آشنایی کامل با Device Mode در RouterOS v7 میکروتیک؛ تنظیمات، حالت‌ها و محدودیت‌های امنیتی

Device Mode در میکروتیک چیست و چه کاربردی دارد؟

روترهای MikroTik قابلیت‌های زیادی فراتر از مسیریابی معمولی دارند. ابزارهایی مانند Container، Proxy، Fetch و Traffic Generator می‌توانند در سناریوهای مختلف مفید باشند، اما در صورت سوءاستفاده، خطراتی نیز ایجاد می‌کنند.

برای مثال، اگر مهاجمی به حساب مدیریتی روتر دسترسی پیدا کند، ممکن است تلاش کند از قابلیت‌های دستگاه برای اجرای فعالیت‌های غیرمجاز استفاده کند.

Device Mode برای محدود کردن چنین امکاناتی طراحی شده است. این سیستم تعیین می‌کند کدام ابزارها در سطح دستگاه اجازه فعالیت داشته باشند.

هدف اصلی Device Mode چیست؟

• کاهش سطح حمله یا Attack Surface روتر
• محدود کردن ابزارهای غیرضروری RouterOS
• جلوگیری از فعال‌سازی آسان برخی قابلیت‌های حساس توسط مهاجم
• ایجاد لایه تأیید فیزیکی برای تغییر محدودیت‌ها
• محدودسازی نصب نسخه‌های قدیمی و آسیب‌پذیر RouterOS
• شناسایی برخی نشانه‌های تغییرات غیرمجاز در پیکربندی دستگاه

تفاوت Device Mode با Firewall و User Policy

Device Mode جایگزین Firewall، مدیریت کاربران یا سطح دسترسی RouterOS نیست.

Firewall جریان ترافیک شبکه را کنترل می‌کند. User Policy مشخص می‌کند کاربران چه دسترسی‌هایی داشته باشند.

اما Device Mode تعیین می‌کند یک قابلیت مشخص در سطح دستگاه مجاز باشد یا خیر.

بنابراین ممکن است کاربر دارای دسترسی مدیریتی باشد، اما همچنان نتواند ابزاری را که توسط Device Mode محدود شده اجرا کند.

Device Mode از چه نسخه‌ای در RouterOS وجود دارد؟

Device Mode در طول توسعه RouterOS v7 تغییراتی داشته است. یکی از تغییرات مهم در RouterOS 7.17 مربوط به نحوه تعیین حالت پیش‌فرض دستگاه‌های جدید بود.

در دستگاه‌هایی که قبل از معرفی تنظیمات کارخانه‌ای Device Mode عرضه شده بودند، معمولاً حالت Advanced فعال بود.

با معرفی تنظیمات کارخانه‌ای جدید، حالت پیش‌فرض بر اساس گروه محصول تعیین می‌شود.

نکته مهم این است که ارتقای RouterOS الزاماً Device Mode قبلی را به حالت کارخانه‌ای جدید تغییر نمی‌دهد.

برای مثال، دستگاهی که پیش از این در حالت Advanced بوده است، ممکن است پس از ارتقا همچنان در همان حالت باقی بماند.

آشنایی با چهار حالت Device Mode در RouterOS v7

در مستندات جدید MikroTik، چهار حالت اصلی Device Mode تعریف شده است:

۱. Home Mode؛ مناسب استفاده خانگی

حالت Home محدودکننده‌ترین حالت عمومی است و برای روترهایی طراحی شده که نیاز به مجموعه محدودی از قابلیت‌های RouterOS دارند.

در این حالت ابزارهایی مانند Scheduler، Fetch، Email، Hotspot و Sniffer به‌صورت پیش‌فرض مجاز نیستند.

این محدودیت‌ها می‌توانند سطح حمله را کاهش دهند، اما اگر بخواهید از اتوماسیون یا ابزارهای پیشرفته استفاده کنید، ممکن است نیاز به فعال‌سازی قابلیت خاص داشته باشید.

۲. Basic Mode؛ مناسب کاربردهای عمومی

Basic Mode نسبت به Home آزادی بیشتری دارد.

