Защита маршрутизаторов MikroTik

Все действия, рассмотренные в данном руководстве, являются базовой рекомендацией по защите маршрутизаторов MikroTik. Мы настоятельно рекомендуем оставить настройки межсетевого экрана (Firewall) по умолчанию, и только исправлять или дополнять их правилами, которые соответствуют вашим требованиям к настройке безопасности и требуемым сервисам.

Версия RouterOS

Настройка системы безопасности должна начинаться с обновления прошивки RouterOS. Некоторые старые выпуски ОС имели определенные «слабые места» или уязвимости, которые были исправлены в более новых версиях. Держите версию RouterOS устройства в актуальном состоянии, чтобы быть уверенным, что устройство безопасно. Нажмите check for updates в Winbox или Webfig, чтобы проверить наличие обновления. Также обновления могут быть скачаны с официального сайта загрузки https://mikrotik.com/download и установлены копированием файла прошивки в раздел Files и последующей перезагрузкой устройства. Мы предлагаем вам следить за объявлениями в официальном блоге, посвященном объявлениям о безопасности, чтобы получать информацию о любых новых проблемах безопасности.

Рисунок 1. Автоматическое обновление маршрутизатора кнопкой «check for updates».

Рисунок 2. Ручное обновление маршрутизатора предварительно загруженным файлом прошивки.

Версия RouterOS

Доступ по имени пользователя

Измените имя пользователя по умолчанию (admin) на другое имя. Нестандартное пользовательское имя позволит защитить доступ к вашему маршрутизатору от атак на подбор пароля, если кто-то получил к нему прямой доступ по сети.

Измените Предупреждение: используйте безопасный пароль и нестандартные имена для доступа к вашему маршрутизатору. Не рекомендуется использовать общепринятые имена типа Administrator и им подобные.

Пароль доступа

Маршрутизаторы MikroTik требуют настройки пароля, мы предлагаем использовать pwgen или другой инструмент для генерации безопасных и неповторяющихся паролей.

Дополнительный способ установить пароль:

Пароль доступа

Помимо того, что firewall по умолчанию защищает ваш маршрутизатор от несанкционированного доступа из внешних сетей, есть возможность ограничить доступ для пользователя по определенным IP-адресам.

xxxx / yy - ваш IP или подсеть, из которой разрешен доступ к вашему маршрутизатору.

Примечание: перед удалением стандартного пользователя войдите в маршрутизатор с новыми учетными данными, чтобы проверить, что имя пользователя и пароль работают и права доступа установлены корректно.

Рисунок 3. Создание нового пользователя.

Защита доступа к маршрутизатору

Все маршрутизаторы, находящиеся в производственном режиме, должны управляться через службы SSH, Winbox или HTTPS. Используйте последнюю версию Winbox для безопасного доступа. Обратите внимание, что в новейших версиях Winbox «Безопасный режим» включен по умолчанию и больше не может быть отключен.

Рисунок 4. Безопасный доступ к роутеру.

Сервисы RouterOS

Большинство инструментов администрирования RouterOS имеют свои настройки:

Оставляйте включенными только безопасные опции,

Также измените порт по умолчанию, это немедленно прекратит большинство случайных попыток входа в систему через SSH:

Кроме того, доступ к каждому объекту/ip-сервису может быть ограничен разрешенным IP-адресом

Рисунок 5. Настройка сервисов управления.

MAC-доступ RouterOS

RouterOS имеет встроенные опции для управления доступом к сетевым устройствам. В производственных сетях некоторые службы должны быть выключены. Все действия по отключению не требующихся служб выполняются аналогично.

Отключить службы MAC-Telnet,

Отключить службы Mac-Winbox,

Отключить службу mac-ping,

Рисунок 6. Настройка MAC сервера.

Отключите протокол обнаружения устройств MikroTik «Neighbor Discovery», используемый для распознавания других маршрутизаторов MikroTik в сети,

Рисунок 7. Настройка обнаружения устройств Mikrotik.

Отключите сервер измерения пропускной способности Bandwidth, используемый для проверки скорости между двумя маршрутизаторами MikroTik.

На маршрутизаторе может быть включен кэш DNS, это сокращает время обработки запросов DNS от клиентов к удаленным серверам. Если на вашем маршрутизаторе не требуется DNS-кэш или для этих целей используется другой маршрутизатор, отключите его.

Другие клиентские сервисы

В RouterOS могут быть включены другие службы (по умолчанию они отключены).

MikroTik caching proxy.

MikroTik socks proxy,

Сервис MikroTik UPNP,

Сервис динамических имен MikroTik или ip cloud,

RouterOS может использовать усиленную криптографию для SSH, большинство новых программ используют усиленную криптографию для SSH:

Интерфейс маршрутизатора

Рекомендуется отключить все неиспользуемые интерфейсы Ethernet / SFP на маршрутизаторе, чтобы уменьшить попытки неавторизованного доступа к маршрутизатору.

х - номера неиспользуемых интерфейсов.

Некоторые платы RouterBOARD оснащены жидкокристаллическим дисплеем для информационных целей, установите pin или выключите его.

Рисунок 8. Настройка LCD экрана.

Firewall

Мы настоятельно рекомендуем оставить firewall по умолчанию включенным. Вот несколько настроек, чтобы сделать его более безопасным, убедитесь, что применяете правила только тогда, когда понимаете, что они делают.

Firewall IPv4 к роутеру

работа с только с новыми подключениями для снижения нагрузки на роутер;

создание списка IP-адресов, которым разрешен доступ к маршрутизатору;

включить ICMP-доступ (опционально);

отбросить все остальное (log = yes может быть добавлено, чтобы логировать определенные пакеты, которые соответствуют определенному правилу);

Firewall IPv4 для клиентов

Established/related пакеты обрабатываются в fasttrack для более быстрой передачи данных, firewall будет работать только с новыми соединениями;

Запрет “invalid”-соединений, залогировав их с префиксом «invalid»;

Запрет попыток доступа к непубличным адресам из локальной сети, address-list=not_in_internet, bridge1 - интерфейс локальной сети, логирование этих событий с префиксом «!public_from_LAN»;

Сброс входящих пакетов из Интернета, которые не являются общедоступными IP-адресами, ether1 является общедоступным интерфейсом, логировать эти события с префиксом «!public»;

Отбрасывать все пакеты из локальной сети не имеющие IP-адреса локальной сети, 192.168.88.0/24 – адреса подсети, используемые в локальной сети;

IPv6

В начале package IPv6 отключен по умолчанию. Включайте его с осторожностью, так как в RouterOS не будет никаких правил firewall-а по умолчанию для IPv6.

Отключить IPv6 Network Discovery

IPv6

Firewall IPv6 к роутеру

работать только с новыми пакетами, принимать established/related пакеты;

отбросить пакеты с link-local адресов на интернет-интерфейсе;

разрешать доступ к маршрутизатору с link-local адресов, разрешать multicast адреса для управления, разрешать ваш адрес для доступа к маршрутизатору;

запретить всё остальное;

Firewall- IPv6 для клиентов

Включение IPv6 даёт доступ к вашим клиентам с публичных сетей, настраивайте надлежащий firewall для защиты клиентов.

принимать established/related пакеты, а также работать только с новыми пакетами;

отбрасывать invalid пакеты и ставить префикс для правил;

принимать ICMP-пакеты;

принимать новые подключения ваших клиентов к Интернету;

запретить всё остальное.