آموزش امن‌سازی میکروتیک و محدودکردن دسترسی WinBox

امن‌سازی میکروتیک و محدودکردن دسترسی WinBox از اولین کارهای پس از راه‌اندازی CHR روی اینترنت است. هدف این راهنما آن است که فقط مدیران مجاز بتوانند وارد روتر شوند، بدون اینکه دسترسی خودتان قطع شود. اگر هنوز نصب را انجام نداده‌اید، ابتدا آموزش تبدیل لینوکس به میکروتیک و تنظیم IP را بخوانید. برای انتخاب سرویس نیز صفحهٔ سرور مجازی میکروتیک در دسترس است.

قبل از محدودکردن دسترسی: بکاپ مستقل بگیرید، کنسول پنل را آزمایش و باز نگه دارید و IP مبدأ واقعی اتصال خود را مشخص کنید. تغییر اشتباه فایروال یا Available From می‌تواند شما را از روتر بیرون نگه دارد. این مقاله مجموعهٔ تنظیمات قابل انتخاب است، نه اسکریپتی که همهٔ آن را یکجا اجرا کنید.

۱. مسیر بازیابی و وضعیت فعلی را بررسی کنید

از قسمت Files در WinBox، بکاپ را با رمز قوی تهیه و خارج از VPS نگهداری کنید. فایل بکاپ ممکن است اطلاعات حساس داشته باشد؛ آن را عمومی نکنید. برای بررسی وضعیت فعلی، دستورهای زیر فقط اطلاعات را می‌خوانند و چیزی تغییر نمی‌دهند:

/system resource print
/ip service print
/user active print
/ip firewall filter print
/ipv6 firewall filter print

در نشست فعال خود، آدرس مبدأ را بررسی کنید. برای VPS عمومی، معمولاً IP عمومی اینترنت یا خروجی VPN شما مهم است، نه IP خصوصی لپ‌تاپ مثل 192.168.1.10. اگر چند مدیر دارید، آدرس‌های لازم را پیش از تغییر مشخص کنید. نام‌ها و اطلاعات حساس خروجی را در تیکت عمومی قرار ندهید.

۲. تغییرات حساس را با Safe Mode انجام دهید

در WinBox دکمهٔ Safe Mode را فعال کنید؛ در ترمینال RouterOS نیز Ctrl + X این حالت را تغییر می‌دهد. اگر نشست نگه‌دارندهٔ Safe Mode به‌طور غیرعادی قطع شود، تغییرات ثبت‌شده در این حالت بعد از تشخیص قطع ارتباط برمی‌گردند؛ برگشت الزاماً فوری نیست.

هر بار تعداد کمی تغییر انجام دهید. تا قبل از تأیید اتصال جدید، نشست اصلی را نبندید. پس از آزمایش موفق، از همان نشست Safe Mode را خاموش کنید تا تغییرات بمانند. این قابلیت جای بکاپ و کنسول نیست و ظرفیت پیگیری تغییرات محدود است. هم‌زمان اجازه ندهید مدیر دیگری تنظیمات را تغییر دهد؛ تغییرات نشست‌های دیگر نیز ممکن است در محدودهٔ برگشت قرار بگیرند.

۳. حساب مدیریتی اختصاصی بسازید

1. در System → Users یک حساب با نام اختصاصی و رمز طولانی و غیرتکراری بسازید.
2. گروه full را فقط به مدیر واقعی بدهید؛ دسترسی افراد دیگر را متناسب با وظیفه تعیین کنید.
3. در یک پنجرهٔ جدید با حساب تازه وارد شوید و مجوزهای لازم را بررسی کنید.
4. فقط پس از موفقیت ورود جدید، حساب پیش‌فرض admin را غیرفعال کنید؛ همهٔ حساب‌های مدیر را با هم نبندید.

تغییر نام کاربری به‌تنهایی امنیت کافی ایجاد نمی‌کند. حساب مشترک میان چند نفر، تشخیص مسئول تغییرات را دشوار می‌کند؛ برای هر مدیر حساب جدا داشته باشید.

۴. WinBox را به IPهای مجاز محدود کنید

1. در WinBox به IP → Services بروید و ردیف winbox را باز کنید.
2. پورت فعلی را یادداشت کنید؛ مقدار معمول 8291 است اما تنظیم واقعی خودتان ملاک است.
3. در Available From، IPهای مبدأ مجاز را همراه Prefix وارد کنید. /32 یک آدرس IPv4 و /128 یک آدرس IPv6 را مشخص می‌کند.
4. تنظیم را ذخیره کنید و در حالی که نشست و کنسول قبلی باز است، ورود جدید از IP مجاز را آزمایش کنید.