در این حالت قابلیت‌هایی مانند Scheduler، Fetch، Email و Sniffer در دسترس هستند، اما ابزارهایی مانند Hotspot، SOCKS Proxy و Container همچنان محدودند.

Basic Mode برای بسیاری از تجهیزات شبکه که به تمام ابزارهای پیشرفته نیاز ندارند، انتخابی منطقی است.

۳. Advanced Mode؛ مناسب سناریوهای حرفه‌ای

Advanced Mode که در نسخه‌های قدیمی‌تر با نام Enterprise نیز شناخته می‌شد، دسترسی به مجموعه گسترده‌تری از قابلیت‌ها را فراهم می‌کند.

در این حالت امکاناتی مانند Hotspot، Proxy، SOCKS، Sniffer، RoMON و Bandwidth Test به‌صورت پیش‌فرض مجازند.

بااین‌حال، Advanced Mode به معنای فعال بودن تمام امکانات RouterOS نیست.

برای مثال، Container و Traffic Generator حتی در حالت Advanced نیز به‌صورت پیش‌فرض غیرفعال هستند.

۴. ROSE Mode؛ مناسب دستگاه‌های ذخیره‌سازی

ROSE Mode برای دستگاه‌هایی مانند سری RDS و تجهیزات با کاربردهای گسترده ذخیره‌سازی طراحی شده است.

این حالت از نظر قابلیت‌ها به Advanced نزدیک است، اما Container در آن به‌صورت پیش‌فرض مجاز است.

البته پشتیبانی واقعی از Container به عوامل دیگری مانند معماری پردازنده، بسته نرم‌افزاری و منابع سخت‌افزاری نیز وابسته است.

جدول مقایسه کامل قابلیت‌ها در Device Mode

جدول زیر وضعیت پیش‌فرض قابلیت‌های مختلف را در چهار حالت Device Mode بر اساس مستندات RouterOS 7.26 نشان می‌دهد.

«بله» به معنی مجاز بودن قابلیت در Device Mode است، نه لزوماً نصب بودن Package، پشتیبانی سخت‌افزاری یا فعال بودن سرویس مربوطه. همه این گزینه‌ها را می‌توان متناسب با پشتیبانی دستگاه به‌صورت مستقل کنترل کرد.

کدام قابلیت‌ها نیازمند فعال‌سازی مستقل هستند؟

در حالت Advanced نیز چهار گزینه زیر به‌صورت پیش‌فرض غیرفعال‌اند:

• traffic-gen
• container
• partitions
• routerboard

در ROSE Mode، استثنای مهم Container است که به‌صورت پیش‌فرض مجاز است.

چگونه وضعیت فعلی Device Mode را مشاهده کنیم؟

برای بررسی وضعیت Device Mode، از WinBox یا SSH به روتر متصل شوید و دستور زیر را اجرا کنید:

/system/device-mode/print

نمونه‌ای از اطلاعاتی که نمایش داده می‌شود:

mode: advanced
allowed-versions: 7.13+,6.49.8+
flagged: no
flagging-enabled: yes
scheduler: yes
fetch: yes
sniffer: yes
hotspot: yes
container: no
traffic-gen: no
attempt-count: 0

این خروجی خلاصه شده و تنها نمونه‌ای از مقادیر قابل مشاهده است. خروجی واقعی ممکن است بخش‌های بیشتری داشته باشد.

معنی پارامترهای مهم

دستور Print Config چه تفاوتی دارد؟

در RouterOS جدید می‌توان از دستور زیر نیز استفاده کرد:

/system/device-mode/print config

این دستور تنظیماتی را که با پیش‌فرض Mode تفاوت دارند، در کنار اطلاعات اصلی پیکربندی نمایش می‌دهد.

برای مثال، اگر در Home Mode قابلیت Fetch را به‌صورت مستقل فعال کرده باشید، این تغییر در خروجی قابل مشاهده خواهد بود.

برای مشاهده تمام وضعیت‌های فعال و غیرفعال، استفاده از دستور معمول print مناسب‌تر است.

آشنایی با بخش Device Mode در WinBox 4

در نسخه‌های جدید WinBox، می‌توان تنظیمات Device Mode را از رابط گرافیکی RouterOS بررسی کرد.

