MikroTik Kurulumu: Sıfırdan Adım Adım Güvenli Yapılandırma

MikroTik kurulumu, doğru sırayla yapıldığında yarım saatlik bir iştir. Yanlış sırayla yapıldığında ise aylar sonra ortaya çıkan güvenlik açıklarının ve “neden yavaş bu ağ” sorularının kaynağıdır. Bu rehberde kutudan çıkan bir MikroTik router’ı sıfırdan, güvenli ve bakımı kolay bir yapılandırmayla devreye alıyoruz.

Örnek senaryo: tek WAN bağlantılı bir ofis; ether1 internete, kalan portlar iç ağa. İç ağ 192.168.88.0/24 kalsın (isterseniz değiştirin, mantık aynı). Komutlar RouterOS v7 içindir.

0. Hazırlık: Winbox ve ilk bağlantı

Winbox’ı indirin. Bilgisayarınızı router’ın LAN portlarından birine bağlayın ve Winbox’ta Neighbors sekmesini açın: cihaz listede görünür. IP yerine MAC adresine tıklayarak bağlanın; ilk kurulumda IP yapılandırması değişeceği için MAC bağlantısı kopmaz.

Kullanıcı adı admin. Şifre eski cihazlarda boştur; yeni üretim cihazlarda kutunun/cihazın etiketinde yazar.

Cihaz daha önce kullanıldıysa temiz başlayın:

/system reset-configuration no-defaults=no skip-backup=yes

no-defaults=no ile MikroTik’in varsayılan yapılandırması (bridge, DHCP, temel firewall) yüklü gelir. Bu rehber varsayılan yapılandırma üzerine kuruludur; tamamen boş başlamak isteyenler no-defaults=yes kullanır ama her şeyi elle yazmayı göze almalıdır.

1. Önce güncelleme, sonra yapılandırma

Yapılandırmaya başlamadan RouterOS’u güncelleyin. Sürüm farkları davranış değiştirir; önce yapılandırıp sonra güncellerseniz aynı işi iki kez yaparsınız.

/system package update check-for-updates
/system package update install

Reboot sonrası RouterBOOT firmware’ini de eşitleyin:

/system routerboard upgrade
/system reboot

/system routerboard print çıktısında current-firmware ile upgrade-firmware aynı olmalı.

2. Yönetici hesabını güvenceye al

Varsayılan admin hesabı internete açık her MikroTik’te ilk denenen hesaptır. Yeni bir kullanıcı açıp admin’i devre dışı bırakın:

/user add name=agyonetici password="GucluBirParola-Buraya" group=full
/user disable admin

Şifre yöneticinizden üretilmiş, benzersiz bir parola kullanın. “Router şifresi nasıl olsa içeride” rahatlığı, yönetim portu yanlışlıkla internete açıldığı gün pahalıya mal olur.

3. Interface düzeni: WAN ayrı, LAN bridge’te

Varsayılan yapılandırmada ether1 WAN, kalan portlar bridge altında LAN’dır. Manuel kuruyorsanız mantık şu:

/interface bridge add name=bridge-lan
/interface bridge port add bridge=bridge-lan interface=ether2
/interface bridge port add bridge=bridge-lan interface=ether3
/interface bridge port add bridge=bridge-lan interface=ether4

WAN portunu bridge’e eklemeyin. En sık gördüğüm kurulum hatalarından biri, tüm portların tek bridge’e alınıp WAN’ın da içeride kalmasıdır; ağ çalışır gibi görünür ama ISS modeminin DHCP’si iç ağa sızar.

4. WAN bağlantısı

Bağlantı tipinize göre üçünden biri:

DHCP ile (kablo internet, fiber modem arkası):

/ip dhcp-client add interface=ether1 disabled=no

PPPoE ile (VDSL/fiber, modem köprü modunda):

/interface pppoe-client add interface=ether1 user=kullanici@iss password=sifre \
  add-default-route=yes use-peer-dns=yes disabled=no

Statik IP ile:

/ip address add address=<size-verilen-ip>/29 interface=ether1
/ip route add gateway=<iss-gateway>

5. LAN IP ve DHCP sunucusu

/ip address add address=192.168.88.1/24 interface=bridge-lan
/ip pool add name=dhcp-havuz ranges=192.168.88.50-192.168.88.200
/ip dhcp-server add name=lan-dhcp interface=bridge-lan address-pool=dhcp-havuz disabled=no
/ip dhcp-server network add address=192.168.88.0/24 gateway=192.168.88.1 dns-server=192.168.88.1

Havuzu .50’den başlatmak, .2-.49 arasını yazıcı, sunucu, erişim noktası gibi sabit IP’li cihazlara ayırır; ileride DHCP çakışmasıyla uğraşmazsınız.

6. NAT ve DNS

İç ağın internete çıkışı için masquerade:

/ip firewall nat add chain=srcnat out-interface=ether1 action=masquerade \
  comment="LAN internet cikisi"

PPPoE kullanıyorsanız out-interface olarak pppoe-client arayüzünü yazın.

