Настройка TFTP сервера на Mikrotik RouterOS

Нужен TFTP на MikroTik — обычно под PXE или прошивку. Протокол открытый. Не включайте его на WAN. Рабочая схема загрузки ОС — PXE, Linux-сервер часто удобнее роутера.

1. Включить TFTP и каталог

/ip tftp print
/ip tftp add ip-addresses=192.0.2.0/24 require-file=yes real-filename=/flash/tftp/ allow=yes read-only=yes

Синтаксис меню зависит от ветки RouterOS: на 7.x смотрите help.mikrotik.com, раздел TFTP. Ожидание: в print есть правило, allow=yes, адреса — ваша PXE-сеть, не 0.0.0.0/0.

Положите файл в каталог, который указали в real-filename. Не открывайте запись из пользовательской сети.

2. Фильтр

/ip firewall filter add chain=input action=accept protocol=udp dst-port=69 \
    src-address=192.0.2.0/24 comment="pxe tftp"
/ip firewall filter add chain=input action=drop protocol=udp dst-port=69 \
    comment="tftp drop rest"

Вставьте accept выше общего drop. С WAN UDP/69 должен молчать.

3. Снять файл с клиента

tftp 192.0.2.1 -c get probe.txt

Ожидание: файл приехал из PXE-сети. С другой VLAN — таймаут. Для полноценного PXE на MikroTik ещё нужны DHCP option 66/67 — это уже сценарий из статьи про PXE, не «включили TFTP и хватит».

Резервные копии конфигурации MikroTik

Частая задача для TFTP на MikroTik — выгружать и принимать конфигурации устройств:

/export file=router-backup
/system backup save name=router-backup

/export создаёт текстовый файл, который читается человеком и подходит для сравнения версий. /system backup создаёт бинарную копию для восстановления на то же устройство. Файлы лежат в списке /file print.

Не публикуйте экспорт без проверки. Команда /export show-sensitive включает пароли и ключи, а обычный /export в RouterOS 7 скрывает чувствительные данные. Копии шифруйте, а хранить их нужно вне самого устройства: резервное копирование 3-2-1.

Что лучше TFTP

Для переноса файлов с устройства используйте SFTP или SCP (/ip service с включённым SSH), а не TFTP: они проверяют пользователя и шифруют передачу. TFTP на MikroTik оставляйте для PXE и тех сценариев, где другое не подходит: загрузка по сети.

Журнал и проверка закрытости

/log print where message~"tftp"
/ip service print

Убедитесь, что ненужные службы (telnet, ftp, www) отключены, а доступ к управлению ограничен адресами администраторов. Мониторинг устройства: MikroTik в Zabbix.

Как проверить

/ip tftp print
/ip firewall filter print
tftp 192.0.2.1 -c get probe.txt

Правило не на 0.0.0.0/0, WAN не отвечает на 69/udp, свой клиент файл читает.

Источники

• MikroTik Help. URL: https://help.mikrotik.com/docs/ — раздел TFTP вашей RouterOS.