Наша почта:

В Москве:

РФ (звонок бесплатный):

+7(800)600-20-56

+7(495)103-99-88

Get Net

Слова из трёх букв

{ Системный администратор, Издательство "Национальное образование" }

Павел Галкин

Презентация

Видео

Видео доклада

Презентация спикера

DevOps и автоматизация MikroTik: от ручного управления к «инфраструктуре как коду»

Современное сетевое администрирование давно вышло за рамки простой настройки маршрутизаторов через графический интерфейс или консоль. Сегодня на стыке системного администрирования и разработки программного обеспечения рождается новый подход, позволяющий автоматизировать рутинные задачи, минимизировать ошибки и ускорить развертывание сетей. Речь идет о методологии DevOps, примененной к сетевому оборудованию, в частности — к продукции компании MikroTik.
Этот материал поможет разобраться, как принципы DevOps меняют привычную работу администратора, какие инструменты для этого необходимы и почему использование API становится критически важным для построения надежной и масштабируемой инфраструктуры.

Что такое DevOps на самом деле

Вокруг термина DevOps существует множество мифов. Часто его путают с конкретной должностью или набором инструментов, но в своей основе — это методология и культура взаимодействия.

Стык профессий:

Это область на пересечении разработки (Development) и эксплуатации (Operations). Это не значит, что один человек должен одинаково виртуозно писать код и настраивать сервера, но это требует от администратора понимания процессов разработки, а от программиста — специфики работы «железа».
Методология, а не роль:

Нет такой профессии «DevOps» в вакууме. Есть инженеры, которые внедряют эту методологию, чтобы ускорить выпуск продуктов и сделать систему стабильнее.
Культурный сдвиг:

Главная цель — разрушить стену между теми, кто создает продукт, и теми, кто его поддерживает, чтобы процесс доставки обновлений (deployment) был бесшовным.

Правило «двух раз»
Если вы ловите себя на том, что в третий раз вводите одну и ту же команду на разных устройствах — остановитесь. Это сигнал, что пора написать хотя бы простенький скрипт. Потраченные сейчас 20 минут сэкономят вам часы в будущем.

Основные преимущества внедрения DevOps-подхода

Применение принципов DevOps в сетевой инфраструктуре дает несколько измеримых преимуществ:

Скорость (Velocity):

Возможность быстро вносить изменения и масштабировать сеть. То, что раньше делалось часами вручную на десятках устройств, автоматика выполняет за минуты.

Надежность (Reliability):

Автоматизированные тесты и проверки позволяют выявлять ошибки в конфигурации до того, как они попадут на реальное оборудование.

Масштабируемость (Scalability):

Управление сотнями и тысячами устройств MikroTik становится таким же простым, как управление одним, благодаря использованию шаблонов и скриптов.

Принципы, которые можно заимствовать из разработки

Для администратора MikroTik полезно перенять ключевые практики, которые давно стали стандартом в мире IT-разработки:

Инфраструктура как код (IaC):

Весь конфиг устройства хранится не в памяти роутера, а в текстовых файлах (коде). Это позволяет версионировать настройки и всегда знать, кто, когда и зачем изменил параметр.
Непрерывная интеграция и доставка (CI/CD):

Любое изменение в конфигурации проходит через автоматический «конвейер»: проверку на синтаксические ошибки, тестирование в виртуальной среде и только потом — деплой на «боевое» устройство.
Автоматизация всего:

Если действие повторяется больше двух раз, оно должно быть описано скриптом. Это исключает человеческий фактор и опечатки.

API — сердце автоматизации MikroTik

Когда заходит речь об автоматизации MikroTik, часто вспоминают SSH и скрипты внутри самой RouterOS. Однако для серьезной работы этого недостаточно. Настоящая магия начинается при использовании API (Application Programming Interface).

Почему API лучше обычного SSH?

Структурированные данные:

В отличие от текстового вывода консоли, который нужно парсить (разбирать по словам), API возвращает данные в понятном для программ формате.
Безопасность и контроль:

Работа через API позволяет более гибко управлять правами доступа и минимизировать риск случайного ввода разрушительной команды.
Скорость взаимодействия:

Внешние системы могут обмениваться данными с роутером гораздо быстрее через бинарный протокол или REST API.

Начинайте с малого
Не пытайтесь сразу перевести всю сеть на Terraform. Начните с Ansible для простых задач: например, для централизованного сбора бэкапов или мониторинга состояния интерфейсов.

Эволюция: от бинарного API к REST API в RouterOS v7

Долгое время MikroTik предлагал специфический бинарный API (порт 8728/8729), который требовал специальных библиотек для каждого языка программирования. С выходом RouterOS v7 ситуация кардинально изменилась.

Ключевые особенности REST API в седьмой версии:

Использование JSON:

Данные передаются в формате JSON, который понимает любой современный язык программирования и инструмент автоматизации.
Стандартные методы (CRUD):

Для работы используются привычные веб-методы: GET для чтения данных, PUT для обновления, PATCH для частичного изменения и POST для создания новых записей.
Простота отладки:

Запросы можно тестировать даже через обычный браузер или стандартные утилиты вроде curl.

Дорожная карта внедрения автоматизации

Чтобы перейти от ручной настройки к DevOps-практикам, рекомендуется следовать определенному алгоритму:

Этап 1: Централизованное хранение конфигураций

Перестаньте настраивать роутеры «на лету».
Используйте Git (GitHub, GitLab, Gitea) для хранения всех конфигурационных файлов.
Каждое изменение должно сопровождаться комментарием (commit message).

Этап 2: Использование шаблонизаторов

Вместо того чтобы копировать один и тот же конфиг, создайте шаблоны (например, на Jinja2).
Вынесите уникальные параметры (IP-адреса, имена хостов) в отдельные переменные.

Этап 3: Подключение инструментов управления конфигурациями

Ansible: Отлично подходит для управления парком устройств. Позволяет применять настройки массово и следить за состоянием системы.
Terraform: Помогает описывать инфраструктуру как набор ресурсов. Особенно полезен, если вы используете облачные решения или виртуализацию (CHR).

Совет:
Если вы не уверены на 100%, что успеете закрыть порты до того, как в роутер прилетит первый пакет из интернета — оставляйте дефолтный конфиг. Он вполне адекватен и закрывает 80% базовых рисков.

Угрозы «ближнего радиуса» на уровне L2

Большинство администраторов следят за IP-трафиком, но полностью игнорируют уровень L2 (канальный уровень). Это «слепая зона», через которую часто прилетают самые болезненные атаки.

Где прячется опасность:

Сети провайдеров:

Если вы подключены к провайдеру, который не изолирует клиентов друг от друга, ваш роутер «видит» сотни других устройств, и они «видят» вас.

Бизнес-центры:

Общая сетевая инфраструктура часто позволяет злоумышленнику из соседнего офиса атаковать ваш роутер в обход любого фаервола.

Дата-центры:

Виртуальные маршрутизаторы в облаке часто живут в одном огромном L2-сегменте.

Взлом Capsman V2 — Как крадут ваши Wi-Fi пароли

Capsman — это мощный инструмент для управления точками доступа, но в версии V2 он обладает опасной «дружелюбностью».

Механика атаки:

Менеджер Capsman по умолчанию слушает входящие запросы на всех интерфейсах.
Злоумышленник в том же L2-сегменте настраивает свой MikroTik как управляемую точку (CAP).
Его устройство посылает запрос на поиск контроллера через порт, смотрящий в общую сеть.
Ваш Capsman видит «новую точку» и автоматически отправляет ей всю конфигурацию Wi-Fi, включая пароли и настройки безопасности.

Результат:
У злоумышленника в руках полная копия вашей корпоративной беспроводной сети. Если включен capsman-forwarding, он получает доступ ко всей вашей внутренней локалке.

Дорожная карта по защите Capsman

Чтобы ваш Wi-Fi не «утек» к соседям, пройдите по этому списку:

Ограничение интерфейсов:

В настройках Capsman Manager никогда не оставляйте выбор интерфейсов по умолчанию. Явно укажите только локальный бридж.