DNS’i router üzerinden dağıtmak isterseniz:

/ip dns set servers=1.1.1.1,8.8.8.8 allow-remote-requests=yes

allow-remote-requests=yes açıksa firewall’da DNS portunu (53) WAN tarafından kapatmak zorunludur; birazdan input chain’de bunu yapıyoruz. Aksi halde router’ınız internete açık bir DNS resolver olur ve amplifikasyon saldırılarında araç olarak kullanılır.

7. Temel firewall seti

Varsayılan yapılandırmayla gelen firewall iyi bir başlangıçtır. Manuel kuranlar için minimum sağlıklı set:

/ip firewall filter
add chain=input action=accept connection-state=established,related \
  comment="kurulu baglantilar"
add chain=input action=drop connection-state=invalid comment="bozuk paketler"
add chain=input action=accept protocol=icmp comment="ping/teshis"
add chain=input action=accept in-interface=bridge-lan comment="LAN yonetim erisimi"
add chain=input action=drop comment="geri kalan her sey"

add chain=forward action=fasttrack-connection connection-state=established,related \
  hw-offload=yes comment="fasttrack hizlandirma"
add chain=forward action=accept connection-state=established,related
add chain=forward action=drop connection-state=invalid
add chain=forward action=accept in-interface=bridge-lan comment="LAN cikisi"
add chain=forward action=drop comment="geri kalan her sey"

İki kritik ayrıntı:

• Sıra önemlidir. Kurallar yukarıdan aşağı işler; en sondaki drop’un üstünde izinleriniz tamamlanmış olmalı.
• Fasttrack CPU kullanımını ciddi düşürür; ancak mangle/queue ile trafik şekillendirme yapacaksanız fasttrack’lenen trafik bu kuralları atlar. QoS planınız varsa bu kuralı bilinçli yönetin.

Brute force koruması ve daha katmanlı bir set için MikroTik firewall yazımdaki production kural setine bakın.

8. Servis sıkılaştırma: kurulumun en çok atlanan adımı

RouterOS pek çok yönetim servisiyle gelir; çoğuna ihtiyacınız yok:

/ip service disable telnet,ftp,www,api,api-ssl
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24 port=22022

Devamında:

/tool mac-server set allowed-interface-list=none
/tool mac-server mac-winbox set allowed-interface-list=none
/tool bandwidth-server set enabled=no
/ip neighbor discovery-settings set discover-interface-list=none

Bu blok, cihazın MAC üzerinden yönetimini ve keşif protokollerini kapatır. İlk kurulum bitmeden bunları kapatmayın; MAC bağlantısını kurulum sırasında kullanıyorsunuz. Kapattıktan sonra yönetim yalnızca iç ağdan, IP üzerinden yapılır. Uzaktan yönetim gerekiyorsa yönetim portunu internete açmak yerine WireGuard VPN kurun; Winbox bağlantı sorunları yazısında bunun nedenlerini anlattım.

9. Saat, log ve yedek

Sertifika doğrulaması ve okunabilir loglar için NTP:

/system clock set time-zone-name=Europe/Istanbul
/system ntp client set enabled=yes
/system ntp client servers add address=time.cloudflare.com

Ve kurulumun imzası, yedek:

/export file=kurulum-sonrasi-export
/system backup save name=kurulum-sonrasi password="YedekParolasi"

.rsc export’u insan okur, binary backup cihaz okur; ikisini birlikte alın ve cihazın dışında saklayın. Router arızalandığında yedeğin router’da olmasının faydası yoktur.

10. Test listesi

Kurulum bitti demeden önce:

• İç ağdan bir cihaz DHCP’den IP alıyor mu? (/ip dhcp-server lease print)
• İnternet var mı? (ping 1.1.1.1, sonra ping google.com; ilki çalışıp ikincisi çalışmıyorsa sorun DNS’tedir)
• WAN tarafından Winbox/SSH kapalı mı? (dışarıdan bir bağlantıyla veya çevrimiçi port tarayıcıyla doğrulayın)
• /ip firewall connection print akıyor mu, /log print hata üretiyor mu?

Sık yapılan kurulum hataları

1. Şifresiz admin ile “sonra bakarım” demek. Sonra unutulur; internete açılan ilk gün cihaz taranır.
2. WAN portunu bridge’e eklemek. ISS DHCP’si iç ağa sızar, çift gateway kaosu başlar.
3. Güncellemeyi kuruluma bırakmak. Eski sürümle yapılandırıp sonra güncellemek davranış farklarıyla uğraştırır.
4. Her servisi açık bırakmak. telnet ve ftp 2026’da bir router’da açık olmamalı.
5. Yedeği router’da tutmak. Cihaz öldüğünde yapılandırma da onunla gider.

Kurulumdan sonrası

Temel kurulum bu kadar. Ofis ağınız büyüdükçe sıradaki adımlar VLAN segmentasyonu, misafir ağı, VPN ve merkezi WiFi yönetimi olacaktır; port yönlendirme gerektiğinde de güvenli daraltma kurallarını ihmal etmeyin.

Kurulumu bir uzmana bırakmak isterseniz veya mevcut kurulumunuzun denetlenmesini istiyorsanız MikroTik destek hizmetime göz atabilirsiniz; Türkiye genelinde uzaktan, Marmara bölgesinde yerinde çalışıyorum.