WinBox er MikroTiks eget program til at konfigurere deres netværksudstyr. Det er gratis, kræver ingen installation, og det giver adgang til hele systemet gennem en grafisk grænseflade.
Men inden vi kommer til funktionerne: udstyret er et kendt mål, og der er nogle ting, der skal på plads først.
Fem ting, der skal på plads på enheden
Udstyret er et kendt mål. Ikke fordi det er dårligt, men fordi det er udbredt og ofte står med åben administrationsadgang.
1. Administrationsporten må ikke være åben mod internettet
Det er den vigtigste enkeltregel. Er porten tilgængelig udefra, bliver enheden fundet af automatiseret scanning inden for timer. Begræns adgangen til dit eget net eller til en VPN-forbindelse.
2. Hold systemet opdateret
Der har været sårbarheder i administrationsgrænsefladen, som blev udnyttet i stor skala mod enheder, der ikke var opdateret. De blev rettet — men rettelsen hjælper kun, hvis den installeres.
3. Skift standardadgangskoden med det samme
Og opret en bruger med et andet navn end det, der følger med. Automatiserede angreb prøver standardnavnet først.
4. Slå de tjenester fra, du ikke bruger
Under systemets liste over tjenester. Hver åben adgangsvej er en mulighed mere — og de fleste opsætninger har brug for langt færre, end der er slået til fra fabrikken.
5. Tag en sikkerhedskopi af konfigurationen
Inden du ændrer noget, og igen når det virker. Filen kan hentes ned til din egen maskine — og den er forskellen mellem ti minutters gendannelse og en aften forfra.
Overtager du en enhed fra en anden, eller har den stået åben i en periode: nulstil den til fabriksindstillinger og sæt den op forfra. Det er hurtigere end at lede efter, hvad der eventuelt er blevet ændret.
Det, der skal sikres først
Administrationsporten må ikke være åben mod internettet. Er den tilgængelig udefra, bliver enheden fundet af automatiseret scanning inden for timer.
Hold systemet opdateret. Der har været sårbarheder i administrationsgrænsefladen, som blev udnyttet i stor skala mod enheder, der ikke var opdateret.
Skift standardadgangskoden med det samme, og opret en bruger med et andet navn end det, der følger med.
Slå de tjenester fra, du ikke bruger.
Og tag en sikkerhedskopi af konfigurationen.
Overtager du en enhed fra en anden, så nulstil den og sæt den op forfra.
Sikker tilstand — brug den, og husk at slå den fra
Funktionen redder dig, når du låser dig selv ude. Den kan også koste dig en hel aftens arbejde, hvis du glemmer den.
| Hvad den gør | Registrerer alle dine ændringer, mens den er slået tilMister du forbindelsen — typisk fordi en regel spærrede din egen adgang — ruller enheden automatisk alt tilbage til det, der virkede |
|---|---|
| Hvornår du skal bruge den | Hver gang du ændrer noget, der kan spærre dig udeFirewallregler, adresser på grænseflader, routing. Altså det meste af det, man laver på afstand |
| Fælden | Lukker du programmet med den stadig slået til, ruller ALT tilbageOgså de ændringer, der virkede fint. Det er den hyppigste måde at miste en aftens arbejde på |
| Derfor | Slå den fra, når du er færdig Tjek at forbindelsen stadig virker, klik på knappen igen, og gem så konfigurationen |
| Og den har en grænse | Den registrerer et begrænset antal ændringerVed meget store omlægninger holder den op med at følge med. Del arbejdet op i mindre etaper |
Arbejder du på afstand på en enhed, du ikke kan komme fysisk hen til, er sikker tilstand ikke valgfri. Uden den er en forkert firewallregel det samme som en køretur.
Sikker tilstand
Funktionen registrerer alle dine ændringer, mens den er slået til.
Mister du forbindelsen — typisk fordi en regel spærrede din egen adgang — ruller enheden automatisk alt tilbage til det, der virkede.
Brug den hver gang, du ændrer noget, der kan spærre dig ude.
Men lukker du programmet med den stadig slået til, ruller alt tilbage. Også det, der virkede fint.
Slå den fra, når du er færdig, tjek at forbindelsen holder, og gem så konfigurationen.
Arbejder du på afstand, er den ikke valgfri.
Sådan forbinder du
Hent programmet fra producentens egen side. Der findes falske udgaver på andre sider — se afsnittet nedenfor.
Der er ingen installation. Filen køres direkte.
Skriv enhedens adresse i forbindelsesfeltet, eller find den under fanen med naboenheder, som viser MikroTik-udstyr på det lokale net.
Brugernavnet er som standard admin. På nyere enheder står adgangskoden på en seddel eller på selve enheden; på ældre er feltet tomt.
Skift den med det samme.
Forbindelse via MAC-adresse
Det er den funktion, der redder folk oftest, og den er værd at kende.
