Как зайти на роутер mikrotik удаленно

Давайте разберём тему по настройке удалённого доступа к MikroTik через интернет, поговорим о нюансах, с которыми вы столкнитесь в реальном мире, а также ответим на вопрос «Как подключаться к микротику, который находится за микротиком?»

В повседневной жизни администратора, есть необходимость подключения к различным консолям управления. Будь то телефония (через веб), RDS ферма (через RDP) и другие системы по SSH. Находясь в периметре компании вы не сталкиваетесь с проблемой подключения к ним. Но что делать, если вы за пределами ее и нужно внести изменения в конфигурацию пограничного маршрутизатора или свечей и точек доступа за ним? Да, у Mikrotik есть множество сервисов (в том числе и API) для удалённого его управления (Winbox, WEB, SSH, Telnet etc…).

Обращаю ваше внимание, что основополагающим в схеме удалённого подключения через интернет является наличие хотя бы одного публичного IP адреса на пограничном маршрутизаторе.

Что есть у Mikrotik

Давайте взглянем для начала, что вообще есть из сервисов удалённого управления. Открываем IP-Services.

• Первый пункт это обычный API интерфейс без шифрования, второй – соответственно то же самое, но только шифрованный.
• FTP – это не сервис управления, а в принципе сервис, по которому можете сделать свой Mikrotik FTP-сервером для приёма и передачи файлов.
• Telnet и SSH – доступ к командной строке роутера. Telnet — все команды, а так же логин и пароль подключения остаются не зашифрованные (открытым текстом). SSH – все данные зашифрованы.
• Winbox — это подключение к роутеру через специальное приложение (этот способ чаще всего используется).
• WWW и WWW-SSL – аналогично пункту выше только через веб.
• Для пунктов с SSL в названии нужен сертификат.

Как видно из скриншота выше, все порты установлены стандартные и все сервисы включены (т.е. по ним можно подключиться).

Основное

Самое важное – это определиться какие методы управления вам необходимы. Рекомендую оставлять 2, максимум 3, остальное отключаем. В моей демонстрации я буду показывать подключение по Winbox, SSH и WEB.

Выделяем все сервисы через CTRL + A, зажимаем CTRL и кликаем на нужные сервисы, отключаем через крестик. В итоге должна получиться следующая картина.

Winbox

Пожалуй, самая любимая моя вещь. Здесь есть нюанс. Многие для доступа к управлению с телефона оставляют включённый WWW или в лучшем случае WWW-SSL. Я не сторонник выставления любых веб-сервисов наружу т.к. это довольно популярное направление атак. Хитрость заключается в том, что если вы выставляете порт Winbox наружу, то вы легко подключитесь через мобильное приложение TikApp (работает на Android), тем самым двух зайцев одним выстрелом.

Чтобы совсем спокойнее было, я ещё ставлю не стандартный порт. Двойным кликом открываем настройку сервиса и меняем порт.

Далее открываем данный порт на input в firewall.

Подключаемся внутри сети к Winbox по не стандартному порту.

Аналогично и снаружи, по прямому белому адресу или по доменному имени, или по DDNS Mikrotik.

Проверим через TikApp.

Если нажата галочка «Сохранить пароль», то в случае успешного подключения, данные коннекта сохранятся во вкладке «Сохранённые»

SSH

Аналогично предыдущего пункта, изменим порт по умолчанию. Почему мы это делаем? Потому что «желтолицые» ребята не дремлют и сканируют/брутфорсят девайсы с публичными адресами.

И создадим правило фаервола на input с action accept.

В принципе, вы можете не создавать новое, а дописать в предыдущее дополнительный порт через запятую. Но тогда вы не поймёте, что относится к Winbox, а что к SSH. Тут уже все зависит от ваших предпочтений, но конечно, чем меньше правил, тем лучше.

Web

Ранее я говорил, что лучше http-сервисы не выставлять наружу. Сейчас мы разрешим подключаться по web только изнутри компании. Открываем сервис для редактирования и указываем нашу подсеть, применяем.

Столбец Available From изменился. Вы можете указать сколько угодно подсетей и адресов не только для данного сервиса, а для любого в целом.

Если указано хотя бы одна сеть Available From, то сервис не позволит подключиться с других, не подпадающих в диапазон.

В некоторых ситуациях может не устроить, что Winbox и SSH доступны снаружи, тогда в их свойствах добавляете нужные подсети и адреса, к примеру локальную и VPN.

