Mikrotik safe mode не работает

Записки IT специалиста

Технический блог специалистов ООО»Интерфейс»

• Главная
• Безопасный режим в Mikrotik или как всегда оставаться на связи

Безопасный режим в Mikrotik или как всегда оставаться на связи

Старая сисадминская примета гласит: «удаленная настройка брандмауэра — к выезду на объект» и в большинстве случаев это действительно так. С другой стороны реалии современной жизни подразумевают преимущественно удаленную работу. Как быть? С одной стороны тратить время на дорогу в десятки или сотни километров ради пяти минут на месте, с другой — ехать, возможно, все равно придется, только уже экстренно. Но есть и третий вариант: спокойно работать удаленно, используя возможности безопасного режима RouterOS, о чем мы и расскажем в этой статье.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор — официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Потерять связь с удаленным роутером можно по множеству причин. Все мы люди и всем нам свойственно ошибаться. Это могут быть как ошибки в сетевой конфигурации, так и просто ошибочные действия, чаще всего непреднамеренные, например, один мой коллега случайно отключил внешний интерфейс на роутере случайно нажав на кнопку с крестиком. Поэтому, насколько бы вы не были уверенны в правильности своих действий, даже если вы уже много раз так делали, никогда нельзя сбрасывать со счетов возможность возникновения нештатных ситуаций.

Хорошо если роутер находится в относительной доступности или на той стороне есть кто-то, кто может исправить вашу ошибку хотя бы в телефонном режиме, в противном случае придется готовится к незапланированному выезду и, как оно обычно происходит, не в самое удобное время. При этом далеко не все администраторы знают, что RouterOS предоставляет достаточно эффективный инструмент для исключения подобных ситуаций и называется он — Safe Mode или безопасный режим.

Его смысл заключается в том, что внесенные изменения не сразу записываются в память устройства, а только после явного подтверждения администратором, которым является ручной выход из безопасного режима. В случае потери связи с устройством через некоторое время будет выполнен откат настроек. Это время определяется тайм-аутом TCP и не превышает 9 минут.

Чтобы включить безопасный режим следует нажать кнопку Safe Mode в Winbox:

или использовать сочетание клавиш Ctrl+x в терминале, после чего в приглашении командной строки появится :

Теперь можно выполнять потенциально опасные действия не опасаясь потерять связь с устройством. Если после выполнения очередной операции связь с устройством все-таки прервалась, то у вас будет некоторое время, чтобы выпить кофе и подумать над тем, что именно вы сделали не так. Хотя, скорее всего, кофе выпить вы не успеете.

Также к отмене всех сделанных изменений приведет закрытие окна Winbox или терминала с включенным безопасным режимом. Этим можно воспользоваться, если вы просто хотите быстро откатить все внесенные изменения.

Чтобы выйти из безопасного режима с сохранением внесенных изменений следует явно отжать кнопку Safe Mode в Winboх или еще раз выполнить сочетание клавиш Ctrl+x в терминале, также изменения сохраняются при выходе из терминала командой:

Работа в безопасном режиме имеет свои особенности, которые нужно обязательно учитывать. Количество хранимых шагов ограничено, согласно документации, роутер может сохранять в памяти не более 100 действий, если вы превысите это количество, то сеанс автоматически выйдет из безопасного режима и изменения не смогут быть отменены. Поэтому рекомендуется вносить изменения небольшими порциями, каждый раз выходя из безопасного режима и входя в него повторно. В терминале для этого можно использовать двойное нажатие Ctrl+x.

При совместной работе нескольких администраторов может возникнуть ситуация, когда одна из сессий уже находится в безопасном режиме, попытка включить безопасный режим еще в одной сессии через Winbox не увенчается успехом:

Если же выполнить аналогичную попытку в терминале, то получим совершенно иной результат:

Здесь нам доступны следующие действия:

• u — unroll — откатить изменения и перевести текущий сеанс в безопасный режим
• r — release — принять изменения и перевести текущий сеанс в безопасный режим
• d — don’t take — оставить без изменений

О результатах первых двух действий другой администратор получит уведомление, но только в том случае, если безопасный режим использовался в терминале. Если же один из администраторов включил безопасный режим через Winbox, а второй забрал его через терминал, то никаких уведомлений первый администратор не получит и визуально кнопка Safe Mode будет оставаться нажатой. Это может привести к опасным ситуациям, когда первый администратор будет считать, что безопасный режим у него включен, но на самом деле все изменения будут применяться непосредственно на устройстве.

Поэтому мы категорически не рекомендуем перехватывать безопасный режим при многопользовательской работе без непосредственного согласования с коллегами, потому как это может создать неоднозначную ситуацию, чреватую серьезными проблемами.

