Como proteger MikroTik: passo a passo para provedores
Como proteger MikroTik: troque o usuário padrão, desligue os serviços sem uso, limite Winbox e SSH à rede de gerência, feche DNS e descoberta para a internet e termine com um firewall na chain input. Tudo com Safe Mode ligado, uma cópia da configuração guardada fora do roteador e uma varredura de fora para conferir.
Resumo
- O RouterOS vem com vários serviços ligados, como Winbox, API, web e acesso por MAC, que no provedor não precisam ficar abertos.
- A proteção passa por quatro menus principais, que são /user, /ip service, /tool mac-server e /ip firewall filter.
- Borda e concentrador PPPoE pedem regras diferentes, porque o concentrador recebe os assinantes na mesma caixa.
- O IPv6 tem firewall próprio, e esquecê-lo deixa a gerência aberta mesmo com o IPv4 fechado.
Como proteger MikroTik começando pelo que vem aberto
Proteger o MikroTik começa por saber o que o RouterOS deixa ligado de fábrica. Boa parte do risco está em serviços que o provedor nunca usou e que seguem respondendo para a internet.
O MikroTik é um dos roteadores mais usados em provedor regional, na borda, no concentrador e até no cliente. Essa popularidade tem um custo: qualquer falha nova no sistema é testada em massa por robôs, e o equipamento esquecido com configuração de fábrica é encontrado em horas.
Como proteger MikroTik exige olhar a função de cada roteador, porque a borda, o concentrador e o equipamento do cliente expõem coisas diferentes. A tabela abaixo mostra o ponto de partida comum a todos.
| Serviço | Porta padrão | O que fazer no provedor |
|---|---|---|
| Telnet e FTP | TCP 23 e 21 | Desligar; trafegam senha sem cifra |
| Web (www) | TCP 80 | Desligar ou trocar por www-ssl limitado à gerência |
| API e API-SSL | TCP 8728 e 8729 | Desligar se nenhum sistema usa; se usa, limitar ao IP do sistema |
| Winbox | TCP 8291 | Manter só se a equipe usa, aceitando apenas a rede de gerência |
| SSH | TCP 22 | Manter, com cifra forte e limitado à rede de gerência |
| Acesso por MAC e descoberta | Camada 2 e UDP 5678 | Restringir à interface de gerência |
| DNS recursivo | UDP e TCP 53 | Fechar para a internet; no concentrador, aceitar só os assinantes |
| Teste de banda | TCP 2000 | Desligar fora dos testes planejados |
Esse levantamento é o primeiro passo do hardening de roteadores, que aplica o mesmo critério em todas as marcas da rede. Num provedor só com RouterOS, ele cabe numa janela por equipamento.
Por que o RouterOS desatualizado vira alvo
Uma falha no Winbox publicada em 2018, a CVE-2018-14847, permitia ler arquivos do roteador sem senha e foi explorada em grande escala. Roteadores que nunca foram atualizados depois disso seguem sendo encontrados abertos.
Equipamentos comprometidos por essa falha foram usados depois em redes de robôs para ataques de DDoS contra terceiros [CONFIRMAR na fonte]. Por isso, além de fechar portas, quem já teve Winbox exposto em versão antiga precisa trocar todas as senhas depois de atualizar.
O que fazer antes de mexer no roteador
Antes do primeiro comando, guarde a configuração fora do roteador, ligue o Safe Mode e confirme um segundo caminho de acesso. Esses três cuidados transformam um erro de regra num simples desfazer.
O Safe Mode do RouterOS desfaz todas as mudanças feitas na sessão se a conexão cair. No terminal, ele liga com Ctrl+X; no Winbox, pelo botão Safe Mode no canto superior. Se uma regra cortar o seu acesso, o roteador volta sozinho ao estado anterior.
A cópia deve ser dupla: o backup binário, para restaurar no mesmo equipamento, e o export em texto, para ler e comparar. O guia sobre recuperar a configuração do MikroTik explica a diferença entre os dois e quando cada um salva a rede.
RouterOS 6 ou 7, o que muda na proteção?
Os menus de serviços, usuários e firewall são praticamente os mesmos nas duas versões, então os comandos deste guia servem de base para ambas. O que muda bastante é o roteamento, com BGP e OSPF reescritos na versão 7.
A decisão que pesa mais é sair de uma versão sem atualização de segurança. Se o equipamento ainda está numa versão antiga da linha 6, a atualização entra no plano, em janela própria e separada das regras de proteção [CONFIRMAR na versão do equipamento].