1. به روتر MikroTik متصل شوید و از منوی اصلی گزینه System را باز کنید.
2. بخش Device Mode را انتخاب کنید.
3. در صفحه بازشده، Mode فعلی و Allowed Versions را مشاهده کنید.
4. وضعیت قابلیت‌هایی مانند Scheduler، Fetch، Sniffer، Container و Hotspot را بررسی کنید.
5. برای درخواست تغییر Mode یا Featureها، از گزینه Update استفاده کنید.

نمای اصلی Device Mode برای مشاهده وضعیت تنظیمات است و تغییرات از طریق عملیات Update آغاز می‌شوند.

آموزش تغییر Device Mode از طریق Terminal

برای تغییر حالت دستگاه از دستور update در مسیر Device Mode استفاده می‌شود.

تغییر به Advanced Mode

/system/device-mode/update mode=advanced

بعد از اجرای دستور، RouterOS پیامی مشابه نمونه زیر نشان می‌دهد:

update: turn off power or reboot by
pressing reset or mode button in 5m
to activate changes

این پیام به مدیر شبکه اطلاع می‌دهد که برای فعال شدن تغییرات باید در بازه زمانی مشخص، تأیید فیزیکی انجام شود.

تغییر به Basic Mode

/system/device-mode/update mode=basic

تغییر به Home Mode

/system/device-mode/update mode=home

تغییر به ROSE Mode

/system/device-mode/update mode=rose

استفاده از ROSE باید متناسب با هدف دستگاه و قابلیت‌های موجود انجام شود.

هشدار درباره تغییر کامل Mode

یک تفاوت بسیار مهم میان تغییر Mode و فعال‌سازی مستقل یک Feature وجود دارد.

وقتی پارامتر mode در دستور Update وارد شود، تنظیمات اختصاصی قبلی Device Mode با پیش‌فرض‌های حالت جدید جایگزین می‌شوند؛ مگر Featureهایی که در همان دستور تعیین شده‌اند.

برای مثال:

/system/device-mode/update \
 mode=home \
 fetch=yes \
 email=yes

در این نمونه پس از تأیید فیزیکی، Home Mode فعال می‌شود، اما Fetch و Email نیز مجاز خواهند بود.

اگر در آینده فقط دستور زیر را اجرا کنید:

/system/device-mode/update mode=advanced

تنظیمات اختصاصی Fetch و Email که همراه Home Mode تعریف کرده بودید، حفظ نمی‌شوند و قابلیت‌ها به پیش‌فرض Advanced بازمی‌گردند.

چرا تغییر Device Mode نیاز به تأیید فیزیکی دارد؟

یکی از ویژگی‌های امنیتی مهم Device Mode این است که اجرای دستور مدیریتی به‌تنهایی برای فعال شدن تغییرات کافی نیست.

فرض کنید مهاجمی از راه دور به روتر دسترسی مدیریتی پیدا کند و تلاش کند ابزار Container یا Traffic Generator را فعال کند.

اگر فعال‌سازی فقط با یک دستور نرم‌افزاری انجام می‌شد، محدودیت Device Mode اثر امنیتی کمتری داشت.

برای جلوگیری از این وضعیت، MikroTik تأیید فیزیکی را به فرآیند تغییر اضافه کرده است.

روش‌های تأیید تغییرات

• فشار دادن دکمه Reset یا Mode طبق پیام نمایش‌داده‌شده و سازگاری مدل دستگاه
• قطع کامل برق و وصل مجدد آن یا Power Cycle

در بعضی مدل‌های قدیمی که به پایان دوره پشتیبانی رسیده‌اند، تأیید تغییر فقط با Power Cycle امکان‌پذیر است.

آیا Reboot معمولی کافی است؟

خیر. طبق مستندات جدید MikroTik، اجرای دستور زیر برای تأیید تغییرات Device Mode کافی نیست:

/system/reboot

در واقع Reboot نرم‌افزاری معمولی درخواست در انتظار تأیید را لغو می‌کند.

برای تأیید باید از روش فیزیکی مجاز یا Power Cycle استفاده شود.

Device Mode در CHR و ماشین مجازی

در محیط مجازی نیز منطق تأیید باید رعایت شود.

