Экстренное отключение доступа к серверу через MikroTik

Как работает изоляция

Блокировка выполняется на маршрутизаторе MikroTik, через который защищаемый сервер выходит во внешнюю сеть, а не на самом сервере.

На маршрутизаторе создается постоянно действующее правило drop. Оно блокирует трафик ко всем IP-адресам, добавленным в специальный firewall address-list PANIC-ISOLATED.

Для изоляции достаточно добавить сервер в этот список. Для восстановления доступа — удалить его из списка.

Исходные данные

В инструкции используются следующие условные параметры:

Что необходимо подготовить

1. Резервный способ административного доступа к маршрутизатору.
2. Выделенную сеть управления.
3. Внешний сервер syslog, доступный из административного сегмента.
4. Персональные учетные записи двух ответственных сотрудников.
5. Согласованную процедуру проверки изоляции и восстановления.

Первоначальная настройка MikroTik

Первоначальная настройка выполняется один раз. После нее изоляция и восстановление запускаются одной командой.

Шаг 1. Создайте правила firewall

Добавьте в цепочку forward два правила:

1. Разрешить трафик из сети управления к защищаемому серверу.
2. Отбрасывать трафик ко всем адресам из списка PANIC-ISOLATED.

/ip firewall filter
add chain=forward src-address=10.9.9.0/24 dst-address=10.0.0.10 \
action=accept comment="PANIC-MGMT-ALLOW"

add chain=forward dst-address-list=PANIC-ISOLATED \
action=drop comment="PANIC-DROP"

RouterOS обрабатывает правила сверху вниз. При необходимости задайте позицию параметром place-before или переместите правила в интерфейсе Winbox.

Шаг 2. Настройте внешний syslog

Настройте передачу событий на внешний сервер журналирования. Это позволит сохранить информацию о выполненных действиях за пределами маршрутизатора.

/system logging action
add name=remote target=remote remote=10.9.9.5 remote-port=514

/system logging
add topics=warning action=remote
add topics=system,account action=remote

Топик warning используется для сообщений скриптов. Топики system и account фиксируют системные события и активность учетных записей.

Шаг 3. Создайте скрипт изоляции

Скрипт добавляет IP-адрес сервера в список блокировки и записывает событие ISOLATED в журнал.

/system script
add name=panic-isolate policy=read,write,test source={
/ip firewall address-list add list=PANIC-ISOLATED address=10.0.0.10 \
comment="isolated";
:log warning "PANIC: server 10.0.0.10 ISOLATED";
}

Шаг 4. Создайте скрипт восстановления

Скрипт удаляет IP-адрес сервера из списка блокировки и записывает событие RESTORED.

/system script
add name=panic-restore policy=read,write,test source={
/ip firewall address-list remove \
[find list=PANIC-ISOLATED address=10.0.0.10];
:log warning "PANIC: server 10.0.0.10 RESTORED";
}

Экстренная изоляция сервера

Вариант 1. Запуск в терминале MikroTik

/system script run panic-isolate

Вариант 2. Запуск по SSH

Для удаленного запуска выполните команду:

ssh ivanov@10.0.0.1 "/system script run panic-isolate"

Вариант 3. Добавление адреса вручную

Если подготовленный скрипт недоступен, добавьте сервер в address-list вручную:

/ip firewall address-list add list=PANIC-ISOLATED address=10.0.0.10

Запуск из внешней сети

Если ответственный сотрудник находится вне офиса, сначала необходимо подключиться по VPN к сети управления. После получения адреса административного сегмента команда выполняется так же, как из внутренней сети.

Для подключения можно использовать WireGuard, IPsec или L2TP/IPsec.

ssh ivanov@10.0.0.1 "/system script run panic-isolate"

Если VPN использует отдельную подсеть, добавьте ее в параметр allowed-address учетной записи:

allowed-address=10.9.9.0/24,10.8.0.0/24

Если VPN отсутствует, публикация SSH маршрутизатора допустима только как временное исключение. Используйте нестандартный порт, аутентификацию по ключам и разрешение доступа только с заранее известных IP-адресов администраторов.

Восстановление доступа

Восстановление с помощью скрипта

/system script run panic-restore

Удаление адреса вручную

/ip firewall address-list remove [find list=PANIC-ISOLATED address=10.0.0.10]

Делегирование права запуска

Создайте отдельную группу RouterOS и две персональные учетные записи: инициатора и заместителя. В кризисной ситуации любой из них сможет запустить процедуру самостоятельно.

/user group
add name=panic policy=ssh,read,write,test,!policy,!sensitive \
comment="only isolation scripts"

/user
add name=ivanov group=panic password=... \
allowed-address=10.9.9.0/24 comment="initiator"

add name=petrov group=panic password=... \
allowed-address=10.9.9.0/24 comment="deputy"

Для снижения риска выполните следующие меры:

1. Разрешите вход только из сети управления через allowed-address.
2. Исключите чувствительные политики !policy и !sensitive.
3. Используйте персональные учетные записи.
4. Настройте аутентификацию по SSH-ключам.
5. Передавайте действия пользователей во внешний syslog.
6. Регулярно проверяйте список уполномоченных сотрудников.

Проверка журнала действий

Каждый запуск скрипта записывает одно из событий:

• ISOLATED — сервер добавлен в список блокировки;
• RESTORED — сервер удален из списка блокировки.

Для просмотра связанных событий на маршрутизаторе выполните:

/log print where message~"PANIC"

Дополнительно проверьте внешний syslog. В журнале должны присутствовать:

• дата и время выполнения;
• имя учетной записи оператора;
• выполненная команда;
• состояние ISOLATED или RESTORED.

Проверка после изоляции

1. Убедитесь, что адрес 10.0.0.10 появился в списке PANIC-ISOLATED.
2. Проверьте, что сервер недоступен из внешнего пользовательского сегмента.
3. Проверьте доступность сервера из сети управления.
4. Проверьте административные интерфейсы и OOB-канал.
5. Убедитесь, что событие и имя оператора появились во внешнем syslog.
6. Зафиксируйте время, причину и ответственного в карточке инцидента.

Проверка после восстановления

1. Убедитесь, что адрес сервера удален из списка PANIC-ISOLATED.
2. Проверьте восстановление необходимых сетевых подключений.
3. Убедитесь, что административный доступ работает штатно.
4. Проверьте появление события RESTORED во внешнем журнале.
5. Зафиксируйте завершение процедуры в карточке инцидента.

Итоговый контрольный список