Безопасно ли подключаться к Mikrotik'у через Winbox через интернет?

Question

[Nordman99]

Есть роутер микротик с открытым сервисным портом винбокса 8291, микротик имеет белый айпи - и я подключаюсь к микроту из другой точки инета на его белый айпи через винбокс - шифрует ли винбокс своё соединение и в защищённом ли виде передает пароль? Не перехватят ли его злоумышленники в момент соединения?

Comments

[Артём]

Для большей безопасности можно 1) Сменить стандартный порт 8291 на какой-нибудь другой и 2) Разрешить подключение к роутеру из интернета только с определённых доверенных IP

[Довольный Айтишникъ]

Артём, А еще лучше - только через установленное впн соединение

[CityCat4]

Довольный Айтишникъ, Иногда нужно подключение "извне", но я в таком случае через вебморду работаю. Когда? Ну, например сертификат VPN-соединения закончился и его надо обновить.

[Akina]

Ну добавьте ещё к белому списку что-нибудь типа port knocking... хотя как по мне, предложенных Артём мер вполне достаточно, если вы своевременно обновляете внутреннее ПО.

[Юрий MikroTik]

Артём, без шифрования winbox все равно могут перехватить
Шифрование есть в относительно новых версиях

[Дмитрий]

Артём,

Сменить стандартный порт

Безопасность -- уровень Бог :DD

[pfg21]

Артём, не сильно помогает :) nmap элементарно находит открытые tcp порты, а дальше дело техники.

Answer 1

[Юрий MikroTik]

Безопасно

WinBox.exe is signed with an Extended Validation certificate, issued by SIA Mikrotīkls (MikroTik).
WinBox uses ECSRP for key exchange and authentication (requires a new WinBox version).
Both sides verify that the other side knows the password (no man in the middle attack is possible).
WinBox in RoMON mode requires that the agent is the latest version to be able to connect to the latest version routers.
WinBox uses AES128-CBC-SHA as an encryption algorithm (requires WinBox version 3.14 or above).

Answer 2

[Дмитрий]

Самый адекватный способ использования сетевых устройств:
Оставлять наружу только SSH, а через него пробрасывать локально необходимые порты хоть с шифрованием, хоть без него.

Answer 3

[CityCat4]

Ограничить подключение списком IP - и все будет норм.