MikroTik RouterOS v7 & Fortinet FortiOS: Ściągawka CLI i Triage Zapory
W środowiskach średnich przedsiębiorstw, u operatorów ISP oraz w oddziałach korporacyjnych MikroTik i Fortinet tworzą trzon routingu brzegowego i zapór NGFW. Gdy atak DDoS zapycha tablicę połączeń conntrack lub przeciążenie pamięci aktywuje tryb Conserve Mode, interfejsy graficzne WWW przestają odpowiadać. Oto inżynieryjny przewodnik przetrwania w konsoli CLI, zrzuty pakietów w czasie rzeczywistym i procedury Zero-Trust.
⚠️ KRYTYCZNA ZASADA WDROŻENIOWA: Nigdy nie edytuj łańcuchów firewall ani polityk IPsec bez siatki bezpieczeństwa. Na MikroTiku bezwzględnie włącz
Ctrl + X (Safe Mode) przed wpisaniem polecenia. Na Fortinecie zachowaj równoległą sesję konsoli OOB lub skonfiguruj automatyczny timer wycofywania konfiguracji przed zmianą interfejsów zarządzających.
📶
Potrzebujesz Karty 8 do laminowania na szafę RACK?
Sprawdź Kartę 8 w talii SpecInfo Runbook: Awaryjny Triage Brzegu i Zapory dla MikroTik v7 i FortiOS CLI.
1. Kamień z Rosetty: MikroTik RouterOS vs. Fortinet FortiOS
Zestawienie bezpośrednich odpowiedników diagnostycznych w konsoli tekstowej ratuje cenny czas administratora podczas eskalacji incydentów:
| Zadanie Administracyjne | 📶 MikroTik RouterOS v7 | 🛡️ Fortinet FortiOS CLI |
|---|---|---|
| Inspekcja Tablicy Routingu Aktywne trasy FIB i brama domyślna |
/ip route print where active |
get router info routing-table all |
| Przeciążenie RAM i Zasobów Wykrywanie zużycia pamięci i CPU |
/system resource print |
diagnose hardware sysinfo memory |
| Zrzut i Sniffer Pakietów w Locie Analiza ruchu na żywo dla portu 443 |
/tool torch interface=ether1 port=443 |
diagnose sniffer packet any "port 443" 4 20 l |
| Tablica Śledzenia Stanu (Conntrack) Czyszczenie i zliczanie aktywnych sesji |
/ip firewall connection print count-only |
diagnose sys session full-stat |
| Status Tuneli VPN IPsec Weryfikacja Fazy 1 IKE i Fazy 2 IPsec |
/ip ipsec active-peers print |
diagnose vpn ike gateway list |
| Eksport Kopii Konfiguracji Plik tekstowy bez haseł i domyślnych wpisów |
/export file=rescue_cfg compact hide-sensitive |
execute backup config ftp /backup.cfg 10.0.0.5 user pass |
| Awaryjny Ratunek i Rollback Zabezpieczenie przed utratą sesji |
Ctrl + X (przełącznik Safe Mode) |
execute rollback-config (FortiManager) |
2. Interaktywny Niezbędnik Poleceń CLI
Tryb Safe Mode & Awaryjny Dostęp L2 RoMON
Aktywacja automatycznego cofania zmian w razie zerwania łącza oraz uruchomienie warstwy RoMON do zarządzania po adresach MAC bez sprawnego IP.
# Wciśnij Ctrl + X aby włączyć Safe Mode (monit w konsoli: <SAFE>)
/export file=rescue_cfg compact hide-sensitive
/romon set enabled=yes secrets="SpecSecure2026"
/system backup save name=pre_maintenance_backup
Mitygacja Przepełnienia Conntrack (DDoS) & Reguły RAW
Gdy tablica śledzenia sesji osiąga limit pod atakiem SYN flood, odciąż procesor regułą sprzętową FastTrack oraz bezstanowym zrzucaniem w tabeli RAW.
