RouterOS 的加密 API 口
MikroTik RouterOS 的 API 服务占一对端口：8728 明文、8729 加密（api-ssl）。两者能力一致，批量运维脚本、监控系统与自动化平台通过它们调用 RouterOS 的 API，执行的操作与登录命令行完全相同，包括改路由、改防火墙。
基本信息
| 服务 | MikroTik RouterOS API |
|---|---|
| 协议 | TCP（RouterOS API 协议） |
| 默认端口 | 8728 明文 / 8729 SSL |
| 服务开关 | /ip service 中的 api、api-ssl |
| 暴露面 | 仅管理网段 |
典型使用场景
- 批量下发防火墙规则与地址列表
- 监控系统采集接口流量、PPPoE 会话数等指标
- 自动化开通：脚本按模板配置新上架设备
- 定期拉取配置导出做备份与差异比对
- 与用户认证或热点管理系统对接
服务与来源核对
服务与来源核对
nc -zv router.lan 8729 # 端口连通性
# RouterOS 侧:
# /ip service print 查看 api / api-ssl 状态
# /ip service set api-ssl address=10.0.0.0/8 限制管理来源
# /ip service disable api 关掉明文口排障与核对
| 检查项 | 做法 | 异常表现 |
|---|---|---|
| 服务开关 | /ip service print | api-ssl 为 disabled：客户端连 8729 直接失败 |
| 来源限制 | address 字段是否为空 | 为空表示任意来源可尝试登录，最常见的风险点 |
| 账号权限 | /user print 的 group 与 policy | 脚本账号给 full：脚本泄露等于设备失守 |
| 固件版本 | /system resource print | 版本陈旧：RouterOS 历史漏洞影响面大，属重点盘查对象 |
api 与 api-ssl 是相互独立的两项服务，可以只保留加密口：关掉 8728 并用 address 限定管理网段，能挡掉绝大多数扫描与明文嗅探。老设备上 api-ssl 用自签证书，客户端需要显式允许或导入证书才能验证。
为什么边界设备要重点查
路由器与交换机管理面一旦失守，攻击者能改路由、改 DNS、做流量镜像，影响整张网络的所有通信，风险远高于单台服务器。API 端口因为要长期对管理网开放，比 Web 界面更容易被忽略，巡检时应把 8728/8729 与 22、80、443 一起纳入资产清单。
自动化账号建议单独创建并只勾选必要的 policy，同时在设备侧开启登录日志与来源限制；使用明文 8728 穿越不可信网络时，账号口令与全部配置内容都能被还原。
用 8728 明文跨公网管理路由：一次抓包就能拿走凭据与完整配置，之后改 DNS 或加代理都不会留下登录记录。