Configuration de la première fois - RouterOS
M. B.
Connexion au routeur
Il existe deux types de routeurs:
Routeurs avec configuration par défaut.
Routeurs sans configuration par défaut. Dans les cas où aucune configuration spécifique n'est
présente, l'adresse IP [Link]/24 est attribuée à l'éther1, combo1, sfp1 ou MGMT/BOOT.
Pour plus de détails concernant la configuration par défaut actuelle, veuillez vous reporter au
document de guide rapide fourni avec votre appareil. Le présent document décrit les ports à
utiliser initialement pour la connexion et les instructions sur la configuration de l'appareil.
Ce document décrit le processus étape par étape pour la configuration du dispositif à partir de
zéro. Par conséquent, nous recommandons d'effacer toutes les valeurs par défaut lors du
lancement de la configuration.
Lors de la connexion de la première fois au routeur avec l'administrateur du nom d'utilisateur
par défaut et sans mot de passe (ou, pour certains modèles, vérifier les mots de passe utilisateur
et sans fil sur l'autocollant). Lors du démarrage initial, une notification apparaîtra, vous offrant le
choix de supprimer la configuration par défaut (même si la configuration par défaut n'a qu'une
adresse IP), conduisant à un redémarrage sans configuration appliquée, soit à "Show Script" et
conserve la configuration par défaut actuelle, en l'appliquant en conséquence. Étant donné que cet
article suppose qu'il n'y a pas de configuration sur le routeur, vous devez le supprimer en appuyant
sur "r" sur le clavier lorsque vous y êtes invité ou cliquez sur le bouton "Supprimer la
configuration" dans WinBox.
Constructeur sans configuration par défaut
Si le routeur n'a pas de configuration par défaut, il y a plusieurs options à envisager. Cependant,
dans ce cas, nous allons opter pour une méthode qui correspond le mieux à nos exigences.
Connectez le câble ISP au port éther1 du routeur et connectez votre PC à n'importe quel port, à
l'exception de l'éther1. Ensuite, lancez WinBox et recherchez votre routeur en utilisant la fonction
de découverte du voisin. Voir l'exemple détaillé de l'article Winbox.
Si le routeur apparaît dans la liste, sélectionnez son adresse MAC et cliquez sur Connecter.
La méthode la plus facile pour s'assurer qu'un routeur complètement propre est d'exécuter la
commande CLI
/system reset-configuration no-defaults=yes skip-backup=yes
Ou de WinBox :
Configuration de l'accès IP
Comme la connexion MAC peut parfois ne pas être fiable, notre première étape est de configurer le
routeur pour permettre la connectivité IP:
Créer une interface de pont et affecter des ports de pont;
Attribuer une adresse IP à l'interface de pont;
Configurer un serveur DHCP.
La mise en place du pont et l'attribution d'une adresse IP sont des processus simples:
/interface bridge add name=bridge1 /interface bridge port add interface=ether2
bridge=bridge1 /ip address add address=[Link]/24 interface=bridge1
Si vous préférez WinBox/WebFig comme outils de configuration:
Fenêtre ouverte Pont, onglet Pont-pont qui doit être sélectionné;
Cliquez sur le bouton « z pour ouvrir une nouvelle boîte de dialogue ». Vous pouvez soit entrer un
nom de pont personnalisé, soit conserver le pont par défaut1, puis cliquer sur OK pour continuer ;
Passez à l'onglet Ports et cliquez sur le bouton "" pour ouvrir une autre boîte de dialogue ;
Sélectionner les listes déroulantes de l'interface et du pont1 et cliquer sur le bouton OK pour
appliquer les paramètres;
Vous pouvez fermer le dialogue du pont.
accéder au menu IP et naviguer jusqu'au dialogue Adresses ;
Sélectionnez le bouton "" pour ouvrir une nouvelle boîte de dialogue ;
Saisir l'adresse IP [Link]/24 sélectionnez le pont d'interface1 dans la liste déroulante;
Cliquez sur OK pour confirmer les paramètres.
Ensuite, poursuivez la mise en place d'un serveur DHCP. Pour simplifier et accélérer ce processus,
nous allons exécuter la commande de configuration.
