Микротик error could not connect to

podarok66 писал(а): ↑

16 авг 2020, 20:44

Ну что же, сочувствую. Хотя и не понимаю, что могло заставить опытного админа в продакшн-железке использовать без крайней нужды ветку stable вместо ветки long term. Ладно я на близлежащих маршрутизаторах гружу ветку stable — мне как модеру просто иногда надо быть в курсе нововведений. В частности DoH вот тестируется уже несколько недель. Но вам-то зачем было тащить роутер в это болото?
Кстати, вы ничего не пишите по поводу доступа по ssh. Как из интернета, так и с подключённых серверов. Есть у меня парочка Микротиков, вообще не имеющих доступа к себе из-вне, но вполне допускающих этот доступ с серверов, подключённых к ним как через локалку, так и посредством туннелей. Это может быть вариантом войти на железку, если всё же случился не взлом, а ошибка в правилах.

Как раз недостаток негативного опыта не позволил принять решение о использовании long term прошивки, хотя читал несколько раз советы бывалых на данный счёт.
Проверил сохраненный совсем недавно экспорт настроек, убедился, что SSH отключен у меня,
ssh`ем не пользовался, отключил его, а зря…: set ssh disabled=yes

Зато обнаружил, что set telnet address=»….» среди перечисленных присутствует тот внешний IP, на котором я сейчас. А IP локальной машины изнутри LAN к которой проброшен порт RDP наоборот не вписан. Буду пробовать подключиться по telnet — к этому микротику по telnet ни разу не подключался пока что.

К стандартному порту Winbox (не менял его по причине включенного сервера The DUDE, который некорректно работает, вернее не работае с нестандартным портом) стоит ограничение по IP, но к сожалению туда недавно добавил три подсети /16 , чтобы самому иметь возможность подключаться с мобильных операторов связи в ситуации, если отвалится доступ к второму микротику с белым IP (на нем провайдер месяц назад без предупреждения сменил IP и не вернул назад). Не исключаю, что причина в том, что хакеры пробрались к микротику именно с тех адресов.
Дозвонился до техподдержки провайдера, подтвердили, что последние дни наблюдали активность хакеров на их клиентов. Логи подробные по клиентам они не ведут. Но видят, что большого трафика Микротик не генерирует, видят только мизерный «технический» трафик. Отключение и включение порта WAN со стороны управляемого D-LINKa провайдера не помогло ничем.

UPD. При попытке подсоединиться по SSH, Telnet как с WAN так и с LAN по IP-адресам, которые пингуются, PUTTY пишет:
Network error: Connection refused

Из командной строки запускал на внешний IP адрес
>plink -v ххх.ххх.ххх.ххх
Looking up host «ххх.ххх.ххх.ххх» for SSH connection
Connecting to ххх.ххх.ххх.ххх port 22
We claim version: SSH-2.0-PuTTY_Release_0.74
Failed to connect to ххх.ххх.ххх.ххх: Network error: Connection refused
Network error: Connection refused
FATAL ERROR: Network error: Connection refused

Возникает ощущение, что ночью в результате какого то события сработало какое то запретное правило, которое запретило подключаться как из WAN так и из LAN с помощью VPN соединений, плюс заблокировался винбокс.
Одновременно роутер продолжает пропускать через себя интернет-трафик до сервера, и перенаправляет RDP соединения снаружи в локалку.
Не понимаю что нужно делать, чтобы в будущем не оказаться в такой же ситуации. Второй раз теряю доступ к этому роутеру, но если первый раз был рядом и глубоко не копал, то теперь мне не добраться до устройства, пытаюсь осознать что за глюк, особенно учитывая, что я не один такой.
Пока что рекомендации услышал такие:
— разрешить (не отключать) SSH доступ, причем только с определенных IP адресов,
— использовать прошивки только Long Term.

A user trying to access a Mikrotik device via Winbox may be denied access and in return, shown a Winbox error message, which unfortunately does not say much on the reason why access is denied. Most users often get confused on seeing a Winbox error message when trying to access their routers, especially when the displayed message is not the conventional “wrong username or password” message that we are all used to.

In addition to the Winbox error message received when a wrong username or password is entered, there are two other messages that can be received when trying to login to a Mikrotik device using Winbox. These two types of Winbox error messages are usually confusing. We will look at them and what to do when faced with any of them.

Error: could not connect to 192.168.88.1

When faced with this Winbox error message, do not freak out, there are a few reasons for this and we will go over them one after the other:

(i) Your PC is not on the same subnet as the Mikrotik device you are trying to access. Mikrotik routers come preconfigured with LAN IP. This is done to enable you login and manage the device. The default IP is 192.168.88.1/24. For you to be able to access the router using that IP, your PC MUST be configured with any IP on that subnet from 2 to 254 with a subnetmask of 255.255.255.0. Alternative, if you do not want to change your IP, you can log in using the MAC address of the Mikrotik device. Mac login is enabled by default on Mikrotik routers. To use it, simply connect your Mikrotik device to your PC, open the Winbox application, click on the displayed mac address and click on connect.

(ii) You are connected to ether1. Most Mikrotik routers have firewall rules preconfigured to deny access to the router via the WAN port. Ether1, having been provisioned as the WAN port, inherits these rules and consequently, denies all access to the router via it. To access your router, it is recommended that you make use of the ether2, 3, 4, etc ports, depending on the model of your router.

(iii) Corrupt RouterOS: RouterOS could get corrupt when the router is rebooted remotely, when there is power fluctuation or when a RouterOS update did not perform correctly. When you can not access your router as a result of a currupt routerOS, simply reinstall your Mikrotik device using netinstall. See how to reinstall a Mikrotik device via netinstall.

Error: could not fetch index

If you received this winbox error message while trying to access your router, there is no need going over the three steps explained above. None of them is the solution to this type of error. When this message is displayed, it simply means that the routerOS on the Mikrotik device you are trying to access and the Winbox on your computer are incompatible. Either you are using an older version of Winbox to access a Mikrotik device running a newer version of routerOS or vice versa.

To solve this problem, simply downgrade your Winbox, if the Mikrotik device is running an older version of routerOS, or upgrade your winbox, if the Mikrotik device has a newer version of RouterOS. If you have to install an older version of Winbox to access your device, make sure to upgrade the RouterOS once you are able to login, after which, you can then access it using the newer version of Winbox. See how to upgrade Mikrotik RouterOS.

If you enjoyed this tutorial, please subscribe to this blog to receive my posts via email. Also subscibe to my YouTube channel, like my Facebook page and follow me on Twitter.