MikroTik: sztuczki i kruczki

Na razie jest to zbiornik wolnych myśli oraz notatek spisywanych "na gorąco". Z czasem może przyjmie to formę bardziej poukładaną.

Dostęp SSH po kluczu

ssh-keygen

Aby móc wykorzystać logowanie po kluczu, należy wygenerować najpierw klucz na system Unix:

ssh-keygen -t rsa -N ""

Przegranie klucza do MikroTik-a

Następnie klucz trzeba przegrać do urządzenia:

scp -P 22773 .ssh/id_rsa.pub admin@mtfw:unix.ssh.pub

Dodanie klucza do użytkownika

Na samym urządzeniu należy wykonać polecenie (cli):

/user ssh-keys import public-key-file=unix.ssh.pub user=admin

Wykonywanie połączenia z Unix-a

ssh  -l admin -p 22773 -i /root/.ssh/id_rsa -o 'PubkeyAcceptedKeyTypes +ssh-rsa' mtfw

Niespodzianka

$/!\$ Po aktywacji klucza SSH dla danego użytkownika nie ma możliwości zalogowania się hasłem. Pomimo podawanego poprawnego hasła, to jednak nie jest ono przyjmowane.

$/!\$ Jest jednak na to rozwiązanie:

# sprawdzenie parametrów SSH
/ip ssh print

/ip ssh set always-allow-password-login=yes

# przy okazji:
/ip ssh set strong-crypto=yes

IPSec: policy

Konfigurując politykę IPSec-a należy bardzo uważać, aby dst-address nie był w postaci 0.0.0.0/0. Spowoduje to, że pakiety kierowane z danej sieci na adres samego MikroTik-a będą ginąć "w czarnej dziurze". Dodatkowo urządzenie NATowane ze świata będzie wykazywało nieoczekiwane kłopoty komunikacyjne ze światem zewnętrznym. Natomiast w logach nie będzie śladu, że pakiety zostają kierowane "do tunelu".

Backup z cli

Bardzo szybki i skuteczny sposób na wykonanie backupu:

/system backup save dont-encrypt=yes name=YYYYMMddThhmm.backup

Dostęp administracyjny: ACL

Dostęp administracyjny jest ograniczany w następujących miejscach:

Przy definicji użytkownika
Przy definicji serwisu (dostępu, np. WinBox)

Hairpin NAT

Hairpin NAT służy temu, aby z sieci LAN zapytać o serwer (lokalny), ale po jego publicznym adresie. Dzięki temu nie ma potrzeby robić split DNSu czy czegoś podobnego. A MT to obsłuży poprawnie.

Inne

Skrypt shell

ls /root

Plik konfiguracyjny

# komentarz
parametr = wartość

MikroTik