تحریم میکروتیک
مدیریت زیرساختهای شبکه و مسیریابی در سازمانها همواره با چالشهای فنی و امنیتی گوناگونی همراه است. در سالهای اخیر، تغییر رویه و سیاستهای کمپانی لاتویایی MikroTik در قبال آدرسهای IP متعلق به کشورمان، موضوع تحریم میکروتیک را به یکی از دغدغههای اصلی مهندسان و مدیران شبکه تبدیل کرده است. این محدودیتها که ابتدا در قالب اختلالات پراکنده در دریافت فریمورها بروز کرد، اکنون بخشهای متعددی نظیر مخازن پکیجها، سامانههای ابری و رجیستری لایسنسها را تحت تأثیر قرار داده است.
در این مقاله، ابعاد فنی و پیامدهای اجرایی تحریم میکروتیک ایران را مورد موشکافی قرار داده، خطاهای رایج در سناریوی تحریم آپدیت میکروتیک را بررسی میکنیم و در نهایت راهکارهای پایدار، امن و استاندارد جهت عبور از این محدودیتها در نسخههای RouterOS v6 و RouterOS v7 را ارائه خواهیم داد.
پیشزمینه و علل آغاز تحریم MikroTik
شرکت میکروتیک با ارائه تجهیزات سختافزاری مقرونبهصرفه تحت عنوان RouterBOARD و سیستمعامل توانمند RouterOS، سهم بسیار گستردهای از بازار زیرساخت فناوری اطلاعات ایران را به خود اختصاص داده است. از سرویسدهندگان اینترنتی (ISP) و دیتاسنترها گرفته تا سازمانهای دولتی و شرکتهای خصوصی، همگی برای لایههای روتینگ، مدیریت پهنای باند و فایروال به شکل گسترده به این وندور متکی بودهاند.
با این وجود، پیرو اعمال مقررات و تحریمهای تجاری بینالمللی مرتبط با صادرات تجهیزات دارای کاربرد دوگانه (Dual-Use Goods)، کمپانی میکروتیک سازوکارهای کنترلی متعددی را روی بستر شبکه خود تعریف نمود. در این چارچوب، سیاستهای تحریم mikrotik از طریق مسدودسازی دسترسی رنج آدرسهای اینترنتی کشور (GeoIP Blocking) عملیاتی شد و دسترسی تجهیزات مستقر در ایران به سرورهای مدیریتی، ابری و مخازن رسمی نرمافزاری مسدود گردید.
ابعاد فنی تحریم میکروتیک ایران؛ بررسی سرویسهای مسدود شده
به منظور مدیریت بهینه ریسکهای زیرساختی، تحلیل دقیق پروتکلها و مقاصد ترافیکی مسدودشده ضرورت دارد. مهمترین سرویسهایی که ذیل سیاستهای تحریم میکروتیک ایران از دسترس خارج شدهاند عبارتند از:
۱. اختلال و مسدودسازی فرآیند آپدیت نرمافزاری (Package Updates)
نخستین پیامد ملموس تحریم میکروتیک، توقف عملکرد قابلیت بررسی خودکار نسخهها در مسیر System > Packages > Check For Updates است. به دلیل عدم پاسخدهی سرورهای رسمی به آدرسهای مبدأ ایران، درخواستهای HTTP/HTTPS با خطاهایی مانند نمونه زیر متوقف میشوند:
ERROR: could not resolve dns name / connection timed out ERROR: transfer aborted
۲. قطع سرویس ابری نام دامنه داینامیک (MikroTik Cloud DDNS)
قابلیت /ip cloud ابزاری کلیدی برای دسترسی ریموت به روترهایی محسوب میشود که فاقد آیپی استاتیک عمومی هستند. در پی مسدودسازی دسترسی، روتر توانایی رجیستر و بهروزرسانی رکورد مربوطه روی دامنه *.mynetname.net را از دست داده و در وضعیت خطای مکرر قرار میگیرد.
۳. چالشهای تأیید و تمدید لایسنس نسخه ابری (CHR)
سیستمعامل Cloud Hosted Router (CHR) که بر روی پلتفرمهای مجازیسازی نظیر ESXi، KVM و Proxmox اجرا میگردد، مستلزم برقراری ارتباط دورهای با سرور licensing.mikrotik.com جهت اعتبارسنجی لایسنس است. با محدودسازی ترافیک ایران، خطای عدم اتصال به سرور لایسنس ثبت شده و در صورت انقضای بازه مهلت، پهنای باند تمامی اینترفیسها به 1 مگابیت بر ثانیه تقلیل مییابد.
۴. عدم امکان دسترسی مستقیم به مستندات و پورتال کاربری
محدودیتها تنها معطوف به تجهیزات نبوده، بلکه دسترسی مستقیم مهندسان شبکه به پایگاههای دانش و فرومهای تخصصی نظیر help.mikrotik.com و حسابهای کاربری رسمی نیز از مبدأ کشور با محدودیت فایروال و خطاهای سطح دسترسی روبهرو شده است.
