Configuración de MikroTik

Ajustes de la conexión a la API de MikroTik RouterOS.

Conexión

mikrotik.address Obligatorio

Env: MIKROTIK_HOST · Por defecto: — (obligatorio)

Dirección de la API de RouterOS en formato host:port. No tiene valor por defecto: el bouncer termina con mikrotik.address is required si el valor está vacío. El 192.168.0.1:8728 que se usa más abajo es el valor de ejemplo incluido en config/cs-routeros-bouncer.yaml, no un valor por defecto.

• Puerto 8728 — API en texto plano
• Puerto 8729 — API cifrada con TLS

mikrotik:
  address: "192.168.0.1:8728"

mikrotik.username Obligatorio

Env: MIKROTIK_USER · Por defecto: — (obligatorio)

El nombre de usuario de la API de RouterOS. No tiene valor por defecto: el bouncer termina con mikrotik.username is required si el valor está vacío. El nombre crowdsec es el valor de ejemplo incluido en config/cs-routeros-bouncer.yaml, no un valor por defecto. Usa un usuario dedicado con permisos mínimos. Consulta Configuración del router para crear el usuario.

mikrotik.password Obligatorio

Env: MIKROTIK_PASS · Por defecto: — (obligatorio)

La contraseña de la API de RouterOS.

Variables de entorno

Para valores sensibles como contraseñas, usa variables de entorno en lugar del archivo de configuración:

export MIKROTIK_PASS="your-secure-password"

TLS

mikrotik.tls Opcional

Env: MIKROTIK_TLS · Por defecto: false

Habilita TLS para la conexión a la API de RouterOS. Requiere el servicio api-ssl en el router (puerto 8729).

mikrotik:
  address: "192.168.0.1:8729"
  tls: true

mikrotik.tls_insecure Opcional

Env: MIKROTIK_TLS_INSECURE · Por defecto: false

Omite la verificación del certificado TLS. Solo es necesario cuando el router usa un certificado autofirmado.

Precaución

Mantén tls_insecure: false siempre que sea posible: la configuración recomendada en producción es un certificado firmado por una CA en la que confíe el host del bouncer, de modo que la conexión quede cifrada y verificada. Establece tls_insecure: true solo para certificados autofirmados o para diagnósticos puntuales.

Tiempos de espera

mikrotik.connection_timeout Opcional

Env: MIKROTIK_CONN_TIMEOUT · Por defecto: 10s

Tiempo máximo de espera para la conexión inicial a la API. Usa el formato de duración de Go.

mikrotik.command_timeout Opcional

Env: MIKROTIK_CMD_TIMEOUT · Por defecto: 30s

Tiempo máximo de espera para que se complete un único comando de la API. Auméntalo si tienes un router lento o address lists grandes.

Consejo

El límite es por comando, no por pasada de reconciliación, y el comando más lento no es un bloque masivo — esos tardan unos 130 ms cada uno. Es la lectura de la address-list al principio de cada pasada, que escala con cuántas entradas guarda el router. Medida en un RB5009 con 22.332 entradas, esa lectura tarda ~1,8 s, así que el valor por defecto de 30s tiene unas 17× de margen y solo pasa a ser la restricción activa bastante por encima de las 350.000 entradas.

Súbelo si ves errores de tiempo de espera en un dispositivo lento o con una lista muy grande. Ambos tiempos de espera deben ser >= 0; 0 significa sin límite, y un valor negativo se rechaza al arrancar.

Pool de conexiones

mikrotik.pool_size Opcional

Env: MIKROTIK_POOL_SIZE · Por defecto: 4

Número de sesiones de la API de RouterOS que el bouncer puede usar para el trabajo en paralelo, como las eliminaciones de la reconciliación. Un valor más alto aumenta el rendimiento cuando la reconciliación tiene que borrar muchas entradas obsoletas del address-list; las adiciones y las decisiones en vivo siempre usan la conexión principal, así que no se ven afectadas.

• Rango válido: 1–20
• Limitación automática: al arrancar, el bouncer consulta el límite max-sessions del servicio API del router y reduce automáticamente el tamaño efectivo del pool para que nunca supere max-sessions − 2 (reservando conexiones para el cliente principal y herramientas externas como WinBox).

mikrotik:
  pool_size: 8 # Mayor paralelismo para las eliminaciones de la reconciliación

Comprobar el límite del router

El servicio API de RouterOS tiene un ajuste max-sessions que limita las conexiones simultáneas. El valor de fábrica es 20.

# Comprobar el límite actual
/ip/service/print where name=api

# Aumentarlo (el valor máximo admitido es 1000)
/ip/service/set api max-sessions=1000

Ajuste de rendimiento

Para despliegues pequeños y medianos (≤ 5.000 IPs), el valor por defecto pool_size: 4 es óptimo. Para listas de CAPI muy grandes (más de 20.000 IPs), aumentarlo a 6–8 puede reducir notablemente el tiempo de reconciliación. Verifica siempre primero el max-sessions del router:

/ip/service/set api max-sessions=1000

Nota

Cada conexión del pool es una sesión completa de la API de RouterOS. En routers con recursos limitados (p. ej., hAP lite), mantén pool_size bajo (1–2) para evitar presión de memoria.