3 práticas seguras para equipamentos MikroTik que você precisa implementar

Você sabia que o Brasil é um dos países que lidera a lista de equipamentos MikroTik comprometidos por alguma falha de segurança? Muito se deve apenas a falta práticas seguras nos equipamentos.

Imagem: blog.netlab.360.com

Juntamente com a Rússia, o Brasil possui muitos equipamentos MikroTik com algum tipo de vulnerabilidade a ser explorada. Isso ocorre por má configuração e falta de aplicação de boas práticas como controle de acesso e atualização do RouterOS. Com isso, separamos 3 dicas de segurança que são indispensáveis para você aplicar em seus dispositivos.

Usuário admin

Esqueça o usuário admin. Este é o usuário padrão dos equipamentos MikroTik, quando fazemos o primeiro acesso e ele não possui nenhuma senha.

* As versões mais recentes do RouterOS
já sugerem a troca de senha do usuário admin
após o primeiro acesso
.

Portanto,  a primeira coisa que devemos fazer ao configurar um roteador MikroTik é trocar a senha de admin. Mas para deixar essa prática mais segura, recomendamos a remoção do usuário admin e adição de um usuário novo com uma senha forte*

* Combine letras maiúsculas, minúsculas, números e caracteres especiais.

Para adicionar um novo usuário:

/user
add name=”joaozinho30” group=”full” password=”S3nhA!suP3r&secR3t4”

Para remover o usuário admin:

/user remove admin

IP Services

O controle de acesso ao dispositivo MikroTik é essencial para garantir que o equipamento esteja acessível apenas por endereços IP confiáveis. 

Muitos profissionais deixam seus roteadores abertos e não contam com regras de firewall capazes de proteger o acesso indevido.

Em IP > Services, é possível controlar o acesso aos vários meios de acesso ao seu roteador MikroTik:

É extremamente recomendável desativar os serviços não utilizados e limitar o acesso dos serviços essenciais.

* Trocar a porta de acesso não é sinônimo de segurança, uma vez que um simples
port scan pode informar a nova porta de acesso.

Para seguir acessando o seu dispositivo remotamente, é recomendado o uso de VPN. Veja o nosso artigo sobre como configurar um servidor de VPN no RouterOS.

Atualização

Manter o dispositivo atualizado é uma boa prática pois evita que falhas de segurança já corrigidas sejam exploradas.

    Caso você ainda não esteja seguro para utilizar a versão 7 do RouterOS, utilize a versão 6 long-term. Versões mais antigas possuem falhas de segurança que podem comprometê-lo gravemente.

Para atualizar, basta usar o menu System > Packages e o botão “Check for Updates”

Ao clicar em “Download&Install” o roteador é reiniciado após o download do pacote. Se optar por apenas baixar o pacote usando o botão “Download”, basta reiniciar o roteador (System > Reboot) para que a atualização seja realizada.

Não esqueça de atualizar também o routerboot do roteador, em “System > RouterBOARD” e em seguida, “Upgrade”. Um novo reboot será necessário para efetivar o novo bootloader.

Você pode optar por baixar os pacotes de atualização diretamente do site da MikroTik e fazer o upload para o seu roteador, caso tenha problemas ao usar o botão “Check for Updates”.


Como configurar um servidor de VPN usando MikroTik

O termo VPN se tornou ainda mais comum após a pandemia de COVID 19. A “rede virtual privada”, se traduzirmos fielmente do inglês, trabalha no modelo cliente-servidor e nos permite fazer parte de uma conexão onde não precisamos estar obrigatoriamente presentes fisicamente.

Esse tipo de conexão é perfeita para situações em que precisamos acessar recursos de um ambiente remoto, seja ele um escritório, um datacenter ou ambiente NOC, sem precisar abrir o acesso externo que é altamente perigoso.

    Sem mais delongas, vamos colocar a mão na massa e configurar o nosso servidor de VPN usando Mikrotik. Optamos por usar  L2TP + IPSec pois traz velocidade e segurança.

Vamos dividir  a configuração em 5 partes: configuração da pool de endereços, perfil da VPN, usuários, servidor L2TP e o firewall.