Сертификаты:

Используйте проверку по сертификатам (Require Peer Certificate). Это гарантирует, что к контроллеру подключатся только ваши точки.

Capsman V3 (AX):

Если оборудование позволяет, переходите на новую версию. Там настройки безопасности вынесены на передний план и сделаны более строгими.

Инструменты и технологии: что положить в «портфель»

Для построения современной системы управления MikroTik потребуется следующий набор инструментов:

Git:

Базовый инструмент для контроля версий. Позволяет откатиться к любой стабильной конфигурации за секунды.
Docker:

Идеален для запуска инструментов автоматизации в изолированных контейнерах, чтобы не захламлять основную систему.
VS Code (с плагинами):

Удобная среда для написания скриптов и правки конфигураций с подсветкой синтаксиса.
Python:

Язык номер один для написания обвязки вокруг API MikroTik, если стандартных инструментов не хватает.

Проблема «недокументированных возможностей»

Работа с MikroTik через API или внешние инструменты часто сталкивается с нехваткой информации.

Мало документации:

Официальные вики часто содержат только базовые примеры.
Специфика модулей:

Например, модули для Terraform или Ansible часто поддерживаются сообществом (Community), а не производителем, что накладывает определенные ограничения.
Важность комьюнити:

В таких условиях критически важным становится общение на форумах и участие в профильных сообществах. Если функционала не хватает, об этом нужно заявлять — именно так рождаются новые фичи и исправления в Roadmap производителя.

Специфика работы с RouterOS v7 и REST API

Переход на седьмую версию открыл новые горизонты. Теперь для управления MikroTik не обязательно быть гуру внутреннего языка скриптов. Достаточно уметь работать с HTTP-запросами.

Пример логики работы через REST:

1.

Отправляется запрос на /rest/ip/address.
2.

В теле запроса передаются параметры в формате JSON (адрес, интерфейс).
3.

Система возвращает понятный ответ: успех или код ошибки с описанием проблемы.

Это позволяет интегрировать MikroTik с любыми корпоративными системами — от систем мониторинга (Zabbix, Prometheus) до систем биллинга и управления тикетами.

Практические советы по безопасности

Автоматизация не должна идти в ущерб защищенности. При открытии API и использовании внешних инструментов соблюдайте правила:

Используйте SSL (порт 8729 или HTTPS для REST):

Никогда не передавайте учетные данные в открытом виде.

Ограничение по IP (Source Address):

В настройках сервиса (/ip service) жестко пропишите адреса, с которых разрешено управление (например, только с сервера автоматизации или из доверенной подсети).

Минимальные права:

Создайте отдельного пользователя для автоматизации с правами только на те действия, которые ему необходимы (например, только чтение данных для мониторинга).

Будущее сетевого администрирования

Мир сетевых технологий движется в сторону децентрализации и усложнения. Ожидается, что RouterOS продолжит развиваться в сторону модульности. Существуют предпосылки к тому, что система перестанет быть монолитом, что позволит еще гибче управлять сервисами.

Администраторам уже сейчас стоит обратить внимание на:

Автоматизацию развертывания через Git:

Когда новый роутер «из коробки» получает базовый конфиг, стучится в систему управления и сам скачивает актуальные настройки.
Мониторинг как часть CI/CD:

Когда система мониторинга не просто фиксирует падение канала, а автоматически запускает скрипт перенастройки или оповещает систему управления о необходимости изменений.

Финал

Переход на DevOps-рельсы — это прежде всего инвестиция в собственное спокойствие. Когда вся конфигурация описана в коде, проверена тестами и хранится в Git, работа администратора превращается из бесконечного тушения пожаров в осознанное проектирование надежных систем. Главное — помнить, что любая сложная автоматизация начинается с одного маленького скрипта, который просто избавляет вас от необходимости в сотый раз нажимать одну и ту же кнопку в WinBox. Использование API и современных инструментов управления превращает сеть из хрупкой конструкции в гибкий и предсказуемый механизм, готовый к любым нагрузкам и масштабам.

В Москве:

+7(495)103-99-88

РФ (звонок бесплатный):

+7(800)600-20-56

Наша почта:

info@getnet.pro

GetNet

Остались вопросы?