English · Ελληνικά
Η σειρά Cisco άνοιξε με το να μπεις σε ένα γυμνό box IOS· αυτά είναι τα ίδια πρώτα δέκα λεπτά για RouterOS. Ένα καινούριο MikroTik έρχεται με ένα default config που ήδη κάνει περισσότερα από ένα εργοστασιακό Cisco — ένα bridge, ένας DHCP server, NAT, και ένα firewall — οπότε η δουλειά δεν είναι «κάνε config από το τίποτα», είναι «μπες μέσα, διάβασε τι υπάρχει, και κάν' το δικό σου χωρίς να κλειδωθείς έξω».
Το RouterOS είναι το ίδιο OS σε ένα hEX των €50 και σε ένα CCR carrier-grade — μάθε το μια φορά και κλιμακώνει σε όλο το εύρος. Σε αντίθεση με ένα εργοστασιακό Cisco switch που ξεκινά άδειο, ένα MikroTik έρχεται με ένα default config: το ether1 είναι το WAN (DHCP client), τα υπόλοιπα ports είναι bridged σε ένα LAN στο 192.168.88.1/24 με DHCP server, masquerade NAT, και ένα βασικό firewall. Η πρώτη σου δουλειά είναι να το φτάσεις, να το διαβάσεις, και να το μετονομάσεις στο δικό σου περιβάλλον.
Το εργαλείο που κάνει το MikroTik συγχωρητικό είναι το Safe Mode: αλλαγές που γίνονται μέσα του γυρίζουν πίσω αυτόματα αν πέσει το session σου, οπότε ένας κακός κανόνας firewall δεν μπορεί να σε αφήσει απ' έξω. Θα το χρησιμοποιήσουμε από την πρώτη εντολή. Αυτό είναι το αντίστοιχο σε RouterOS του Cisco IOS: Πρωτη Επαφη — ίδιοι στόχοι, εντελώς διαφορετικά μενού.
ether1)01
Δεν χρειάζεσαι IP για να φτάσεις ένα MikroTik. Το WinBox το ανακαλύπτει με MAC μέσω Layer 2, οπότε ακόμα και ένα box με λάθος config και καμία προσβάσιμη διεύθυνση είναι ένα κλικ μακριά — ο νούμερο ένα λόγος να κρατάς το WinBox στο toolbelt σου.
Άνοιξε το WinBox, κοίτα το tab Neighbors, και η συσκευή εμφανίζεται με διεύθυνση MAC και identity. Κάνε κλικ στη διεύθυνση MAC (όχι το IP) για να συνδεθείς μέσω MAC-telnet — αυτό δουλεύει ανεξάρτητα από το config IP. Τα default credentials είναι χρήστης admin με κενό password σε παλιότερο RouterOS· οι σύγχρονες συσκευές v7 σε αναγκάζουν να βάλεις password στην πρώτη σύνδεση. Βάλε ένα πραγματικό αμέσως.
# Στο terminal, το Ctrl-X εναλλάσσει το Safe Mode. Κάν' το πριν αλλάξεις οτιδήποτε: # αν πέσει το session σου στη μέση μιας αλλαγής, το RouterOS την επαναφέρει αυτόματα. [admin@MikroTik] > # το prompt δείχνει <SAFE> όταν είναι ενεργό [admin@MikroTik] <SAFE> > /system resource print board-name: hEX platform: MikroTik version: 7.15.3 (stable)
02
Πριν αλλάξεις οτιδήποτε, δες τι κάνει ήδη το box. Το /export είναι ο φίλος σου και η τεκμηρίωσή σου — τυπώνει το running config ως τις ακριβείς εντολές που θα το ξαναέφτιαχναν.
[admin@MikroTik] > /export hide-sensitive /interface bridge add name=bridge /interface bridge port add bridge=bridge interface=ether2 ... (ether3..5 too) /ip address add address=192.168.88.1/24 interface=bridge /ip dhcp-client add interface=ether1 # το WAN τραβά DHCP /ip dhcp-server ... (LAN pool 192.168.88.10-254) /ip firewall nat add chain=srcnat action=masquerade out-interface-list=WAN /ip firewall filter ... (default input protection) # Διάβασε ένα υποσύστημα τη φορά με print: [admin@MikroTik] > /ip address print [admin@MikroTik] > /interface bridge port print
/export file= Ειναι το Πρωτο σου Backup
Το /export file=day0 γράφει ένα κειμενικό config στο storage του router που μπορείς να τραβήξεις με drag-and-drop στο WinBox. Είναι αναγνώσιμο από άνθρωπο, diff-able, και version-controllable — σε αντίθεση με το binary /system backup. Πάρε ένα πριν την πρώτη σου αλλαγή ώστε να έχεις πάντα ένα γνωστό-καλό σημείο εκκίνησης. Περισσότερα στο Backup και Ανακτηση.
