یک روتر MikroTik پیش از هر کار دیگری باید ایمن شود. در این راهنما ۹ گام عملی را می‌بینیم که بیشترین اثر را بر امنیت دارند.
۱. رمز عبور پیش‌فرض را تغییر دهید
نام کاربری پیش‌فرض admin و رمز خالی، بزرگ‌ترین نقطهٔ ضعف یک روتر تازه‌راه‌اندازی‌شده است.
/user print
/user set admin password="یک-رمز-قوی-و-یکتا"۲. RouterOS را به‌روز نگه دارید
به‌روزرسانی بسته‌ها حفره‌های امنیتی شناخته‌شده را می‌بندد.
/system package update check-for-updates
/system package update install۳. سرویس‌های مدیریتی بی‌استفاده را ببندید
سرویس‌هایی مثل telnet و ftp که رمز را رمزنگاری نمی‌کنند، باید غیرفعال شوند.
/ip service print
/ip service disable telnet,ftp,api,www۴. دسترسی مدیریت را محدود کنید
سرویس‌های مدیریت را فقط به شبکهٔ داخلی محدود کنید تا از بیرون قابل دسترسی نباشند.
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24۵. قوانین پایهٔ فایروال ورودی
ترتیب قوانین مهم است: ابتدا اتصال‌های برقرارشده، سپس شبکهٔ داخلی و در پایان همه‌چیز دیگر رد شود.
/ip firewall filter add chain=input action=accept connection-state=established,related comment="established"
/ip firewall filter add chain=input action=accept in-interface=bridge1 comment="LAN"
/ip firewall filter add chain=input action=drop comment="drop rest"۶. رمزنگاری SSH را فعال کنید
/ip ssh set strong-crypto=yes۷. کشف همسایه (Discovery) را محدود کنید
با محدودکردن discovery به شبکهٔ داخلی، اطلاعات روتر کمتر در معرض دید قرار می‌گیرد.
/interface list add name=LAN
/interface list member add list=LAN interface=bridge1
/ip neighbor discovery-settings set discover-interface-list=LAN۸. از پیکربندی نسخهٔ پشتیبان بگیرید
پیش از هر تغییر بزرگ، یک نسخهٔ پشتیبان رمزنگاری‌شده تهیه کنید.
/system backup save name=before-hardening password="یک-رمز-قوی"۹. بازبینی دوره‌ای
کاربران، قوانین فایروال و سرویس‌های فعال را به‌صورت دوره‌ای مرور کنید.
/user print
/ip firewall filter print
/ip service printاسکریپت آماده سخت‌سازی امنیتی روتر (Security Hardening Script)
برای اعمال یکپارچه و سریع تنظیمات امنیتی فوق بر روی روتر میکروتیک، می‌توانید از اسکریپت آماده زیر استفاده کنید:
# ==========================================
# ProIT - MikroTik RouterOS Security Script
# ==========================================
/ip service disable telnet,ftp,www,api,api-ssl
/ip ssh set strong-crypto=yes
/ip service set ssh port=2222
/ip service set winbox address=192.168.88.0/24
/ip firewall filter
add chain=input action=accept connection-state=established,related comment="Accept Established/Related"
add chain=input action=drop connection-state=invalid comment="Drop Invalid"
add chain=input action=accept protocol=icmp comment="Accept ICMP"
add chain=input action=accept in-interface=bridge1 comment="Accept LAN"
add chain=input action=drop comment="Drop All Other Input"
/system logging add topics=firewall action=memory