шифрованный пароль для конфигурации mikrotik

Почему бы просто не использовать SSH-ключи? Если вы свяжете открытый ключ с пользователем и отключите вход по паролю, вы не сможете войти с помощью пароля. Украдя открытый ключ, вы получите доступ к любому устройству, на которое его установят. Вы можете держать закрытый ключ в секрете. Единственное, что я не проверил, это отключена ли авторизация по паролю, если никакой пароль не установлен на учетной записи пользователя. Это определенно так, если пароль настроен; для ваших целей это может быть 1234. Это не позволит войти ни вам, ни им. Сгенерируйте пару открытого и закрытого ключей для использования с административным пользователем. Это можно сделать с помощью Linux-команды: ssh-keygen -t rsa -b 2048 -C '' -f myfirstsshkey. Убедитесь, что на SSH-сервере установлено “always-allow-password-login” в значение “no” /ip ssh set always-allow-password-login=no. Загрузите открытый ключ на устройство MikroTik (вы можете разместить один и тот же открытый ключ на всех своих устройствах). Вы можете использовать SFTP (SSH) или множество других методов во время настройки. Свяжите открытый ключ с пользователем по умолчанию /user ssh-keys import public-key-file=myfirstsshkey.pub user=admin. Ура! Это можно протестировать из системы Linux: ssh -i myfirstsshkey admin@rtr1. Это можно протестировать из Windows через Putty: используйте Putty Key Generator, чтобы загрузить “myfirstsshkey” (закрытый ключ). Нажмите "Сохранить закрытый ключ", чтобы сохранить закрытый ключ в требуемом формате Putty. Запустите новое соединение Putty и в левом дереве перейдите к Connection → SSH → Auth. Нажмите на Auth. Нажмите "Обзор" справа от текстового поля под “Private key file for authentication” и перейдите к закрытому ключу в формате Putty (предположим, вы назвали его myfirstsshkey.ppk). Перейдите к Connection → Data. Нажмите на data и введите “admin” в текстовое поле справа от “Auto-login username”. Нажмите на Session и введите имя хоста или IP-адрес маршрутизатора. Нажмите Open (вы также можете сохранить конфигурацию сессии, чтобы не вводить всё заново). Во время этого эксперимента животные не пострадали, и для истории это было протестировано на hEX Gr3 с версией 6.38.5.

Что с доступом к winbox?

Настоящие мужчины используют SSH и SNMPv3 authPriv??? Шучу, я не могу говорить за Winbox, просто у меня пока не было в этом необходимости. Может быть, потому что я парень из Cisco и Linux, я всегда предпочитал работать в командной строке. Мне понравилось предложение от Нормиса касательно RADIUS. Я использовал MS NPS в мире Cisco для контроля доступа к устройствам, также применял проприетарный TACACS.

В таком случае вам понадобится либо пароль, либо SSH-ключ. Оба эти элемента требуют поддержания. Когда сотрудник уходит, их нужно менять сразу. Вы можете ограничить доступ, передавая этот пароль или ключ как можно меньшему количеству людей, а также используя разные ключи или пароли для каждого устройства и предоставляя их, скажем, только менеджеру или владельцу. Также вы можете ограничить доступ этой специальной учетной записи с правами администратора, разрешив вход только с определенного IP-адреса, что затруднит доступ к устройству. Например, можно создать учетную запись под названием «recovery» и требовать вход только с основного маршрутизатора. Основной маршрутизатор может обращаться к серверу RADIUS, так что администратор заходит туда как обычно. Затем они могут использовать учетную запись «recovery» и пароль или ключ для доступа к неработающим маршрутизаторам. Я не уверен, позволяет ли MikroTik доступ к локальной консоли (по последовательному порту), если вход пользователя ограничен по IP, на случай полной неисправности устройства. Как и во всем, что касается безопасности, если у вас есть физический доступ к оборудованию, это практически означает, что игра уже проиграна. Важно сочетать политику и техническую компетентность, а не полагаться исключительно на одно из этих направлений. Невозможно обезопасить что-то только за счет технологий для всех случаев, и также нецелесообразно полагаться только на политику для вашей защиты.

это именно то, что я хочу