MikroTik, Letonya'nın başkenti Riga merkezli bir ağ donanımı ve yazılımı üreticisidir; RouterOS ise bu firmanın router, switch ve kablosuz cihazlarında çalışan ağ işletim sistemidir. Kısacası "MikroTik nedir" sorusunun cevabı iki parçalıdır: bir yanda firmanın ürettiği cihazlar (Ethernet router'lar, switch'ler, kablosuz sistemler ve RouterBOARD ürünleri), öbür yanda bu cihazların hepsini yöneten ortak yazılım, yani RouterOS.
Bu yazıda RouterOS'un ne işe yaradığını, cihazı hangi araçlarla yönetebileceğinizi, lisans seviyelerinin ne anlama geldiğini ve ilk bağlantıdan sonra MikroTik belgelerinin önerdiği temel güvenlik adımlarını sade bir dille anlatıyoruz. Güvenlik duvarı kavramına yabancıysanız önce güvenlik duvarı (firewall) nedir yazımıza göz atabilirsiniz.
RouterOS nedir, ne yapar?
MikroTik belgelerine göre RouterOS, Linux çekirdeği üzerine kurulu, kendi başına çalışan bir işletim sistemidir. MikroTik donanımlarına güç verir, ayrıca sanal makinelerde de çalıştırılabilir. Sanal makine sürümü CHR (Cloud Hosted Router) olarak adlandırılır; ona ayrı bir yazıda değindik: MikroTik CHR nedir.
Güncel RouterOS kılavuzu, sistemin yönlendirme (routing), güvenlik duvarı (firewalling), VPN, kablosuz yönetimi, hizmet kalitesi (QoS), otomasyon ve izleme araçlarını tek bir platformda topladığını söyler. Kılavuzdaki ana başlıklar da bu kapsamı gösterir:
| Kılavuzdaki başlık | Kısaca ne anlama gelir |
|---|---|
| Wired Connections and Wireless | Kablolu arayüzler ve Wi-Fi yapılandırması |
| Bridging and Switching | Köprüleme ve switch işlevleri (VLAN dahil) |
| Routing and Networking Protocols | Statik ve dinamik yönlendirme |
| Firewall and Quality of Service | Paket filtreleme, NAT ve bant genişliği yönetimi |
| Virtual Private Networks | VPN tünelleri |
| AAA and User Management | Kimlik doğrulama ve kullanıcı yönetimi |
| Network Services | DHCP, DNS gibi ağ servisleri |
| High Availability Solutions | Yedekli ve kesintisiz yapılar |
| Storage and Containers | Depolama ve container desteği |
Bunların yanında RouterOS bir HotSpot (captive portal) özelliği de içerir: kullanıcılar internete çıkmadan önce bir giriş sayfasında kimlik doğrular. Kafe, otel veya misafir ağlarında kullanılan bu yapıyı 5651 loglama ve hotspot yazımızda anlattık. NAT ve port yönlendirme için NAT nedir, adres dağıtımı için DHCP nedir, VLAN için de VLAN nedir yazılarına bakabilirsiniz.
Router, switch ve access point farkı
MikroTik ürün yelpazesinde router (yönlendirici), switch (anahtar) ve kablosuz cihazlar bir arada bulunur ve çoğu RouterOS çalıştırır. Bir router ağlar arasında trafik yönlendirir, bir switch aynı ağdaki cihazları birbirine bağlar, bir access point ise kablosuz istemcilere bağlantı sunar. Bu farkları ayrıntılı görmek için router, modem, switch ve access point farkı yazısını okuyabilirsiniz.
MikroTik yönetim araçları: WinBox, WebFig, CLI ve SSH
MikroTik belgelerindeki "Management tools" sayfası, cihazı yönetmenin yollarını şöyle listeler:
| Araç | Ne işe yarar |
|---|---|
| WinBox | Masaüstü yapılandırma programı |
| WebFig | Cihazın içinde gelen web arayüzü, tarayıcıdan açılır |
| CLI (komut satırı) | Telnet, SSH, seri kablo veya VGA çıkışlı modellerde klavye ve monitörle metin tabanlı yönetim |
| MikroTik mobil uygulaması | Telefon veya tabletten yönetim |
| Seri konsol | IP veya MAC bağlantısı yokken seri port (modele göre DB9 veya RJ45) üzerinden erişim |
WinBox
WinBox, RouterOS'u yönetmek için küçük bir grafik arayüz (GUI) programıdır. Belgeye göre işlevleri konsoldakilerle olabildiğince aynı tutulmuştur; ancak bir arayüzün MAC adresini değiştirmek gibi bazı ileri veya sistem açısından kritik ayarlar WinBox'ta yoktur. Windows için yerel sürümü vardır; Linux ve macOS'ta Wine ile çalıştırılabilir, indirme sayfasında Linux ve macOS için yerel bir beta sürümden de söz edilir.
