Выставляя в "мир" нужные нам сервисы мы всегда рискуем. Поэтому желательно по-максимуму защитить наше оборудование. Удаленное подключение к нашим маршрутизаторам следует оставлять только с определенных подсетей, оставляя минимум сервисом, меняя стандартные логины и применяя сложные пароли с регулярной сменой. Так-же в обязательном порядке менять порты сервисов по-умолчанию. Можно организовать открытие портов через определенный порядок действий (например, технология port knocking).
Незащищённое http-соединение опасно тем, что любой, кто слушает трафик, прекрасно видит все данные, которые вы передаете на сайт, по протоколам POST или GET. Так как мы не хотим, что-бы злоумышленники получили доступ к нашему роутеру - для этого нам необходим специальный сертификат. Как правило, сертификаты подтверждают центры сертификации. Но мы можем сгенерировать сертификат самостоятельно - такой сертификат называется самоподписанным, так как его подтверждаете лично вы. Для сайтов самоподписанный сертификат, конечно, не подойдет, но для личных целей вполне будет достаточно.
Обращаю ваше внимание на то, что при использовании самоподписного сертификата вы будете видеть окно: "Сертификат безопасности сайта не является доверенным", что может быть не очень понятно неосведомленным пользователям.
Сейчас я хочу описать как можно сгенерировать самоподписанный сертификат и включить безопасное соединение www-ssl для управления нашим роутером.
Открываем System/Certificates, добавляем новый сертификат.
Имя, страну и прочее выбираем произвольно. В поле subject-alt-name ставим произвольный e-mail, в days-valid выбираем произвольное количество дней действия сертификата.
Выбираем наш сертификат, заполняем поле CA-CRL-Host тем же мылом, что мы ввели в сертификате, нажимаем Sign.
Статус сертификата KAT - значит наш сертификат имеет правильный флаг. Выбираем его для сервиса www-ssl.
Незащищённое http-соединение опасно тем, что любой, кто слушает трафик, прекрасно видит все данные, которые вы передаете на сайт, по протоколам POST или GET. Так как мы не хотим, что-бы злоумышленники получили доступ к нашему роутеру - для этого нам необходим специальный сертификат. Как правило, сертификаты подтверждают центры сертификации. Но мы можем сгенерировать сертификат самостоятельно - такой сертификат называется самоподписанным, так как его подтверждаете лично вы. Для сайтов самоподписанный сертификат, конечно, не подойдет, но для личных целей вполне будет достаточно.
Обращаю ваше внимание на то, что при использовании самоподписного сертификата вы будете видеть окно: "Сертификат безопасности сайта не является доверенным", что может быть не очень понятно неосведомленным пользователям.
Сейчас я хочу описать как можно сгенерировать самоподписанный сертификат и включить безопасное соединение www-ssl для управления нашим роутером.
Открываем System/Certificates, добавляем новый сертификат.
Имя, страну и прочее выбираем произвольно. В поле subject-alt-name ставим произвольный e-mail, в days-valid выбираем произвольное количество дней действия сертификата.
После создания нам нужно его подписать, для этого используем кнопку Sign.
Выбираем наш сертификат, заполняем поле CA-CRL-Host тем же мылом, что мы ввели в сертификате, нажимаем Sign.
Статус сертификата KAT - значит наш сертификат имеет правильный флаг. Выбираем его для сервиса www-ssl.
Все, можно подключатся, в нашем случае по адресу https://10.2.6.1:2325.
Цель достигнута: наше подключение - защищено.
А если хочется добавить не само подписанный сертификат? как быть?
ОтветитьУдалитьПолучить его и зарегать на микротике также как и не подписные все полученые файлы: https://www.sslforfree.com/
Удалитьhttps://www.ollegustafsson.com/en/letsencrypt-routeros/
ОтветитьУдалить