Перед изменениями
Неправильное правило межсетевого экрана может отрезать доступ к роутеру — особенно при удалённой настройке. Поэтому:
- сохраните текущую конфигурацию:
/export file=before-changeи скачайте файл; - включите безопасный режим (кнопка Safe Mode в WinBox или
Ctrl+Xв терминале): если связь пропадёт, изменения откатятся автоматически; - по возможности работайте из офиса или имейте человека, который сможет перезагрузить роутер.
Обновление и учётные записи
/system package update set channel=stable
/system package update check-for-updates
/system package update install
# после перезагрузки обновите загрузчик
/system routerboard upgradeСтандартную учётную запись admin лучше заменить персональными: у каждого администратора — свой логин, чтобы в журнале было видно, кто вносил изменения.
/user add name=s.ivanov group=full password="<длинный пароль>"
/user disable adminЗакрыть лишние способы управления
По умолчанию на роутере работает несколько служб управления. Оставьте только нужные и ограничьте адреса, с которых к ним можно подключиться:
/ip service disable telnet,ftp,www,api,api-ssl
/ip service set winbox address=192.168.50.0/24
/ip service set ssh address=192.168.50.0/24
/ip neighbor discovery-settings set discover-interface-list=LAN
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LANПодсеть 192.168.50.0/24 здесь — пример офисной сети; укажите свою. Управление роутером из интернета без VPN держать открытым не нужно.
Базовые правила межсетевого экрана
Логика простая: к самому роутеру (цепочка input) разрешены ответы на собственные соединения и подключения из локальной сети, остальное из интернета отбрасывается. Транзитный трафик (forward) из интернета в сеть пропускается только для настроенных пробросов портов.
/ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="input: established"
add chain=input action=drop connection-state=invalid comment="input: invalid"
add chain=input action=accept protocol=icmp comment="input: icmp"
add chain=input action=accept in-interface-list=LAN comment="input: LAN"
add chain=input action=drop comment="input: drop all else"
add chain=forward action=fasttrack-connection connection-state=established,related hw-offload=yes
add chain=forward action=accept connection-state=established,related,untracked
add chain=forward action=drop connection-state=invalid
add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN \
comment="forward: drop WAN not DSTNATed"Если на роутере настроен VPN, правило, разрешающее его порт, должно стоять выше последнего правила input. Интерфейсы должны входить в списки LAN и WAN: /interface list member print.
Отдельно проверьте DNS. Если включено allow-remote-requests=yes, а входящие запросы на порт 53 из интернета не закрыты, роутер становится открытым DNS-резолвером и может использоваться в атаках.
Резервная копия и время
/system ntp client set enabled=yes servers=0.ru.pool.ntp.org,1.ru.pool.ntp.org
/system backup save name=office-router password="<пароль архива>"
/export file=office-router-configДвоичная копия (backup) восстанавливается только на такой же модели; текстовый экспорт (export) удобно читать и сравнивать. Храните обе копии вне роутера и обновляйте после каждого изменения. Правильное время нужно для журналов и сертификатов.
Что дальше
Это база. Для бизнеса обычно настраивают ещё сегментацию (гости, кассы, камеры и сотрудники в разных VLAN), резервный канал интернета, VPN для сотрудников и мониторинг. Как выбрать VPN — в материале «WireGuard, OpenVPN или IPsec». Настройка MikroTik и Keenetic для бизнеса — от 4 000 ₽ в час, сегментация сети и VLAN — от 4 000 ₽ в час по прайсу от 30.08.2026.
Частые вопросы
Опасно ли обновлять RouterOS?
Обновление в канале stable обычно проходит штатно, но перед ним нужна резервная копия, а сам роутер перезагрузится. Планируйте обновление вне рабочего времени.
Нужно ли менять порт WinBox?
Смена порта мало что даёт. Надёжнее закрыть управление из интернета правилами и ограничить адреса, с которых разрешён вход.
Что делать, если роутер уже взломан?
Отключите управление из интернета, сохраните экспорт для анализа, проверьте пользователей, планировщик и скрипты, затем сбросьте конфигурацию и настройте роутер заново с актуальной прошивкой. Смените все пароли, которые на нём хранились.