/ip firewall connection print count-only
/ip firewall connection tracking set max-entries=524288
/ip firewall connection remove [find timeout>30s]
/ip firewall raw add chain=prerouting src-address-list=blackhole action=drop comment="Stateless Pre-Routing Drop"
/ip firewall filter add chain=forward action=fasttrack-connection connection-state=established,related order=1
Konfiguracja Tunelu WireGuard Site-to-Site
Wdrożenie natywnego tunelu WireGuard w RouterOS v7 zapewniającego lekki, wydajny i bezpieczny tranzyt ruchu między oddziałami.
/interface wireguard add name=wg-branch01 listen-port=13231 mtu=1420
/ip address add address=10.254.0.1/30 interface=wg-branch01
/interface wireguard peers add interface=wg-branch01 public-key="TARGET_PEER_PUBKEY=" allowed-address=10.254.0.2/32,192.168.20.0/24 endpoint-address=203.0.113.10 endpoint-port=13231 persistent-keepalive=25s
/ip route add dst-address=192.168.20.0/24 gateway=10.254.0.2
Triage Stanu Conserve Mode & Zwalnianie Pamięci RAM
Identyfikacja procesów WAD/IPS zużywających nadmierną ilość pamięci, restart procesów roboczych i zapobieganie omijaniu inspekcji UTM.
diagnose hardware sysinfo memory
diagnose sys top 2 25
fnsysctl killall wad
diagnose debug crashlog read
config system global
set memory-use-threshold-extreme 92
set memory-use-threshold-red 88
end
Śledzenie Przepływu Pakietów (Packet Flow Trace) & Sniffer
Laboratoryjny zrzut decyzji kontrolera jądra – dlaczego ruch jest odrzucany, która reguła zezwoliła na pakiet i czy zadziałała translacja NAT.
diagnose debug reset
diagnose debug flow filter saddr 192.168.1.100
diagnose debug flow filter daddr 10.0.0.50
diagnose debug flow filter dport 443
diagnose debug flow show function-name enable
diagnose debug flow trace start 15
diagnose debug enable
# Uruchomienie sniffera w tle:
diagnose sniffer packet any "host 192.168.1.100 and port 443" 4 20 l
Diagnoza i Reset Tuneli VPN IPsec (IKEv2)
Analiza liczników błędów negocjacji, wymuszenie re-keyingu i czyszczenie zawieszonych skojarzeń bezpieczeństwa SA bez restartu zapory.
diagnose vpn ike gateway list name "IPSEC_HQ_TUNNEL"
diagnose vpn tunnel list name "IPSEC_HQ_TUNNEL"
diagnose vpn ike status
diagnose vpn ike gateway clear name "IPSEC_HQ_TUNNEL"
diagnose vpn tunnel flush "IPSEC_HQ_TUNNEL"
Weryfikacja Klastra HA & Synchronizacja Sum Kontrolnych
Porównanie sum kontrolnych węzłów, diagnoza stanów split-brain oraz wymuszenie ponownej synchronizacji bazy konfiguracyjnej z węzła Primary.
get system ha status
diagnose sys ha checksum cluster
diagnose sys ha checksum recalculate
execute ha synchronize stop
execute ha synchronize start
3. Zasady Bezpieczeństwa i Zgodność z NIS2
🛡️ OBOWIĄZKOWE ZASADY UTWARDZANIA BRZEGU SIECI:
- Wyłączenie Protokołów Nieszyfrowanych: Na MikroTiku wykonaj
/ip service disable telnet,ftp,www,api. Na FortiGate upewnij się, że zarządzanie przez interfejs WAN jest wyłączone lub ograniczone do zaufanych adresów IP. - Aktualizacje Firmware i Podatności CVE: MikroTik RouterOS v7 powinien pracować na gałęzi Long-Term / Stable. FortiGate musi być chroniony przed znanymi podatnościami sterty SSL-VPN.
- Zautomatyzowane Kopie Bezpieczeństwa Off-Box: Codzienny eksport zaszyfrowanych kopii zapasowych na zewnętrzny serwer SCP/SFTP zgodnie z art. 21 dyrektywy NIS2.