در سناریوهایی مانند MikroTik CHR روی Hypervisor، عملیات قطع و وصل برق ماشین مجازی در سطح Hypervisor می‌تواند معادل Cold Reboot باشد.

این عملیات با اجرای Reboot از داخل RouterOS تفاوت دارد.

مدیر سیستم باید قبل از شروع Update مطمئن شود به ابزار مدیریت Hypervisor یا کنسول مجازی دسترسی دارد.

آموزش فعال و غیرفعال کردن قابلیت‌های Device Mode

در RouterOS می‌توان قابلیت‌های کنترل‌شده توسط Device Mode را به‌صورت مستقل تغییر داد.

این روش برای حفظ اصل حداقل دسترسی یا Least Privilege مناسب‌تر است.

۱. فعال‌سازی Container در میکروتیک

در بسیاری از دستگاه‌های MikroTik، حتی اگر Advanced Mode فعال باشد، Container به‌صورت پیش‌فرض غیرفعال است.

برای مجاز کردن آن:

/system/device-mode/update container=yes

پس از تأیید فیزیکی و راه‌اندازی مجدد دستگاه، وضعیت را بررسی کنید:

/system/device-mode/print

اگر مقدار container: yes نمایش داده شود، محدودیت Device Mode برای Container برداشته شده است.

البته نصب Package مربوط، پشتیبانی معماری پردازنده، فضای ذخیره‌سازی و سایر نیازمندی‌ها همچنان باید بررسی شوند.

برای مطالعه بیشتر: کانتینر در MikroTik چیست و چه کاربردهایی دارد؟

۲. فعال‌سازی Traffic Generator

Traffic Generator برای تولید ترافیک آزمایشی و بررسی رفتار شبکه استفاده می‌شود.

از آنجا که این ابزار می‌تواند بار زیادی روی روتر و شبکه ایجاد کند، به‌صورت پیش‌فرض در تمام Modeها غیرفعال است.

دستور فعال‌سازی:

/system/device-mode/update traffic-gen=yes

این گزینه علاوه بر Traffic Generator، روی ابزارهای flood-ping و ping-speed نیز اثر دارد.

مقاله مرتبط: آموزش Traffic Generator و تست عملکرد شبکه در MikroTik

۳. فعال‌سازی Scheduler

در Home Mode، Scheduler به‌صورت پیش‌فرض غیرفعال است. اگر بخواهید وظایف زمان‌بندی‌شده اجرا کنید:

/system/device-mode/update scheduler=yes

پس از تأیید تغییر، می‌توانید مجاز بودن Scheduler را بررسی کنید.

۴. فعال‌سازی Fetch

Fetch برای انتقال فایل، ارسال درخواست HTTP/HTTPS و ارتباط با بعضی سرویس‌های خارجی استفاده می‌شود.

برای مجاز کردن آن:

/system/device-mode/update fetch=yes

این قابلیت می‌تواند در سناریوهای Automation کاربرد داشته باشد.

۵. فعال‌سازی Hotspot

اگر بخواهید قابلیت Hotspot در RouterOS مجاز باشد:

/system/device-mode/update hotspot=yes

در Home و Basic Mode، Hotspot به‌صورت پیش‌فرض محدود است.

۶. فعال‌سازی ZeroTier

/system/device-mode/update zerotier=yes

برای استفاده از ZeroTier، علاوه بر Device Mode، وجود Package و سازگاری سخت‌افزاری نیز لازم است.

۷. غیرفعال کردن یک قابلیت غیرضروری

Device Mode فقط برای فعال‌سازی ابزارها نیست. در شبکه‌های سازمانی می‌توان قابلیت‌های غیرضروری را نیز محدود کرد.

برای مثال، اگر نیازی به SOCKS Proxy ندارید:

/system/device-mode/update socks=no

یا اگر دستگاه نیازی به قابلیت Sniffer ندارد:

/system/device-mode/update sniffer=no

هر تغییر پس از تأیید فیزیکی و راه‌اندازی مجدد اعمال می‌شود.

تغییر چند Feature با یک دستور

برای کاهش تعداد عملیات تأیید فیزیکی، می‌توان چند Feature موردنیاز را هم‌زمان تغییر داد.

