Backup automático de MikroTik

01¿Export o .backup?

RouterOS tiene dos tipos de backup, y sirven para cosas distintas:

El archivo .backup no se puede leer ni comparar, y está hecho para restaurar el mismo router: en otro hardware puede traer las direcciones MAC y los nombres de interfaz del original. El .rsc del export es la lista de comandos que recrea la configuración; se puede abrir, buscar una regla, comparar dos fechas y aplicar solo una parte.

En la práctica: export todos los días, para el historial y la restauración; .backup antes de actualizar RouterOS o cambiar tarjetas, como garantía extra.

02RouterOS 7 oculta las contraseñas en el export

A partir de RouterOS 7, /export sale sin datos sensibles: contraseñas de PPPoE (/ppp secret), claves de wireless y de VPN, secretos de RADIUS. En RouterOS 6 era al revés: el export traía todo, y había que pedir que lo ocultara.

Un backup sin secretos es más seguro de guardar, pero no restaura un concentrador PPPoE: los clientes no podrían autenticarse. Decida conscientemente cuál de los dos guardar y proteja el lugar donde queda el backup completo.

03Un usuario solo para el backup

No use el usuario admin para el backup. Cree un grupo con lo mínimo necesario y un usuario que solo acepte conexiones desde el servidor de backup:

/user group add name=backup policy=ssh,read,sensitive
/user add name=backup group=backup password="cambie-esta-contrasena" address=192.0.2.10/32

Reemplace 192.0.2.10 por la IP del servidor. La política read permite ejecutar el export; sensitive es lo que deja que el export incluya contraseñas; ssh es el acceso. Sin write, este usuario no cambia nada en el router.

04Programarlo en el propio router

Sin servidor, el propio RouterOS puede generar el export todos los días:

/system script add name=backup-diario source="/export show-sensitive file=backup-diario"
/system scheduler add name=backup-diario interval=1d start-time=03:00:00 on-event=backup-diario

En RouterOS 6, quite show-sensitive: allí el export ya sale completo. Funciona, pero tiene límites que pesan en un proveedor:

• el archivo queda en el propio router: si el router se daña, el backup se pierde con él;
• cada archivo nuevo reemplaza al anterior, así que no hay historial ni comparación;
• para enviarlo por correo o FTP, las credenciales de esos servicios quedan grabadas en cada router;
• con decenas de equipos, nadie nota cuando uno de ellos deja de generar el archivo.

05Recolección central con Nexus

Nexus entra por SSH (o Telnet), detecta la versión y ejecuta el export correcto: /export show-sensitive en RouterOS 7 y /export en la 6. Nexus guarda la configuración completa por defecto, lo que permite restaurarlo todo. Si la instalación está configurada para quitar las contraseñas del backup, usa /export hide-sensitive.

Junto con la configuración, guarda como comentario la versión, la placa y la CPU (/system resource print), la versión instalada (/system package update print) y el historial reciente de cambios del router (/system history print).

También quita del archivo la línea de fecha y hora que RouterOS pone al inicio del export y avisos pasajeros, como una interfaz caída. Así, una versión nueva solo aparece cuando la configuración cambió de verdad.

Para switches con SwOS, Nexus descarga el archivo backup.swb por la interfaz web del switch.

06Restaurar desde el export

Para recrear un router completo desde el .rsc, suba el archivo al equipo y reinicie la configuración ejecutando el script:

/system reset-configuration no-defaults=yes run-after-reset=backup.rsc

Para recuperar solo una parte (una regla de firewall, un pool, una ruta), copie las líneas del backup y péguelas en la terminal. Importar el export completo con /import en un router que ya está configurado suele fallar a mitad de camino, porque muchos elementos ya existen.

El paso a paso completo, con lo que hay que revisar antes, está en Cómo restaurar la configuración desde el backup.