Версия RouterOS

Начните с обновления версии RouterOS. Некоторые старые версии имели определенные слабости или уязвимости, которые были исправлены. Обновляйте свое устройство, чтобы быть уверенным в его безопасности. Нажмите «check for updates» в WinBox или WebFig, чтобы обновиться. 

Доступ к маршрутизатору

Имя пользователя для доступа

Измените имя пользователя по умолчанию  admin на другое имя. Пользовательское имя помогает защитить доступ к вашему маршрутизатору, если кто-то имеет прямой доступ к вашему маршрутизатору: 

Пароль доступа

Маршрутизаторы MikroTik требуют настройки пароля, мы предлагаем использовать генератор паролей для создания безопасных и неповторяющихся паролей. Под безопасным паролем подразумевается:

• Минимум 12 символов;
• Включайте цифры, символы, заглавные и строчные буквы;
• Не является словарным словом или комбинацией словарных слов;

RouterOS MAC-доступ

RouterOS имеет встроенные опции для легкого управления доступом к сетевым устройствам. Конкретные службы должны быть отключены в производственных сетях: MAC-Telnet, MAC-WinBox и MAC-Ping:

Neighbor Discovery

Протокол обнаружения соседей MikroTik используется для отображения и распознавания других маршрутизаторов MikroTik в сети. Также рекомендуется отключить обнаружение соседей на всех интерфейсах:

Bandwidth server

Для проверки пропускной способности между двумя маршрутизаторами MikroTik используется Bandwidth server

. Отключите его в производственной среде:

DNS-кэш

На маршрутизаторе может быть включен DNS-кэш, что сокращает время разрешения DNS-запросов от клиентов к удаленным серверам. В случае, если DNS-кэш на вашем маршрутизаторе не требуется или для этих целей используется другой маршрутизатор, отключите его:

Прочие клиентские службы

RouterOS может иметь другие включенные службы (они отключены в конфигурации RouterOS по умолчанию). Кэширующий прокси-сервер MikroTik, socks, UPnP и облачные службы:

Более безопасный доступ по SSH

Можно включить более строгие настройки SSH (добавить aes-128-ctr и запретить hmac sha1 и группы с sha1) с помощью этой команды:

Интерфейс маршрутизатора

Интерфейсы Ethernet/SFP

Хорошей практикой является отключение всех неиспользуемых интерфейсов на маршрутизаторе, чтобы уменьшить несанкционированный доступ к нему:

Где X  — номер неиспользуемого интерфейса.

ЖК-дисплей

Некоторые RouterBOARD имеют ЖК-модуль для информационных целей. Рекомендуется установить пин:

или отключите его: