: Netinstall. مراحلش در مقالهٔ پاک‌سازی روتر هک‌شده آمده است.

آپدیت خودکار؟

برای روترهای کوچک و دفتری، می‌شود با یک Scheduler هر هفته آپدیت را چک و نصب کرد (نمونهٔ مستندات رسمی):

/system/script/add name=auto-update source={
    /system/package/update/check-for-updates
    :delay 3s
    :if ([/system/package/update/get status] = "New version is available") do={
        /system/package/update/install
    }
}
/system/scheduler/add name=auto-update on-event=auto-update \
    start-time=04:00:00 interval=7d

برای روتر اصلی شبکه این کار را نکنید؛ آپدیت باید با برنامه و در حضور کسی انجام شود که اگر چیزی خراب شد، در دسترس باشد.