Passo a passo para proteger o MikroTik com comandos
O passo a passo vai do menor risco para o maior: usuários, serviços, descoberta, serviços que viram arma e, por fim, o firewall da chain input. O bloco abaixo usa endereços de documentação no lugar dos reais.
- Usuários: crie um usuário por pessoa no grupo certo, teste o login com ele e só então desative o admin.
- Serviços: desligue Telnet, FTP, web e API e limite SSH e Winbox à rede de gerência.
- Camada 2: restrinja descoberta de vizinhos e acesso por MAC a uma lista com só a interface de gerência.
- Serviços que viram arma: feche DNS para fora e desligue proxy, SOCKS, UPnP e servidor de teste de banda.
- Firewall: monte a chain input aceitando o que é necessário e descartando o resto, com a última regra por último.
# Usuários: crie, teste o login e só depois desative o admin
/user add name=ana group=full password="TROCAR-POR-SENHA-FORTE"
/user disable admin
# Serviços: só SSH e Winbox, e só da rede de gerência
/ip service disable telnet,ftp,www,api,api-ssl
/ip service set ssh address=198.51.100.0/24
/ip service set winbox address=198.51.100.0/24
/ip ssh set strong-crypto=yes
# Camada 2: descoberta e acesso por MAC só na interface de gerência
/interface list add name=LAN-GERENCIA
/interface list member add list=LAN-GERENCIA interface=ether8
/ip neighbor discovery-settings set discover-interface-list=LAN-GERENCIA
/tool mac-server set allowed-interface-list=none
/tool mac-server mac-winbox set allowed-interface-list=LAN-GERENCIA
# Serviços que viram arma contra outras redes
/ip dns set allow-remote-requests=no
/ip proxy set enabled=no
/ip socks set enabled=no
/ip upnp set enabled=no
/tool bandwidth-server set enabled=no
# Firewall da chain input (borda com um vizinho BGP)
/ip firewall address-list add list=REDE-GERENCIA address=198.51.100.0/24
/ip firewall address-list add list=VIZINHOS-BGP address=203.0.113.1
/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked
add chain=input action=drop connection-state=invalid
add chain=input action=accept protocol=tcp dst-port=179 src-address-list=VIZINHOS-BGP
add chain=input action=accept src-address-list=REDE-GERENCIA
add chain=input action=accept protocol=icmp
add chain=input action=drop comment="descarta o resto"Se a rede usa OSPF, o protocolo precisa de uma regra própria antes da última linha, aceitando só as interfaces internas. O mesmo vale para NTP, SNMP do monitoramento e qualquer outro serviço que chegue ao próprio roteador.
Prefere não arriscar a borda numa regra errada?
No hardening de roteadores, um Especialista aplica a proteção do RouterOS um equipamento por vez, com Safe Mode, lista de vizinhos conferida e varredura de fora no fim.
A ordem das regras da chain input
O RouterOS lê as regras de cima para baixo e para na primeira que combina. Por isso as conexões já estabelecidas vêm primeiro, os aceites específicos no meio e o descarte geral sempre na última posição.
Uma regra de descarte colocada acima do aceite da gerência derruba a sessão na hora. É exatamente o caso em que o Safe Mode devolve o acesso sem ninguém precisar ir ao POP.
O firewall do IPv6 é outro
As regras em /ip firewall não valem para IPv6, que tem o próprio menu em /ipv6 firewall filter. Num roteador com IPv6 ativo, a gerência continua aberta pelo endereço IPv6 até que a mesma lógica seja repetida lá.
Use os prefixos de documentação para testar a ideia, como 2001:db8::/32, e troque pelos blocos reais na aplicação. Em IPv6, lembre de aceitar o ICMPv6 necessário para a vizinhança funcionar.
Borda ou concentrador, o que muda na proteção?
A borda protege a CPU e as sessões BGP; o concentrador precisa, além disso, impedir que os assinantes alcancem a gerência. A tabela resume os cuidados de cada função.
| Função | Risco principal | Cuidado específico |
|---|---|---|
| Borda | Tráfego da internet dirigido à CPU | Aceitar BGP só dos vizinhos e descartar o resto na input |
| Concentrador PPPoE | Assinante alcançando Winbox ou SSH | Descartar na input o que vem das interfaces PPPoE, menos DNS e o necessário |
| Concentrador com DNS | Recursivo aberto para fora | Aceitar a porta 53 só das faixas dos assinantes |
| Roteador de cliente empresarial | Senha de fábrica e acesso remoto esquecido | Usuário próprio e gerência só pelo endereço do provedor |
No concentrador, o erro mais comum é proteger a entrada vinda da internet e esquecer a vinda dos assinantes. Um assinante curioso, ou com o computador infectado, enxerga o roteador do provedor como o primeiro salto da rede. Se o concentrador também faz NAT, o guia sobre CGNAT no MikroTik mostra como separar essa função da proteção.