Чтобы обезопасить себя от перехвата безопасного режима следует перед внесением очередных изменений выключить безопасный режим и снова включить. Если вы работаете через Winbox, то столкнетесь с описанной выше ошибкой, а в терминале получите запрос на захват режима. При возникновении подобной ситуации мы рекомендуем сразу связаться с коллегами и согласовать последующие действия.

Еще одной особенностью безопасного режима является его реакция на выключение питания устройства или его аварийную перезагрузку, в этом случае все изменения внесенные в безопасном режиме будут применены. Поэтому если ваше оборудование находится в местах, где возможны перебои с энергоснабжением, то рекомендуем обязательно позаботиться о бесперебойном питании.

Обрыва интернет-соединения указанная особенность не касается, такая ситуация будет обработана как обрыв связи с последующим откатом изменений. Аналогичная реакция будет и на аварийное завершение работы клиентского устройства, где был запущен Winbox или терминал.

Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор — официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Дополнительные материалы:

Mikrotik

The Dude

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Источник

Автоматическое восстановление последней сохраненной конфигурации в роутерах Mikrotik

Многие сталкивались с замечательной функцией, к примеру, на коммутаторах HPE — если конфиг по какой-то причине не сохранен вручную, после перезагрузки накатывается предыдущий сохраненный конфиг. Технология в чем то безжалостная (забыл сохранить — делай по-новой), но справедливая и надежная.

А вот в Микротиках, такой функции в базе нет, хотя давно известна примета: «удаленная настройка роутера — к долгой дороге». И даже роутер под боком очень легко превратить в «кирпич до резета».

Как то ни странно — не нашел ни одного мануала на этот счет, пришлось делать ручками.

Первое что делаем — создаем скрипт создания резервной копии конфигурации. В дальнейшем «сохранять» состояние будем именно этим скриптом.

Идем в System -> Scripts и создаем скрипт, допустим, «fullbackup» (само-собой без кавычек).

system backup save dont-encrypt=yes name=Backup_full

Пароль не будем использовать, так как иначе его придется указывать в явном виде в соседнем скрипте, смысла от такой «защиты» не вижу.

Создаем второй скрипт, который будет восстанавливать конфигурацию при каждом запуске. Назовем его «full_restore».

Этот скрипт несколько сложнее. Дело в том, что при восстановлении конфигурации также происходит перезагрузка. Без использования какого-либо контрольного механизма мы получим циклический ребут.

Контрольный механизм получился слегка «дубовый», но зато надежный. При каждом запуске скрипта, сначала происходит проверка на наличие файла «restore_on_reboot.txt».
Если такой файл есть — значит требуется восстановление из бэкапа. Удаляем файл и делаем восстановление с последующей перезагрузкой.

Если такого файла нет — просто создаем этот файл и ничего не делаем (т.е. значит это уже вторая загрузка, которая после восстановления из бэкапа).

Лучше всего проверить работу скриптов на этом этапе, перед добавлением задачи в планировщик.

Если все ок — приступаем к третьему и последнему действию — добавляем в планировщик задачу запуска скрипта при каждой загрузке.

Идем в System -> Scheduler и добавляем новую задачу.
В поле Start time указываем startup (да, так и пишем, буквами)
В поле On Event пишем
/system script run full_restore

Далее, запускаем скрипт сохраняющий конфиг! Мы же не хотим делать всё это еще раз?

Добавляем какой-нибудь «мусор» в настройки для проверки, либо удаляем что-то важное и наконец, пробуем перезагрузить роутер.

Да, многие наверное скажут: «Есть же режим safe mode!». Однако, он не подойдет, если в результате работ вам придется переподключаться к роутеру (например, если вы поменяете адрес или параметры wifi-сети, через которую вы подключены). И о возможности «забыть» включить этот режим тоже забывать не стоит.

Источник

Mikrotik safe mode не работает

Mon May 23, 2016 7:50 pm

Re: Winbox Safe mode

Tue May 24, 2016 12:40 pm

Re: Winbox Safe mode

Tue May 24, 2016 8:29 pm

On Winbox doesnt work well.

I was remotely logged in, used Safe Mode, deleted the WAN interface, obviously got kicked out.
Instructed a helper to reboot the Router (unplugging/plugging the PSU) and the WAN interface never came back.
Went physically next to the router and plugged an ethernet cable, used the LAN interface and I see the WAN interface is not there,
Added the WAN interface and everything came online.

Doesnt protect you much from deleting stuff and then asking a person on the remote site to reboot the router.
Im using Winbox 3.4 on RouterOS 6.35.2 running on a CRS125-24G-1S

Re: Winbox Safe mode

Wed May 25, 2016 2:45 pm

I have the same problem. I was connected by a PPTP connection to a remote Omnitik. I enabled Safe mode, changed the IP address on an ethernet port, and Winbox disconnected after a couple of seconds.

Now I have no connectivity at all.

