Команды MikroTik RouterOS

mexan · 24 Дек 2025

Команды MikroTik RouterOS для сетевого администратора

1. Системная информация и управление

Показать информацию о системе
Код:
```
/system resource print
```
Имя устройства
Код:
```
/system identity print
```
Время и дата
Код:
```
/system clock print
```
Версия RouterOS
Код:
```
/system package print
```
Создать резервную копию
Код:
```
/system backup save name=backup-name
```
Загрузить резервную копию
Код:
```
/system backup load name=backup-name
```

2. Просмотр интерфейсов и портов

Все интерфейсы
Код:
```
/interface print
```
Только Ethernet порты
Код:
```
/interface ethernet print
```
Активные порты (со связью)
Код:
```
/interface ethernet print where status!="no-link"
```
Мониторинг порта
Код:
```
/interface ethernet monitor ether1
```
Статус PoE портов
Код:
```
/interface ethernet poe print
```

3. Мост (Bridge) и VLAN

Настройки моста
Код:
```
/interface bridge print
```
Порты в мосте
Код:
```
/interface bridge port print
```
VLAN на мосте
Код:
```
/interface bridge vlan print
```
VLAN интерфейсы
Код:
```
/interface vlan print
```
Включить VLAN фильтрацию
Код:
```
/interface bridge set bridge vlan-filtering=yes
```

Добавить VLAN на порт

Код:

/interface bridge vlan add bridge=bridge-name vlan-ids=99 tagged=ether1

4. IP адресация и DHCP

Все IP адреса
Код:
```
/ip address print
```
DHCP серверы
Код:
```
/ip dhcp-server print
```
DHCP пулы адресов
Код:
```
/ip dhcp-server network print
```
Арендованные адреса
Код:
```
/ip dhcp-server lease print
```
ARP таблица
Код:
```
/ip arp print
```

Добавить статический IP

Код:

/ip address add address=192.168.1.1/24 interface=ether1

5. Маршрутизация

Таблица маршрутизации
Код:
```
/ip route print
```
Добавить маршрут по умолчанию
Код:
```
/ip route add dst-address=0.0.0.0/0 gateway=192.168.1.1
```
Проверка связи (ping)
Код:
```
/ping 8.8.8.8 count=5
```
Trace route
Код:
```
/tool traceroute 8.8.8.8
```

6. Безопасность и Firewall

Правила фильтрации
Код:
```
/ip firewall filter print
```
NAT правила
Код:
```
/ip firewall nat print
```
Списки адресов
Код:
```
/ip firewall address-list print
```
Сервисы доступа
Код:
```
/ip service print
```
Пользователи
Код:
```
/user print
```

7. Диагностика и мониторинг

MAC таблица моста
Код:
```
/interface bridge host print
```

Поиск устройства по MAC

Код:

/interface bridge host print where mac-address="AA:BB:CC:DD:EE:FF"

LLDP соседи
Код:
```
/ip neighbor print
```
Логи системы
Код:
```
/log print
```
Мониторинг трафика на порту
Код:
```
/tool torch interface=ether1
```
Сканирование MAC адресов
Код:
```
/tool mac-scan interface=bridge
```

8. Обновление и обслуживание

Проверить обновления
Код:
```
/system package update check-for-updates
```
Скачать обновления
Код:
```
/system package update download
```
Установить обновления
Код:
```
/system package update install
```
Перезагрузка
Код:
```
/system reboot
```
Сброс конфигурации
Код:
```
/system reset-configuration
```

9. Полезные комбинации

Количество устройств в сети
Код:
```
/interface bridge host print count-only
```

Поиск MikroTik устройств по OUI

Код:

/interface bridge host print where mac-address~"C4:AD:34|4C:5E:0C"

Статус всех портов одной командой
Код:
```
/interface ethernet monitor 0,1,2,3,4,5,6,7,8,9,10,11
```

Создать VLAN и назначить IP одной строкой

Код:

/interface vlan add name=vlan99 vlan-id=99 interface=bridge ; /ip address add address=10.0.99.1/24 interface=vlan99

Совет: Всегда делайте backup перед изменениями!

