Bij een MikroTik hoort geen app en geen cloudaccount. Je gaat er zelf naartoe, over het netwerk, met een van een handvol gereedschappen. Ze praten allemaal met dezelfde RouterOS eronder: wat je in de een kunt, kun je in de ander ook. Het verschil zit in het gemak, en in wat er nog werkt als er iets stuk is.
De manieren om binnen te komen
- WinBox
- Een klein programma van de downloadpagina van MikroTik. Het laat de hele configuratie zien in vensters en lijsten en is wat de meeste mensen dagelijks gebruiken. Het is een Windows-programma; MikroTik publiceert ook versies voor Linux en macOS, en het draait onder Wine.
- WebFig
- Dezelfde menu's in een browser, geserveerd door de router zelf. Niets te installeren, dus dit is wat je pakt op een geleende laptop of op je telefoon. Het is gewoon HTTP zolang je de router geen certificaat geeft, dus behandel het op een netwerk dat je niet vertrouwt ook zo.
- SSH
- Een terminal vanaf elke machine met een SSH-client, en dat is elke machine. Hier plak je een script, hier draai je
/export, en hier gebeurt alles wat je wilt kunnen herhalen. - De terminal in WinBox of WebFig
- Dezelfde commandoregel, in een venster van het grafische programma. Handig als je aan het klikken bent en even iets wilt nakijken, of een blok configuratie wilt plakken zonder een tweede programma te openen.
- De seriële console
- Op modellen met een seriële poort: een console die het nog doet als het netwerk het niet doet. Het is de laatste deur voor Netinstall.
De menu's in WinBox en WebFig heten naar de commando's. /ip address in de terminal is IP en dan Addresses in het venster. Als je dat eenmaal ziet, vind je een commando uit een forumbericht zo terug in de interface, en andersom.
De buurlijst, en een apparaat op MAC-adres vinden
RouterOS-apparaten maken zich op het lokale segment bekend met MikroTiks eigen ontdekkingsprotocol, en ze luisteren daarnaast naar CDP en LLDP. WinBox laat zien wat het hoort onder Neighbors: identiteit, MAC-adres, IP-adres, versie en bord. Apparatuur van andere merken kan er ook in staan, wat een snelle manier is om te zien wat er werkelijk ingeprikt zit.
Die lijst redt je als het adres niet klopt. Een apparaat op fabrieksinstellingen staat op 192.168.88.1, jouw laptop staat op iets anders, en er routeert niets tussen die twee. In de buurlijst klik je dan op de kolom met het MAC-adres in plaats van op de kolom met het IP-adres, en WinBox verbindt op laag 2, zonder dat beide kanten het over IP eens hoeven te zijn. Er is een terminalvariant van hetzelfde: MAC-telnet.
Er zitten grenzen aan, en die wil je kennen voordat je erop leunt:
- Het werkt binnen één broadcastdomein. Door een router heen vind je niets.
- Een MAC-sessie gebruikt broadcasts en is minder betrouwbaar dan een IP-sessie. Het advies van MikroTik, en het onze, is: gebruik het om binnen te komen en het apparaat een bereikbaar adres te geven, niet om er een avond op te werken.
- Je eigen netwerkkaart heeft nog steeds enige IP-configuratie nodig, anders komen de ontdekkingspakketten niet bij het programma aan.
- Een firewall op je eigen laptop is de gebruikelijke reden dat het tabblad Neighbors leeg blijft.
- Een dichtgezette configuratie kan MAC-toegang beperken of uitzetten. Dat is met opzet, en precies daarom is een fysieke weg naar binnen zo nuttig.
Daarmee zijn we bij de goedkoopste verzekering die er is: een offbridge-poort. Onze scripts kunnen één poort buiten de bridge en buiten alle VLANs houden, met een eigen adres, zodat er altijd een poort is waar een laptop binnenkomt. Zie Het script gebruiken.
Wanneer gebruik je wat
- Rondkijken, één instelling wijzigen: WinBox. Je ziet alles tegelijk.
- Een gegenereerde configuratie plakken: een terminal, in één keer, via SSH of in het terminalvenster van WinBox. Niet in het scriptvenster, dat gedraagt zich anders.
- Geen software mogen installeren op de machine waar je zit: WebFig.
- Het apparaat staat in het verkeerde subnet, of je hebt jezelf buitengesloten: de buurlijst en een MAC-verbinding, of de offbridge-poort.
- Een apparaat achter een andere MikroTik: RoMON, dat beheerverkeer op laag 2 tussen MikroTik-apparaten vervoert, zodat een switch zonder adres toch bereikbaar is. Het staat standaard uit en verdient een eigen wachtwoord.
- Er reageert helemaal niets meer: de seriële console als het model die heeft, dan een reset, dan Netinstall.
Houd de deuren op orde
Al deze ingangen zijn diensten die je kunt uitzetten, op een andere poort kunt zetten of tot een bronadres kunt beperken. Er is geen reden waarom WinBox, SSH of de webinterface vanaf het internet zou moeten antwoorden, en er zijn veel redenen waarom niet. Wat wij genereren zet de ongebruikte dicht; de gedachte erachter staat in Beheertoegang.
Voordat je iets wijzigt op een apparaat waar je zelf doorheen verbonden bent: zet safe mode aan. Valt je sessie weg, dan draait RouterOS de wijzigingen terug. Zie Safe mode.
Verder lezen: Het script gebruiken, Beheertoegang, Als er iets misgaat.