Sécuriser l'administration à distance d'un MikroTik : liste de contrôle pratique

L'administration à distance est pratique, et c'est aussi la première chose que sondent les attaquants. Ces étapes prennent quelques minutes et éliminent l'essentiel du risque. Chaque commande est une commande RouterOS standard ; exécutez-les dans un terminal tant que vous pouvez encore joindre le routeur localement.

1. Ne pas exposer l'administration sur Internet

Des robots scannent Internet toute la journée à la recherche de Winbox (port 8291), de SSH et de l'interface web. La configuration la plus sûre consiste à ne pas publier ces services et à les atteindre par un tunnel, ce que fait l'accès à distance sans IP publique.

2. Utiliser un utilisateur nommé avec un mot de passe robuste

Créez votre propre utilisateur avec une phrase de passe longue et unique, vérifiez que vous pouvez vous connecter avec, puis seulement désactivez le compte par défaut.

/user add name=ops group=full password="a-long-unique-passphrase"
/user disable admin

3. Désactiver les services inutilisés

Listez ce qui écoute, puis coupez ce dont vous n'avez pas besoin. Telnet, FTP et l'interface web simple sont rarement nécessaires.

/ip service print
/ip service set telnet disabled=yes
/ip service set ftp disabled=yes
/ip service set www disabled=yes

Gardez ceux que vous utilisez vraiment, par exemple winbox, ssh et api.

4. Limiter qui peut se connecter

Chaque service peut être restreint aux adresses qui doivent y accéder. Remplacez l'exemple par votre propre réseau :

/ip service set winbox address=192.168.88.0/24

5. Utiliser Safe Mode pour modifier les règles d'accès

Safe Mode annule vos modifications si la connexion tombe : une erreur dans une règle de pare-feu ou un réglage de service ne peut donc pas vous enfermer dehors. Dans Winbox, cliquez sur le bouton Safe Mode ; dans un terminal, appuyez sur Ctrl+X. Faites le changement, vérifiez que vous avez toujours accès, puis quittez Safe Mode pour le conserver.

6. Mettre à jour RouterOS

/system package update check-for-updates

Installez les mises à jour du canal de versions que vous utilisez, et lisez d'abord les notes de version sur les routeurs en production.

7. Sauvegarder avant de modifier

/system backup save name=before-changes

Téléchargez le fichier depuis Files pour en garder une copie en dehors du routeur.

Avec tout cela en place, un routeur administré à distance est en bonne forme. Si vous n'avez pas encore configuré l'accès à distance, commencez par notre guide et voyez quel protocole VPN convient à votre réseau.