IP Pool

Vamos configurar uma pool de endereços IP privados para os clientes que irão usar a VPN:

/ip pool add name=Pool_VPN ranges=10.10.10.2-10.10.10.15

Note que foi usado uma range /28 (16 IPs), pois neste exemplo não teremos muitos usuários de VPN. Pode ser também uma rede /27, /25, /24 e etc. O próximo passo é configurar o profile para o nosso VPN server.

Profile

/ppp profile 
add name=VPN local-address=10.10.10.1 \
remote-address=Pool_VPN dns-server=8.8.8.8,1.1.1.1 \
use-compression=no use-ipv6=no use-mpls=no \
use-encryption=required change-tcp-mss=yes

Neste exemplo, vejam que configuramos o profile com:

Name: VPN
Local address: 10.10.10.1 (o primeiro IP da range e vejam que ele ficou fora da pool)
Remote address: pool_VPN
DNS Server: usei endereços públicos, mas sugiro você usar os endereços que vocês normalmente utiliza na sua rede Compression, IPv6 e MPLS eu deixei desativado para este exemplo Encryption ficou habilitado com “required” para ser obrigado a usar encriptação E o change-tcp-mss é uma opção que não vamos entrar em detalhes aqui, mas serve para evitar alguns problemas de fragmentação quando usamos MTU menores do que os 1500 bytes convencionais.

* Você pode personalizar o seu perfil com mais opções, desde que saiba o que está fazendo.

Servidor L2TP + IPSec

À seguir, devemos configurar o servidor L2TP mencionando o perfil configurado anteriormente:

/interface l2tp-server server
set enabled=yes default-profile=VPN \
authentication=chap,mschap1,mschap2 use-ipsec=required \
ipsec-secret=m1nh4Ch4v3IP@SeC

No servidor L2TP, configuramos da seguinte forma:

Enabled: Yes
Default Profile: Perfil da VPN configurado anteriormente
Authentication: Todas, com exceção de pap (que é texto plano e inseguro)
Use IPSec: Required para obrigar o uso de IPsec
IPSec Secret: chave IPsec

Usuários da VPN

Adicionaremos os usuários que irão usar a VPN localmente em nosso roteador. É possível usar RADIUS caso prefiram.

/ppp secret add name=joaozinho password="LittL3j0hN#" \
service=l2tp profile=VPN

Podem adicionar quantos usuários preferirem e não se esqueçam de dar preferência para senhas seguras.

    Por último e não menos importante, devemos fazer com que o firewall aceite as conexões de VPN vindas de fora:

/ip firewall filter
add chain=input protocol=udp port=1701,500,4500
add chain=input protocol=ipsec-esp

* Basta posicionar as regras de acordo com a disposição do firewall. Devem estar acima do drop geral.

Por fim, basta utilizar as informações de usuário para configurar a conexão de VPN no celular, computador, tablet e etc.

Exemplo de usuário de VPN conectado no servidor

Agora você já sabe o básico de como configurar um servidor de VPN usando MikroTik mas não deixe de ver a documentação completa sobre a configuração de VPNs no RouterOS na página da MikroTik.


MikroTik News #95 – Novos hardwares

A MikroTik anunciou a Newsletter de número 95, que traz informações bem interessantes em relação a lançamento de novos equipamentos.

hAP ac3 LTE6

A RouterBOARD hAP AC ganha a sua terceira versão e agora conta com a tecnologia LTE. Um dos melhores hardwares para residências e pequenos escritórios contém as seguintes especificações:

  • Wireless dual band – 2Ghz/5Ghz
  • CPU quad-core
  • 256MB de memória RAM
  • 5 interfaces ethernet Gigabit
  • Suporte a conexão LTE CAT6

hAP AC3

O preço sugerido no entanto é de $219, o que ultrapassa os R$ 1000,00 em conversão direta.

As especificações detalhadas estão em: https://mikrotik.com/product/hap_ac3_lte6_kit#fndtn-specifications

CCR2004-1G-12S+2XS

Sim, a MikroTik anunciou um novo modelo de CCR (Cloud Core Router). Este anúncio era muito aguardado por parte dos usuários, pois o modelo top de linha era o CCR1072 (com 8 interfaces de 10 Gbps).