مثلاً اگر IP مبدأ مدیر در یک مثال آموزشی 198.51.100.25 باشد، مقدار مجاز 198.51.100.25/32 خواهد بود. این IP مستنداتی است؛ آن را در روتر واقعی وارد نکنید. باید IP واقعی خروجی اتصال خودتان را جایگزین کنید. آدرس خود سرور، IP مبدأ مدیر محسوب نمی‌شود.

الگوی ترمینال زیر تمام فهرست فعلی این فیلد را جایگزین می‌کند؛ قبل از اجرا، IP تمام مدیران لازم را در آن لحاظ کنید. عبارت جایگزین را همان‌طور اجرا نکنید:

/ip service set [find name=winbox] address=YOUR_PUBLIC_IPV4/32

این محدودیت، مجوز دسترسی سرویس است و جای فایروال شبکه را نمی‌گیرد. برای ترافیک ورودی از اینترنت باید فایروال مناسب هم داشته باشید. تغییر پورت نیز تنها کاهش‌دهندهٔ بعضی تلاش‌های خودکار است و جای رمز قوی یا محدودیت IP را نمی‌گیرد.

۵. محدودیت WinBox را در فایروال هم اعمال کنید

این بخش فقط دسترسی به پورت WinBox را محدود می‌کند؛ فایروال کامل تمام کاربردهای روتر نیست. در IP → Firewall → Filter Rules برای IPv4، منطق زیر را با توجه به قوانین موجود پیاده کنید. ترافیک مقصد خود روتر در chain=input بررسی می‌شود؛ forward مربوط به ترافیکی است که از روتر عبور می‌کند.

1. اجازهٔ مدیر: Chain برابر input، Protocol برابر tcp، Dst. Port برابر پورت واقعی WinBox، Src. Address برابر IP مبدأ مجاز با /32 و Action برابر accept. برای چند مبدأ، از قوانین جدا یا فهرست آدرس مشخص استفاده کنید.
2. بستن سایر مبدأها: قانون دیگری با input، tcp و همان پورت، بدون محدودیت مبدأ، با Action برابر drop بسازید؛ این قانون باید بعد از مجوز مدیر قرار بگیرد.
3. ترتیب را بررسی کنید: مجوز مدیر باید پیش از هر drop مسدودکنندهٔ آن باشد. drop اختصاصی WinBox هم باید پیش از accept عمومی‌ای باشد که دسترسی سایر مبدأها را باز می‌کند. صرف افزودن قوانین در انتهای فهرست نتیجه را تضمین نمی‌کند.
4. از IP مجاز یک اتصال جدید برقرار کنید و از یک شبکهٔ آزمایشی غیرمجاز متعلق به خودتان بررسی کنید ورود جدید بسته است. شمارندهٔ قوانین را ببینید.

قانون عمومی drop برای کل input را بدون طراحی بقیهٔ سرویس‌ها اضافه نکنید؛ DHCP، VPN یا سرویس‌های دیگر ممکن است قطع شوند. قانون established/related می‌تواند نشست‌های قبلی را حفظ کند، بنابراین بازبودن پنجرهٔ قدیمی نشان‌دهندهٔ درست‌بودن دسترسی جدید نیست. در این آموزش عمداً شمارهٔ قانون و دستور جابه‌جایی ثابت ارائه نشده چون چیدمان هر روتر متفاوت است.

IPv6 را فراموش نکنید: قوانین IP → Firewall فقط IPv4 را پوشش می‌دهند. اگر روی سرور IPv6 دارید، سیاست متناسب را در IPv6 → Firewall بررسی کنید؛ محدودکردن IPv4 به‌تنهایی کافی نیست. فایروال پنل تأمین‌کننده نیز در صورت وجود، لایهٔ جداگانه‌ای است و باید با همین سیاست هماهنگ باشد.

۶. سرویس‌های غیرضروری را ببندید

در IP → Services سرویس‌هایی مثل telnet، ftp، www و APIها را فقط اگر واقعاً استفاده نمی‌شوند غیرفعال کنید. پیش از بستن SSH یا API مطمئن شوید ابزار مدیریت، مانیتورینگ یا اتوماسیون شما به آن وابسته نیست. ابتدا مسیر جایگزین ورود را آزمایش کنید.

MAC WinBox و Neighbor Discovery با WinBox مبتنی بر IP یکسان نیستند. اگر مدیریت لایهٔ دوم لازم ندارید و ورود IP و کنسول را آزموده‌اید، آن‌ها را از رابط‌های غیرقابل اعتماد حذف یا محدود کنید. قطع MAC WinBox را پیش از آزمون مسیر جایگزین انجام ندهید.

