Systeem en tijd

Het onderdeel Systeem staat altijd aan. Zelfs het kortste script geeft het apparaat een naam en zet een wachtwoord, want een RouterOS-apparaat komt zonder wachtwoord uit de doos. De rest van dit onderdeel gaat over dingen die je pas mist als er iets misgaat: een klok die klopt, een log dat een herstart overleeft, en een router die zichzelf bijwerkt of juist niet.

Waar je het vindt

In de wizard is dit de laatste stap, Naam en wachtwoord, met vier vragen: de naam, het wachtwoord, de tijdzone en of NTP aan moet. Alles wat hieronder verder staat vind je in geavanceerd onder Systeem.

Naam en wachtwoord

De naam van de router wordt de identity. Die zie je terug in WinBox, in neighbor discovery, in logregels en in de prompt van de terminal. Hij begint met een voorstel op basis van je model; in een netwerk met meer dan één apparaat is iets als gw-01 of sw-kantoor bruikbaarder dan hAP ax3.

Het wachtwoord voor admin is verplicht. De knop ernaast maakt er een van zestien tekens. Onder de twaalf tekens krijg je een waarschuwing boven het script, leeg laten is een fout. Je kunt de gebruiker admin ook hernoemen: dat scheelt de helft van het werk voor iemand die op goed geluk probeert in te loggen, want die moet dan zowel de naam als het wachtwoord raden.

Het wachtwoord wordt bewust als allerlaatste regel van het script gezet. Gaat er eerder iets mis, dan blijft het oude wachtwoord staan en houd je toegang tot een half geconfigureerde router in plaats van geen toegang tot een half geconfigureerde router.

Tijdzone en NTP

De tijdzone staat standaard op Europe/Amsterdam. Het script zet hem vast en zet autodetectie uit, zodat de klok niet meeverandert met wat de router denkt te zien.

De NTP-client staat aan, met nl.pool.ntp.org en time.cloudflare.com. Een router zonder kloppende tijd is lastiger dan het lijkt: certificaten lijken verlopen of nog niet geldig, logregels staan op 1970 en zijn niet meer aan elkaar te knopen, en een scheduler draait op het verkeerde moment. Heb je een eigen tijdserver, vul die dan in plaats daarvan in, gescheiden door komma's. Controleer achteraf met /system ntp client print of de status synchronized is.

Notitie bij inloggen

Een korte regel die iedereen ziet die inlogt, bijvoorbeeld wie het apparaat beheert en waar wijzigingen gemeld moeten worden. Handig bij apparatuur die je voor een klant beheert en waar ook anderen bij kunnen.

Logging

Standaard houdt RouterOS het log in het geheugen. Dat is weg na een herstart, en juist een herstart wil je achteraf verklaren. Je hebt twee alternatieven:

• Ook naar flash-schijf: het script maakt een logging-action disk met vijf bestanden van duizend regels en stuurt daar info, warning en error heen. Let op dat schrijven naar flash slijtage geeft; voor een apparaat dat jaren draait is een syslog-server vriendelijker.
• Ook naar een syslog-server: je vult een adres en een poort in (standaard 514). Daar gaan info, warning, error en critical heen. Dit is de enige optie waarbij het log ook nog bestaat als het apparaat zelf niet meer opstart.

Met firewall-drops loggen stuurt het script het onderwerp firewall mee naar je logbestemming. Bij de andere onderwerpen wordt firewall juist uitgesloten, zodat je het niet dubbel krijgt. Welke regels iets te loggen hebben bepaal je in het onderdeel Firewall; hier bepaal je alleen waar die regels terechtkomen.

Watchdog

De watchdog laat de router zichzelf herstarten als een adres onbereikbaar wordt. Het script zet een wachttijd van vijf minuten na het opstarten en een timeout van een minuut. Kies een adres bij je provider of verderop op internet, niet iets in je eigen netwerk dat zelf kan uitvallen: anders herstart de router zichzelf elke keer dat er een switch uit staat. Op een router met twee uplinks is Netwatch meestal het betere gereedschap, want dat kan iets doen zonder de hele router neer te halen.

RouterOS-versie en updates

Bij RouterOS-versie op het apparaat geef je aan wat er nu op staat. Het script wordt voor die versie geschreven, want de schrijfwijze van sommige opdrachten verschilt per versie. Kijk met /system resource print wat er draait. Werk bij voorkeur eerst bij naar de nieuwste versie en laat dit dan op de aanbevolen stand staan.

Het update-kanaal komt in /system package update. stable is de normale keus, long-term krijgt alleen nog correcties, testing hoort niet op een apparaat dat iets moet doen.

Automatisch updaten maakt een script upgrade en een scheduler weekly-upgrade die elke zondag om 04:00 controleert en installeert. Bedenk dat de router daarbij herstart. Voor een thuisrouter is dat prima, voor een apparaat waar een bedrijf 's nachts op draait niet. Op RouterBOARD-hardware staat daarnaast RouterBOOT automatisch bijwerken aan, zodat de bootloader meegaat met de firmware; op een CHR of een x86-installatie is er geen bootloader en verschijnt die optie niet.

Device-mode

Nieuwere RouterOS-versies blokkeren een aantal functies (containers, hotspot, IPsec, fetch, e-mail) tot je ze vrijgeeft, en dat vrijgeven vraagt om een fysieke herstart. De schakelaar door device-mode geblokkeerde onderdelen later toepassen haalt die regels uit je script en zet ze in een script dat één keer draait bij de eerstvolgende start. Het script eindigt dan met /system device-mode update activation-timeout=1d: je moet het apparaat binnen een dag uit en weer aan zetten, anders gaat het niet in. Tussen plakken en die herstart is het apparaat maar deels ingericht. Voor een gewone router is er niets geblokkeerd en voegt dit alleen risico toe, dus laat het uit tenzij je containers of een hotspot gebruikt.

Wat het script ervan maakt

Je herkent dit onderdeel aan /system identity, /system clock, /system ntp client, eventueel /system note, /system logging, /system watchdog, /system package update en helemaal onderaan /user set admin password=….

Als er iets niet klopt

• Certificaten worden geweigerd of VPN's komen niet op: controleer eerst de klok.
• Het log is leeg na een herstart: dan stond logging nog op geheugen.
• De router herstart uit zichzelf: kijk of de watchdog aan staat en welk adres hij bewaakt.
• Je kunt niet meer inloggen met admin: kijk of je de gebruiker hernoemd hebt. Het handover-blad vermeldt de naam die je gekozen hebt.

Verder lezen: Beheertoegang voor wie er vanaf waar bij mag, Het script gebruiken voor het veilig toepassen, en Problemen oplossen als het toch tegenzit.