/system/device-mode/update \
 scheduler=yes \
 fetch=yes \
 email=yes

این دستور تنها Featureهای مشخص‌شده را تغییر می‌دهد و Mode فعلی را جایگزین نمی‌کند.

Attempt Count و Activation Timeout در Device Mode چیست؟

MikroTik برای جلوگیری از سوءاستفاده از فرآیند تأیید فیزیکی، تعداد درخواست‌های ناموفق تغییر Device Mode را محدود می‌کند.

Attempt Count چگونه کار می‌کند؟

پارامتر attempt-count تعداد تلاش‌های ناموفق برای تغییر Device Mode را نشان می‌دهد.

طبق مستندات جدید، حداکثر سه درخواست Update بدون بازنشانی مجاز است.

پس از رسیدن شمارنده به سه، درخواست‌های جدید رد می‌شوند و برای بازنشانی شمارنده یک بازه زمانی مشخص در اختیار مدیر قرار می‌گیرد.

در این بازه، باید تأیید فیزیکی یا Power Cycle انجام شود.

Activation Timeout چیست؟

پارامتر activation-timeout مدت زمانی را مشخص می‌کند که مدیر شبکه برای تأیید فیزیکی درخواست فرصت دارد.

مقدار پیش‌فرض آن 5 دقیقه است.

محدوده مجاز در مستندات جدید از 10 ثانیه تا یک روز تعیین شده است.

مثال تنظیم فرصت تأیید روی 10 دقیقه

/system/device-mode/update \
 container=yes \
 activation-timeout=10m

در این مثال، مدیر شبکه برای تأیید تغییر 10 دقیقه فرصت خواهد داشت.

اگر تأیید انجام نشود چه اتفاقی می‌افتد؟

اگر درخواست در بازه تعیین‌شده تأیید نشود، تغییر لغو خواهد شد.

اما صرف منقضی شدن درخواست یا اجرای Reboot معمولی لزوماً شمارنده تلاش‌ها را بازنشانی نمی‌کند.

تأیید موفق تغییر یا اقدام فیزیکی در بازه بازنشانی شمارنده، می‌تواند آن را صفر کند.

لغو درخواست در انتظار تأیید

اگر درخواست اشتباهی برای تغییر Device Mode ثبت کرده‌اید، می‌توانید از دستور زیر استفاده کنید:

/system/device-mode/update

اجرای Update بدون پارامتر، درخواست در انتظار را لغو می‌کند.

Allowed Versions در Device Mode چه کاربردی دارد؟

یکی از قابلیت‌های امنیتی Device Mode، محدود کردن نصب نسخه‌های قدیمی و آسیب‌پذیر RouterOS است.

پارامتر allowed-versions محدوده نسخه‌هایی را مشخص می‌کند که از نظر سیاست امنیتی MikroTik برای نصب مجاز هستند.

برای مثال، در برخی خروجی‌های مستندات مقدار زیر دیده می‌شود:

allowed-versions: 7.13+,6.49.8+

این مقدار صرفاً نمونه است و فهرست واقعی می‌تواند با نسخه RouterOS متفاوت باشد.

چرا محدودیت Downgrade اهمیت دارد؟

گاهی مهاجمی که دسترسی مدیریتی به روتر پیدا کرده است، تلاش می‌کند سیستم‌عامل را به نسخه‌ای قدیمی با آسیب‌پذیری شناخته‌شده برگرداند.

Device Mode می‌تواند مانع نصب نسخه‌هایی شود که خارج از فهرست مجاز هستند.

Install Any Version چیست؟

پارامتر install-any-version در صورت فعال شدن، محدودیت فهرست Allowed Versions را نادیده می‌گیرد.

این قابلیت به‌صورت پیش‌فرض در تمام Modeها غیرفعال است.

همچنین بر اساس مستندات MikroTik، ارتقا به نسخه‌ای که فهرست Allowed Versions جدیدتری دارد، می‌تواند این فهرست را به‌روزرسانی کند؛ اما Downgrade فهرست را به عقب برنمی‌گرداند.

