Tutorial
دليل تحديث وترقيع MikroTik RouterOS
كيفية تحديث وترقيع MikroTik RouterOS عبر أسطول ISP: قنوات الإصدار، الطرح المرحلي، النسخ الاحتياطي، التراجع، وثغرات 2026.
الملخص تحديث MikroTik RouterOS عبر أسطول ISP عملية مُتحكَّم بها، وليست إجراءً بنقرة واحدة. اختر قناة إصدار تناسب اتفاقيات SLA الخاصة بك، وانسخ كل جهاز احتياطيًا، وتحقق على جهاز تجريبي، ثم اطرح على موجات واعية بالطوبولوجيا مع مسار تراجع واضح. في 2026 صار هذا أهم من أي وقت مضى: ثغرة في RouterOS قابلة للاستغلال علنًا (CVE-2026-7668) وإصدار مستقر جديد (7.23.1) يعنيان أن الموجِّهات الطرفية غير المُرقَّعة تمثل خطرًا نشطًا.
ما هو ترقيع RouterOS لأسطول ISP؟
ترقيع RouterOS هو العملية المنضبطة لنقل مجموعة من أجهزة MikroTik من إصدار RouterOS إلى إصدار أحدث لإصلاح الثغرات الأمنية وأخطاء الاستقرار وتراجعات السلوك — دون تعطيل الخدمات التي تعمل فوقها. على موجِّه منزلي واحد تكون هذه مهمة من دقيقتين. أما عبر مئات أو آلاف من أجهزة CPE والموجِّهات الطرفية فتصبح برنامجًا تشغيليًا: تحتاج إلى سياسة لقناة الإصدار، ومعيار للنسخ الاحتياطي، وخطوة staging، وطرح مرحلي، وخطة تراجع. الهدف سهل الصياغة وصعب التنفيذ على نطاق واسع — ينتهي كل جهاز مُرقَّعًا، ولا ينقطع أي منها في أثناء ذلك.
تستحق العملية سير عمل حقيقيًا لأن الترقية تمس الشيء الوحيد الذي لا يمكنك الوصول إليه بسهولة مجددًا إذا فشلت: موجِّه عند حافة العميل، غالبًا خلف CGNAT. فالدفعة السيئة التي تفقد الوصول الإداري تتحول إلى زيارة ميدانية. لذلك يُحسِّن سير العمل أدناه السلامة وإمكانية الوصول أولًا، والسرعة ثانيًا.
لماذا الترقيع الآن: المشهد الأمني لعام 2026
يبقى إيقاع الترقيع مهمة خلفية هادئة حتى تفرض ثغرة الأمر، ويقدّم 2026 أسبابًا ملموسة لتشديده. CVE-2026-7668 هي قراءة خارج الحدود في نقطة نهاية SCEP في RouterOS بتقييم CVSS 7.3 (عالٍ)؛ يمكن تفعيلها عن بُعد، ويوجد استغلال علني لها. تغطي إرشادات منفصلة في هذه الدورة مشكلة تحكم وصول غير سليم في التحقق من عنوان IP المصدر لـ VXLAN (أُصلحت في RouterOS 7.20 وما بعده) وثغرة تلف ذاكرة في خدمة SMB يمكن لمهاجم غير مصادَق إطلاقها بحزم مُصمَّمة.
إرشاد MikroTik ثابت: أبقِ RouterOS محدّثًا وخلف جدار حماية يحجب الشبكات غير الموثوقة. كما يصلح الفرع المستقر الحالي، RouterOS 7.23.1 (صدر في 2 يونيو 2026)، تسريب ذاكرة في BGP ومشكلة استقرار في DHCPv4-snooping. هذا هو السبب العادي وراء حاجة الأساطيل إلى عملية ترقيع قابلة للتكرار بدلًا من ترقيات ارتجالية.
الخطوة 1 — اختر قناة الإصدار الصحيحة
يوفّر RouterOS أكثر من فرع، والاختيار قرار سياسة لا تفضيل. تصدر الإصدارات المستقرة كل بضعة أشهر بميزات وإصلاحات مُختبَرة؛ بينما تتلقى إصدارات الدعم طويل الأمد الإصلاحات الحرجة والأمنية فقط، وتتغير أقل بكثير بين الإصدارات. بالنسبة لأساطيل الحافة وCPE لدى مزودي الخدمة الذين يقدّرون القابلية للتنبؤ، يكون فرع الدعم طويل الأمد غالبًا الخيار الافتراضي الصحيح، مع حجز المستقر للأجهزة أو الميزات التي تتطلبه. مهما اخترت، لا تشغّل أبدًا بُنى الاختبار أو التطوير في الإنتاج. وثّق الفرع لكل فئة جهاز كي يكون القرار قابلًا للتكرار عبر الفريق.
الخطوة 2 — انسخ احتياطيًا وصدّر أولًا
لا تُرقِّ أبدًا دون نقطة استرداد. أنشئ نسخة احتياطية ثنائية (/system backup save) وتصديرًا للإعدادات قابلًا للقراءة البشرية (/export file=)، لأن التصدير يصمد أمام تغييرات الإصدار ويتيح إعادة البناء حتى لو تعذّر استرداد النسخة الثنائية على بُنية مختلفة. اسحب كليهما من الجهاز إلى نظام إدارتك. تأكد من توفر مساحة تخزين حرة كافية للحزم الجديدة قبل أن تبدأ، وفضّل وصلة سلكية أو وصلة كونسول — فالترقية عبر Wi-Fi أو وصلة غير مستقرة هي الطريق إلى تعطّل الموجِّهات في منتصف الكتابة. وللأجهزة التي يكون فيها وصول الاسترداد هو الشاغل الحقيقي، يمثّل دليل الاسترداد بـ Netinstall خيار البديل عند فشل الترقية.