[admin@MikroTik] > ip dhcp-server/ setup [enter] Select interface to run DHCP
server on dhcp server interface: bridge1 [enter] Select network for DHCP
addresses dhcp address space: [Link]/24 [enter] Select gateway for given
network gateway for dhcp network: [Link] [enter] Select pool of ip
addresses given out by DHCP server addresses to give out:
[Link]-[Link] [enter] Select DNS servers dns servers:
[Link] [enter] Select lease time lease time: 1800 [enter]
Remarquez que la plupart des options de configuration sont automatiquement déterminées et il
suffit d'appuyer sur la clé d'entrée.
L'outil de configuration est également accessible dans WinBox/WebFig:
Naviguez dans la fenêtre du serveur DHCP IP-z, en veillant à ce que l'onglet DHCP soit
sélectionné;
Cliquez sur le bouton DHCP Setup pour ouvrir un nouveau dialogue;
Sélectionnez le pont1 comme interface DHCP Server et cliquez sur Next ;
Suivez le magicien pour terminer la configuration.
À l'issue de ces étapes, le PC connecté devrait maintenant obtenir une adresse IP dynamique. Vous
pouvez ensuite fermer Winbox et vous reconnecter au routeur en utilisant l'adresse IP
([Link]).
Configuration de la connexion Internet
Pour permettre l'accès à Internet du routeur, vous devrez configurer l'un des types courants de
connexions Internet suivants:
Adresse IP publique dynamique.
Adresse IP publique statique.
Connexion PPPoE.
IP publique dynamique
La configuration d'adresses dynamiques est l'option la plus facile. Il suffit de mettre en place un
client DHCP sur l'interface publique. Le client DHCP obtiendra des informations de votre
fournisseur de services Internet (SIP), telles qu'une adresse IP, des serveurs DNS, des serveurs
NTP et une route par défaut, ce qui vous permettra de faciliter le processus de configuration.
/ip dhcp-client add disabled=no interface=ether1
Après avoir ajouté le client, vous devez voir l'adresse et le statut assignés doivent être liés
[admin@MikroTik] > ip dhcp-client print Columns: INTERFACE, USE-PEER-DNS, ADD-
DEFAULT-ROUTE, STATUS, ADDRESS # INTERFACE USE-PEER-DNS ADD-DEFAULT-ROUTE
STATUS ADDRESS 0 ether1 yes yes bound [Link]/24
IP publique statique
Lors de la configuration d'une adresse statique, votre FAI fournit des paramètres spécifiques, tels
que:
IP: [Link]/24
Portail: [Link]
DNS: 8,8.8.8
Ce sont trois paramètres de base dont vous avez besoin pour faire fonctionner la connexion
internet.
Pour configurer cela dans RouterOS, nous allons ajouter manuellement une adresse IP, ajouter
une route par défaut avec une passerelle fournie, et mettre en place un serveur DNS
/ip address add address=[Link]/24 interface=ether1 /ip route add
gateway=[Link] /ip dns set servers=[Link]
Connexion PPPoE
La connexion PPPoE vous donne également une adresse IP dynamique et peut configurer
dynamiquement DNS et passerelle par défaut. Typiquement, le fournisseur de services (ISP) vous
donne un nom d'utilisateur et un mot de passe pour la connexion
/interface pppoe-client add disabled=no interface=ether1 user=me password=123 \
add-default-route=yes use-peer-dns=yes
Winbox/WebFig actions:
Dans la fenêtre PPP, sélectionnez l'onglet Interfaces et cliquez sur le bouton "-" ;
Choisir le client de PPPoE dans la liste déroulante;
Définir le nom et sélectionner l'éther1 comme interface;
Allez dans l'onglet "Dial Out", configurez le nom d'utilisateur, le mot de passe et d'autres
paramètres;
Cliquez sur OK pour sauvegarder les paramètres.
Plus en configuration, l'interface WAN est maintenant l'interface pppoe-out1, pas
ether1l'éther1.
Vérifier la connectivité
Une fois la configuration terminée, vous devriez pouvoir accéder à Internet à partir du routeur.
Pour vérifier la connectivité IP, essayez de cliquer sur une adresse IP connue, telle qu'un serveur
DNS Google.
