Downgrade امن RouterOS: کنترل نسخه، Backup و Recovery

مقدمه

بازگرداندن نسخه روتر می‌تواند routing، VPN و syntax پیکربندی را تغییر دهد. تصمیم downgrade باید به regression مشخص، نسخه مقصد مجاز و آزمون سرویس وابسته باشد.

مثال عملی

روتر شعبه پس از patch جدید tunnel را قطع می‌کند؛ همان مسیر روی CHR آزمایش می‌شود و تغییر با console محلی در پنجره نگهداری اجرا می‌شود.

پیش‌نیازها

RouterOS v7؛ patch دقیق و architecture را با /system resource print ثبت کنید. دستورات v6 را بدون بازبینی وارد v7 نکنید.

سخت‌افزار و ظرفیت: روتر یا CHR آزمایشگاهی با پورت‌های مجزا؛ ظرفیت CPU، RAM و connection tracking باید زیر بار واقعی اندازه‌گیری شود.

نرم‌افزار و دسترسی: Terminal از شبکه مدیریت، حساب دارای policy لازم برای write؛ Safe Mode با Ctrl+X، export خارج دستگاه و console مستقل پیش از تغییر.

Architecture / Design

Inventory → backup/export → تطبیق architecture و factory version → package set → reboot → آزمون routing/VPN → تصمیم پذیرش. RouterBOOT مستقل از RouterOS است.

Installation / Configuration

ابتدا نسخه و محدودیت سخت‌افزار را ثبت کنید؛ CHR الزاماً RouterBOARD ندارد.

/system resource print
/system package print
/system routerboard print
/export file=before-downgrade
/system backup save name=before-downgrade password="REPLACE_WITH_UNIQUE_BACKUP_SECRET" encryption=aes-sha256

placeholder رمز را با secret یکتا جایگزین کنید؛ فایل .backup و .rsc را از Files خارج دستگاه دانلود و امن نگه دارید. factory-software و minimum نسخه قابل نصب را بررسی کنید. از صفحه رسمی، تمام packageهای architecture درست با نسخه یکسان را در root Files بارگذاری کنید؛ فایل قدیمی نامرتبط باقی نگذارید.

/file print detail
/system package downgrade

این دستور reboot دارد. پس از boot، package version باید دقیقاً نسخه مقصد باشد. تنها بالا آمدن WinBox معیار پذیرش نیست.

/system resource print
/system package print
/ip route print detail
/interface print stats
/log print

از LAN مسیر DNS، VPN و برنامه شعبه را آزمایش کنید. اگر پس از زمان boot معمول به‌اضافه حاشیه ثبت‌شده management برنگشت، console و recovery plan فعال شود؛ reboot پی‌درپی نکنید.

Security Hardening

نسخه مقصد دارای آسیب‌پذیری شناخته‌شده انتخاب نشود. binary backup حاوی secret است؛ encrypted و خارج دستگاه نگهداری شود. SSH/WinBox فقط از management مجاز باشند و package از منبع رسمی دریافت شود.

Monitoring

Zabbix/SNMP با credential محدود برای uptime، نسخه، interface و tunnel. تغییر نسخه و boot به ticket متصل شود؛ probe برنامه از شعبه و مرکز هم‌زمان اجرا شود.

Troubleshooting

wrong architecture یا نسخه پایین‌تر از حد دستگاه باعث رد package می‌شود؛ resource، Files و log را تطبیق دهید. feature ناپدیدشده ممکن است به package جدا یا syntax جدید وابسته باشد. configuration export نسخه جدید را روی نسخه قدیمی به‌صورت یکجا import نکنید.

Backup / Recovery

نسخه سالم قبلی، package کامل، binary backup، export و ابزار Netinstall مدل دستگاه خارج روتر آماده باشند. برای restore binary همان device و ترجیحاً همان نسخه مبنا را استفاده کنید. در خرابی boot، طبق مستندات Netinstall و دسترسی محلی دستگاه را بازیابی و سپس config را مرحله‌ای validate کنید.

Best Practices

RouterBOOT را صرفاً به‌دلیل downgrade سیستم‌عامل تغییر ندهید. معیار توقف: tunnel، default route یا management پس از تغییر پذیرفته نشود.

نسخه‌های قدیمی و Compatibility

مسیر v7 به v6 ممکن است پشتیبانی نشود یا configuration از دست بدهد. syntax routing و package split را بر اساس مدل و نسخه بررسی کنید؛ export جای certificate/private key را نمی‌گیرد.

پرسش‌های متداول

آیا RouterBOOT باید هم‌زمان downgrade شود؟

خیر؛ تغییر bootloader نیاز مستقل و مستند می‌خواهد.

آیا export تمام secretها را بازیابی می‌کند؟

خیر؛ certificate، private key و برخی stateها باید جدا محافظت شوند.