Har enheden ingen brugbar adresse — fordi den er ny, nulstillet, eller fordi du har konfigureret noget forkert — kan du forbinde direkte via dens hardwareadresse.
Det virker uden om det meste af netværksopsætningen.
Men du skal være på samme netværkssegment, altså tilsluttet med kabel til samme switch eller direkte til enheden.
Og det er ikke helt så pålideligt som en almindelig forbindelse. Brug det til at komme ind og rette fejlen — ikke til daglig administration.
Hvis du har låst dig ude
Prøv forbindelse via MAC-adresse først. Det omgår ofte den regel, der spærrede dig.
Virker det ikke, kan enheden nulstilles til fabriksindstillinger med knappen på selve enheden.
Det sletter hele konfigurationen — og det er dér, sikkerhedskopien viser sin værdi.
Til de sværeste tilfælde har producenten et værktøj, der kan geninstallere systemet over netværket.
Og lær af det: slå sikker tilstand til næste gang.
Hvad du kan konfigurere
Alt, systemet kan. Programmet er ikke en forenklet udgave — det viser hele konfigurationen.
Adresser, DHCP, DNS og routing.
Firewall og adresseoversættelse.
Grænseflader, herunder VLAN, bro og trådløst.
VPN-forbindelser af de gængse typer.
Båndbreddestyring, hvis nogen skal begrænses.
Og systemadministration: brugere, logning, planlagte opgaver og opdateringer.
Det er også derfor, det er nemt at ødelægge noget. Se afsnittet om sikker tilstand.
Om falske udgaver
Programmet er efterlignet på downloadsider.
Hent kun fra producentens egen adresse.
Filen er signeret, så Windows kan bekræfte, at den kommer fra producenten. Advarer Windows om en ukendt udgiver, har du hentet det forkerte sted.
Det er samme risikokategori som falske driversider — se vores gennemgang af lyd i Windows.
Alternativerne
Webgrænsefladen i systemet selv kræver ingen installation og er praktisk fra en fremmed maskine. Færre funktioner.
Kommandolinjen over SSH til automatisering og til de få indstillinger, den grafiske grænseflade ikke dækker.
Producentens mobilapps til hurtig kontrol eller til enkel opsætning af en hjemmerouter.
Og et overvågningsværktøj, hvis du har mange enheder og vil se dem samlet.
Til daglig administration er det her programmet, folk bruger.
Er det noget for dig?
Har du MikroTik-udstyr: ja. Det er det værktøj, der findes.
Overvejer du at købe det: tænk over hvorfor. Udstyret giver kontrol, som almindelige routere ikke gør, og det koster mindre end professionelle alternativer.
Men det konfigurerer ikke sig selv. En almindelig hjemmerouter fra din udbyder virker ud af kassen; denne skal sættes op.
Regn med at bruge tid, og regn med at gøre det forkert et par gange undervejs.
Er det ikke det, du er ude efter, er en almindelig router det rigtige valg. Se vores gennemgang af hvem der er på mit netværk.
Kilder
Hent kun programmet fra producentens egen side. Og hold enheden opdateret — de fleste angreb rammer udstyr, hvor rettelserne aldrig blev installeret.
- MikroTik — officiel download af WinBox og RouterOS – MikroTik
- MikroTiks officielle dokumentation til RouterOS og WinBox – MikroTik
- MikroTiks egen vejledning i at sikre en router – MikroTik
- Center for Cybersikkerhed om netværksudstyr og opdatering – CFCS
- CVE — slå kendte sårbarheder op på konkrete produkter og versioner – CVE Program
- Sikker Digital om sikring af netværk og adgangskoder – Digitaliseringsstyrelsen
Ofte stillede spørgsmål
Virker det med andre mærker?
Nej. Det er udelukkende til MikroTiks eget udstyr.
Hvad er standardadgangskoden?
Brugernavnet er admin. På nyere enheder står koden på en seddel eller på enheden; på ældre er feltet tomt. Skift den straks.
Jeg har låst mig ude — hvad gør jeg?
Prøv forbindelse via MAC-adresse. Virker det ikke, kan enheden nulstilles med knappen på den.
Hvad er det vigtigste sikkerhedsråd?
At administrationsadgangen ikke er åben mod internettet, og at systemet er opdateret.
Skal jeg bruge sikker tilstand?
Ja, hver gang du ændrer noget der kan spærre dig ude. Og husk at slå den fra igen.
Hvor henter jeg programmet?
Kun fra producentens egen side. Der findes falske udgaver.
Er det svært?
Ja, hvis du ikke har arbejdet med netværk før. Programmet viser hele konfigurationen uden forenkling.
Kan jeg tage en sikkerhedskopi?
Ja, og du bør. Konfigurationen kan hentes ned som fil og lægges tilbage.