CCR2004-1G-12S+2XS

Este novo modelo conta com 2 interfaces ópticas de 25 Gbps, 12 interfaces ópticas de 10 Gbps e 1 interface ethernet de 1 Gbps. Além disso, conta com duas fonte de alimentação AC, provendo redundância.

Comparado com o hardware da linha anterior de CCRs, esta conta com um novo processador (Annapurna AL32400), de 4 núcleos de 1700 MHz. Os CCRs antigos utilizam processadores da Tilera, que contam com um número expressivo de cores (9, 16, 36 e 72 a depender do modelo), porém com um clock mais baixo (em torno de 1000 MHz).

Mais informações sobre o CCR2004-1G-12S+2XS, no link abaixo:

https://mikrotik.com/product/ccr2004_1g_12s_2xs

Uma ótima noticia ainda, é que a MikroTik enfatiza que o processamento deste novo hardware apresenta resultados incríveis para BGP (no que diz respeito ao BGP feed).

No mundo invertido, há boatos que mais CCRs possam ser lançadas além deste modelo que falamos aqui. Quem sabe com interfaces de 40 e 100 Gbps?

Além destas novidades que elegemos como as principais da News #95, outros lançamentos e novidades podem ser conferidos através deste link.

Até a próxima!


VPN para o surto de Corona Vírus

Antes de mais nada, este post não leva em tom de humor o surto de COVID-19 que o mundo está enfrentando atualmente.

Como todo mundo deve saber, estamos imersos ao surto do vírus COVID-19, também conhecido como Corona Vírus. Há alguns meses vivemos uma transformação das nossas ações diárias, redobrando o cuidado com a higiene e cada vez mais evitando aglomerações de pessoas, para evitar a propagação da doença.

Sem mais delongas, o ponto em que queremos chegar aqui é que a cada dia, empresas, escritórios, instituições de ensino, e outros, estão aderindo ao “Home Office” que é o conhecido trabalho remoto.

A finalidade é evitar que estejamos expostos uns aos outros, mas sem prejudicar (ainda mais) as nossas rotinas de trabalho.

Lembrando que o “Home Office” já é uma realidade de muitas empresas que muitas vezes nem possuem espaços de trabalho físico. Essa modalidade de trabalho evita com que os colaboradores enfrentem o stress do trânsito até chegar na empresa, além de perder tempo neste deslocamento, e dentre outras coisas boas, possam moldar o seu horário de trabalho, podendo escolher inclusive, em qual parte do mundo morar.

A preocupação que temos em relação ao trabalho remoto “forçado” pelo surto de Corona Vírus, é que muitas empresas estão ao invés de manter suas informações seguras, expondo-as para o mundo externo, para conseguir acesso de casa ou outro local fora do ambiente de trabalho.

A exposição de serviços implica em tentativas de acesso (que podem ser de brute force), e/ou exploração de vulnerabilidades, com o intuito de encontrar algum brecha para poder ter acesso privilegiado à informação. Nos dias de hoje, não há nada mais importante que a informação que compõe os nossos sistemas, serviços, e etc.

Não só pense em liberar as pessoas para trabalhar em “Home Office”, mas também pense na segurança das informações da sua empresa. Para isso existe a VPN (Virtual Private Network), onde os seus dados estão devidamente protegidos por meio de um túnel criptografado entre o seu “Home Office” e o escritório.

Nunca ouviu falar em VPN? Fala com a gente que vamos te ajudar proteger a informação da sua empresa!

Até a próxima!


A topologia rede realmente importa?

Em Novembro de 2019, juntamente com meu amigo e colega Anderson Matozinhos, realizamos uma apresentação no MUM Brazil 19 onde mostramos a importância de planejar uma topologia de rede, e como escolher o melhor equipamento para determinada aplicação.

Uma rede com equipamentos mal dispostos e não dimensionados da forma correta traz dor de cabeça tanto para o provedor de Internet, quanto para a empresa de consultoria, que precisa desfazer aquela bagunça toda.

Escolha o equipamento adequado!

Exemplificando os equipamentos da MikroTik, temos diversas maneiras de escolher o melhor equipamento para determinada função.

