Backup automático de MikroTik

01Export ou .backup?

O RouterOS tem dois tipos de backup, e eles servem para coisas diferentes:

O arquivo .backup não pode ser lido nem comparado, e foi feito para restaurar o mesmo roteador: em outro hardware ele pode trazer endereços MAC e nomes de interface do original. O .rsc do export é a lista de comandos que recria a configuração; dá para abrir, procurar uma regra, comparar duas datas e aplicar só um trecho.

Na prática: export todo dia, para histórico e restauração; .backup antes de atualizar o RouterOS ou trocar placas, como garantia extra.

02RouterOS 7 esconde senhas no export

A partir do RouterOS 7, o /export sai sem dados sensíveis: senhas de PPPoE (/ppp secret), chaves de wireless e de VPN, senhas de RADIUS. No RouterOS 6 era o contrário: o export trazia tudo, e era preciso pedir para esconder.

Um backup sem segredos é mais seguro de guardar, mas não restaura um concentrador PPPoE: os clientes não conseguiriam autenticar. Decida conscientemente qual dos dois guardar e proteja o local onde o backup completo fica.

03Usuário só para o backup

Não use o usuário admin no backup. Crie um grupo com o mínimo necessário e um usuário que só aceita conexão do servidor de backup:

/user group add name=backup policy=ssh,read,sensitive
/user add name=backup group=backup password="troque-esta-senha" address=192.0.2.10/32

Troque 192.0.2.10 pelo IP do servidor. A permissão read permite rodar o export; sensitive é o que deixa o export trazer senhas; ssh é o acesso. Sem write, esse usuário não altera nada no roteador.

04Agendar no próprio roteador

Sem servidor, dá para o próprio RouterOS gerar o export todo dia:

/system script add name=backup-diario source="/export show-sensitive file=backup-diario"
/system scheduler add name=backup-diario interval=1d start-time=03:00:00 on-event=backup-diario

No RouterOS 6, tire o show-sensitive: lá o export já sai completo. Funciona, mas tem limites que pesam em provedor:

• o arquivo fica na memória do próprio roteador: se ele queimar, o backup vai junto;
• cada arquivo novo substitui o anterior, então não há histórico nem comparação;
• para mandar por e-mail ou FTP, as credenciais desses serviços ficam gravadas em cada roteador;
• com dezenas de equipamentos, ninguém percebe quando um deles parou de gerar o arquivo.

05Coleta central pelo Nexus

No Nexus, o modelo routeros entra por SSH (ou Telnet), descobre a versão e roda o export certo: /export show-sensitive no RouterOS 7 e /export no 6. O Nexus guarda a configuração completa por padrão, o que permite restaurar tudo. Se a instalação for configurada com a opção remove_secret, ele usa /export hide-sensitive.

Junto com a configuração, ele grava como comentário a versão, a placa e a CPU (/system resource print), a versão instalada (/system package update print) e o histórico recente de alterações do roteador (/system history print).

Ele também tira do arquivo a linha de data e hora que o RouterOS coloca no topo do export e avisos passageiros, como interface fora do ar. Assim uma versão nova só aparece quando a configuração mudou de fato.

Para switches com SwOS, o modelo swos baixa o arquivo backup.swb pela interface web do switch.

06Restaurar a partir do export

Para recriar um roteador inteiro a partir do .rsc, envie o arquivo para o equipamento e reinicie a configuração rodando o script:

/system reset-configuration no-defaults=yes run-after-reset=backup.rsc

Para recuperar só um trecho (uma regra de firewall, um pool, uma rota), copie as linhas do backup e cole no terminal. Importar o export inteiro com /import num roteador que já está configurado costuma falhar no meio, porque muitos itens já existem.

O passo a passo completo, com o que conferir antes, está em Como restaurar a configuração a partir do backup.