Следующий важный момент в правиле фаервола, это указание Src. Address

В чем вы спросите изюминка?

1. Мы защитили сервис на уровне его собственных настроек;
2. Запретим доступ к нему (и девайсу в целом) следующими правилами фаервола.

/ip firewall filter

add action=accept chain=input comment=in-E&R-Allow connection-state=established,related

add action=drop chain=input comment=in-All-Drop

Тем самым организовали 2 уровня его защиты.

Подключение к микротику за микротиком RoMON

Тема довольно интересная. Хороша она тем, что простой проброс порта у вас не сработает, как не старайся. К тому же это не безопасно, вы же помните за «желтолицых»?

RoMON – протокол передачи данных, позволяющих подключаться к устройствам на L2. Доступен с RouterOS 6.28. У каждого устройства должен быть ID, обычно он равен MAC адресу интерфейса.

В моем стенде есть домашний роутер и виртуалка за ним CHR. Включим сначала на пограничном роутере Tools – RoMON.

Включаем и задаём пароль. После включения генерится ID.

Если хотите что-то не стандартное на уровне портов, то вам в Ports.

Открываем CHR и делаем то же самое, он даже может не иметь IP адрес, но пароль должен быть идентичен!

Далее берём Winbox, и подключаемся к белому адресу (в моем стенде я буду использовать серый, но сути не меняет, оно будет работать как снаружи, так и внутри) и жмём Connect To RoMON.

Далее открывается вкладка RoMON Neighbors, в которой будут видны, все агенты.

Выбираем MAC девайса и жмём Connect. Поле адреса в строке подключения изменится, соответственно и логин пароль должен быть корректно вписан. Но он у меня одинаков на обоих устройствах, поэтому ничего не менял, но в вашем случае, все может быть по-другому.

А теперь взгляните на строку подключения.

В этой демонстрации я показал простое использование RoMON, вы можете крутить его, как угодно, в реальной жизни лучше создавать Management VLAN и вешать именно на него.

На этом пожалуй все способы настройки удалённого доступа к Mikrotik закончены. Чтобы не запоминать сложные публичные IP адреса, используйте DNS или DDNS (IP – Cloud).

89 вопросов по настройке MikroTik

Вы хорошо разбираетесь в Микротиках? Или впервые недавно столкнулись с этим оборудованием и не знаете, с какой стороны к нему подступиться? В обоих случаях вы найдете для себя полезную информацию в курсе «Настройка оборудования MikroTik». 162 видеоурока, большая лабораторная работа и 89 вопросов, на каждый из которых вы будете знать ответ. Подробности и доступ к началу курса бесплатно тут.

В работе IT-специалиста часто возникает потребность в удаленном доступе к различным системам управления. Это может быть веб-интерфейс оборудования, RDS-ферма через RDP, серверы с доступом по SSH и многие другие. Внутри офисной сети к этим ресурсам обычно легко подключиться, но что делать, когда вы находитесь вне сети?

MikroTik предоставляет ряд инструментов для удаленного управления своим оборудованием, включая Winbox, WEB, SSH, Telnet и даже API. Однако для эффективного использования этих инструментов через интернет важно иметь на маршрутизаторе хотя бы один публичный IP-адрес.

Основной предпосылкой для удаленного подключения через Интернет является наличие минимум одного публичного IP-адреса на пограничном маршрутизаторе

Если у вас настроен роутер Mikrotik со статическим IP адресом и вам нужен удаленный доступ к нему для администрирования? Вот две простых инструкции по настройке доступа на RouterOS.

Настройка доступа через терминал

Запускаем winbox, скачать можно с официального сайта и запускаем терминал

В терминале по очереди вводим команды:

/ip firewall filter add chain=input protocol=tcp dst-port=8291 disabled=no action=accept place-before 0

Этим правилом мы разрешим доступ для входящего трафика на порт 8291 из вне. И поднимаем это правило в верх всех правил фаервола.

/ip service set winbox address=0.0.0.0/0

А этим правилом, мы разрешаем любые подключения на роутер из интернета.

Важно! В целях безопасности и для защиты роутера от подбора паролей рекомендуется открывать доступ только для надежных подсетей или ip адресов!

Поэтому я не рекомендую использовать вышеуказанное правило, а рекомендую использовать для входа только разрешенные адреса и следующее правило.

/ip service set winbox address=192.168.1.0/193.33.98.108/32.193.169.3.24/32

Где 192.168.0.1 — адрес локальной сети

А 193.33.98.108 и 32.193.169.3.24/32 — адреса из сети интернет

Эти данные необходимо заменить на свои.