Bağlanırken "Connect To" alanına cihazın IP adresini yazmanız önerilir. MAC adresiyle bağlanmak da mümkündür ancak ağ yayınlarını (broadcast) kullandığı için daha az güvenilirdir. "Neighbors" sekmesi yakındaki MikroTik cihazlarını listeler. Servis portunu değiştirdiyseniz adresin sonuna iki nokta ile portu eklersiniz, örneğin 192.168.88.1:9999.
WebFig
WebFig, ek yazılım gerektirmeyen, tarayıcı üzerinden çalışan yönetim arayüzüdür ve WinBox'a benzer bir düzene sahiptir. Belgeye göre varsayılan adres 192.168.88.1, varsayılan kullanıcı adı admin ve parola boştur (bazı cihazlarda parola etiket üzerinde yazar). Bilgisayarınızın aynı ağda olması gerekir, örneğin 192.168.88.2. WebFig ile yapılandırmayı görüp düzenleyebilir, arayüz istatistiklerine ve loglara bakabilir, ping ve traceroute gibi araçları kullanabilir, sağ üstten terminal açabilirsiniz. HTTPS ile erişmek için önce bir sertifika oluşturup imzalamanız ve www-ssl servisini etkinleştirmeniz gerekir.
CLI ve SSH
Komut satırına seri port, Telnet, SSH, WinBox içindeki terminal penceresi veya monitör ve klavye ile ulaşılabilir. CLI menüleri hiyerarşiktir: bir komutu tam yoluyla çalıştırabilir ya da önce ilgili menüye girip orada komut verebilirsiniz. / en üst seviyeye döner, .. bir üst seviyeye çıkar. SSH ile bağlanmayı genel olarak SSH ile sunucuya bağlanma yazımızda anlattık.
/ip address print
/ip route print
/interface printBelgedeki bir ayrıntı: bir listede print ile görülen sıra numaraları diğer listeleri etkilemez. Yani /ip address print çalıştırmak arayüz listesinin numaralandırmasını değiştirmez.
RouterOS lisans seviyeleri
RouterBOARD donanımları lisansı önceden yüklenmiş olarak gelir. x86 sistemlerde ise kurulumdan sonra RouterOS 24 saat deneme (trial) modunda çalışır ve cihazın Software ID değerine bağlı bir lisans anahtarı girilmesi gerekir. Belgedeki tablodan seçilmiş bazı satırlar:
| Özellik | Level 1 (demo) | Level 3 (WISP CPE) | Level 4 | Level 5 | Level 6 |
|---|---|---|---|---|---|
| PPPoE / PPTP / L2TP tünel | 1 | 200 | 200 | 500 | Sınırsız |
| OVPN tünel | 1 | 200 | 200 | Sınırsız | Sınırsız |
| VLAN arayüzü | 1 | Sınırsız | Sınırsız | Sınırsız | Sınırsız |
| HotSpot aktif kullanıcı | 1 | 1 | 200 | 500 | Sınırsız |
| User Manager aktif oturum | 1 | 10 | 20 | 50 | Sınırsız |
| RADIUS | Yok | Sınırsız | Sınırsız | Sınırsız | Sınırsız |
- Level 3 yalnızca kablosuz istemci (CPE) lisansıdır ve x86 için satılmaz.
- Level 2 eski bir biçimdir, artık satılmaz.
- Standart lisansların süresi dolmaz, tek bir kurulumu kapsar ve sınırsız yazılım güncellemesi içerir. Demo lisans RouterOS 7.8 ile birlikte güncelleme izni vermez.
- Lisans, depolama birimine ait Software ID'ye bağlıdır. Diski MikroTik dışı araçlarla biçimlendirmek veya yeniden imajlamak lisansı yok edebilir.
- CHR'nin lisans modeli farklıdır (Free, P1, P10, P-Unlimited); ayrıntılar CHR yazısında.
İlk bağlantı adımları
MikroTik'in "First Time Configuration" sayfası ev ve küçük ofis cihazları için şu sırayı anlatır:
- İnternet servis sağlayıcınızın kablosunu ether1 portuna, bilgisayarınızı ether1 dışındaki bir porta takın, cihazı açın ve yaklaşık bir dakika bekleyin.
- WinBox'ı mikrotik.com/download adresinden indirin; kurulum gerektirmez.
- WinBox'ta "Connect To" yanındaki düğmeye basıp Neighbors sekmesinden cihazın IP adresine çift tıklayın. IP 0.0.0.0 görünüyorsa MAC adresine çift tıklayın.
- Kullanıcı adı
admin, parola boş ya da cihaz etiketinde yazılı olandır.