جدول ارزیابی پیامدهای تحریم mikrotik و وضعیت دسترسی سرویسها
| نام سرویس میکروتیک | وضعیت از مبدأ ایران | اثر عملیاتی در شبکه | راهکار پیشنهادی جایگزین |
|---|---|---|---|
| بررسی و دانلود آنلاین آپدیت | مسدود (Block) | توقف دریافت پچهای امنیتی و رفع باگها | بهروزرسانی دستی آفلاین یا پروکسی داخلی |
| سرویس IP Cloud DDNS | ناپایدار و غیرفعال | اختلال در مدیریت ریموت از طریق آدرس متغیر | سرویسهای DNS داینامیک ثالث یا IP اختصاصی |
| اعتبارسنجی لایسنس CHR | مسدود در مبدأ | محدودیت سرعت اینترفیسها به 1Mbps | هدایت سشن به تونل امن خارج از کشور |
| نصب Extra Packages | مسدود | عدم امکان فعالسازی ماژولهای جانبی | دانلود و بارگذاری دستی فایلهای NPK |
خطرات و تهدیدات امنیتی ناشی از تحریم آپدیت میکروتیک
روترها به عنوان دروازه اصلی تبادل ترافیک شبکه، همواره در کانون حملات سایبری و اسکنرهای نفوذ قرار دارند. پدید آمدن پدیده تحریم آپدیت میکروتیک زنجیره تأمین امنیت تجهیزات را با چالشهای ساختاری زیر روبهرو میسازد:
- باقی ماندن آسیبپذیریهای روز صفر (Zero-Day): تاریخچه RouterOS نشان داده است که اکسپلویتهای WinBox و آسیبپذیریهای استک شبکه همواره رفع نقایص خود را مدیون پچهای سریع بودهاند. عدم دریافت آپدیتها درگاههای نفوذ را باز نگه میدارد.
- عدم دریافت بهبودهای پروتکلهای روتینگ: باگهای موجود در پیادهسازی پروتکلهای BGP ،OSPF و MPLS بهویژه در ساختار مدرن هسته RouterOS v7 نیازمند اصلاح مداوم هستند.
- ریسکهای حقوقی و مالی ناشی از بدافزارها: در صورت آلودگی تجهیزات به باتنتها، پهنای باند و منابع شبکه قربانی حملات Distributed Denial of Service خواهد شد.
راهکارهای فنی و عملیاتی برای عبور از تحریم میکروتیک
جهت تضمین پایداری و امنیت سرویسهای سازمانی، میتوان با استفاده از روشهای استاندارد شبکه محدودیتهای ناشی از تحریم میکروتیک را برطرف نمود.
راهکار اول: هدایت ترافیک سرورهای آپدیت از طریق پروکسی یا تونل مسیریابی
در صورتی که در سازمان یک پراکسی سرور HTTP یا بستر ارتباطی با آیپی بینالمللی در اختیار باشد، میتوان جریان ترافیک بررسی آپدیت را از آن بستر هدایت نمود. در RouterOS v7 میتوان با جداسازی جدول مسیریابی (Routing Table)، ترافیک سابنتهای رسمی میکروتیک را بدون مداخله در کل ترافیک شبکه به مسیر مدنظر هدایت کرد:
/ip route add dst-address=159.148.147.0/24 gateway=wg-out routing-table=Bypass-Table add dst-address=159.148.172.0/24 gateway=wg-out routing-table=Bypass-Table /routing rule add dst-address=159.148.147.0/24 action=lookup-only-in-table table=Bypass-Table add dst-address=159.148.172.0/24 action=lookup-only-in-table table=Bypass-Table
سرورهای ثبت لایسنس و مخازن آپدیت کمپانی میکروتیک ذیل سیستم خودگردان (ASN 2588) ثبت شدهاند. انتقال ترافیک به سمت این آدرسها مشکل تحریم آپدیت میکروتیک را به شکل کامل و ساختاریافته حل مینماید.
راهکار دوم: ارتقای دستی سیستمعامل و پکیجها (Manual Offline Upgrade)
ایمنترین و توصیهشدهترین شیوه در زیرساختهای پایدار برای بیاثر ساختن تحریم mikrotik، دانلود و بارگذاری مستقیم بستههای رسمی فریمور است:
- ابتدا معماری پردازنده روتر را از منوی
System > Resourcesو بخش Architecture Name (مانند ARM64 ،ARM ،x86 ،Tile یا MIPS) مشخص کنید. - بسته فشرده Main Package یا Extra Packages نسخه مورد تأیید را از طریق یک رایانه با دسترسی معتبر دانلود کنید.