Lista de equipamentos MikroTik – https://mikrotik.com/products

Todo e qualquer equipamento produzido pela MikroTik estará listado em seu site.

Ao clicar em algum equipamento da lista, todas as informações estarão disponíveis.

Diagrama de bloco

Cada dispositivo dispõe de seu diagrama de bloco para download, e tem a finalidade de mostrar como estão montados os componentes internos do equipamento.

Muito útil para auxiliar no planejamento da escolha de algum equipamento.

Diagram de bloco da CRS305-1G-4S+

A MikroTik produz diversos tipos de equipamentos, que vão desde roteadores para residências e pequenos escritórios (SOHO), até chegar em switches e roteadores de alta capacidade a nível de operadoras.

Planeje e defina uma topologia de rede

Após escolher o equipamento ideal para determinada aplicação, não é só tirar da caixa e ligar. Porém, muitas vezes é isso o que acontece.

Tira da caixa, liga na rede (em qualquer lugar, mais precisamente onde tem alguma interface livre), e diz o seguinte para o técnico/consultor:

Pronto! Chegou um equipamento novo, está na rede, faça funcionar!

Modelo de rede em camadas

Não é receita de bolo, mas experimente estruturar a sua rede em camadas, para que estas estejam bem definidas e para que possibilitem o fácil entendimento da rede. Isso resultará em uma fácil administração e grande possibilidade de expansão.

“Rede bem estruturada não dá problema!”

Consultor desconhecido

Na apresentação, falamos sobre as estruturas de Core, Distribuição e Acesso, onde ficam explícitas as funções de cada dispositivo na rede.

Veja a apresentação completa

Fale com quem entende!

Precisa de ajuda para reestruturar a sua rede? Fala com a gente (https://tchesolutions.com.br). Queremos ajuda-lo melhorar ainda mais a sua rede!

Até a próxima!


Backups no MikroTik RouterOS.

Podemos claramente dizer que o RouterOS possui dois tipos de backup: o backup binário (.backup) e o backup de exportação de configurações (.rsc).

Você sabe quando utilizar cada um deles? Qual é o melhor? Qual o mais indicado?

O backup binário (.backup)

O backup binário é gerado através do menu “Files” e do botão “Backup”.

O arquivo .backup pode ganhar um nome, e por boa prática, uma senha.

# Caso o nome não seja preenchido, o arquivo terá o nome baseado na Identity do equipamento e na data em que o backup foi gerado #

Antes da versão 6.43, se não for especificada nenhuma senha para o backup, ele será criptografado com a senha do usuário que gerou o backup.

A partir da versão 6.43, os backups não são encriptados se não for especificado nenhuma senha, através do campo password. Por isso, é muito boa prática que seja definida uma senha para a encriptação dos backups.

Podemos gerar o arquivo de backup usando a CLI do RouterOS, da seguinte forma:

/system backup save name=backup-hAPac password=@back!up#

IMPORTANTE:

O arquivo de backup (.backup) é binário, e não pode ser editado. Além do mais, ele carrega informações físicas do equipamento, como por exemplo o MAC Address das interfaces.

Com isso, você só pode restaurar este backup no mesmo dispositivo no qual foi gerado. E não estamos falando do mesmo modelo de hardware, e sim o hardware que gerou o backup.

Restaurar o backup binário em uma outra RouterBOARD implicaria na duplicação de MAC Address, além de outros problemas.

Para restaurar as configurações à partir do backup binário, é muito simples. Basta selecionar o arquivo de backup a ser restaurado, preencher com a senha e clicar no botão “Restore” no mesmo menu “Files”.

Após o reboot, o equipamento voltará com a configuração do backup em questão.

O Backup export (.rsc)

O comando /export é utilizado para exportar de forma parcial ou total, as configurações presentes no equipamento.

Diferente do backup binário (.backup), ele é editável (Notepad, Notepad++, Atom, Sublime Text, entre outros possuem plugins de Syntax highlighting para o RouterOS), e não contém informações físicas sobre o dispositivo.

