محدودکردن دسترسی مدیریتی و تنظیم فایروال پایه میکروتیک

مبنای این آموزش مستندات RouterOS با برچسب نسخه 7.26 در ۱۵ اکتبر ۲۰۲۶ است. این عدد نسخه آزمایش‌شده نت‌مسترز یا توصیه نصب یک انتشار مشخص نیست؛ نام رابط‌ها و گزینه‌ها را با نسخه و دستگاه خود تطبیق دهید.

سناریو یک روتر دارای اینترنت، NAT و فایروال پایه سالم است؛ روتر بی‌تنظیم یا جایگزینی کامل فایروال موضوع این صفحه نیست. LAN روی bridge با IP روتر 192.168.88.1/24 قرار دارد. رایانه مدیر IP ثابت یا رزروشده 192.168.88.10 دارد و از همان bridge وارد می‌شود. کلاینت آزمایشی غیرمجاز 192.168.88.20 است. مدیریت این سناریو فقط IPv4 محلی است؛ مدیریت از VPN، VLAN یا WAN به نام رابط و طرح دسترسی جدا نیاز دارد.

پورت‌های فرضی SSH برابر 22 و WinBox برابر 8291 هستند. اگر سرویس شما پورت دیگری دارد، همه قواعد مربوط را مطابق آن اصلاح کنید. این قواعد فقط همین دو سرویس را محدود می‌کنند؛ بررسی سایر سرویس‌ها، حساب‌ها و به‌روزرسانی همچنان لازم است. برای شناخت جایگاه روتر و RouterOS، میکروتیک چیست؟ را ببینید.

این کار را با اجازه مالک، اتصال محلی و راه بازیابی مستقل یا کنسول انجام دهید. ابتدا بکاپ و Export بگیرید. مقدارهای فعلی IP Services، MAC Server و Neighbor Discovery و ترتیب قواعد input را ثبت کنید. آدرس .10 باید واقعاً متعلق به رایانه شما و بدون تداخل باشد؛ محدودکردن اشتباهی آن می‌تواند ورود بعدی را قطع کند.

/ip/service/print detail
/ip/address/print detail
/ip/firewall/filter/print detail
/ipv6/firewall/filter/print detail

با حساب مدیر دارای رمز یکتا و قوی یک ورود تازه انجام دهید؛ اگر حساب تازه ساخته‌اید، کارکرد آن را پیش از غیرفعال‌کردن حساب قبلی تأیید کنید. نشست فعلی را باز نگه دارید و Safe Mode را با Ctrl+X فعال کنید. تغییرها را کوچک و قابل برگشت نگه دارید؛ تنظیم هم‌زمان توسط مدیر دیگر می‌تواند بررسی و برگشت را مبهم کند.

در IP → Services، سرویس‌های واقعاً بلااستفاده مانند Telnet، FTP، WebFig یا API را پس از بررسی وابستگی ابزارهای مدیریت، جداگانه Disable کنید. اگر SSH استفاده نمی‌شود، آن را هم خاموش نگه دارید. در مبنای 7.26، فیلد Available From آدرس مجاز سرویس را تعیین می‌کند؛ نام قدیمی address در مرجع جدید deprecated است.

/ip/service/set [find where name="winbox"] available-from=192.168.88.10/32
/ip/service/set [find where name="ssh"] available-from=192.168.88.10/32

اکنون از .10 یک نشست جدید به IP روتر باز کنید. این محدودیت به‌تنهایی پورت را از شبکه نامطمئن پنهان نمی‌کند؛ فایروال هم لازم است. محدودیت یک حساب کاربری نیز جای محدودکردن سرویس و سایر حساب‌ها را نمی‌گیرد.

input برای ترافیک مقصد خود روتر است؛ forward مربوط به ترافیک عبوری کاربران است. اینجا فقط TCP مقصد 22 و 8291 را از input به زنجیره nm-admin می‌فرستیم. نام زنجیره و commentهای زیر باید جدید و یکتا باشند؛ اگر از قبل وجود دارند، نمونه را دوباره اجرا نکنید.

/ip/firewall/filter/add chain=nm-admin action=drop connection-state=invalid comment="NM-MGMT invalid"
/ip/firewall/filter/add chain=nm-admin action=accept in-interface=bridge src-address=192.168.88.10/32 protocol=tcp dst-port=22,8291 comment="NM-MGMT admin"
/ip/firewall/filter/add chain=nm-admin action=drop comment="NM-MGMT deny"
/ip/firewall/filter/add chain=input protocol=tcp dst-port=22,8291 action=jump jump-target=nm-admin disabled=yes comment="NM-MGMT entry"

در IP → Firewall → Filter Rules، قاعده NM-MGMT entry را در ترتیب input پیش از همه قواعدی بگذارید که ممکن است این ترافیک را accept کنند، از جمله established,related. قواعد پایه را حذف یا غیرفعال نکنید. با print detail ترتیب واقعی را دوباره ببینید؛ اتکا به شماره ثابت ردیف یا صرف افزودن در انتهای فهرست کافی نیست. سه قاعده nm-admin نیز باید به ترتیب invalid، مدیر مجاز و deny بمانند.