Belgeye göre fabrika yapılandırması temel güvenlik duvarı kurallarını, bir DHCP sunucusunu ve kablosuz güvenlik ayarlarını içerir. Yeni başlıyorsanız bu varsayılanları korumanız önerilir; belge, varsayılan yapılandırmayı silmenin tüm güvenlik kurallarını da kaldırdığını ve bunu yalnızca ileri düzey kullanıcıların yapması gerektiğini vurgular.
Temel güvenlik adımları (belgelere göre)
MikroTik'in "Securing your router" ve "First Time Configuration" sayfalarındaki öneriler özetle şunlardır. Komutlar belgede yazıldığı biçimdedir; kendi kullanıcı adı ve parolanızı yazarak uygulayın.
1. RouterOS'u güncelleyin ve parolayı değiştirin
İlk adım WinBox ya da WebFig üzerinden güncellemeleri kontrol edip en son sürümü kurmaktır. Ardından en az 12 karakterli, sayı, sembol, büyük ve küçük harf içeren, sözlükte geçmeyen bir parola belirleyin. Belgeye göre kayıp parola kurtarılamaz; yapılandırmayı sıfırlamanız veya yeniden kurmanız gerekir.
/password
# ya da
/user set 0 password="yeni-guclu-parola"2. admin kullanıcısının yerine yeni kullanıcı
Belgeler tam yetkili yeni bir kullanıcı oluşturup girişini doğruladıktan sonra varsayılan admin hesabını devre dışı bırakmayı (veya kaldırmayı) önerir:
/user add name=myname password=mypassword group=full
/user disable admin3. Kullanmadığınız servisleri kapatın
"First Time Configuration" sayfasında kullanılmayan yönetim servislerinin kapatılması, SSH portunun değiştirilmesi ve WinBox erişiminin yerel ağla sınırlandırılması örneklenir:
/ip service disable telnet,ftp,www,api
/ip service set ssh port=2200
/ip service set winbox address=192.168.88.0/244. MAC erişimi, neighbor discovery ve diğer servisler
Belgeler MAC Telnet ve MAC WinBox erişimini ya tamamen kapatmayı ya da yalnızca LAN arayüz listesine izin vermeyi; neighbor discovery'yi de aynı şekilde sınırlandırmayı önerir. İnternete bakan arayüzde bu servislerin açık olmaması amaçlanır:
/interface list add name=LAN
/interface list member add list=LAN interface=bridge1
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
/ip neighbor discovery-settings set discover-interface-list=LANBelgede ayrıca şu servislerin gerekmiyorsa kapatılması önerilir:
/tool bandwidth-server set enabled=no
/ip dns set allow-remote-requests=no
/ip proxy set enabled=no
/ip socks set enabled=no
/ip upnp set enabled=no
/ip ssh set strong-crypto=yesUzaktan erişim konusunda belgedeki öneri nettir: varsayılan güvenlik duvarı WAN tarafından gelen bağlantıları engeller; uzaktan yönetim gerekiyorsa WireGuard gibi bir VPN kullanın. VPN kavramı için VPN nedir, kurulum için WireGuard VPN kurulum rehberi yazılarımıza bakabilirsiniz.
Sık Sorulan Sorular
MikroTik bir marka mı, işletim sistemi mi?
MikroTik firmanın adıdır. Cihazlarda çalışan işletim sisteminin adı RouterOS'tur. RouterBOARD ise firmanın donanım ürünlerinden birinin adıdır.
MikroTik'e ilk girişte kullanıcı adı ve parola nedir?
Belgeye göre kullanıcı adı admin'dir; parola boştur ya da cihazın etiketinde yazar. İlk girişten sonra parolayı hemen değiştirmeniz önerilir.
WinBox mı WebFig mi kullanmalıyım?
İkisi benzer düzende arayüzlerdir. WinBox masaüstü programıdır ve MAC adresiyle bağlanabilir; WebFig kurulum gerektirmez ve tarayıcıdan açılır. Komut satırını sevenler CLI ve SSH kullanabilir. Hepsi aynı yapılandırmayı yönetir.
RouterOS sanal sunucuda çalışır mı?
Evet, belgeler RouterOS'un sanal makineler için de sunulduğunu belirtir; bu sürümün adı CHR'dir. Ayrıntılar için MikroTik CHR yazımıza bakın.
Lisans seviyesini nereden görürüm?
Lisans anahtarları cihazın license menüsünden veya CLI üzerinden girilir ve ardından yeniden başlatma yapılır. RouterBOARD cihazlarda lisans hazır gelir.
Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.
İlgili içerikler: Güvenlik duvarı nedir · MikroTik CHR nedir · NAT ve port yönlendirme · VLAN nedir · DHCP nedir · Router, switch ve access point farkı · IP adresi nedir · VPN nedir