Flagged در Device Mode چیست و چه ارتباطی با امنیت دارد؟

یکی دیگر از قابلیت‌های مهم RouterOS، شناسایی نشانه‌هایی از تغییرات مشکوک در پیکربندی است.

RouterOS هنگام راه‌اندازی، تنظیمات دستگاه را از نظر بعضی الگوهای مربوط به دسترسی غیرمجاز بررسی می‌کند.

اگر نشانه‌هایی از پیکربندی مشکوک شناسایی شود، ممکن است مقدار flagged برابر yes شود.

بررسی وضعیت Flagged

/system/device-mode/print

نمونه وضعیت:

mode: advanced
flagged: yes
flagging-enabled: yes

وقتی روتر Flagged می‌شود چه اتفاقی می‌افتد؟

در این وضعیت، پیکربندی موجود تا حدی به فعالیت ادامه می‌دهد، اما بعضی عملیات مدیریتی محدود می‌شوند.

برای مثال ممکن است استفاده از Sniffer یا ایجاد و فعال‌سازی تنظیمات جدید برای Scheduler، SOCKS Proxy، PPTP، L2TP، IPsec، Proxy و SMB مسدود شود.

نمونه پیام خطا:

failure: configuration flagged,
check all router configuration
for unauthorized changes and
update device-mode

آیا Flagged به معنی هک شدن قطعی روتر است؟

Flagged نشان می‌دهد RouterOS علائمی مشکوک شناسایی کرده است. این وضعیت به‌تنهایی جزئیات دقیق رخداد را مشخص نمی‌کند.

بااین‌حال، مطابق توصیه امنیتی MikroTik، باید دستگاه را تا زمان بررسی کامل، مشکوک به نفوذ در نظر گرفت.

مراحل صحیح بررسی روتر Flagged

1. ابتدا از تنظیمات و شواهد موجود، نسخه پشتیبان مناسب برای بررسی امنیتی تهیه کنید.
2. حساب‌های کاربری، سطوح دسترسی و نشست‌های فعال را بررسی کنید.
3. Firewall، NAT، Scheduler، Scriptها و سرویس‌های مدیریتی را بررسی کنید.
4. به دنبال تنظیمات ناشناس، آدرس‌های مشکوک و دسترسی‌های غیرمجاز باشید.
5. نسخه RouterOS را از نظر به‌روزرسانی‌های امنیتی بررسی کنید.
6. گذرواژه‌ها و اطلاعات احراز هویت در معرض خطر را تغییر دهید.
7. پس از اطمینان از پاک‌سازی و بررسی کامل تنظیمات، وضعیت Flagged را اصلاح کنید.

آموزش حذف وضعیت Flagged پس از بررسی امنیتی

بعد از پایان بررسی و رفع موارد مشکوک، می‌توان دستور زیر را اجرا کرد:

/system/device-mode/update flagged=no

این درخواست نیز نیازمند تأیید فیزیکی یا Power Cycle است.

اگر احتمال نفوذ واقعی وجود دارد، باید فرآیند Incident Response و بازبینی کامل تنظیمات انجام شود.

Flagging Enabled چیست؟

پارامتر flagging-enabled مشخص می‌کند بررسی امنیتی پیکربندی در زمان راه‌اندازی فعال باشد یا خیر.

مقدار پیش‌فرض آن yes است.

در شبکه‌های عملیاتی، توصیه می‌شود این مکانیزم بدون دلیل فنی معتبر غیرفعال نشود.

سناریوهای واقعی استفاده از Device Mode در شبکه‌های MikroTik

سناریوی اول: روتر خانگی و فعال‌سازی Automation

فرض کنید یک روتر MikroTik در Home Mode قرار دارد و مدیر شبکه قصد دارد برای مانیتورینگ و ارسال درخواست به یک سامانه داخلی، از Scheduler و Fetch استفاده کند.

به‌جای تغییر کل Mode به Advanced، می‌توان این دو قابلیت را مستقلاً مجاز کرد.

/system/device-mode/update \
 scheduler=yes \
 fetch=yes

پس از تأیید فیزیکی و راه‌اندازی مجدد، وضعیت را بررسی کنید:

/system/device-mode/print

اگر هر دو Feature برابر yes باشند، محدودیت Device Mode برای این ابزارها برداشته شده است.