- فایلهای با پسوند
.npkرا از طریق محیط WinBox یا پروتکل SFTP درون پوشه اصلی (Root) منوی Files روتر بارگذاری نمایید. - با اجرای دستور
/system rebootروتر را بازنشانی کنید؛ در حین بوت، پکیجها به شکل خودکار شناسایی و نصب خواهند شد. - پس از راهاندازی موفق، با دستورات زیر RouterBOOT روتربرد را نیز هماهنگ و ارتقا دهید:
/system routerboard upgrade /system reboot
راهکار سوم: استقرار مخزن محلی توزیع نرمافزار (Local Software Repository)
در شبکههای اداری بزرگ و مراکز داده که دهها تجهیز RouterBOARD در نقاط مختلف فعال هستند، دانلود انفرادی و اتصال روترها به مخازن خارج از شبکه بازدهی پایینی دارد. بهینهترین متد، راهاندازی یک وبسرور داخلی توزیع فایل (مانند Nginx) درون زیرساخت شبکه است.
در سازمانهایی که بستر سرویسدهی خود را بر پایههای پردازشی پایدار همچون سرور DL360 Gen10 در رکهای مرکز داده مستقر کردهاند، میتوان یکی از ماشینهای مجازی لینوکسی اختصاصی را به عنوان مخزن مرکزی نگهداری پکیجهای فریمور، پشتیبانگیری و پایگاه سیستمهای مانیتورینگ سازمان پیکربندی نمود. روترهای سازمان قادر خواهند بود از طریق فراخوانی یک اسکریپت ساده با استفاده از /tool fetch، بهروزرسانیهای تأییدشده را با بیشترین پهنای باند و بدون وابستگی به اتصالات خارج از کشور دریافت نمایند:
/system script
add name="Local-Upgrade-Script" source={
:log info "Downloading verified RouterOS packages from local enterprise mirror...";
/tool fetch url="http://internal-mirror.local/repo/routeros-7.16-arm.npk" dst-path="routeros-7.16-arm.npk" mode=http;
:delay 5s;
:log info "System will reboot to finalize installation...";
/system reboot;
}بررسی شبهات؛ آیا سختافزارهای میکروتیک با خطر از کار افتادگی مواجه هستند؟
با گسترش مباحث مربوط به تحریم میکروتیک ایران، شایعات متعددی مبنی بر احتمال قفل شدن یا به اصطلاح بریک شدن تجهیزات سختافزاری از راه دور در محافل غیرتخصصی مطرح شد. از منظر مهندسی شبکه، این ادعاها فاقد اعتبار فنی هستند:
- فقدان در پشتی (Backdoor) جهت مسدودسازی سختافزار: تجهیزات فیزیکی میکروتیک مجهز به هیچ سیستم قفل از راه دور نیستند و ارتباطات روتر با سرورهای خارجی صرفاً به بررسی وضعیت نرمافزاری محدود است.
- ثبت لایسنس دائمی بر روی چیپست: لایسنسهای سختافزاری روتربردها (سطوح 4، 5 و 6) به صورت قطعی روی چیپ نند (NAND) تجهیز ذخیره شده و نیازی به ارتباط آنلاین مستمر جهت اعتبارسنجی ندارند.
- محدود بودن تحریمها به لایه سرویسهای وب: سیاستهای تحریمی اعمالشده منحصراً در سطح سرورهای میزبانی وب و فایروالهای لبهای شرکت میکروتیک پیکربندی شده و روی پایداری کارکرد درونی سیستمعامل اثری ندارند.
چکلیست الزامات امنیتی برای مدیران شبکه
جهت حفظ یکپارچگی ساختار ارتباطی در مواجهه با شرایط تحریم میکروتیک، رعایت گامهای زیر در سیاستهای مدیریتی توصیه میشود:
- تهیه منظم نسخههای پشتیبان کامل: ایجاد و دانلود نسخههای باینری و متنی کانفیگها با دستورات
/system backup saveو/export compactپیش از هرگونه تغییرات فریمور. - غیرفعال نمودن فراخوانیهای مکرر سرورهای مسدود: خاموش کردن قابلیتهای ابری بدون استفاده نظیر
/ip cloud set ddns-enabled=no update-time=noجهت کاهش پروسههای بیثمر روتر. - تنظیم تایمسرورهای داخلی (Local NTP): استفاده از رفرنسهای زمانی داخلی به جای سرورهای اینترنتی به منظور جلوگیری از اختلال در لاگهای سیستمی و ارتباطات مبتنی بر گواهینامههای SSL/TLS.
- ایجاد آرشیو نسخههای پایدار: نگهداری پکیجهای فریمور نسخههای Long-Term سازگار با سختافزارهای شبکه روی ذخیرهسازهای سازمانی به عنوان یک مرجع مطمئن.
جمعبندی
مسئله تحریم میکروتیک و پیامدهای آن نظیر مسدود شدن آپدیتها و لایسنسها، بر اهمیت معماری مستقل شبکه در زیرساختهای فناوری اطلاعات میافزاید. سیستمعامل RouterOS به دلیل انعطافپذیری فوقالعاده در مسیریابی و مدیریت بستهها، امکان مهار این محدودیتها را به طور کامل فراهم ساخته است. با تکیه بر متدهای مهندسی، بهرهگیری از زیرساختهای پایدار داخلی و پرهیز از تکیه بر سرویسهای آنلاین وابسته به اینترنت بینالملل، میتوان پایداری و امنیت پایدار زیرساختهای سازمانی را تضمین نمود.
