Πίσω στο blog

English  ·  Ελληνικά

MikroTik / Layer 2  ·  Ασφαλεια  ·  Ιουλιος 2026

MikroTik
Bridge & Switch Port Security

Ένα VLAN κρατά τους επισκέπτες μακριά από τους servers· δεν κάνει τίποτα για να σταματήσει έναν επισκέπτη να επιτεθεί σε άλλον στο ίδιο segment, ή έναν rogue DHCP server να μοιράζει δηλητηριασμένο gateway. Αυτό είναι το πέρασμα θωράκισης Layer-2 σε RouterOS — απομόνωση port, DHCP snooping, πειθαρχία ARP — και η μία επιφύλαξη που αποφασίζει αν οτιδήποτε από αυτά τρέχει στο switch chip ή στο CPU.

MikroTik RouterOS Bridge DHCP Snooping Isolation

Οι απειλές είναι οι ίδιες από τις οποίες υπερασπίζεται το post Ασφάλεια Switch της Cisco: επιθέσεις guest-to-guest μέσα σε κοινό segment, rogue DHCP servers, και ARP spoofing. Το RouterOS τις αντιμετωπίζει μέσω του bridge — horizon για απομόνωση port, dhcp-snooping με trusted ports, και ARP reply-only για lockdown με static-ARP. Τα δομικά στοιχεία αντιστοιχούν καθαρά στα protected ports, DHCP snooping, και Dynamic ARP Inspection της Cisco.

Η παγίδα ειδική για RouterOS τρέχει μέσα από τα πάντα: πολλά από αυτά τα features απενεργοποιούν hardware offload, μετακινώντας το bridge από το switch chip στο CPU. Σε ένα μικρό hEX αυτό είναι εντάξει· σε ένα router που σπρώχνει gigabits έχει σημασία. Το να ξέρεις ποιο feature κοστίζει offload είναι η διαφορά ανάμεσα σε ένα ασφαλές segment και ένα κατά λάθος bottleneck.

Προαπαιτουμενα

01

Απομονωση Port με Horizon

Το πραγματικό security boundary του guest Wi-Fi δεν είναι το password — είναι το να σταματάς τους επισκέπτες να βλέπουν ο ένας τον άλλον. Στο RouterOS, το horizon του bridge είναι το εργαλείο: ports που μοιράζονται μια τιμή horizon δεν μπορούν να κάνουν forward μεταξύ τους, μόνο προς το uplink.

Terminal — απομονωσε ports επισκεπτων, κρατα τα να μιλανε μονο με το gateway 
# Δώσε σε κάθε port που κοιτά επισκέπτες το ίδιο horizon. Ίδιος αριθμός = δεν
# μπορούν να μιλήσουν μεταξύ τους· ακόμα φτάνουν ένα uplink με ΔΙΑΦΟΡΕΤΙΚΟ horizon.
> /interface bridge port set [find interface=ether3] horizon=10
> /interface bridge port set [find interface=ether4] horizon=10
# Το port uplink/gateway κρατά το default (χωρίς horizon), οπότε οι επισκέπτες
# φτάνουν το internet αλλά όχι ο ένας τον άλλον. Ίδια ιδέα με το protected-port της Cisco.
◆ Για Wi-Fi, Απομονωσε και στο AP

Το horizon καλύπτει ενσύρματα ports και κίνηση που διασχίζει το bridge. Ασύρματοι clients στο ίδιο AP και SSID μπορούν ακόμα να μιλήσουν απευθείας μέσω του radio εκτός αν ενεργοποιήσεις client isolation εκεί (CAPsMAN/wifiwave2: η επιλογή client-isolation του datapath). Το guest isolation είναι ρύθμιση και ενσύρματη και ασύρματη — δες CAPsMAN και τον απλό οδηγό Γιατι το Guest Wi-Fi Χρειαζεται Δικο του Δικτυο.

02

DHCP Snooping & Εμπιστα Ports

Ένας rogue DHCP server — ένα λάθος ρυθμισμένο travel router ενός επισκέπτη, ή ένας επιτιθέμενος — μπορεί να δώσει σε όλο το segment ένα κακόβουλο gateway και να κάνει MITM σε όλους. Το snooping ρίχνει DHCP offers από κάθε port που δεν έχεις ευλογήσει.