الخطوة 3 — اختبر على جهاز تجريبي
رقِّ أولًا موجِّهًا تمثيليًا واحدًا وراقبه. اختر جهازًا يعكس فئة إنتاج — نفس الطراز، نفس الدور، إعداد مماثل — وطبّق الإصدار المستهدف أثناء نافذة صيانة. بعد إعادة التشغيل، تحقق من الإصدار، وأكِّد أن الحزم مُفعَّلة، وراجِع سجل التغييرات بحثًا عن تغييرات في السلوك تؤثر على إعدادك (دلالات الجدار الناري، الخدمات الافتراضية، تسمية الواجهات). ولا تصرّح بالطرح الأوسع إلا بعد أن يكون التجريبي نظيفًا. تمنع هذه الخطوة الواحدة أكلف أنماط الفشل: اكتشاف تراجع بعد أن يكون قد وصل بالفعل إلى ألف عميل.
الخطوة 4 — اطرح على موجات واعية بالطوبولوجيا
الطرح الجماعي يتعلق بالترتيب والإيقاع، لا بضغط زر في كل مكان دفعة واحدة. جمّع الأجهزة حسب الطوبولوجيا كي تتحدّث الموجِّهات المتسلسلة بالترتيب — فأنت لا تريد أن يُعيد موجِّه أعلى السلسلة التشغيل قبل أن يجلب جهاز أسفلها حزمه. عرّف الموجات بنوافذ صيانة خاصة بها، وتتبّع كل جهاز في قائمة مطابقة كي تُعاد جدولة أي وحدة بها مشكلة، لا أن تُنسى. ولتقليل عرض النطاق الترددي للإنترنت، وجّه الأجهزة نحو موجِّه مركزي يعمل كمرآة حزم محلية؛ وهذا يتحكم أيضًا في الإصدار الذي يُسمح للأسطول بجلبه.
لا ينجح الطرح المرحلي إلا إذا كان بإمكانك فعلًا الوصول إلى كل جهاز لتأكيد عودته. هذه هي العقبة التشغيلية مع CPE خلف CGNAT — وهنا تثبت الإدارة المركزية جدواها.
الخطوة 5 — تحقق، ثم تراجع عند الحاجة
بعد كل موجة، أكِّد النتيجة: تحقق من الإصدار المُبلَّغ عنه، وأكِّد أن البرنامج الثابت لـ routerboard قد رُقِّي أيضًا حيثما ينطبق (/system routerboard upgrade)، وتحقق من أن الخدمات التي تهمك تمرّر حركة المرور. إذا أساء جهاز التصرف، فاستعد النسخة الاحتياطية الثنائية السابقة، أو أعد البناء من تصدير RSC، أو أعد تثبيت الإصدار السابق باستخدام Netinstall كملاذ أخير. لا يكون برنامج الترقيع «منتهيًا» عند تثبيت الإصدار الجديد — بل ينتهي عندما يُتحقَّق من سلامة كل جهاز ويُتابَع كل استثناء حتى إغلاقه.
نصائح للترقيع على نطاق الأسطول
- وحِّد خط أساس مُحصَّنًا واحدًا كي تكون الترقيات قابلة للتنبؤ. يحدّد أفضل ممارسات أمان Winbox ودليل عمليات أمان وضع الجهاز خط الأساس الذي تُعزى إليه معظم مشكلات الترقية.
- قيّد الوصول الإداري إلى VPN أو عناوين IP موثوقة قبل الترقيات وبعدها، كي لا يكون أسطول مُرقَّع جزئيًا مكشوفًا أبدًا.
- أبقِ مستوى الإدارة قابلًا للوصول حتى خلف CGNAT، كي لا يتطلب التحقق والتراجع زيارة ميدانية.
- راجِع إرشادات أمان MikroTik وفق جدول بدلًا من الانتظار حتى وقوع حادث.
الأسئلة الشائعة
كم مرة يجب أن أحدّث RouterOS؟ قيّم كل إصدار مقابل سياسة الفرع لديك، ورقِّع خارج الجدول كلما أثّر إرشاد على خدمات تكشفها. لا يوجد فاصل زمني ثابت — بل إيقاع يقوده الخطر فقط.
مستقر أم دعم طويل الأمد لأسطول ISP؟ الدعم طويل الأمد هو الخيار الافتراضي الأكثر أمانًا للحافة وCPE؛ استخدم المستقر حيث تحتاج إلى دعم أجهزة أحدث أو ميزات، بعد التحقق في staging.
ماذا لو عطّلت الترقية جهازًا بعيدًا؟ استعد من النسخة الاحتياطية أو تصدير RSC؛ وإن كان الجهاز غير قابل للوصول، فاسترده بـ Netinstall. لهذا السبب يكون وجود نسخة احتياطية مُختبَرة ومسار إدارة قابل للوصول إلزاميًا قبل أي موجة.
رقِّع أسطولك بالكامل دون زيارات ميدانية
أصعب جزء في ترقيع الأسطول ليس الترقية — بل الوصول إلى كل جهاز والتحقق منه بعدها، خصوصًا CPE خلف CGNAT. يُركِّز MKController الرؤية عبر أسطول MikroTik لديك، ويمنحك NATCloud إمكانية وصول من الداخل إلى الخارج دون إعادة توجيه المنافذ، بحيث يحدث الطرح المرحلي والتحقق والتراجع جميعها عن بُعد.