Как подключаться к устройствам RouterOS с помощью RouterOS API

Настройка инфраструктуры открытых ключей (PKI)

Следуйте инструкциям из руководства community.crypto Как создать небольшой центр сертификации, чтобы настроить сертификат CA и подписать сертификат для маршрутизатора. В сертификат следует добавить альтернативное имя субъекта для IP-адреса (например, IP:192.168.1.1) и, если возможно, для DNS-имени (например, DNS:router.local).

Установка сертификата на маршрутизатор MikroTik

Сертификат лучше всего установить через SSH-подключение. (Дополнительные сведения см. в руководстве Как подключаться к устройствам RouterOS по SSH.) После установки сертификата и включения HTTPS API работать с API становится проще: у него гораздо меньше проблем, и он возвращает данные в виде объектов JSON, а не текста, который сначала нужно анализировать.

Сначала необходимо преобразовать сертификат и его закрытый ключ в пакет PKCS #12. Это можно сделать с помощью модуля community.crypto.openssl_pkcs12. В следующем сценарии предполагается, что сертификат доступен как keys/{{ inventory_hostname }}.pem, а его закрытый ключ — как keys/{{ inventory_hostname }}.key. Для защиты файла PKCS#12 сценарий генерирует случайную парольную фразу.

---
- name: Install certificates on devices
  hosts: routers
  gather_facts: false
  tasks:
    - block:
        - set_fact:
            random_password: "{{ lookup('community.general.random_string', length=32, override_all='0123456789abcdefghijklmnopqrstuvwxyz') }}"

        - name: Create PKCS#12 bundle
          openssl_pkcs12:
            path: keys/{{ inventory_hostname }}.p12
            certificate_path: keys/{{ inventory_hostname }}.pem
            privatekey_path: keys/{{ inventory_hostname }}.key
            friendly_name: '{{ inventory_hostname }}'
            passphrase: "{{ random_password }}"
            mode: "0600"
          changed_when: false
          delegate_to: localhost

        - name: Copy router certificate onto router
          ansible.netcommon.net_put:
            src: 'keys/{{ inventory_hostname }}.p12'
            dest: '{{ inventory_hostname }}.p12'

        - name: Install router certificate and clean up
          community.routeros.command:
            commands:
              # Import certificate:
              - /certificate import name={{ inventory_hostname }} file-name={{ inventory_hostname }}.p12 passphrase="{{ random_password }}"
              # Remove PKCS12 bundle:
              - /file remove {{ inventory_hostname }}.p12
              # Show certificates
              - /certificate print
          register: output

        - name: Show result of certificate import
          debug:
            var: output.stdout_lines[0]

        - name: Show certificates
          debug:
            var: output.stdout_lines[2]

      always:
        - name: Wipe PKCS12 bundle
          command: wipe keys/{{ inventory_hostname }}.p12
          changed_when: false
          delegate_to: localhost

    - name: Use certificate
      community.routeros.command:
        commands:
          - /ip service set www-ssl address={{ admin_network }} certificate={{ inventory_hostname }} disabled=no tls-version=only-1.2
          - /ip service set api-ssl address={{ admin_network }} certificate={{ inventory_hostname }} tls-version=only-1.2

Также в сценарии предполагается, что admin_network описывает сеть, из которой доступны интерфейсы HTTPS и API. Например, это может быть 192.168.1.0/24.

После успешного выполнения этого сценария вы сможете использовать административный интерфейс HTTPS (доступный в браузере по адресу https://192.168.1.1/ с подставленным правильным IP-адресом), а также модуль community.routeros.api с включёнными TLS и проверкой сертификатов:

- community.routeros.api:
    # ...
    tls: true
    validate_certs: true
    validate_cert_hostname: true
    ca_path: /path/to/ca-certificate.pem