Erros comuns ao proteger o MikroTik
Os erros mais caros são os que cortam o acesso ou dão falsa sensação de segurança. Todos aparecem numa conferência feita de fora.
Evite
- Desativar o admin antes de testar o login com o usuário novo.
- Trocar a porta do Winbox e considerar o assunto resolvido.
- Fechar a gerência no IPv4 e deixar o IPv6 sem filtro.
- Colar um script de proteção da internet sem ler linha por linha.
- Desligar o DNS no concentrador que entrega DNS aos assinantes.
- Atualizar o RouterOS na mesma janela das regras de firewall.
O script colado é o erro que mais aparece em provedor. Muitos foram escritos para roteador doméstico, com NAT e uma única saída, e quebram uma borda com BGP ou um concentrador com milhares de sessões.
Trocar a porta não é proteger
Mudar Winbox ou SSH de porta reduz o ruído nos logs, mas uma varredura completa acha a porta nova em minutos. A proteção real é o campo address do serviço e o firewall, que aceitam só a rede de gerência.
Se ainda não existe uma rede separada para administrar os equipamentos, a rede de gerência isolada é o passo que torna essa restrição simples de manter.
Como saber se o MikroTik ficou protegido?
A conferência se faz de fora, com uma varredura de portas a partir de uma rede externa, em IPv4 e em IPv6. Dentro do roteador, os contadores das regras mostram se o descarte está funcionando.
Confira depois de aplicar a proteção
- A varredura externa não mostra Winbox, SSH, API nem web em nenhum IP público do roteador.
- O DNS não responde consultas vindas de fora da rede.
- As sessões BGP e OSPF seguem estabelecidas depois do firewall.
- A última regra da input tem contadores subindo, sinal de que está descartando o que sobra.
- O admin está desativado e cada pessoa entra com o próprio usuário.
- O export novo está guardado fora do roteador, junto com o antigo.
Qualquer item sem marca é uma porta que continua aberta. Corrija antes de passar ao próximo roteador.
Quando vale chamar um Especialista?
Vale quando a borda não tem redundância, quando há vários concentradores com regras diferentes ou quando já houve suspeita de acesso indevido. Nesse último caso, a ordem é investigar antes de fechar.
A Táquion Tech faz a proteção de roteadores MikroTik de forma remota, com Safe Mode e um equipamento por vez, e entrega o checklist preenchido de cada um. O passo a passo genérico para outras marcas está no guia de como fazer hardening.
Perguntas frequentes
Desativar o usuário admin já protege o MikroTik?
Ajuda, mas é só o primeiro passo. Se o Winbox continuar aberto para qualquer IP, robôs seguem tentando senhas no usuário novo, por isso a gerência também precisa aceitar só a rede certa.
Preciso de firewall na chain input mesmo com serviços limitados?
Precisa. O campo address protege cada serviço, mas a input protege a CPU de tudo o que chega ao roteador, inclusive tráfego para portas que você nem sabe que estão abertas.
O Safe Mode funciona pelo Winbox?
Funciona, pelo botão Safe Mode da janela principal. Se a conexão cair com ele ligado, o RouterOS desfaz as mudanças daquela sessão.
Como proteger MikroTik que está no cliente?
Troque o usuário e a senha de fábrica, desligue os serviços sem uso e aceite a gerência só a partir dos endereços do provedor. O resto da lógica é a mesma da borda, em escala menor.
Com que frequência devo atualizar o RouterOS?
Sempre que sair correção de segurança para a linha que você usa, depois de ler as notas da versão. A atualização vai em janela própria, com backup feito antes.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- Documentação oficial do RouterOS (MikroTik): menus de serviços, usuários, MAC server e firewall citados no guia.
- CVE-2018-14847 (NVD, NIST): falha do Winbox que permitia ler arquivos do roteador sem autenticação.
- RFC 6192, Protecting the Router Control Plane: base para o firewall da chain input.
