1. RouterOS账号管理的重要性与默认风险
刚接触RouterOS的朋友可能不知道，这个强大的路由系统在初始安装时会有一个巨大的安全隐患——默认管理员账号admin的密码竟然是空的！我第一次部署RouterOS时就因为这个疏忽差点酿成大祸。当时有个外部扫描器在半夜尝试登录我的路由器，幸好防火墙及时拦截了异常访问。
RouterOS作为企业级路由操作系统，其账号体系直接关系到整个网络的安全防线。想象一下，如果任何人都能用默认账号登录你的核心路由器，就相当于把家门钥匙插在门锁上。我见过太多案例因为忽视基础账号管理，导致网络被入侵、配置被篡改甚至设备被挟持挖矿。
默认的admin账号属于full权限组，拥有上帝模式般的控制权：能修改任何配置、创建新账号、重启设备甚至刷写固件。在Winbox图形界面里，这个账号就像拥有所有菜单项的万能钥匙。而在命令行下，它更是能执行所有特权指令。
2. 修改默认密码的两种实战方法
2.1 Winbox图形化操作
连上Winbox后，跟着我一步步操作：
- 左侧菜单点击System>Users
- 双击admin用户行
- 在Password和Confirm Password字段输入新密码
- 强烈建议勾选Apply Policy选项
- 点击OK保存
这里有个细节要注意：密码强度建议至少12位，包含大小写字母、数字和特殊符号。我常用的方法是取一句容易记忆的话的首字母组合，比如"MyRouter@Home2023!"对应"MR@H2023!"。
2.2 命令行终端操作
习惯CLI的老司机可以直接用这个万能命令：
/user set admin password="你的新密码"或者更安全的做法是先切换到交互式密码输入模式：
/user set admin然后系统会提示你输入密码，这样密码就不会留在命令历史记录中。
3. 权限组的深度配置策略
3.1 三大默认权限组解析
RouterOS内置的三个权限组就像公司里的职位层级：
Full（CEO权限）：
- 所有菜单项可见可用
- 能执行/system reboot这样的危险命令
- 可以修改其他用户的密码
- 实际项目中建议仅限2-3人持有
Write（部门经理权限）：
- 不能操作FTP文件传输
- 禁止修改用户权限策略
- 适合日常运维人员使用
- 我通常分配给二级管理员
Read（实习生权限）：
- 只能查看配置不能修改
- 适合给监控系统使用
- 连ping测试都需要额外授权
3.2 自定义权限组实战
去年给某连锁酒店部署时，我创建了一个特殊的Network-Monitor组：
/user group add name=Network-Monitor policy=read,winbox,local,telnet这个组的成员只能查看接口状态和流量统计，但无法修改任何配置。通过Winbox的Policy标签页，可以精确控制每个菜单项的访问权限，比如只勾选interface和tool下的相关选项。
4. 企业级账号安全增强方案
4.1 IP访问限制的妙用
给关键账号加上IP白名单是必做措施。比如财务部门的专属账号可以这样配置：
/user add name=finance group=write allowed-address=10.0.100.0/24这样即使密码泄露，攻击者从外网也无法登录。我还会配合**/ip firewall filter**规则，对管理员IP段的访问频率做限制。
4.2 双因素认证集成
对于云托管的路由器，建议启用RouterOS的OTP功能：
- 安装user-manager扩展包
- 配置Google Authenticator
- 绑定到管理员账号 实测下来，这能有效防御99%的密码爆破攻击。
4.3 账号审计与监控
定期检查用户登录记录很重要：
/user active print /log print where topics=system,user我习惯用脚本自动分析这些日志，发现异常登录立即触发告警。曾经靠这个及时发现并阻断了来自巴西的暴力破解尝试。
5. 日常管理中的避坑指南
新手最容易踩的坑就是权限分配过松。上周有个客户给了外包人员full权限，结果对方误删了VPN配置。现在我给临时人员都使用read权限+特定IP限制，必要时通过**/user ssh-keys**配置证书登录。
另一个常见问题是密码过期策略。虽然RouterOS没有内置过期功能，但可以用脚本实现：
:local date [/system clock get date] :if ([/user get admin last-logged-in] < ($date - 3mon)) do={ /user disable admin }这个脚本会检查admin账号是否3个月未登录并自动禁用。
最后提醒大家，修改关键配置前一定要先创建备份账号。我有次手滑锁死了所有管理员账号，幸好预留了一个带console权限的备用账号才挽回局面。具体做法是：
/user add name=emergency group=full disabled=no /user set emergency allowed-interface=console
