#mikrotik

Router za kilkaset złotych obsłuży firmę na pięćdziesiąt stanowisk i zrobi to latami bez jednego restartu. Ta część opowieści jest prawdziwa. Druga zaczyna się wtedy, gdy ktoś musi tę konfigurację zmienić.

Czym jest MikroTik

MikroTik to łotewski producent urządzeń sieciowych, a nazwa w praktyce oznacza dwie rzeczy naraz: niedrogi sprzęt i system RouterOS, który na nim pracuje. Router, przełącznik i punkt dostępowy tego producenta dostają ten sam system, więc różnią się rolą, a nie zestawem możliwości.

Najważniejsza cecha oferty nie jest funkcją. Jest nią to, czego w niej nie ma: podziału na wersje, w których droższa odblokowuje tunel albo kolejkowanie ruchu. RouterOS wchodzi na urządzenie w komplecie, a różnica między modelami siedzi w przepustowości, liczbie portów i liczbie sesji, które sprzęt uciągnie w szczycie. Kupuje się tu wydajność, nie zestaw funkcji.

Jak działa RouterOS

Najbliżej temu do maszyny warsztatowej bez osłon. Jest tańsza i szybsza od maszyny z pełnym zabezpieczeniem, zrobi dokładnie to, co ustawi operator, i nie ostrzeże go przed niczym, łącznie z rzeczami, których zrobić nie chciał.

Konkret dotyczy reguł zapory. Pakiet wchodzący na urządzenie przechodzi listę reguł od pierwszej do ostatniej i zatrzymuje się na pierwszej pasującej, więc kolejność decyduje o wszystkim. Lista pisana przez kilka osób przez kilka lat zwykle zawiera regułę, za którą nic już się nie wykonuje, a wyłączenie pozornie zbędnej pozycji potrafi odciąć całą halę produkcyjną. To samo dotyczy mostka i przypisanych do niego VLAN-ów, czyli miejsca, w którym sieć potrafi działać poprawnie z niewłaściwego powodu.

Czym różni się od routera od operatora

Urządzenie dostarczone przez operatora ma ustawienia dobrane pod przeciętnego abonenta i chroni użytkownika przed własnymi pomyłkami, ograniczając to, co da się w nim zmienić. MikroTik odwraca ten układ: domyślna konfiguracja jest minimalna z założenia, a wszystko trzeba ustawić świadomie.

Druga różnica wychodzi po roku. Nie ma tu corocznej opłaty za usługi bezpieczeństwa, bez której urządzenie traciłoby połowę sensu, więc budżet na sieć nie ma pozycji wracającej co dwanaście miesięcy. Nie ma też umowy serwisowej, która przypomni o aktualizacji, ani wiadomości o wydaniu z poprawką. Informacja o nowej wersji jest w panelu urządzenia, a do panelu wchodzi ten, kto ma powód.

Dla jakiej sieci to powstało

Tam, gdzie sieć jest nietypowa: dwa łącza od różnych operatorów przełączane po jakości, a nie po samym zaniku sygnału, tunel do oddziału zestawiany na łączu z adresem zmieniającym się co dobę, osobny priorytet dla telefonii i dla terminali magazynowych. Sprzęt, który to potrafi, u innych producentów kosztuje wielokrotnie więcej albo wymaga dokupienia licencji.

Sprawdza się też tam, gdzie firma chce zostać właścicielem konfiguracji. Ustawienia da się wyeksportować do pliku tekstowego, przeczytać i przenieść na inne urządzenie tego producenta, bez pośrednictwa chmury i konta u dostawcy.

Na co uważać

Panel administracyjny osiągalny z internetu jest skanowany od pierwszej doby pracy urządzenia, a RouterOS ma za sobą podatności, przy których hasło nie miało znaczenia. Najgłośniejsza z nich pozwalała przez port narzędzia zarządzającego odczytać z urządzenia plik z kontami, czyli wyjąć hasło zamiast je zgadywać. Zamek był w porządku, tylko obok drzwi znalazło się okienko, przez które dawało się sięgnąć po klucz.

Groźne jest to, czego wtedy nie widać. Sprzęt z oprogramowaniem sprzed kilku wydań pracuje identycznie jak zaktualizowany: te same reguły, ten sam ruch, ta sama dioda. Nic nie gaśnie i nikt nie dzwoni, a problem ujawnia się dopiero wtedy, gdy dane wychodzą na zewnątrz albo gdy ktoś próbuje wprowadzić pierwszą zmianę od trzech lat. Brak corocznego odnowienia jest więc realną oszczędnością i jednocześnie najczęstszą przyczyną tego, że urządzenie po trzech latach pracuje na wydaniu z podatnością.

Kiedy ten sprzęt nie pasuje

Wtedy, gdy urządzenie ma stać na brzegu firmy, a jedyną osobą techniczną w okolicy jest ktoś, kto raz w miesiącu resetuje drukarkę. Nie chodzi o zdolności tej osoby, tylko o to, że sprzęt niczego nie podpowiada i nie ostrzega przed regułą otwierającą całą sieć.

Odpada również przy dwóch wymaganiach z papieru. Pierwsze to obowiązek posiadania na brzegu kontroli ruchu z aktualizowanymi sygnaturami, którego oczekuje ubezpieczyciel, korporacyjny kontrahent albo audyt. Drugie to wymóg pokazania rejestru zmian konfiguracji i dat aktualizacji za ostatnie dwanaście miesięcy. Obie rzeczy da się przy tym sprzęcie zbudować i obie kosztują pracę, którą u konkurencji kupuje się razem z urządzeniem.