Konfiguracja MikroTik Kraków

Co widać w routerze, którego nikt nie oglądał od czasu uruchomienia

RouterOS ma tę właściwość, że raz ustawiony pracuje bardzo długo i nie przypomina o sobie. Firma kupuje urządzenie na starcie, ktoś je konfiguruje w jeden wieczór według poradnika, sieć rusza i temat zamyka się na lata. Problem w tym, że poradniki są pisane pod uruchomienie, a nie pod utrzymanie, więc większość z nich kończy się w momencie, w którym ruch zaczyna przechodzić.

W krakowskich spółkach ten temat wraca zwykle z zewnątrz. Grupa kapitałowa rozsyła kwestionariusz techniczny, odbiorca usług prosi o opis zabezpieczeń brzegu sieci albo ubezpieczyciel dopytuje przy odnowieniu polisy. Wtedy okazuje się, że nikt nie potrafi odpowiedzieć na proste pytanie, kto ma dostęp do urządzenia i skąd.

Ustawienia, które najczęściej zastajemy

Co znajdujemy	Dlaczego to problem	Co ustawiamy
Panel zarządzania widoczny z internetu	urządzenie jest skanowane w sposób ciągły	dostęp wyłącznie z sieci zarządzania i tunelu
Jedno konto używane przez kilka osób	nie da się ustalić, kto wprowadził zmianę	konta imienne, konto domyślne wyłączone
Protokoły bez szyfrowania nadal włączone	hasło idzie łączem w postaci czytelnej	wyłączenie usług, których nikt nie używa
Brak synchronizacji czasu	znaczniki w dzienniku nie mają wartości	stałe źródło czasu i strefa czasowa
Dziennik wyłącznie w pamięci urządzenia	historia znika przy każdym restarcie	wysyłka do zbiornika logów po Waszej stronie
Reguły zapory bez żadnego opisu	nikt nie ryzykuje usunięcia którejkolwiek	komentarz z powodem i datą przeglądu
Usługa rozwiązywania nazw otwarta na zewnątrz	urządzenie bywa użyte w cudzym ataku	ograniczenie do sieci wewnętrznej

Wiersz o czasie wygląda na drobiazg i jest najbardziej kosztowny z całej tabeli. Dziennik ze złymi znacznikami nie pozwala ustalić kolejności zdarzeń, więc po incydencie nie da się powiedzieć, co było przyczyną, a co skutkiem. Naprawa zajmuje dwie minuty i musi być zrobiona zanim będzie potrzebna, nie po.

Jak wygląda pół dnia przy takim urządzeniu

Zaczynamy od eksportu całej konfiguracji, bo bez punktu odniesienia nie ma sensownego przeglądu. Potem czytamy ją od góry i notujemy różnice wobec stanu, który uznajemy za wymagany: dostęp, konta, usługi, zapora, adresacja, tunele, czas, zapis zdarzeń. Ta część jest analityczna i zajmuje mniej więcej połowę czasu.

Druga połowa to wprowadzanie zmian w kolejności od najmniej ryzykownych. Najpierw rzeczy niewidoczne dla użytkowników, czyli zapis zdarzeń, czas i porządek w komentarzach. Potem konta i dostęp administracyjny, z zachowaniem otwartej sesji, żeby nie odciąć się od urządzenia. Reguły zapory i adresację zostawiamy na koniec albo przenosimy na osobne okno, jeżeli zmiana dotyka ruchu produkcyjnego.

Co robimy z ustawieniami, których nie rozumiemy

W konfiguracji pisanej przez kilka osób przez kilka lat zawsze jest fragment bez oczywistego przeznaczenia: reguła przepuszczająca ruch do adresu, którego już nie ma, tunel do firmy, z którą skończyła się współpraca, oznaczenie pakietów niewykorzystywane przez żadną kolejkę. Kuszące jest usunięcie tego przy okazji porządków.

Nie robimy tego. Takie wpisy trafiają na listę do potwierdzenia i zostają w konfiguracji z komentarzem mówiącym, że są kandydatem do usunięcia oraz od kiedy. Po miesiącu, dzięki zapisowi zdarzeń, widać, czy cokolwiek z nich korzysta. Dopiero wtedy usuwamy, a decyzja jest oparta na danych, nie na przypuszczeniu.

Kiedy mówimy, że sam przegląd nie wystarczy

Gdy jedno urządzenie obsługuje naraz brzeg sieci, wszystkie tunele, podział na segmenty i kolejkowanie ruchu dla całej firmy, a jego moc obliczeniowa jest już wykorzystana w całości. Wtedy porządkowanie ustawień poprawia bezpieczeństwo i nie poprawia wydajności, bo problem leży w klasie sprzętu. Mówimy o tym wprost i podajemy, ile kosztowałoby rozdzielenie funkcji na dwa urządzenia.

Drugi taki przypadek to sieć bez podziału na segmenty, w której wszystko widzi wszystko. Zapora na brzegu nie zmieni tego, co dzieje się wewnątrz. Porządek w sieci wewnętrznej opisuje konfiguracja sieci firmowej, brzeg z prawdziwego zdarzenia firewall dla firmy, a stałą opiekę administracja siecią.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026