Код:

/system backup save name=before-changes-$(/system clock get date)-$(/system clock get time)

mexan · 20 Янв 2026

10. Безопасность MikroTik

10.1 Базовая безопасность

Сменить пароль администратора
Код:
```
/user set admin password="strong_password"
```
Создать пользователя с правами только для чтения
Код:
```
/user add name=monitor group=read password="readonly_pass"
```
Просмотр активных сессий
Код:
```
/user active print
```
Заблокировать пользователя
Код:
```
/user disable monitor
```

10.2 Защита сервисов

Ограничить доступ к сервисам по IP
Код:
```
/ip service set ssh address=10.0.0.0/8,192.168.0.0/16
```
Отключить неиспользуемые сервисы
Код:
```
/ip service disable telnet,ftp,api
```

Изменить порты сервисов

Код:

/ip service set www port=8080
/ip service set ssh port=2222

Настройка сертификатов для SSL
Код:
```
/certificate print
```

10.3 Firewall - основные правила защиты

Блокировка spoofing атак (RFC1918)

Код:

/ip firewall filter add chain=input action=drop src-address=10.0.0.0/8 in-interface=ether1 comment="Block private IP from WAN"
/ip firewall filter add chain=input action=drop src-address=192.168.0.0/16 in-interface=ether1
/ip firewall filter add chain=input action=drop src-address=172.16.0.0/12 in-interface=ether1

Защита от SYN flood

Код:

/ip firewall filter add chain=input action=drop protocol=tcp tcp-flags=syn connection-state=new in-interface=ether1 limit=10,5 comment="SYN flood protection"

Детектор сканеров портов

Код:

/ip firewall filter add chain=input action=add-src-to-address-list address-list=bad_guys address-list-timeout=1d protocol=tcp connection-state=new in-interface=ether1 limit=5,5 comment="Port scan detection"
/ip firewall filter add chain=input action=drop src-address-list=bad_guys in-interface=ether1 comment="Block port scanners"

Блокировка управления с WAN

Код:

/ip firewall filter add chain=input action=drop protocol=tcp dst-port=22,443,8291,80,53 in-interface=ether1 comment="Block management from WAN"

10.4 Безопасность VLAN

Настройка безопасных портов

Код:

Access порт: /interface bridge port set ether2 frame-types=admit-only-untagged-and-priority-tagged pvid=99
Trunk порт: /interface bridge port set ether6 frame-types=admit-only-vlan-tagged pvid=1

Блокировка меж-VLAN трафика

Код:

/ip firewall filter add chain=forward action=drop src-address=192.168.0.0/24 dst-address=10.0.99.0/24 comment="Block CCTV → Management"

Изоляция сети CCTV от интернета

Код:

/ip firewall filter add chain=forward action=drop src-address=192.168.0.0/24 out-interface=ether1 comment="Block CCTV internet access"

10.5 Мониторинг безопасности

Просмотр заблокированных IP
Код:
```
/ip firewall address-list print where list="bad_guys"
```
Мониторинг атак
Код:
```
/log print where topics=firewall
```
Проверка неавторизованных подключений
Код:
```
/ip connection print
```

Сканирование сети на наличие rogue DHCP

Код:

/tool netwatch add host=192.168.1.1 interval=60s up-script="/log warning "Rogue DHCP detected!""

10.6 Рекомендации по харденингу

Отключить ненужные протоколы

Код:

/interface bridge set bridge igmp-snooping=no mld-snooping=no

Включить защиту от ARP spoofing
Код:
```
/interface bridge set bridge arp=proxy-arp
```
Настройка времени неактивности для пользователей
Код:
```
/user set admin inactivity-timeout=30m
```
Регулярная смена паролей
Код:
```
# Добавить в планировщик
```

10.7 Экстренные меры

Блокировка IP вручную

Код:

/ip firewall address-list add address=1.2.3.4 list=blacklist timeout=1d comment="Manual block"

Отключение всех внешних сервисов

Код:

/ip service disable www,ssh,winbox,api
/ip service set www disabled=yes
/ip service set ssh disabled=yes

Включение только localhost доступа

Код:

/ip service set www address=127.0.0.1/32
/ip service set ssh address=127.0.0.1/32

Важно:

Всегда тестируйте правила фаервола перед применением в production
Используйте "accept established,related" первым правилом в chain=input
Регулярно обновляйте RouterOS для закрытия уязвимостей
Ведите журнал всех изменений конфигурации

Команды MikroTik RouterOS

mexan

mexan