توجه داشته باشید که مجوزهای Script و سایر تنظیمات امنیتی همچنان مستقل هستند.

سناریوی دوم: راه‌اندازی Container روی MikroTik

فرض کنید روتر از نظر معماری و منابع از Container پشتیبانی می‌کند، اما قابلیت آن در Device Mode غیرفعال است.

ابتدا:

/system/device-mode/print

اگر مقدار Container برابر no بود:

/system/device-mode/update container=yes

پس از تأیید فیزیکی، وجود Package و سایر نیازمندی‌های Container را بررسی کنید.

این روش برخلاف تغییر کامل به Advanced Mode، فقط قابلیت موردنیاز را مجاز می‌کند.

سناریوی سوم: محدودسازی روتر شعبه

در شبکه‌ای با چندین شعبه، ممکن است هدف این باشد که فقط قابلیت‌های ضروری Routing و VPN فعال باشند.

در چنین شرایطی، می‌توان بسته به نیاز، ابزارهایی مانند Proxy، SOCKS و Traffic Generator را محدود نگه داشت.

به‌عنوان مثال:

/system/device-mode/update \
 socks=no \
 proxy=no \
 traffic-gen=no

این تنظیم سطح حمله ابزارهای فوق را کاهش می‌دهد، اما جایگزین Firewall، احراز هویت و به‌روزرسانی امنیتی نیست.

سناریوی چهارم: مانیتورینگ شبکه با Netwatch

در یک پروژه مانیتورینگ، ممکن است از Netwatch برای بررسی سرویس‌ها و از Fetch برای ارسال اعلان به یک API استفاده شود.

اگر Fetch در Device Mode محدود باشد، اجرای بخشی از فرآیند اطلاع‌رسانی ممکن است با خطا مواجه شود.

در این شرایط می‌توان قابلیت Fetch را پس از بررسی نیاز واقعی مجاز کرد.

/system/device-mode/update fetch=yes

البته Device Mode تنها یکی از شرایط موفقیت این سناریو است. دسترسی شبکه، تنظیمات TLS و مجوزهای Script نیز باید درست باشند.

مقاله مرتبط: آشنایی با Netwatch جدید در RouterOS v7

رفع خطاهای رایج Device Mode در میکروتیک

خطای not allowed by device-mode

یکی از رایج‌ترین پیام‌ها در RouterOS عبارت است از:

failure: not allowed by device-mode

این پیام نشان می‌دهد عملیات موردنظر در Device Mode فعلی مجاز نیست.

برای مثال، اگر Sniffer غیرفعال باشد، اجرای دستور زیر ممکن است با خطا مواجه شود:

/tool/sniffer/quick

در چنین شرایطی، ابتدا وضعیت sniffer را بررسی کنید.

اگر استفاده از ابزار واقعاً ضروری است، می‌توان درخواست فعال‌سازی آن را ثبت کرد:

/system/device-mode/update sniffer=yes

چرا Hotspot ایجاد شده ولی Disabled است؟

گاهی RouterOS اجازه می‌دهد تنظیمات یک قابلیت محدودشده ایجاد شوند، اما آن‌ها را غیرفعال نگه می‌دارد.

برای مثال، ممکن است یک Hotspot با توضیح زیر نمایش داده شود:

inactivated, not allowed by device-mode

در این حالت، علت ممکن است غیرفعال بودن Hotspot در Device Mode باشد.

پس از فعال‌سازی قابلیت، باید وضعیت تنظیمات Hotspot را مجدداً بررسی و در صورت نیاز فعال کنید.

چرا Device Mode بعد از Reboot تغییر نکرد؟

یکی از دلایل رایج، استفاده از Reboot نرم‌افزاری به‌جای تأیید فیزیکی است.

درخواست Device Mode با Reboot معمولی تأیید نمی‌شود.

چرا درخواست Update جدید اعمال نمی‌شود؟

ممکن است یک درخواست دیگر در وضعیت Pending باشد یا شمارنده Attempt Count به محدودیت خود رسیده باشد.

وضعیت Device Mode و پیام خروجی Update را بررسی کنید.