Terminal — ενεργοποιησε snooping στο bridge, εμπιστεψου μονο το path του πραγματικου server 
> /interface bridge set bridge dhcp-snooping=yes add-dhcp-option82=yes
# Εμπιστεύσου ΜΟΝΟ το port προς τον νόμιμο DHCP server (εδώ το uplink).
# Όλα τα άλλα ports μπορούν να κάνουν REQUEST αλλά τα OFFERS/ACKs τους ρίχνονται.
> /interface bridge port set [find interface=ether1] trusted=yes
# Ένας επισκέπτης που βάζει στην πρίζα router που σερβίρει DHCP τώρα δεν δηλητηριάζει κανέναν.
⚠ Παγιδα — Το Snooping Κλεινει το Hardware Offload

Το να ενεργοποιήσεις dhcp-snooping (και option-82) μετακινεί την επηρεαζόμενη επεξεργασία bridge στο CPU στα περισσότερα μοντέλα — το switch chip δεν μπορεί να το κάνει. Σε ένα CRS που κάνει switching σε line rate αυτό μπορεί να είναι πραγματικό χτύπημα στο throughput. Αποφάσισε ανά box: σε access switch για VLAN επισκεπτών συνήθως αξίζει· σε core που κάνει 10G μπορεί να μην αξίζει. Έλεγξε /interface bridge port print για το flag H (hardware-offloaded) πριν και μετά.

03

Πειθαρχια ARP & Ελεγχος MAC

Το ARP spoofing αφήνει έναν host να μιμηθεί το gateway. Το RouterOS το αντιμετωπίζει αρνούμενο να μάθει ARP δυναμικά σε ένα κλειδωμένο interface και συνδυάζοντάς το με static εγγραφές — το αντίστοιχο του DAI της Cisco συν IP Source Guard για τα segments υψηλής αξίας.

Terminal — reply-only ARP + static bindings σε ευαισθητο VLAN 
# Το interface απαντά ARP αλλά δεν θα το ΜΑΘΑΙΝΕΙ — οπότε ένα spoofed
# gratuitous ARP δεν μπορεί να δηλητηριάσει τον πίνακα. Συνδύασέ το με static εγγραφές.
> /interface vlan set [find name=vlan30-pms] arp=reply-only
> /ip arp add address=10.10.30.10 mac-address=DC:2C:6E:00:11:22 interface=vlan30-pms

# Προαιρετικό επιπλέον μέτρο: περιόρισε πόσα MAC μπορεί να μάθει ένα port επισκεπτών,
# και σταμάτα το unknown-unicast flooding από το να διαρρέει frames σε όλο το segment.
> /interface bridge port set [find interface=ether3] unknown-unicast-flood=no

Βασικα Συμπερασματα

  1. Τα VLAN κάνουν segment· το port security προστατεύει μέσα σε ένα segment. Χρειάζεσαι και τα δύο — ένα VLAN μόνο του δεν σταματά επιθέσεις guest-to-guest.
  2. Το Horizon είναι η απομόνωση port του RouterOS — ίδια τιμή horizon σημαίνει τα ports δεν μπορούν να μιλήσουν μεταξύ τους, μόνο προς το uplink. Η ενσύρματη μισή του guest isolation.
  3. Απομόνωσε και ασύρματους clients στο AP — το horizon δεν καλύπτει κίνηση στο ίδιο radio.
  4. DHCP snooping + ενα trusted port σκοτώνει rogue DHCP servers και το MITM που επιτρέπουν.
  5. ARP reply-only συν static εγγραφές είναι η απάντηση του RouterOS στο ARP spoofing σε VLAN υψηλής αξίας.
  6. Προσεξε το hardware offload. Το snooping και κάποια filters σπρώχνουν το bridge στο CPU — έλεγξε το flag H και αποφάσισε ανά συσκευή.

Επισκεπτες στο ιδιο flat δικτυο με το συστημα κρατησεων και τις καμερες σου;

Χτίζω σχεδιασμούς Layer-2 απομονωμένους, snooped, με πειθαρχία ARP σε MikroTik και Cisco ώστε ένα μολυσμένο laptop επισκέπτη να μένει ακριβώς αυτό — ένα μολυσμένο laptop επισκέπτη, όχι ένα foothold σε ό,τι άλλο υπάρχει στο switch.

Κλεισε μια Discovery Call →