/ip/firewall/filter/print detail
/ip/firewall/filter/enable [find where comment="NM-MGMT entry"]

زنجیره ابتدا بسته نامعتبر را رد، سپس آدرس مدیر از رابط درست را قبول و بقیه را رد می‌کند. قرارگرفتن ورود زنجیره پیش از established مانع عبور اتصال مدیریتی غیرمجاز صرفاً به دلیل قدیمی‌بودن آن می‌شود. ترافیک سایر پورت‌ها وارد این زنجیره نمی‌شود و ادامه قواعد موجود را طی می‌کند.

بلافاصله پس از فعال‌سازی، از .10 یک ورود تازه با IP انجام دهید. تنها پس از موفقیت این آزمون، سراغ محدودیت IPv6 و MAC بروید؛ نشست قدیمی را تا پایان باز نگه دارید.

قواعد IPv4 ترافیک IPv6 را فیلتر نمی‌کنند. چون این سناریو مدیریت IPv4 دارد، دسترسی IPv6 به همین دو پورت را می‌بندیم؛ اگر اکنون با IPv6 وارد شده‌اید، ابتدا ورود تازه IPv4 را تأیید کنید. این کار مستلزم خاموش‌کردن IPv6 یا بستن کلی ICMPv6 نیست.

/ipv6/firewall/filter/add chain=input protocol=tcp dst-port=22,8291 action=drop disabled=yes comment="NM-MGMT v6"

در IPv6 → Firewall → Filter Rules، قاعده NM-MGMT v6 را پیش از قواعد accept مؤثر بر این ترافیک، از جمله established,related، قرار دهید. پس از کنترل ترتیب و یکتایی comment، فقط همین قاعده را فعال کنید:

/ipv6/firewall/filter/enable [find where comment="NM-MGMT v6"]

پس از موفقیت ورود تازه با IP، در این سناریو مدیریت MAC را خاموش کنید. فایروال IP جای محدودیت MAC-WinBox یا MAC-Telnet را نمی‌گیرد. تنظیم قبلی این بخش را برای برگشت نگه دارید:

/tool/mac-server/set allowed-interface-list=none
/tool/mac-server/mac-winbox/set allowed-interface-list=none
/tool/mac-server/ping/set enabled=no
/ip/neighbor/discovery-settings/set discover-interface-list=none

دیده‌نشدن روتر در Neighbors به‌تنهایی ثابت نمی‌کند MAC-WinBox بسته است. این دو تنظیم مستقل‌اند؛ اگر مدیریت MAC بخشی از طرح شبکه شماست، به‌جای اجرای این نمونه باید رابط‌های مجاز آن مشخص شوند.

/ip/firewall/filter/print stats where chain=nm-admin
/ipv6/firewall/filter/print stats where comment="NM-MGMT v6"

اگر تلاش غیرمجاز شکست خورد ولی شمارنده تغییر نکرد، مسیر، آدرس مقصد، پورت یا یک قاعده بالاتر را بررسی کنید؛ شکست اتصال به‌تنهایی اثبات اثر این قواعد نیست. آزمون WAN فقط از مبدأ خارجی مجاز و با مسیر واقعاً قابل دسترس معنا دارد؛ بسته‌بودن مودم بالادست نتیجه فایروال این روتر را ثابت نمی‌کند. برای انجام آزمون، مدیریت را روی اینترنت باز نکنید.

IP مجاز هویت فرد را ثابت نمی‌کند و در LAN جای حساب امن یا کنترل دسترسی لایه دو نیست. این تنظیم حفاظت پایه دو سرویس است و امنیت کامل، ارزیابی نفوذ یا پوشش تمام سرویس‌های RouterOS را ادعا نمی‌کند.

اگر آزمون ورود تازه مدیر ناموفق بود، از نشست حفظ‌شده یا کنسول، فقط قواعد جدید NM-MGMT entry و NM-MGMT v6 را موقتاً Disable کنید و مقادیر ثبت‌شده Available From را برگردانید؛ خاموش‌کردن کل فایروال راه برگشت این آموزش نیست. اگر مشکل از تنظیم MAC است، مقدار پیشین همان بخش را بازیابی کنید. با غیرفعال‌شدن entry، زنجیره جدید دیگر از آن مسیر فراخوانی نمی‌شود و فایروال پایه قبلی برقرار می‌ماند.

در Safe Mode، Ctrl+D برای برگشت تغییرهای همان نشست و Ctrl+X برای نگه‌داشتن آن‌ها و خروج است. پس از موفقیت آزمون‌ها، از Safe Mode خارج شوید، آدرس مجاز و ترتیب قواعد و نتیجه واقعی آزمون‌ها را ثبت و بکاپ جدید تهیه کنید. برای جداسازی کاربران از یکدیگر، آموزش VLAN میکروتیک سناریو و مسیر مدیریت متفاوتی دارد.