در IP → DNS، اگر روتر قرار نیست DNS Resolver برای کاربران باشد، Allow Remote Requests را خاموش نگه دارید. اگر چنین نقشی دارد، دسترسی TCP و UDP پورت 53 را به شبکه‌های مجاز محدود کنید تا Resolver عمومی باز نسازید.

۷. اگر IP اینترنت مدیر ثابت نیست چه کنیم؟

بازکردن کل اینترنت راه‌حل مناسبی برای IP متغیر نیست. می‌توانید مسیر مدیریت امن با خروجی ثابت، VPN مدیریتی یا دسترسی شبکهٔ خصوصیِ پشتیبانی‌شده توسط سرویس داشته باشید. ابتدا آن مسیر را راه‌اندازی و آزمایش کنید و سپس محدودیت را اعمال کنید. قبل از تعویض اینترنت یا VPN، دسترسی جایگزین و IP جدید را در نظر بگیرید.

۸. به‌روزرسانی، گزارش ورود و بازبینی دوره‌ای

RouterOS و WinBox را از منبع رسمی به‌روز نگه دارید. پیش از ارتقا، تغییرات نسخه و سازگاری را بررسی کنید و زمان مناسب برای احتمال ریبوت در نظر بگیرید. بکاپ پیش از ارتقا را خارج از VPS نگه دارید.

بخش Log و کاربران فعال را برای ورودهای غیرمنتظره بازبینی کنید. نبودن پیام خطا، امنیت کامل را ثابت نمی‌کند؛ برای بررسی ردشدن ترافیک از شمارنده‌های قوانین و ثبت محدود و هدفمند استفاده کنید. لاگ‌کردن بدون محدودیت هر بستهٔ ردشده می‌تواند منابع و فضای لاگ را مصرف کند.

اگر پس از تغییر نتوانستم وصل شوم چه کنم؟

ابتدا IP خروجی اینترنت و پورت مقصد را بررسی کنید. اگر نشست Safe Mode قطع شده، امکان برگشت تغییرات وجود دارد اما بلافاصله و تضمینی فرضش نکنید. از کنسول پنل، تنظیم winbox و ترتیب فایروال را بررسی و فقط تغییر اشتباه را اصلاح کنید. برای بازگرداندن دسترسی، کل فایروال را پاک نکنید و روتر را بدون برنامه Reset نکنید.

اگر شبکه از ابتدا IP نگرفته است، به راهنمای DHCP و IP ثابت میکروتیک برگردید. برای کمک، از پشتیبانی پرشین کلود استفاده کنید و رمز یا بکاپ محرمانه را در پیام عمومی نفرستید.

چک‌لیست پایان کار

• ورود جدید با حساب اختصاصی و IP مجاز موفق است.
• ورود جدید از شبکهٔ غیرمجاز بسته است؛ IPv4 و IPv6 جدا بررسی شده‌اند.
• کنسول و مسیر بازیابی در دسترس‌اند؛ بکاپ خارج از سرور است.
• سرویس‌های لازم همچنان کار می‌کنند و ابزارهای مدیریت وابسته قطع نشده‌اند.
• پس از آزمون، Safe Mode از نشست اصلی خارج شده و سیاست نهایی ثبت شده است.

پرسش‌های متداول

آیا فقط تغییر پورت WinBox کافی است؟

خیر؛ پورت متفاوت می‌تواند نویز بعضی اسکن‌ها را کاهش دهد اما دسترسی را احراز هویت یا محدود نمی‌کند.

آیا فیلد Available From همان فایروال است؟

خیر؛ محدودیت سرویس و فیلتر شبکه دو لایهٔ جدا هستند و باید با هم تنظیم شوند.

آیا این تنظیمات روی هر CHR یکسان اجرا می‌شود؟

اصول مشترک است اما IP مدیر، سرویس‌های موردنیاز، IPv6 و ترتیب قوانین هر روتر متفاوت است. هیچ دستور کلی تضمین نمی‌کند دسترسی همهٔ شبکه‌ها بدون بررسی حفظ شود.

منابع و محدودهٔ آموزش

بررسی: ۳۰ اکتبر ۲۰۲۶. منابع رسمی: IP Services، Safe Mode و امن‌سازی RouterOS و فیلتر IPv4 و IPv6. تصویر ابتدای مقاله تصویرسازی مفهومی است. برای تهیهٔ این مطلب، هیچ تنظیمی روی سرور واقعی مشتری اعمال نشده؛ این راهنما جای بررسی اختصاصی امنیت شبکه را نمی‌گیرد.