Ki állít be Budapesten Mikrotik tűzfalat szakszerűen?

Mikrotik tűzfal beállítása amikor már nem fér bele egy hiba

A Mikrotik tűzfal beállítása sokaknál akkor kerül elő, amikor valami már megtörtént. Furcsa belassulás, ismeretlen kimenő forgalom, vagy egyszer csak nem működik a távoli elérés. Ilyenkor derül ki, hogy a gyári alapok kevésnek bizonyulnak. A RouterOS rengeteget tud, de pont ezért könnyű félreállítani egy szabályt.

És igen, néha csak egyetlen rossz sorrendben felvett filter szabály okozza a bajt. A gond az, hogy a hiba nem mindig látványos. Lehet, hogy hetekig csak annyi látszik, hogy a hálózat néha megakad. Aztán jön egy számla a felhőszolgáltatótól a megugrott adatforgalom miatt, vagy egy belső gép elkezd kéretlen leveleket küldeni.

Budapest környékén is sok kis iroda fut bele abba, hogy a tűzfalhoz mindenki kicsit ért, aztán a végén senki sem vállalja érte a felelősséget. Itt a lényeg, hogy ezen a platformon többféle szakember közül választhatsz, nem egy cég sablonját kapod.

Mikrotik tűzfal beállítása tipikus hibákkal és egy rövid történettel

Sokan ott rontják el, hogy mindent engednek, aztán később próbálják szűkíteni. Pedig fordítva érdemes. Először tiltani, aztán célzottan engedni. Egy másik klasszikus, amikor a fasttrack mellé rosszul kerülnek a logolós szabályok, és a napló alapján félrevezető következtetés születik.

Volt egy eset, amikor az ügyfél azt mondta, csak egy kamerarendszer van. Kiderült, hogy a rögzítő eszköz UPnP-vel nyitogatott portokat. A routeren pedig megmaradt egy régi szabály, ami a WAN felől is engedett menedzsmentet. A kamera képe végül nem csak a tulajdonosnak volt elérhető. Nem volt nagy dráma, de elég kínos volt, és pár óra alatt lehetett volna megelőzni egy tiszta Mikrotik tűzfal beállítással.

Szerintem az a legveszélyesebb, amikor valaki fél nap alatt összedobja, és utána évekig nem nyúl hozzá. A RouterOS frissül, a szolgáltatások változnak, a szabályok meg ugyanazok maradnak.

Mikrotik tűzfal beállítása hogyan válassz szakembert

Nem kell nagy varázslat, de legyen rendszer. Én azt nézem, hogy a szakember kérdez-e. Ha nem kérdez a belső hálózatról, VPN-ről, távoli munkáról, vendég wifiről, akkor csak találgat. A jó rendszermérnök vagy hálózati szakember előbb felméri a forgalmat, és utána ír szabályt.

Figyeld azt is, hogy dokumentál-e. Legalább annyi legyen meg, hogy mi miért került be. Ha később másik IT biztonsági szakértő nyúl hozzá, ne kelljen újra feltalálni az egészet.

• Forgalom felmérése
• Szabályok sorrendje
• VPN jogosultságok
• Portok lezárása
• Naplózás beállítása
• Mentés és visszaállítás

És még egy szubjektív megjegyzés. Látok olyan ajánlatokat, amelyek túl olcsók. Poénból jók, élesben nem. A tűzfal nem az a rész, ahol megéri spórolni, mert a kár később sokkal drágább.

Mikrotik tűzfal beállítása mit tartalmazhat a munka

A feladat nem csak annyi, hogy felveszünk pár drop szabályt. A legtöbb helyen kell input, forward, output logika, address listák, időzített tiltások, és külön szabály a menedzsmentre. Sokszor a routeren fut DHCP, DNS cache, esetleg CAPsMAN, és ezek mind beleszólnak.

Jó esetben a beállítás része egy visszagörgethető terv. Készüljön export, legyen backup, és legyen egy rövid tesztlista. Például távoli elérés kipróbálása mobilnetről, vendégháló leválasztás ellenőrzése, és pár tipikus port szkennelés. Ha van telephelyek közti VPN, akkor ott is kell teszt, mert egy szigorítás simán el tudja vágni a kapcsolatot.

Budapest belvárosában egyszer egy coworking helyen a vendég wifi miatt kellett újragondolni mindent. A tulajdonos csak annyit akart, hogy legyen net. A végén szét kellett választani a bérlői hálót, a belső admin gépeket és az okos eszközöket, különben állandó volt a zavar és a kockázat.

Mikrotik tűzfal beállítása árak és reális költségek

Az ár attól függ, mennyire összetett a hálózat, van-e VPN, több VLAN, több WAN, és kell-e helyszíni kiszállás. Poénos, de a legdrágább időt gyakran a régi káosz feltérképezése viszi el. A tiszta új beállítás néha gyorsabb, mint a foltozás.

Az alábbi összegek tájékoztató jellegűek. Több szakember is vállal ilyen munkát ezen az oldalon, és nem ugyanaz a módszerük. Poén, de ez szerintem előny, mert lehet választani hozzáállás alapján is. És itt a személyes véleményem. Az én tapasztalatom szerint 80 000 Ft alatt ritkán lesz igazán alapos munka, ha céges hálózatról beszélünk.

Mikrotik tűzfal beállítása gyakorlati tanácsokkal hogy később se csússzon szét

Én azt javaslom, hogy legyen egy egyszerű szabály. Ami nem kell, az ne legyen nyitva. A menedzsment felületet ne tedd ki az internetre. Ha muszáj, akkor csak VPN mögé, és IP listával korlátozva. A winbox port átírása önmagában nem védelem, legfeljebb zajcsökkentés.

Hasznos, ha a szabályokhoz rövid megjegyzés kerül, és évente egyszer ránéztek. A legtöbb helyen 30-60 perc elég arra, hogy kiderüljön, mi vált feleslegessé. És ha bármi változik, új szolgáltatás, új távoli munkatárs, új kamera, akkor ne toldozzátok vakon. Inkább kérjetek egy rövid felülvizsgálatot egy rendszermérnöktől vagy hálózati szakembertől. Kevesebb a meglepetés, és a hálózat is nyugodtabb lesz.

Ha most az a helyzet, hogy nem tudod, mi van a routeren, az teljesen normális. Csak ne akkor derüljön ki, hogy baj van, amikor már minden áll. Egy alapos Mikrotik tűzfal beállítása tipikusan pár óra, a következménye viszont hónapokig kísérhet, ha elmarad.