类别：ROS / 日期：2021-03-27 / 浏览：1086 / 评论：0

针对MikroTik近期的一些漏洞做一些安全设置措施。

• 将默认用户名admin更改为其他名称
  /user set 0 name=myros

1. 设置高强度的密码
   /user set 0 password=“d*2bBsweUBe3@”

2. 通过IP地址访问
   /user set 0 allowed-address=xxxx/yy

3. 只保留安全的服务
   /ip service disable telnet,ftp,www,api,api-ssl
   注意：该操作会禁用Telnet，FTP，WWW，API，API-SSL

4. 更改默认端口，这将立即停止大多数随机SSH暴力登录尝试
   /ip service set ssh port=220

5. 设置Winbox允许登陆的网段
   /ip service set winbox address=192.168.88.0/24

6. 禁用mac-telnet服务
   /tool mac-server set allowed-interface-list=none

7. 禁用mac-winbox服务
   /tool mac-server mac-winbox set allowed-interface-list=none

8. 禁用mac-ping服务
   /tool mac-server ping set enabled=no

9. 邻居发现
   MikroTik邻居发现协议用于显示和识别网络中的其他MikroTik设备，禁用所有接口上的邻居发现
   禁用IPv4 的邻居发现协议
   /ip neighbor discovery-settings set discover-interface-list=none
   禁用IPv6 的邻居发现协议
   /ipv6 nd set [find] disabled=yes

10. 带宽服务器用于测试两个MikroTik路由器之间的吞吐量，请在测试后禁用它。
    /tool bandwidth-server set enabled=no

11. DNS缓存
    /ip dns set allow-remote-requests=no

12. 设置更安全的SSH访问，打开SSH强加密
    /ip ssh set strong-crypto=yes

13. 关闭 Proxy，Socks代理
    /ip proxy set enabled=no
    /ip socks set enabled=no

14. MikroTik UPnP服务（通用即插即用协议）
    /ip upnp set enabled=no

15. MikroTik自带的DDNS服务器（动态域名解析）
    如果不是使用的话请用以下命令禁用
    /ip cloud set ddns-enabled=no update-time=no

16. 某些型号的RouterBOARD有LCD模块用于信息显示。
    /lcd set enabled=no

17. 如果你的路由器不提供VPN服务，请用以下命令关闭VPN
    /interface l2tp-server server set enabled=no
    /interface pptp-server server set enabled=no
    /interface sstp-server server set enabled=no
    /interface ovpn-server server set enabled=no

     18.禁用在设备上使用Radius进行授权
          /user aaa set use-radius=no
    19.移除操作请慎用
         /radius remove numbers=[/radius find]

最好禁用路由器上所有未使用的接口，以减少对路由器的未授权访问。

打赏