[admin@MikroTik] > /ping [Link] SEQ HOST SIZE TTL TIME STATUS 0 [Link] 56 55
14ms399us 1 [Link] 56 55 18ms534us 2 [Link] 56 55 14ms384us
Vérifier la demande DNS
[admin@MikroTik] > /ping [Link] SEQ HOST SIZE TTL TIME STATUS 0
[Link] 56 55 14ms475us 1 [Link] 56 55 14ms308us 2 [Link]
56 55 14ms238us
Si tous les réglages sont configurés correctement, les deux pings doivent réussir.
En cas d'échec, veuillez vous reporter à la section Dépannage
Protéger le routeur
Comme le routeur est maintenant accessible dans le monde entier, il est important de le protéger
contre les intrus potentiels et les attaques de base.
Accès du mot de passe à l'utilisateur
Pour les routeurs MikroTik, il est essentiel de configurer des mots de passe. Nous recommandons
d'utiliser un outil générateur de mot de passe pour créer des mots de passe robustes répondant aux
critères suivants:
Au moins 12 caractères longs;
Composés de chiffres, de symboles, de majuscules et de lettres minuscules;
Éviter d'utiliser des mots de dictionnaire ou des combinaisons de ceux-ci.
/user set 0 password="!={Ba3N!40TуX+GvKBzjTLIUcx/,"
Une autre méthode pour définir un mot de passe pour l'utilisateur courant:
Nous vous recommandons vivement d'utiliser une méthode secondaire ou l'interface Winbox pour
mettre à jour le mot de passe de votre routeur, en tant que mesure supplémentaire pour se
prémunir contre l'accès non autorisé.
[admin@MikroTik] > /password old-password: ******** new-password:
**************************** confirm-new-password: ****************************
Assurez-vous de vous souvenir du mot de passe Si c'est oublié, il n'y a aucun moyen de le
récupérer. Vous devrez réinitialiser la configuration ou réinstaller le système de routeur
Vous pouvez également ajouter des utilisateurs supplémentaires avec un accès complet ou limité
du routeur dans le menu /utilisateur
La meilleure pratique consiste à créer un nouvel utilisateur avec un mot de passe fort et à
désactiver ou supprimer l'utilisateur d'administration par défaut.
/user add name=myname password=mypassword group=full /user remove admin
Remarque: Connectez-vous au routeur en utilisant les nouveaux identifiants pour vérifier que le
nom d'utilisateur et le mot de passe fonctionnent correctement.
MAC Connectivity Access
Par défaut, le serveur MAC fonctionne sur toutes les interfaces. Pour limiter la connectivité MAC
à partir du port WAN, nous désactiverons l'entrée par défaut et ajoutons une interface LAN.
Tout d'abord, créer une liste d'interfaces:
[admin@MikroTik] > /interface list add name=LAN
Ensuite, ajoutez votre pont précédemment créé nommé "bridge1" à la liste d'interfaces:
[admin@MikroTik] > /interface list member add list=LAN interface=bridge1
Appliquer la liste d'interfaces nouvellement créée au serveur MAC:
[admin@MikroTik] > /tool mac-server set allowed-interface-list=LAN
Faites de même pour l'accès Winbox MAC
[admin@MikroTik] > /tool mac-server mac-winbox set allowed-interface-list=LAN
Actions Winbox/Webfig:
Naviguez jusqu'aux interfaces - Liste d'interfaces - Fenêtre des listes;
Cliquez sur le bouton "-" pour ajouter une nouvelle liste;
Inscrire " LAN" dans le champ Nom et cliquez sur OK ;
Retour à la section Interfaces et liste d'interfaces;
Cliquez sur le bouton "-" ;
Sélectionner " LAN " à partir des options de la liste déroulante;
Choisir " bridge1bridge1" à partir des options de l'interface déroulante;
Cliquez sur OK pour confirmer;
Outils Ouvrir la fenêtre du serveur Mac;
Cliquez sur le bouton MAC Telnet Server;
Dans le nouveau dialogue, sélectionnez la liste nouvellement créée " LAN " dans la liste
déroulante;
Cliquez sur OK pour appliquer les paramètres.
Faites de même dans l'onglet Winbox Server pour bloquer les connexions Mac Winbox à partir
d'Internet.
