Wstęp
Fabryczne ustawienia routerów Mikrotik są powszechnie znane, podobnie jak i innych marek. Dlatego należy pozmieniać podstawowe ustawienia, aby uniemożliwić niepowołane działania. Tym zajmiemy się w poniższym opisie.
Zmiana użytkownika admin
Standardowo w każdym Mikrotik mamy jednego użytkownika z pełnymi prawami i nazywa się on admin. Jest to jedna z pierwszych rzeczy jakie należy zmienić.
Musimy wyłączyć tego użytkownika, zaraz po tym jak utworzymy sobie nowego użytkownika z pełnymi uprawnieniami. Ten nowy użytkownik musi mieć niepowtarzalną nazwę, a hasło należycie złożone i długie.
Ponadto przy dodawaniu niestandardowych użytkowników możemy uściślić ich prawa, np. tylko do odczytu konfiguracji – read lub do zapisu – write lecz pozbawionych pewnych funkcji jak np. tworzenia użytkowników itp. Możliwym jest także określenie z jakiego lub jakiej puli adresów dany użytkownik może się logować.
Wyłączenie niepotrzebnych usług
Nieużywane usługi obsługiwane standardowo przez router jest konicznym z kilku powodów. Najważniejszym jest jego bezpieczeństwo, którym się teraz zajmujemy.
Dlatego za pomocą menu IP -> Services wyłączymy niepotrzebne, nieużywane usługi.
Usługę łączenia poprzez http również wyłączamy, a pozostawiamy lub też wyłączamy do czasu, usługę łączenia poprzez https. Po utworzeniu certyfikatów na routerze i podpisaniu ich uzyskamy możliwość połączeń szyfrowanych z routerem za pomocą protokołu SSL. Przy czym należy wówczas wykluczyć, przez zaznaczenie only v 1.2 (dostępne dopiero w ostatnich wersjach Router OS), używanie nieaktualizowanych przeglądarek, które umożliwiają korzystanie ze zdezaktualizowanych protokołów SSL. Tworzenie certyfikatów będzie ujęte w opisie o tworzeniu i uruchamianiu serwera openVPN na Mikrotik.
Wyłączenie dostępu poprzez MAC
Standardowo Mikrotik ma włączony serwer MAC, który umożliwia połączenie się z routerem, który nie posiada domyślnego adresu IP, co ma miejsce po resecie routera bez załadowania domyślnej konfiguracji.
Aby ograniczyć dostęp do serca sieci należy poczynić poniższe kroki.
Wybieramy Tools -> MAC Server i klikamy na MAC Telnet Server. Zmieniamy all na none.
Kolejno wybieramy MAC WinBox Server i zmieniamy all na none.
Ostatnim elementem, który zmienimy jest brak odpowiedzi na pingi po adresie sprzętowym.
Podsumowanie
W tych prostych krokach uczyniliśmy nasz router Mikrotik zdecydowanie bardziej bezpiecznym. Zapraszam do innych opisów.