در صورت وجود درخواست Pending اشتباه، ابتدا آن را لغو کنید:

/system/device-mode/update

جدول عیب‌یابی سریع

بهترین روش‌های امنیتی برای استفاده از Device Mode

برای مدیریت حرفه‌ای Device Mode در شبکه‌های سازمانی، رعایت اصول زیر توصیه می‌شود.

1. اصل حداقل قابلیت را رعایت کنید. تنها ابزارهایی را مجاز کنید که واقعاً در شبکه موردنیاز هستند.
2. از Advanced Mode بدون ضرورت استفاده نکنید. در بسیاری از موارد، فعال کردن یک Feature کافی است.
3. تغییرات را مستندسازی کنید. مقدار قبلی Device Mode، دلیل تغییر و Featureهای فعال‌شده را ثبت کنید.
4. قبل از تغییر، دسترسی فیزیکی را بررسی کنید. بدون امکان تأیید فیزیکی، درخواست Update ممکن است بی‌نتیجه بماند.
5. برای Reboot برنامه‌ریزی کنید. اعمال تغییرات باعث راه‌اندازی مجدد دستگاه و وقفه در سرویس می‌شود.
6. Flagging را جدی بگیرید. وضعیت Flagged را صرفاً یک خطای معمولی در نظر نگیرید.
7. Downgrade را محدود نگه دارید. از نصب نسخه‌های دارای آسیب‌پذیری شناخته‌شده پرهیز کنید.
8. از مدیریت امن روتر استفاده کنید. Device Mode باید در کنار Firewall، سیاست دسترسی، گذرواژه قوی، محدودسازی WinBox و SSH و به‌روزرسانی RouterOS به کار گرفته شود.

چک‌لیست پیش از تغییر Device Mode

• بررسی حالت فعلی دستگاه
• ثبت تنظیمات اختصاصی موجود
• تعیین قابلیت‌های موردنیاز
• تهیه Backup و Export تنظیمات
• اطمینان از وجود دسترسی فیزیکی یا مدیریتی Hypervisor
• برنامه‌ریزی زمان قطع سرویس
• بررسی Attempt Count و درخواست‌های Pending
• تأیید تغییرات در بازه مشخص
• بررسی مجدد وضعیت بعد از راه‌اندازی
• تست عملکرد سرویس‌های وابسته

سؤالات متداول درباره Device Mode در MikroTik

جمع‌بندی: Device Mode چه نقشی در امنیت RouterOS دارد؟

Device Mode یکی از قابلیت‌های مهم امنیتی RouterOS v7 است که مدیر شبکه را قادر می‌سازد دسترسی به برخی ابزارها و امکانات سیستم را به‌صورت کنترل‌شده مدیریت کند.

حالت‌های Home، Basic، Advanced و ROSE مجموعه‌های متفاوتی از قابلیت‌های مجاز را ارائه می‌دهند. بااین‌حال، می‌توان هر Feature را نیز به‌صورت مستقل فعال یا غیرفعال کرد.

یکی از مهم‌ترین ویژگی‌های این سیستم، الزام تأیید فیزیکی برای اعمال تغییرات است. این مکانیزم کمک می‌کند فعال‌سازی برخی امکانات حساس تنها با دسترسی نرم‌افزاری انجام نشود.

همچنین سازوکارهای Allowed Versions و Flagged، لایه‌های امنیتی دیگری برای مدیریت خطرات سیستم‌عامل فراهم می‌کنند.

 مهم‌ترین توصیه این است که به‌جای فعال کردن تمام قابلیت‌های RouterOS، تنها امکانات موردنیاز شبکه را مجاز کنید و Device Mode را در کنار سایر کنترل‌های امنیتی به کار بگیرید.

منابع و مستندات رسمی

• مستندات رسمی MikroTik: Device Mode
• مرجع دستورات System Device Mode
• مرجع دستور Device Mode Update
• مستندات رسمی Container در RouterOS

این مقاله بر اساس مستندات RouterOS 7.26 و تغییرات ثبت‌شده تا اکتبر 2026 تهیه شده است. امکان پشتیبانی از برخی قابلیت‌ها و روش تأیید فیزیکی ممکن است بسته به مدل دستگاه متفاوت باشد.