8728 是什么
8728 是 MikroTik RouterOS 的 API 端口：脚本、监控系统与自研平台通过它批量读取与修改路由器配置，SSL 版本走 8729。RouterOS 的 API 用一套基于长度前缀的文本协议，凭据与指令都以明文承载（8728 不加 TLS），因此历史上借 API 弱口令的批量入侵多次发生，涉及挖矿与路由劫持。
基本信息
| 服务 | MikroTik RouterOS API |
|---|---|
| 端口/协议 | 8728 明文 / 8729 TLS |
| 用途 | 自动化配置、监控采集、账号与策略批量下发 |
| 同族端口 | 22 SSH、8291 Winbox、80/443 WebFig |
| 安全等级 | 仅管理网段，优先用 8729 |
典型使用场景
- 自动化运维：脚本批量下发地址列表、防火墙规则或 PPPoE 账号
- 监控采集：定时读取接口流量、连接数与路由状态
- 集中管理平台对接：自研系统通过 API 纳管多台 RouterOS 设备
- 安全核查：确认 api 明文服务是否关闭、是否只允许管理网段
- 事故排查：设备配置被改时回溯 API 登录记录与来源 IP 段
连通性测试与收紧
连通性测试与收紧
nc -vz gw.example.com 8728 # 连通性测试（明文 API）
nc -vz gw.example.com 8729 # TLS API 是否开放
# RouterOS 内只保留加密 API 并限制来源：
# /ip service print
# /ip service disable api
# /ip service enable api-ssl
# /ip service set api-ssl address=10.0.0.0/8
/export hide-sensitive # 备份配置前先确认输出不含敏感信息管理入口对照
| 端口 | 入口 | 加固要点 |
|---|---|---|
| 8728 | API 明文 | 尽量关闭，改用 8729 或 SSH |
| 8729 | API TLS | 限制 address 字段到管理网段 |
| 8291 | Winbox | 同样需限制来源，避免暴露公网 |
| 80/443 | WebFig | 关闭或限制来源，避免与业务端口混淆 |
RouterOS 的 /ip service 里可以为每个服务设置 address 字段，把允许登录的来源限定到管理网段，这是成本最低的一道防线；配合强口令与升级到受支持版本，能挡掉绝大多数自动化攻击。
排查设备是否被改过配置时，先做一次 /export 与已知基线比对，重点看防火墙规则、地址列表、DNS 与 SNMP 相关项；发现异常后先断管理面再清理，避免边改边被改。
自动化脚本接入 API 时，建议为每台设备或每个用途分配独立账号，并限制来源地址；出现异常登录时能直接把范围收敛到某一台设备或某一套任务，而不必挨个排查所有调用方。