MikroTik RouterOS ile Güvenli Yönetim İskelesi: Winbox Servis Portu Değiştirme ve IP Kısıtlama Rehberi

İnternete Açık Yönetim Portlarının Taşıdığı Siber Riskler

MikroTik yönlendiriciler (RouterOS), ağ yöneticilerine grafiksel yönetim kolaylığı sağlayan tescilli Winbox (TCP Port 8291) protokolü ile donatılmıştır. Ancak kurulumu yapan teknik personelin en sık yaptığı güvenlik ihmali, Winbox portunu varsayılan 8291 değerinde bırakarak cihazın WAN (İnternet) bacağına doğrudan açık tutmasıdır. Küresel siber saldırganlar, otomatik port tarayıcıları (Shodan, Censys, Masscan) ile internetteki tüm 8291 portlarını sürekli taramakta; RouterOS üzerinde bilinen eski kimlik doğrulama açıklarını veya kaba kuvvet (Brute-Force) parola denemelerini bu kapıdan içeriye fırlatmaktadır. Korunmasız bir yönetim portu, routerın ele geçirilerek DNS sunucularının zehirlenmesine veya cihazın DDoS saldırılarında zombi yapılmasına yol açar.

MikroTik Yönetim Servislerinin Güvenlik Seviyeleri

RouterOS fabrika ayarlarında birçok yönetim protokolünü aynı anda dinler:

• Telnet (TCP 23) ve FTP (TCP 21): Tamamen şifresiz, açık metin (clear-text) çalışan eski servislerdir; kesinlikle kapatılmalıdır.
• WWW (TCP 80 – Webfig): Şifresiz HTTP arayüzüdür; ağ dinlemelerine karşı savunmasızdır.
• SSH (TCP 22): Kriptografik güvenli kabuktur ancak standart portta bırakılırsa saniyede onlarca şifre denemesine maruz kalır.
• Winbox (TCP 8291): İkili (binary) şifreli protokol çalıştırır ancak varsayılan portta dışarıya açık bırakılması kurumsal güvenlik ilkelerine aykırıdır.

1. Adım: Kullanılmayan Güvensiz Servislerin Kapatılması

Winbox terminali açılarak kullanılmayan portlar sistem seviyesinde devre dışı bırakılır:

/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set api disabled=yes
set api-ssl disabled=yes

2. Adım: Winbox Portunu Değiştirme ve Yerel Ağa Kısıtlama (Available From)

Winbox yönetim portu standart 8291 değerinden rastgele yüksek bir porta (Örn: 58291) taşınmalı ve sadece belirli IP bloklarına izin verilmelidir:

# Winbox Portunu Değiştirme ve Yalnızca Yönetim VLAN'ına İzin Verme:
/ip service
set winbox port=58291 address=192.168.10.0/24,10.250.0.0/24 comment="Guvenli Winbox"

# SSH Portunu Değiştirme:
set ssh port=52222 address=192.168.10.0/24

address= parametresi tanımlandığı anda, yetkili IP bloğu (Örn: Yönetim VLAN’ı veya VPN ağı) dışındaki hiçbir IP adresi porta fiziksel olarak paket gönderemez; dışarıdan tarama yapan botlar portu tamamen kapalı (Closed/Filtered) görür.

3. Adım: Güvenlik Duvarında Brute-Force Koruması (Blacklist Kuralı)

Yönetim portuna ardışık başarısız parola denemesi yapan saldırgan IP’lerini otomatik engellemek için Firewall filtresi eklenmelidir:

/ip firewall filter
add chain=input protocol=tcp dst-port=58291 connection-state=new src-address-list=black_list action=drop comment="Winbox Saldirganlarini Dusur"
add chain=input protocol=tcp dst-port=58291 connection-state=new src-address-list=winbox_stage3 action=add-src-to-address-list address-list=black_list address-list-timeout=1d
add chain=input protocol=tcp dst-port=58291 connection-state=new src-address-list=winbox_stage2 action=add-src-to-address-list address-list=winbox_stage3 address-list-timeout=1m
add chain=input protocol=tcp dst-port=58291 connection-state=new src-address-list=winbox_stage1 action=add-src-to-address-list address-list=winbox_stage2 address-list-timeout=1m
add chain=input protocol=tcp dst-port=58291 connection-state=new action=add-src-to-address-list address-list=winbox_stage1 address-list-timeout=1m

Bu kural zinciri, 1 dakika içinde 3 kez hatalı giriş denemesi yapan herhangi bir IP adresini anında kara listeye (black_list) ekler ve 24 saat boyunca cihaza tek bir paket dahi atmasını engeller.

MikroTik RouterOS siber güvenlik sıkılaştırması, kurumsal firewall mimarisi ve güvenli yönetim tünelleri kurulumunda BaykalSoft Ağ Güvenlik Hizmetleri birimimizle iletişime geçebilirsiniz.