Voisin découverte
Le protocole de découverte de MikroTik Neighbor est utilisé pour montrer et reconnaître d'autres
routeurs MikroTik dans le réseau. Désactiver la découverte de voisins sur les interfaces publiques:
/ip neighbor discovery-settings set discover-interface-list=LAN
Accès IP à la connectivité
Alors que le pare-feu protège votre routeur contre l'accès non autorisé par des réseaux externes, il
est également possible de restreindre l'accès au nom de l'utilisateur en fonction d'adresses IP
spécifiques.
/user set 0 address=x.x.x.x/yy
x.x.x.x/yy - votre sous-réseau IP ou réseau qui est autorisé à accéder à votre routeur.
La connectivité IP sur l'interface publique doit être limitée dans le pare-feu. Nous n'accepterons
que l'ICMP (ping/traceroute), la Winbox IP et l'accès ssh.
/ip firewall filter add chain=input action=accept connection-
state=established,related,untracked comment="accept
established,related,untracked" add chain=input action=drop connection-
state=invalid comment="drop invalid" add chain=input in-interface=ether1
action=accept protocol=icmp comment="accept ICMP" add chain=input in-
interface=ether1 action=accept protocol=tcp port=8291 comment="allow Winbox";
add chain=input in-interface=ether1 action=accept protocol=tcp port=22
comment="allow SSH"; add chain=input in-interface=ether1 action=drop
comment="block everything else";
Si l'interface publique est PPPoE, LTE, ou tout autre type, l'"interface" devrait être réglée sur cette
interface.
La première règle accepte les paquets des connexions déjà établies, en supposant qu'ils ne soient
pas sûrs pour ne pas surcharger le CPU. La deuxième règle abandonne tout paquet que le suivi de
connexion identifie comme invalide. Après cela, nous avons mis en place des règles typiques
d'acceptation pour des protocoles spécifiques.
Si vous utilisez Winbox/WebFig pour la configuration, voici un exemple de la façon d'ajouter une
règle établie/liée/non suivie:
Ouvrez la fenêtre de pare-feu IP-- et naviguez jusqu'à l'onglet Règles de Filtrer;
Cliquez sur le bouton "-" pour ouvrir un nouveau dialogue;
Sélectionner " entrée " pour la chaîne.
Cliquez sur "état de Connection stateconnexion" et cocher les cases " établis", "liés" et "non
suivis".
Allez à l'onglet Action et assurez-vous que "accepter" est sélectionné.
Cliquez sur OK pour appliquer les paramètres.
Pour ajouter des règles supplémentaires, cliquez sur le bouton "-" pour chaque nouvelle règle et
remplissez les mêmes paramètres que ceux fournis dans l'exemple de la console.
Services administratifs
Bien que le pare-feu protège le routeur de l'interface publique, vous pouvez toujours désactiver les
services RouterOS.
La plupart des outils administratifs de routerOS sont configurés dans le menu service /ip
Ne gardez que des sécurités,
/ip service disable telnet,ftp,www,api
Changer les ports de service par défaut, cela arrêtera immédiatement la plupart des tentatives
aléatoires de connexion à force brute SSH:
/ip service set ssh port=2200
En outre, chaque service peut être sécurisé par l'adresse IP autorisée ou la plage d'adresses (le
service d'adresses répondra), bien que la méthode plus préférée soit de bloquer l'accès indésirable
dans le pare-feu, car le pare-feu ne permettra même pas d'ouvrir le socket.
/ip service set winbox address=[Link]/24
Autres services
Un serveur de bande passante est utilisé pour tester le débit entre deux routeurs MikroTik.
Désactiver dans l'environnement de production.
/tool bandwidth-server set enabled=no
Un routeur peut avoir un cache DNS activé, ce qui réduit le temps de résolution des demandes
DNS des clients vers des serveurs distants. Dans le cas où le cache DNS n'est pas requis sur votre
routeur ou un autre routeur est utilisé à ces fins, désactivez-le.
/ip dns set allow-remote-requests=no
Certains routeurBOARD disposent d'un module LCD à des fins d'information, de broche ou de
désactivation.
Il est de bonne pratique de désactiver toutes les interfaces inutilisées sur votre routeur, afin de
réduire l'accès non autorisé à votre routeur.
/interface print /interface set x disabled=yes
Où "X" est un nombre d'interfaces inutilisées.
RouterOS utilise une cryptographie plus forte pour SSH, la plupart des nouveaux programmes
l'utilisent, pour activer la cryptographie forte SSH :
/ip ssh set strong-crypto=yes
Les services suivants sont désactivés par défaut, néanmoins, il est préférable de s'assurer qu'aucun
de ces services n'a été activé accidentellement:
MikroTik proxy de mise en cache,
MikroTik chaussettes proxy,
Service MikroTik UPNP,
MikroTik service de noms dynamique ou cloud IP,
/ip cloud set ddns-enabled=no update-time=no
À ce stade, les ordinateurs personnels ne sont pas encore en mesure d'accéder à l'Internet, car les
adresses utilisées localement ne sont pas routables sur Internet. Les hôtes distants ne savent tout
simplement pas comment répondre correctement à votre adresse locale.
La solution à ce problème est de changer l'adresse source pour les paquets sortants en routeurs
publics IP. Cela peut se faire avec la règle NAT:
/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade
Si l'interface publique est PPPoE, LTE, ou tout autre type, l'interface hors interface devrait être
réglée sur cette interface.
Un autre avantage d'une telle configuration est que les clients NATés derrière le routeur ne sont
pas directement connectés à l'Internet, de sorte que la plupart du temps une protection
supplémentaire contre les attaques extérieures n'est pas nécessaire.
Déports portuaires
Certains appareils clients peuvent avoir besoin d'un accès direct à Internet sur des ports
spécifiques. Par exemple, un client avec une adresse IP [Link] doit être accessible par le
protocole de bureau distant (RDP).
Après une recherche rapide sur Google, nous découvrons que le RDP fonctionne sur le port de TCP
3389. Maintenant, nous pouvons ajouter une règle NAT de destination pour rediriger RDP vers le
PC du client.
/ip firewall nat add chain=dstnat protocol=tcp port=3389 in-interface=ether1 \
action=dst-nat to-address=[Link]
Si vous avez établi des règles de pare-feu strictes, le protocole RDP doit être autorisé dans la chaîne
avant du filtre de pare-feu.
Mise en place sans fil
Pour faciliter l'utilisation d'une configuration sans fil pontée, votre système d'hébergement filaire
sera réalisé dans le même domaine de diffusion Ethernet que les clients sans fil.
La partie importante est de s'assurer que notre sans fil est protégé, donc la première étape est le
profil de sécurité.
Les profils de sécurité sont configurés à partir de /interface wireless security-
profilesmenu dans un terminal.
/interface wireless security-profiles add name=myProfile authentication-
types=wpa2-psk mode=dynamic-keys \ wpa2-pre-shared-key=1234567890
dans Winbox/Webfig, cliquez sur Wireless pour ouvrir des fenêtres sans fil et choisissez l'onglet
Profil de sécurité.
S'il y a des appareils existants qui ne prennent pas en charge WPA2 (comme Windows XP), vous
voudrez peut-être aussi autoriser le protocole WPA.
Les clés pré-partagées WPA et WPA2 ne devraient pas être les mêmes.
Maintenant, quand le profil de sécurité est prêt, nous pouvons activer l'interface sans fil et définir
les paramètres souhaités
/interface wireless enable wlan1; set wlan1 band=2ghz-b/g/n channel-
width=20/40mhz-Ce distance=indoors \ mode=ap-bridge ssid=MikroTik-006360
wireless-protocol=802.11 \ security-profile=myProfile frequency-
mode=regulatory-domain \ set country=latvia antenna-gain=3
Pour faire la même chose de Winbox/Webfig:
Ouvrez la fenêtre sans fil, sélectionnez l'interface wlan1 et cliquez sur le enablebouton d'activation;
Double clic sur l'interface sans fil pour ouvrir le dialogue de configuration;
Dans le dialogue de configuration, cliquez sur l'onglet sans fil et cliquez sur le bouton de mode
avancé sur le côté droit. Lorsque vous cliquez sur le bouton, des paramètres de configuration
supplémentaires apparaîtront et la description du bouton passera au mode simple ;
Choisir les paramètres tels qu'ils sont indiqués dans la capture d'écran, à l'exception des
paramètres de pays et du SSID. Vous voudrez peut-être également choisir une fréquence et un gain
d'antenne différents;
Ensuite, cliquez sur l'onglet HT et assurez-vous que les deux chaînes sont sélectionnées;
Cliquez sur le bouton OK pour appliquer les paramètres.
La dernière étape consiste à ajouter une interface sans fil à un pont local, sinon les clients
connectés n'obtiendront pas d'adresse IP:
/interface bridge port add interface=wlan1 bridge=bridge1
Maintenant, sans fil devrait être capable de se connecter à votre point d'accès, d'obtenir une
adresse IP et d'accéder à Internet.
Protéger les clients
Il est maintenant temps d'ajouter une certaine protection pour les clients sur notre réseau local.
Nous commencerons par un ensemble de règles de base.
/ip firewall filter add chain=forward action=fasttrack-connection connection-
state=established,related \ comment="fast-track for established,related"; add
chain=forward action=accept connection-state=established,related \
comment="accept established,related"; add chain=forward action=drop connection-
state=invalid add chain=forward action=drop connection-state=new connection-
nat-state=!dstnat \ in-interface=ether1 comment="drop access to clients behind
NAT from WAN"
Un ensemble de règles est similaire aux règles de la chaîne d'entrées (accepter établies/liées et
nulles non valides), sauf la première règle avec action=fasttrack-connection. Cette règle
permet aux connexions établies et associées de contourner le pare-feu et de réduire
considérablement l'utilisation du CPU.
Une autre différence est la dernière règle qui abandonne toutes les nouvelles tentatives de
connexion du port WAN à notre réseau LAN (sauf si DstNat est utilisé). Sans cette règle, si un
attaquant connaît ou devine votre sous-réseau local, il peut établir des connexions directement
avec les hôtes locaux et causer une menace à la sécurité.
Des exemples plus détaillés sur la manière de construire des pare-feu seront examinés dans la
section du pare-feu.
Blocage de sites Web indésirables
Parfois, vous voudrez peut-être bloquer certains sites web, par exemple, refuser l'accès aux sites de
divertissement pour les employés, refuser l'accès à la pornographie, et ainsi de suite. Cela peut être
réalisé en redirigeant le trafic HTTP vers un serveur proxy et en utilisant une liste d'accès pour
autoriser ou refuser certains sites web.
Tout d'abord, nous devons ajouter une règle NAT pour rediriger HTTP à notre mandataire. Nous
utiliserons le serveur proxy intégré RouterOS fonctionnant sur le port 8080.
/ip firewall nat add chain=dst-nat protocol=tcp dst-port=80 src-
address=[Link]/24 \ action=redirect to-ports=8080
Permettre le proxy pour le web et supprimer certains sites web:
/ip proxy set enabled=yes /ip proxy access add dst-host=[Link]
action=deny /ip proxy access add dst-host=*.youtube.* action=deny /ip proxy
access add dst-host=:vimeo action=deny
Utilisation de Winbox:
Sur le menu de gauche, naviguez jusqu'à IP
Le dialogue des paramètres de proxy du Web apparaîtra.
Vérifiez la case "In’activer" et cliquez sur le bouton "Appliquer"
Puis cliquez sur le bouton "Accès" pour ouvrir la boîte de dialogue "Web Proxy Access"
Dans la digographie "Web Proxy Access", cliquez sur "-" pour ajouter une nouvelle règle de
principe de principe Web-proxy
Entrez le nom d'hôte Dst que vous souhaitez bloquer, dans ce cas, " [Link] ",
choisissez l'action "deny"
Puis, cliquez sur le bouton "Ok" pour appliquer les modifications.
Répétez la même chose pour ajouter d'autres règles.
Dépannage
RouterOS a intégré divers outils de dépannage, tels que ping, traceroute, torche, renifleur de
paquets, test de bande passante, etc.
Nous avons déjà utilisé l'outil de ping dans cet article pour vérifier la connectivité internet.
Dépannage en cas d'échec du ping
Le problème avec l'outil de ping est qu'il dit seulement que la destination est inaccessible, mais
aucune information plus détaillée n'est disponible. Examinons les erreurs de base.
Vous ne pouvez pas atteindre [Link] à partir de votre ordinateur qui est connecté à un
appareil MikroTik :
Si vous ne savez pas exactement comment configurez votre appareil passerelle, veuillez contacter
les consultants officiels de MikroTik pour l'assistance en configuration.