Создание пользователя и группы для SSH
1. Заходим на MikroTik через WinBox
2. Переходим на вкладку Systems → Users
3. У нас открылся User List , в нем переходим во вкладку Groups.
( Во вкладке Groups мы добавим группу для будущего пользователя )
4. Жмем на синий плюс и добавляем группу. В окне New Group задаём произвольное имя, и ставим галочки напротив тех сервисов, которые хотим предоставить пользователю данной группы ( наделяем группу определенными правами ).
О политике прав доступа для группы :
Local – Локальный доступ.
SSH – Разрешен доступ по SSH протоколу.
Reboot – Разрешено перезагружать устройство
Write – Разрешено добавлять и изменять данных
Test – Разрешен запуск тестов
Password – Разрешено изменять пароль учетной записи.
Snif – Разрешен запуск снифера
API – Разрешено использовать API
Telnet – Разрешен доступ по telnet (Не рекомендуется)
FTP – Разрешен доступ по FTP
Read – Разрешен доступ для просмотра данных
Policy - Политики, добавлять и удалять пользователей
WINBOX – Разрешен доступ через WINBOX
WEB – Разрешен доступ через ВЕБ интерфейс
Sensitive – Предоставляет права, чтобы увидеть важную информацию в маршрутизаторах
5. Далее в окне User List переходим во вкладку Users
Жмем на синий плюс и добавляем пользователя, задаем ему имя ( логин ), назначаем (созданую выше) группу, задаём пароль.
/user add name=user_ssh password=12345 group=group_ssh
Генерация ключей SSH
Генерировать ключи SSH будем через PuTTYgen, это утилита программы для Windows PuTTY ( программа на английском языке), актуальную версию программы можно скачать на официальном сайте или скачать портативную версию на русском языке с сайта PuTTY-0.66.
Утилиту PuTTYgen можно скачать отдельно на официальном сайте или скачать с сайта PuTTYgen_x32_x36
Я использую портативную версию pytty-0.66. Запускаем утилиту
В окне утилиты выбираем Тип ключа генерации , я оставляю по умолчанию SSH-2 RSA . В другой версии программы PuTTY выбор ключа генерации может отличаться, а название пункта генерации на английском будет такое Type of key to generate
Задаём Длину генерируемого ключа (в битах), ее можно задать другую например 4096 бит, но я оставлю по умолчанию так как 2048 бит это с головой. В английской версии пункт Number of bits in generated key
Далее нажимаем Генерировать ( Generate ) и свободно перемещаем курсор по экрану утилиты, для выработки случайных данных.
В верхнем поле появится публичный ключ, который должны загрузить на MikroTik (сервере). Его можно сохранить через меню
или выделить и скопировать затем вставить в пустой текстовый файл например PublicKey.txt
В поле Парольная фраза (Key passphrase) можно задать парольную фразу (пароль) как дополнительную защиту для нашего приватного ключа на случай если злоумышленнику удалось каким то образом завладеть нашим приватным ключом, единственный недостаток фразы в том, что необходимо постоянно вводить её каждый раз при подключению сервер.
Далее сохраняем приватный ключ нажав на Личный ключ (Save private key), он автоматически сохраниться в формате PuTTY т.е. с расширением .ppk например PrivateKey.ppk
Если необходимо сохранить в формате OpenSSH например для подключения с консоли Linux, то для этого в окне утилиты есть вкладка Конвертация → Экспортировать ключ в формате OpenSSH
Перенос публичного ключа на МикроТик
- Заходим на МикроТик через WinBox
- Переходим в пункт меню Files
- В открывшимся окне нажимаем на вкладку Upload и загружаем PublicKey.txt
- Открываем вкладку Systems → Users → SSH Keys
- Жмём на Import SSH Key
- В открывшимся окне вводим
User - имя созданного пользователя SSH ( user_ssh )
Key File - Нажимаем на стрелку вниз и выбираем загруженный публичный ключ ( PublicKey.txt ) - Нажимаем Import SSH Key
Проверка активности сервиса SSH. Подключение к роутеру.
Перед подключением проверим включен ли SSH в сервис листе на роутере.
Заходим IP → Services . Откроется окно IP Services List
Name – Название сервиса.
Port – Порт сервиса на котором работает служба
Available From – Указывает, для какого ip адреса или подсети разрешен доступ.Если поле оставить пустым или задать 0.0.0.0/0, то разрешён доступ с любого IP адреса. Available From можно изменить таким образом, чтобы доступ к Mikrotik был только из внутренней сети, как показано на скриншоте выше где 172.16.0.0/24 адрес локальной подсети которой доступен SSH.
В сервис листе в поле Name находим ssh, перед которым должен гореть зеленый кружок, что означает активность. Горит ? Отлично! переходим к следующему шагу.
Открываем программу PuTTY. В ней задаем новое подключение, указав логин, IP-адрес и порт подключения: [email protected] порт:22
Затем перейдём в раздел Соединение → SSH → Аутентификация
( Connection → SSH → Auth )
В поле Файл с личным ключом для аутентификации ( Private key file for authentication ) добавляем приватный ключ PrivateKey.ppk
После того добавили ключ жмём Соединиться ( Open ) Далее появится диалоговое с отпечатком ключа, жмем да.
Мы подключились к MikroTik через защищенный протокол SSH минуя ввода логина и пароля.
