MikroTik güvenlik sıkılaştırma: 8 adımda router'ınızı koruyun

Adım adım

1. Güncel kalın

   MikroTik'i hedef alan saldırıların çoğu yıllardır yaması olan açıkları kullanır. RouterOS'u ve firmware'i güncel tutun.

2. Varsayılan kullanıcıyı değiştirin

   Kendi adınızla yeni bir tam yetkili kullanıcı açın, onunla giriş yaptığınızı doğruladıktan sonra admin kullanıcısını kapatın.

   /user add name=yonetici group=full password="GUCLU-SIFRE"
   /user disable admin

3. Kullanılmayan servisleri kapatın

   Sadece kullandıklarınızı açık bırakın ve izinli adresleri LAN ile sınırlayın.

   /ip service disable telnet,ftp,www,api,api-ssl
   /ip service set winbox address=192.168.88.0/24
   /ip service set ssh address=192.168.88.0/24

4. Input firewall

   Router'ın kendisine gelen trafikte kurulu bağlantılara izin verin, geçersizleri düşürün ve LAN dışından geleni engelleyin. Kuralları eklemeden önce Safe Mode'u açın (Ctrl+X) ki yanlış kural sizi dışarıda bırakmasın.

   /ip firewall filter
   add chain=input connection-state=established,related,untracked action=accept
   add chain=input connection-state=invalid action=drop
   add chain=input protocol=icmp action=accept
   add chain=input in-interface-list=!LAN action=drop comment="WAN'dan router'a erişim yok"

5. Komşu keşfi ve MAC erişimi sadece LAN'da

   Router'ın WAN tarafında kendini tanıtmasını ve MAC ile Winbox erişimini kapatın.

   /ip neighbor discovery-settings set discover-interface-list=LAN
   /tool mac-server set allowed-interface-list=LAN
   /tool mac-server mac-winbox set allowed-interface-list=LAN

6. Açık DNS ve proxy olmayın

   allow-remote-requests açıksa WAN'dan 53. porta gelen istekler yukarıdaki input kuralıyla engellenmelidir. Kullanmıyorsanız proxy ve SOCKS'u kapatın.

   /ip proxy set enabled=no
   /ip socks set enabled=no

7. Uzaktan erişim için VPN

   Winbox'u internete açmak yerine WireGuard ile VPN kurun ve yönetimi VPN üzerinden yapın.

8. Yedek ve log

   Düzenli /export yedeği alın; başarısız giriş denemelerini görmek için logları takip edin.

   /log print where topics~"account"

Sık sorulan sorular

Winbox portunu değiştirmek yeterli mi?

Hayır. Port değiştirmek sadece rastgele taramaları azaltır; asıl koruma servisi LAN'a kısıtlamak ve input zincirinde WAN'dan geleni düşürmektir.

Router'ım ele geçirilmiş olabilir mi, nasıl anlarım?

Tanımadığınız kullanıcılar (/user print), zamanlanmış görevler (/system scheduler print), scriptler, açık proxy/SOCKS ve beklenmeyen NAT kuralları şüphelidir. Şüphe varsa Netinstall ile temiz kurulum yapıp yapılandırmayı elle yeniden kurun.