Winbox se connecte au routeur via le port TCP 8291 (le service api côté RouterOS). Par défaut, sur une installation neuve, ce service écoute sur toutes les interfaces, y compris l'interface WAN si le routeur est directement exposé à Internet. C'est exactement ce qui rend un routeur mal configuré vulnérable : n'importe qui peut tenter de s'y connecter depuis l'extérieur.
Ne jamais exposer Winbox directement sur Internet
La première règle est la plus simple : le service Winbox/API ne devrait jamais être accessible depuis l'interface WAN sans restriction. RouterOS permet de désactiver ce service sur l'interface publique, ou de le limiter à une liste d'adresses IP précises via une règle de pare-feu input chain.
Concrètement, dans IP > Services, le service winbox accepte un champ "Available From" où renseigner uniquement les réseaux de confiance (par exemple ton réseau local, ou l'adresse d'un VPN). Toute connexion venant d'ailleurs est simplement refusée avant même la demande de mot de passe.
Un mot de passe fort, jamais le compte admin par défaut
Beaucoup de routeurs restent configurés avec le compte admin historique et un mot de passe faible ou vide. RouterOS recommande de créer un utilisateur dédié avec un mot de passe long et unique, et de désactiver ou renommer le compte admin par défaut une fois cette étape faite.
Changer le port par défaut, une protection secondaire
Changer le port 8291 par défaut ne rend pas le routeur invisible (un scan de port le retrouve toujours), mais ça élimine l'immense majorité des tentatives automatisées qui ciblent spécifiquement ce port. C'est une couche de protection supplémentaire, pas un remplacement du pare-feu.
Gérer un routeur MikroTik à distance sans l'exposer
La vraie solution pour administrer un routeur à distance sans jamais ouvrir Winbox sur Internet reste un tunnel chiffré (VPN) entre l'administrateur et le routeur : WireGuard ou L2TP/IPsec selon la version de RouterOS. Winbox se connecte alors normalement, mais uniquement depuis l'intérieur de ce tunnel, jamais depuis l'extérieur. C'est le principe même de l'accès Winbox sans IP publique exposée : le routeur reste fermé au monde extérieur, tout en restant administrable de n'importe où.
En résumé
- Restreindre le service Winbox à des adresses de confiance (
IP > Services) - Un utilisateur dédié, mot de passe fort, compte admin par défaut désactivé
- Changer le port par défaut en couche supplémentaire, pas en solution unique
- Passer par un tunnel VPN pour toute administration à distance