针对亚太地区 ISP 普遍使用 MikroTik RouterOS 承载 PPPoE 接入及核心转发的场景，本文给出边缘路由器与 BNG 的安全加固、接口列表划分、连接跟踪调优三类配置建议，旨在消除 Telnet 暴露、邻居发现泄露等基线风险，并通过松散/严格 RPF、连接超时调整提升转发稳定性。
基础安全加固与 RPF 模式选择
大量网络仍运行 Telnet、暴露邻居发现协议且使用过时 RouterOS 版本。必须升级至最新长期发布版并同步升级固件。启用反向路径过滤：边缘路由器及 AS 边界采用 loose 模式以适配非对称或策略路由；BNG 及对称路由段采用 strict 模式。该机制与单播反向路径转发略有区别，配置位于 IP>Settings>rp-filter。原文未给出具体升级版本号及固件版本。
接口列表划分与连接跟踪调优
在 Interfaces>Interface List 创建 WAN 列表汇总所有公网出口，LAN 列表覆盖本地及客户侧接口，BNG 需将动态 PPPoE 接口纳入 LAN。边缘路由器彻底关闭连接跟踪（/ip firewall connection tracking set enabled=no），全网设备开启松散 TCP 跟踪（loose-tcp-tracking=yes）。超时参数按原文 Figure 2 表值下发，原文未给出具体超时数值。实测显示调整后稳定性实时改善，原文未给出量化指标。
版本局限与跨平台复用
RouterOS v6 稳定版基于旧内核并沿用 legacy iptables，规则逻辑可参考 Linux 内核文档理解；v7 预期引入新框架但原文未给出发布时间表。配置语法虽为 RouterOS 专有，但原理可迁移至其他平台。读者需具备典型 BNG/CGNAT 术语与协议基础，文中将 core 与 edge、BNG 与 access router 同义使用以简化叙述。
运维人员可按清单逐项核对：消除明文管理协议、按路由对称性选 RPF 模式、按设备角色开关连接跟踪、统一超时参数。这些最小改动可显著降低边缘设备 CPU 压力与攻击面，为后续 IPv6 接入与 v7 迁移打下基线。
原文: APNIC Blog（2021-06-24）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog