امنسازی میکروتیک با فایروال؛ قوانین حرفهای ضد هک
در این راهنما، امنسازی میکروتیک با فایروال را گام‌به‌گام و با اسکریپت آماده انجام می‌دهیم.
برای مرجع رسمی و جزئیات تکمیلی، مستندات فایروال میکروتیک را ببینید.
روتر میکروتیک شما هر روزهزاران اسکن پورت و تلاش ورود جذب می‌کند؛ مخصوصاً اگر IP عمومی داشته باشد. مجموعه قوانین فایروال استاندارد — ضد Brute-Force، بلاک اسکن پورت، فیلتر آدرس‌های جعلی و محدودیت ICMP — این تهدیدها را در همان لایه ورودی متوقف می‌کند. با سازنده فایروال امن داماش کل مجموعه را در چند ثانیه تولید کنید.
داماش: سرور ابری ایران با NVMe، IP تست رایگان و پشتیبانی ۲۴/۷ — ۰۱۳۹۱۰۱۴۰۰۱
سازنده اسکریپت فایروال امن میکروتیک
مجموعه قوانین استاندارد امنیت برای روتر میکروتیک: بلاک اسکن پورت، محدودیت ICMP، ضد Brute-Force وینباکس/SSH، فیلتر آدرس‌های جعلی و حفاظت از سرویس‌های روتر — خروجی آماده اجرا.
بر اساس بهترینpractices میکروتیکچرا این موضوع مهم است؟
روتر میکروتیک شما هر روزهزاران اسکن پورت و تلاش ورود جذب می‌کند؛ مخصوصاً اگر IP عمومی داشته باشد. مجموعه قوانین فایروال استاندارد — ضد Brute-Force، بلاک اسکن پورت، فیلتر آدرس‌های جعلی و محدودیت ICMP — این تهدیدها را در همان لایه ورودی متوقف می‌کند. با سازنده فایروال امن داماش کل مجموعه را در چند ثانیه تولید کنید.
روتر شما بدون فایروال چه ریسکی دارد؟
سه حمله رایج: Brute-Force روی Winbox و SSH (حدس رمز)، Port Scan (کشف سرویس‌های باز) و آدرس‌های جعلی (بسته‌هایی که با IP داخلی شما از بیرون می‌آیند). هر سه با چند قاعده ساده در فایروال خاموش می‌شوند. مفهوم Bogon و آدرس‌های غیرمعتبر در تعریف IETF آمده است.
قوانین ضد Brute-Force چطور کار می‌کنند؟
با address-list: هر IP که در مدت کوتاهی چند بار ناموفق به Winbox/SSH/FTP بزند، به لیست blacklist اضافه و برای مدتی کامل بلاک می‌شود. این دقیقاً همان الگوریتمی است که ابزار داماش تولید می‌کند.
مراحل کار با ابزار
در صفحه سازنده فایروال پورت وینباکس (پیش‌فرض 8291)، IP مجاز مدیریت و گزینه‌های حفاظتی را تنظیم کنید. حتماً قبل از اجرا IP خودتان را در فیلد IP مجاز وارد کنید تا دسترسی‌تان قطع نشود! برای مرور کامل زنجیره‌های filter/raw، مستندات رسمی میکروتیک بهترین مرجع است.
قاعده طلایی: حداقل سطح دسترسی
سرویس‌های غیرضروری (telnet، ftp، api) را خاموش کنید؛ Winbox و SSH فقط از IP شناخته‌شده باز بمانند. این کار با سازنده سرویس‌های روتر داماش خودکار می‌شود.
لایه دوم: مانیتورینگ
بعد از اعمال قوانین، رفتار روتر را زیر نظر بگیرید — مانیتورینگ رایگان داماش هر ساعت CPU، رم و آپ‌تایم را گزارش می‌دهد و در صورت سقوط روتر هشدار می‌دهد.
تنظیمات پیشرفته امنسازی میکروتیک
پس از اعمال اسکریپت اولیه، اولویت قواعد فایروال را بررسی کنید. میکروتیک قواعد را به ترتیب از بالا به پایین می‌خواند؛ یک قاعده عمومی اشتباه در بالای زنجیره می‌تواند کل فایروال را بی‌اثر کند. قاعده drop نهایی باید همیشه آخرین قاعده در زنجیره filter باشد.
پورت‌های مدیریت (Winbox ۸۲۹۱، SSH ۲۲، HTTP ۸۰) را فقط به رنج IP مجاز محدود کنید. اگر از اینترنت مدیریت می‌کنید، رنج IP اختصاصی خود را در آدرس src قاعده قرار دهید — این ساده‌ترین و موثرترین گام امنیتی است.
آپدیت‌های RouterOS را جدی بگیرید. نمیکروتیک به‌طور منظم وصله‌های امنیتی منتشر می‌کند؛ قبل از آپدیت حتماً از تنظیمات بکاپ بگیرید (System › Backup) تا در صورت مشکل برگردانید.
عیب‌یابی رایج امنسازی میکروتیک
حتی بعد از یک راه‌اندازی اصولی امنسازی میکروتیک، گاهی مشکلات جزئی پیش می‌آید. سه مورد زیر شایع‌ترین موارد هستند.
از بیرون به Winbox وصل نمی‌شوم
قاعده drop در زنجیره input ترافیک شما را مسدود می‌کند. موقتاً با اتصال مستقیم وارد شوید و قاعده مربوط به پورت ۸۲۹۱ را بررسی کنید.
سرعت اینترنت بعد از فایروال افت کرده
قواعد زنجیره forward را بررسی کنید — اگر همه ترافیک از یک queue عمومی عبور می‌کند، با سازنده QoS داماش اولویت‌بندی درست اضافه کنید.
قواعد بعد از ریبوت پاک می‌شوند
احتمالاً حافظه روتر پر است یا فایل کانفیگ read-only شده؛ با System › Resources فضای باقی‌مانده را چک کنید.
تفاوت روش داماش با کانفیگ دستی
کانفیگ دستی امنسازی میکروتیک در میکروتیک، معمولاً نیاز به حفظ کردن syntax دقیق دستورات و درک کامل از تعامل قواعد دارد. یک اشتباه کوچک در ترتیب قواعد یا یک تایپو در آدرس list، می‌تواند ساعت‌ها زمان عیب‌یابی ببرد. روش کار با اسکریپت آماده داماش این است: شما فیلدهای کانفیگ را روی صفحه ابزار پر می‌کنید، اسکریپت نهایی با تمام وابستگی‌ها و ترتیب صحیح تولید می‌شود، و فقط کافی است آن را در New Terminal پیست کنید. این یعنی به‌جای خطای دستی، نتیجه یکسان و قابل اعتماد می‌گیرید — همان چیزی که برای شبکه‌های تولیدی لازم است.
اگر بخواهید امنسازی میکروتیک را به‌صورت حرفهای و مطابق با نیاز شبکه خودتان پیاده کنید، ترکیب اسکریپت داماش + دانش این مقاله بهترین نقطه شروع است. همچنین، ابزارهای داماش همه به‌صورت رایگان و بدون ثبت‌نام در دسترس هستند و به سوالات متداول هر ابزار در همان صفحه پاسخ داده‌ایم. اگر با وجود این مستندات به مشکل برخوردید، پشتیبانی ۲۴/۷ داماش از طریق تلفن ۰۱۳۹۱۰۱۴۰۰۱ یا بخش پشتیبانی سایت پاسخگوست.
در نهایت، نکته کلیدی درباره امنسازی میکروتیک این است که پیوستگی مهم‌تر از کمال است: بهتر است ابتدا یک راه‌اندازی ساده کار کند و بعداً تنظیمات پیشرفته اضافه شود، تا اینکه از همان ابتدا دنبال کانفیگ کامل باشیم و در میانه راه گیر کنیم.
یادمان باشد امنسازی میکروتیک یک فرایند تکاملی است؛ نیازهای شبکه تغییر می‌کنند و تنظیماتی که امروز مناسب است فردا ممکن است نیاز به بازبینی داشته باشد. بنابراین مستند کردن تغییرات و تست دوره‌ای، بخش جدایی‌ناپذیری از نگهداری سالم است.
سوالات متداول
کدام پورت‌ها باید بسته باشند؟
هر چیزی که استفاده نمی‌کنید: telnet (23)، ftp (21)، api (8728). Winbox/SSH فقط از IP مجاز.
آیا این قوانین سرعت اینترنت را کم می‌کند؟
خیر؛ تعداد قوانین در حدی است که پردازش آن برای روتر ناچیز است.
اگر خودم بلاک شدم چه کنم؟
از MAC Winbox یا کابل محلی وارد شوید و قاعده مربوطه را غیرفعال کنید؛ ابزار راهنمای این حالت را در hint خود دارد.
فایروال کافی است یا نیاز به UBNT/سخت‌افزار دیگر هم دارم؟
برای شبکه‌های کوچک و متوسط کاملاً کافی است؛ لایه بعدی شبکه‌های بزرگ، سیاست‌های یکپارچه چند روتری است.
مطالعه بیشتر: سرور مجازی چیست؟ | راهنمای خرید سرور | قیمت سرور ابری | همه ابزارهای رایگان داماش
ابزارهای مرتبط میکروتیک: سازنده فایروال امن | سازنده سرویس‌های روتر | مانیتورینگ رایگان روتر | بکاپ خودکار میکروتیک
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”کدام پورت‌ها باید بسته باشند؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”هر چیزی که استفاده نمی‌کنید: telnet (23)، ftp (21)، api (8728). Winbox/SSH فقط از IP مجاز.”}},{“@type”:”Question”,”name”:”آیا این قوانین سرعت اینترنت را کم می‌کند؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”خیر؛ تعداد قوانین در حدی است که پردازش آن برای روتر ناچیز است.”}},{“@type”:”Question”,”name”:”اگر خودم بلاک شدم چه کنم؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”از MAC Winbox یا کابل محلی وارد شوید و قاعده مربوطه را غیرفعال کنید؛ ابزار راهنمای این حالت را در hint خود دارد.”}},{“@type”:”Question”,”name”:”فایروال کافی است یا نیاز به UBNT/سخت‌افزار دیگر هم دارم؟”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”برای شبکه‌های کوچک و متوسط کاملاً کافی است؛ لایه بعدی شبکه‌های بزرگ، سیاست‌های یکپارچه چند روتری است.”}}]}
۳ اشتباه رایج در امنسازی و راه‌حل آن‌ها
در سال‌های پشتیبانی روترهای میکروتیک، سه اشتباه بیشترین حادثه را ساخته‌اند:
- قطع دسترسی خود: همیشه قبل از اعمال قوانین input، IP مدیریتی را در فیلد ابزار وارد کنید؛ در غیر این صورت تنها راه نجات، MAC WinBox یا ریست فیزیکی است.
- ترتیب اشتباه قوانین: قوانین Accept باید قبل از Drop کلی بیایند؛ اسکریپت این ترتیب را رعایت می‌کند ولی اگر بعداً دستی قانون اضافه می‌کنید، جای آن را در Firewall Filter چک کنید.
- رها کردن روتر بدون آپدیت: باگ‌های امنیتی RouterOS کشف و وصله می‌شوند؛ حداقل ماهی یک‌بار System → RouterOS را برای آپدیت‌های Security چک کنید — همیشه با گزینه «save config» قبلش بکاپ.
با همین سه عادت ساده، امنیت روتر شما از اکثر حملات رایج اینترنتی جلوتری می‌گیرد و فایروال حرفهای شما واقعاً کار می‌کند.