03
Τρεις αλλαγές γυρνάνε ένα ανώνυμο εργοστασιακό box σε διαχειριζόμενη συσκευή: ένα όνομα που θα αναγνωρίζεις στο Neighbors, ένας πραγματικός admin λογαριασμός, και ο θάνατος του default admin.
[admin@MikroTik] <SAFE> > /system identity set name=CORE-RTR # Δημιούργησε τον ΔΙΚΟ ΣΟΥ λογαριασμό, full group, ισχυρό password... > /user add name=netadmin group=full password="use-a-real-passphrase" # ...ξανασυνδέσου με αυτόν, ΜΕΤΑ απενεργοποίησε/αφαίρεσε τον stock admin. > /user set admin disabled=yes # (ή /user remove admin μόλις επιβεβαιώσεις ότι δουλεύει το νέο login)
04
Το default σε βάζει online μέσω DHCP στο ether1. Όταν χρειάζεσαι static addressing — οι περισσότερες εγκαταστάσεις επιχειρήσεων — να το ελάχιστο: μία διεύθυνση, ένα default route, και DNS.
> /ip address add address=203.0.113.10/29 interface=ether1 > /ip route add dst-address=0.0.0.0/0 gateway=203.0.113.9 > /ip dns set servers=1.1.1.1,9.9.9.9 allow-remote-requests=no # Το LAN gateway ήδη υπάρχει ως bridge 192.168.88.1 — άλλαξέ το στο # δικό σου σχήμα, π.χ. 10.10.0.1/24, και ενημέρωσε το network του DHCP server. > /ip address set [find interface=bridge] address=10.10.0.1/24
allow-remote-requests Γυρναει τον Router σε Open Resolver
Βάλε allow-remote-requests=yes και ξέχασε έναν κανόνα firewall, και ο router σου απαντά DNS για όλο το internet — ένας αγαπημένος ενισχυτής reflection-DDoS και μια άμεση καταγγελία κατάχρησης. Αν το LAN χρειάζεται τον router ως resolver, ενεργοποίησέ το και μπλόκαρε UDP/TCP 53 στην αλυσίδα input του WAN. Κάνουμε ακριβώς αυτό στο Θωρακιση RouterOS.
05
Ο καθένας κλειδώνεται έξω κάποια στιγμή. Το RouterOS σου δίνει τρεις διεξόδους διαφυγής, με αυξανόμενη σοβαρότητα — μάθε τις πριν τις χρειαστείς.
| Διεξοδος διαφυγης | Ποτε να στραφεις σε αυτην |
|---|---|
| Safe Mode (Ctrl-X) | Μια αλλαγή που πρόκειται να κάνεις μπορεί να σε κόψει — auto-revert σε απώλεια session. |
| WinBox MAC-connect | Έσπασες IP/routing αλλά το Layer 2 είναι άθικτο. Φτάσ' το με MAC, διόρθωσε τη διεύθυνση. |
| /system reset-configuration | Το config είναι ανεπανόρθωτο. keep-users=yes no-defaults=yes για καθαρή αρχή που κρατά το login σου. |
| Netinstall (κουμπί reset + PXE) | Πυρηνικό: ξανακάνε flash όλο το RouterOS από PC. Χαμένο password, κακή αναβάθμιση, υποψία συμβιβασμού. |
Βασικα Συμπερασματα
/export είναι τεκμηρίωση και κειμενικό backup μαζί. Πάρε ένα την ημέρα μηδέν και πριν από κάθε αλλαγή.Νέος router, πρώτη εκκίνηση: τότε το κλειδώνω, όχι αφού έχει κάτσει στο δίκτυό σου έναν μήνα. Αναπτύσσω και τεκμηριώνω εξοπλισμό MikroTik και Cisco με config στο δικό σου addressing από την πρώτη μέρα, παραδομένο με ένα config που το δικό σου προσωπικό μπορεί να διαβάσει.
Κλεισε μια Discovery Call →