Pelo fato de ser editável, o backup de exportação é salvo em texto plano, e por isso, não contém as informações de usuários (/system users). Estas informações devem ser adicionadas novamente, após a restauração do backup.

É utilizado tanto para restaurar a configuração em um dispositivo, quanto mover a configuração para um outro dispositivo RouterOS, de modelo igual, parecido, ou completamente diferente.

Vejamos as variações de uso do comando /export :

Exporta e joga na tela do terminal, toda a configuração do dispositivo:

/export

Exporta a configuração, salvando-a em um arquivo (Files):

/export file=backup-hAPac

Exporta parte da configuração:

/ip firewall export
ou
/ip firewall export file=firewall

Após a versão 6rc1, todos os backups de exportação são por padrão, compactos (compact), ou seja, mostram apenas o que foi adicionado/alterado na configuração do RouterOS. Isso implica em backups menores e objetivos.

Na versão 5, o padrão do comando /export era o verbose que exportava toda a configuração do RouterOS, inclusive os valores padrões. Isso resultava em um monte de informação desnecessária.

# Arquivo de backup.rsc no editor de texto Sublime Text #

Para restaurar a configuração utilizando o arquivo de exportação (.rsc), há pelo menos duas formas:

Utilizando o comando /import mencionando o arquivo de backup:

/import file-name=backup.rsc

Ou ir copiando e colando as informações por partes, diretamente na CLI do RouterOS.

IMPORTANTE:

Para restaurar as configurações usando o comando /import é necessário:

– Equiparar a versão do equipamento com a versão do backup;
– Deixar o equipamento totalmente limpo de configuração, usando o comando:

/system reset-configuration no-defaults=yes

Isso irá garantir que não ocorra nenhum erro na importação, diante de alguma configuração existente ou padrão, e também devido a algum erro de sintaxe, devido a diferença da versão do RouterOS.

Recapitulando:

Backup binário (.backup):

– Deve conter uma senha, para que o mesmo seja encriptado (versão 6.43+);
– Anterior à versão 6.43, o backup é encriptado com a senha do usuário que gerou o mesmo;
– Deve ser restaurado apenas no mesmo equipamento em que foi gerado, pelo fato de conter informações físicas;
– Não pode ser editado.

Backup de exportação (.rsc):

– Utilizado para restaurar e/ou mover a configuração para o mesmo ou outro dispositivo;
– É salvo em texto plano, logo, editável, e não contém as informações de usuários (/system users);
– Pode exportar parte ou toda a configuração do dispositivo;
– Para a importação, necessita que o dispositivo esteja completamente sem nenhuma configuração (/system reset-configuration no-defaults=yes), e preferencialmente na mesma versão.

Dicas:

  • Utilizem ambos os tipos de backup;
  • Não guardem o arquivo de backup somente no dispositivo;
  • Utilizem senhas adequadas (fortes), para a encriptação do backup binário.

E se…

Houvesse um sistema de backups para o RouterOS, que pudesse armazenar os arquivos em nuvem, de forma fácil e segura?

E ainda…

Pudesse gerenciar configurações do RouterOS, como adição, alteração e remoção de usuários, serviços, e outras configuração, em poucos cliques?

Descubra em:

www.routermage.com

Até a próxima!


MikroTik lança Beta do RouterOS 7

Muito aguardada pelos usuários do RouterOS, a MikroTik lançou hoje, dia 6 de Setembro de 2019, a versão BETA número 1 do RouterOS 7.

A versão para testes foi anunciada no MUM (MikroTik User Meeting) Russia 2019. E está disponível para testes em mt.lv/v7.

Até o presente momento, só está disponível para arquiteturas ARM, e “estável” em RouterBOARDs hAP ac^2 e WAPGR LTE/4G/LTE-US.

LEMBRANDO QUE é uma versão para testes, e com isso, muitas funcionalidades estão desabilitadas e/ou não funcionais.

Há também, um tópico no fórum oficial da MikroTik, sobre o lançamento da versão 7 Beta: Fórum Oficial MikroTik

Em breve teremos mais detalhes sobre testes, updates, e demais informações relacionadas ao RouterOS 7 Beta.

Já conhece os nossos serviços?

www.tchesolutions.com.br

Até mais!