Настройка доступа через интерфейс winbox

Запускаем winbox и логинимся в нем

В боковом меню, выбираем IP-Firewall

Нажимаем + и добавляем новое правило

В правиле фаервола, указываем данные как на скриншотах

И сохраняем правило. После чего перемещаем его в самый верх списка.

Дело за малым, осталось добавить адреса подсетей, откуда мы разрешим подключаться консоли к роутеру.

Откроется окно

Двойным кликом открываем строчку с winbox и добавляем адреса, либо подсети для доступа к mikrotik

Стрелка вверх удаляет строку, стрелка в низ добавляет. Нажимаем ok, проверяем доступ из интернета, все должно работать! 🙂

Если тебе понравился материал, ставь палец вверх!

Небольшая шпаргалка, как сделать удаленный доступ к оборудованию MikroTik через winbox.

Содержание

Предупреждение

Предупреждаю, что данный способ является не самым безопасным и имеет свои плюсы и минусы.

Плюсы:

1. Простая настройка;
2. Минимальный шанс потерять доступ;

Минусы:

1. Если накосячить, то взлом вашего оборудования неизбежен, это будет вопрос времени;

Открываем доступ

Сделаем список откуда можно подключаться

Начинаем с создания списка IP-адресов, которые могут подключиться к Mikrotik.
Переходим в IP – Address Lists, нажимаем на плюсик.

В нашем окошке создаем запись WhiteList и добавляем IP адрес. Я на практике использую DNS-имена в виде поддомена какого-нибудь сайта. Например, home.bite-byte. Тогда в случае, смены IP-адреса в офисе/дома, мне не приходится ползать и везде руками перебивать.

И у нас появляется запись с меткой D, то есть динамическая.

 Хочу обратить Ваше внимание, что регистр в списках важен. “WhiteList” и “whitelist” это будут разные списки! 

В терминале это выглядит вот так:

/ip firewall address—list add list=«название листа» address=«DNS имя или IP-адрес»

Открываем порт

Теперь переходим в IP -> FireWall и создаем правило, которое разрешает подключения из интернета к нашему Mikrotik по порту 8291, с тех ip-адресов, которые у нас в белом списке.

Указываем:

1. Chain – input
2. Protocol – tcp
3. Dst. Port – 8291
4. Либо указываем интерфейс, где у нас настроен интернет, либо указываем лист интерфейсов (если, у нас, допустим, два провайдера)

1. Указываем список адресов с которых разрешено подключение

И указываем действие accept.

Закрываем двери для остальных

Теперь нам необходимо запретить остальные подключения по этому порту. Создаём ещё одно правило с запретом.

Тут у нас всё остается аналогично правилу открытия. Дальше идём в пункт Action.

В терминале это выглядит вот так:

add action=accept chain=input comment=Winbox_whitelist dst—port=8291 in—interface—list=WAN protocol=tcp src—address—list=WhiteList

И дропаем все запросы.

В терминале это выглядит вот так

add action=drop chain=input dst—port=8291 in—interface—list=WAN protocol=tcp

Последний штрих

Размещаем разрещающее правило выше запрещавшего и проверяем доступность из вне.

Таким образом мы получили доступ из вне с доступом по белому списку, который легко перенастроить, если у нас меняется IP-адрес.

Просмотры: 2 350

Роутеры MikroTik широко используются как в домашних сетях, так и в офисах и предприятиях. Они предлагают множество возможностей для управления сетью и настройки безопасности. Одной из ключевых возможностей является удаленный доступ к роутеру MikroTik, который позволяет администратору управлять и настраивать роутер удаленно.

Удаленный доступ к роутеру MikroTik может быть осуществлен различными способами. В этой статье мы рассмотрим несколько наиболее распространенных методов, таких как доступ через WebFig, доступ через Winbox и доступ через SSH.

Первый способ — доступ через WebFig. WebFig — это веб-интерфейс для управления роутером MikroTik. Он позволяет администратору настраивать различные параметры роутера, такие как интернет-подключение, брандмауэр, VPN и т. д. Для того чтобы получить доступ к роутеру MikroTik через WebFig, необходимо знать IP-адрес роутера и порт, который используется для подключения.