Winbox version 3.4, Router OS is 6.35.2

Re: Winbox Safe mode

Wed May 25, 2016 3:19 pm

Re: Winbox Safe mode

Wed May 25, 2016 3:23 pm

Re: Winbox Safe mode

Wed May 25, 2016 7:12 pm

Well, the link came back after 20 minutes, and I was able to login.

It is a pretty long time. Can the time be set to lower that?

In my Ubiquity Nano station M2, the «timeout» is 15 seconds. Which is sometimes too short, but 1 minute would be fast enough for Mikrotik.

Can that be a setting added in Winbox in the next release? For example, if you press Safe mode button, a new window will appear where you can fill in the minutes (or seconds) to wait for a response.

Re: Winbox Safe mode

Wed May 25, 2016 8:01 pm

Re: Winbox Safe mode

Wed May 25, 2016 9:55 pm

Re: Winbox Safe mode

Wed Jun 01, 2016 2:32 pm

i am using Ubuntu with wine, RB433AH and CRS125-24G-1S-2HnD-IN with ROS 6.35.2
on console, the config will revert after 20 seconds disconnected
on winbox (v3.4), the config never revert after waiting for 1o minutes..

Re: Winbox Safe mode

Tue Jun 28, 2016 1:20 pm

same here with metal2 SHPn running 6.35.4 and winbox v3.4.
safe mode does not revert to previous settings (e.g. wlan client mode changed).
mikrotik please have a look at ubiquiti’s solution for safe-mode. it’s better in my oppinion.

wish:
-) safe mode by default
-) shorter/selectable timeout
-) bug-free implementation

Re: Winbox Safe mode

Tue Jun 28, 2016 3:57 pm

Re: Winbox Safe mode

Tue Jun 28, 2016 9:42 pm

Seriously.. This just cost me 2 HOURS OF DRIVING.

Sheesh. fix the stupid button already. Wifi auto scanned, lost connection.

This is a joke guys, c’mon.

Re: Winbox Safe mode

Wed Jun 29, 2016 10:53 am

Re: Winbox Safe mode

Mon Jul 04, 2016 11:51 am

I had the same issue.

I was in Safe Mode, while testing I’ve disabled the WAN interface by accident, off course it disconnected me but never reconnected again. So Safe Mode doesn’t work.

The router is 951G-2HnD, firmware v3.24, routerOS v6.32.4.

OS is Windows 7 Pro 64bit (fully updated), Winbox v3.4.

Please fix this, now I need to drive there and lose a lot of time.

Re: Winbox Safe mode

Tue Dec 05, 2017 10:55 am

Any updates?
I’m working with different ROs versions (some RB using 6.19 and others 6.34), I have big troubles with RSTP and I’m not sure I can get connection with remote device if changing some parameter.

Why don’t do this:
— Safe Mode OFF = pressing any OK or Apply buttons, configuration is stored
— Safe Mode ON = pressing OK configuration is set, but not stored permamently, pressing Apply configuration is stored permanntly

Or set a timeout somewhere.

Re: Winbox Safe mode

Mon Apr 15, 2019 4:40 pm

Planning to make some changes remotely and I need to know if this «bug» is still a problem or if safe mode working remotely in winbox 6.44.1 in win10 with a CCR 1009 8G 1S 1S+ is truly «safe». One thing I noticed is that by default «Autosave on Close» is checked and I’m wondering if this might be the root of the problems experienced by others.

Another question about this is how and where the settings changes are stored when in safe mode. I know there is a backup configuration but I’m using that as the primary because for some reason the primary config kept failing and «forgetting» it’s configuration. So I set it to boot to the backup config by default. No problems since but if «safe mode» uses the backup configuration. that could be a problem.

I know this is an old thread but I REALLY need to know if I can trust this to work or not. I need to build a bridge across a couple ports and apply the changes and test it but if it breaks the configuration then 300+ customers will be down for several hours. If I can trust «safe mode» to revert the changes if I break it, then I can do this tonight. Otherwise it will have to wait several days.

Re: Winbox Safe mode

Sun Sep 29, 2019 3:00 pm

Planning to make some changes remotely and I need to know if this «bug» is still a problem or if safe mode working remotely in winbox 6.44.1 in win10 with a CCR 1009 8G 1S 1S+ is truly «safe». One thing I noticed is that by default «Autosave on Close» is checked and I’m wondering if this might be the root of the problems experienced by others.

Another question about this is how and where the settings changes are stored when in safe mode. I know there is a backup configuration but I’m using that as the primary because for some reason the primary config kept failing and «forgetting» it’s configuration. So I set it to boot to the backup config by default. No problems since but if «safe mode» uses the backup configuration. that could be a problem.

I know this is an old thread but I REALLY need to know if I can trust this to work or not. I need to build a bridge across a couple ports and apply the changes and test it but if it breaks the configuration then 300+ customers will be down for several hours. If I can trust «safe mode» to revert the changes if I break it, then I can do this tonight. Otherwise it will have to wait several days.

Источник