Второй способ — доступ через Winbox. Winbox — это графический интерфейс, разработанный специально для управления роутерами MikroTik. Он предлагает более удобный и функциональный способ работы с роутером по сравнению с WebFig. Для удаленного доступа к роутеру MikroTik через Winbox, также необходимо знать IP-адрес роутера и порт, который используется для подключения.

И наконец, третий способ — доступ через SSH. SSH (Secure Shell) — это протокол безопасной удаленной работы с устройствами через сеть. Для того чтобы получить доступ к роутеру MikroTik через SSH, необходимо настроить SSH-сервер на роутере и использовать SSH-клиент для подключения. Для подключения через SSH, также необходимо знать IP-адрес роутера и порт, который используется для подключения.

Знание различных методов удаленного доступа к роутеру MikroTik является важным навыком для любого администратора сети. Он позволяет эффективно управлять сетью и обеспечивать ее безопасность, даже находясь вдали от роутера. В этой статье мы рассмотрели основные способы доступа к роутеру MikroTik удаленно: через WebFig, Winbox и SSH. Используйте эти знания для упрощения работы с роутерами MikroTik и повышения безопасности вашей сети.

Подключение к роутеру MikroTik

Для удаленного доступа к роутеру MikroTik вам потребуется выполнить следующие действия:

1. Установить на свой компьютер программу Winbox, которая позволит вам подключиться к роутеру MikroTik.

2. Запустите программу Winbox. В открывшемся окне введите IP-адрес роутера, логин и пароль. IP-адрес роутера можно узнать, подключившись к нему локально или обратившись к администратору сети.

3. После успешной авторизации вам откроется основной интерфейс программы Winbox. Здесь вы сможете настраивать и управлять роутером MikroTik.

4. Обратите внимание на левую панель между окном с конфигурацией и терминалом. Здесь вы найдете различные разделы, в которых можно настроить такие параметры, как безопасность, интерфейсы, маршрутизацию и другие настройки.

5. Выберите нужный раздел, чтобы приступить к настройке роутера MikroTik.

Теперь вы знаете, как удаленно подключиться к роутеру MikroTik при помощи программы Winbox и имеете доступ к его настройкам.

Проверка подключения к сети

Перед тем, как удаленно зайти на роутер MikroTik, необходимо убедиться, что у вас есть подключение к сети. Для этого вы можете выполнить следующие шаги:

1. Убедитесь, что ваш компьютер подключен к той же сети, что и роутер MikroTik. Проверьте, что кабель Ethernet правильно подключен к вашему компьютеру и роутеру.

2. Убедитесь, что светодиодная индикация на роутере MikroTik указывает на наличие активного сетевого подключения. Он может быть разным для разных моделей роутеров MikroTik, но обычно это зеленый светодиод на передней панели.

3. Попробуйте открыть любой сайт в веб-браузере на вашем компьютере. Если вы можете открыть веб-страницу без проблем, значит, у вас есть подключение к сети.

Если вы также используете виртуальную среду, такую как VMware или VirtualBox, убедитесь, что виртуальная машина настроена на использование правильного типа сетевого подключения (например, мостовое подключение или сеть с NAT).

Получение IP-адреса роутера MikroTik

Для удаленного доступа к роутеру MikroTik необходимо знать его IP-адрес. Существует несколько способов получить эту информацию:

Метод	Описание
1. Узнать IP-адрес через командную строку	Откройте командную строку (в Windows можно воспользоваться командой CMD) и введите команду «ipconfig». В результате будет выведен список сетевых подключений, среди которых нужно найти строку «Default Gateway» (Шлюз по умолчанию). Значение в этой строке и будет IP-адресом роутера MikroTik.
2. Использовать программу-сканер	Существуют специальные программы, которые позволяют сканировать сеть и определять адреса активных устройств. Одним из таких инструментов является программный пакет Angry IP Scanner. После установки программы, запустите ее и введите диапазон IP-адресов вашей сети. Программа отобразит все активные устройства в этом диапазоне, и вы сможете найти роутер MikroTik по его производителю или другим признакам.
3. Использовать программное обеспечение MikroTik	Если у вас уже установлено программное обеспечение MikroTik, то вы можете использовать его для поиска IP-адреса роутера. Откройте программу, найдите раздел «IP» или «Tools», и в нем выберите пункт «Neighbors». В этом разделе будут отображены все устройства подключенные к вашей сети, и вы сможете найти роутер MikroTik по его MAC-адресу или другим признакам.

После того, как вы получите IP-адрес роутера MikroTik, вы сможете удаленно зайти на него и настроить необходимые параметры.