RouterOS 7.25 stable: DAI и IP source guard в bridge, доработки MLAG/BGP и container apps

Что нового

• bridge: добавлены dynamic ARP inspection (DAI) и IP source guard — защита от ARP-спуфинга и подмены IP на уровне bridge.
• bridge / MLAG: новые параметры mlag-lacp-fallback и mlag-init-delay; улучшена синхронизация FDB между MLAG-пирами при добавлении VLAN; MVRP теперь работает с MLAG dual bonds.
• bgp: новая настройка always-compare-med; номер VNI включается в исходящие EVPN-маршруты; в логах теперь видны имена интерфейсов и VRF, а также логируются неудачные попытки подключения.
• app / container: переменная networkRouterIP для container apps, возможность включать privileged-режим отдельно для сервиса в YAML приложения; в консоли контейнера добавлена последовательность Ctrl-] для выхода из зависшей сессии.
• bth (Back To Home): настройки DNS и allowed IP по умолчанию, возобновляемые загрузки файлов, проверка свободного места перед загрузкой.
• capsman: параметр hw-protection-threshold.
• console: оператор доступа к массиву принимает массивы индексов/ключей; глобальные переменные доступны через API; улучшен порядок /export.
• bridge: свойство IGMP last-member-interval переименовано в last-member-query-interval — проверьте скрипты и шаблоны конфигураций.

Что исправлено

• bridge: исправлено ложное сообщение «already added as bridge port»; MLAG-пир больше не «зависает» в disabled после изменения конфигурации; исправлена проблема с не-форвардингом bridge-портов; исправлено поведение MAC VRRP в MLAG.
• bridge / DHCPv6 snooping: устранено отбрасывание фрагментированного IPv6-трафика (регрессия из v7.23).
• bgp: исправлены BGP unnumbered-соединения внутри VRF.
• app: исправлено зависание CHR-приложений в статусе «starting» на медленных платах; при неразрешимой переменной теперь выводится ошибка; обновлены переменные окружения docker-with-komodo.
• container: исправлена обработка интерфейса контейнера на CHR; устранён «повисший» veth-интерфейс после перезапуска остановленного контейнера.
• bth: исправлены работа файлового шаринга из меню файлов WinBox и зависание при отключении; ошибки загрузки возвращаются в JSON.
• certificate: исправлена выдача ACME-сертификатов для wildcard-доменов; переработаны внутренние процессы работы с сертификатами.
• capsman: исправлено перевёрнутое отображение значения last-ip.
• console: исправлено незавершение фоновых задач :execute as-string при прерывании и предотвращено переполнение памяти при большом выводе; исправлен фильтр where, игнорировавший флаги со значением false; исправлен несогласованный вывод /ip/firewall/filter print с src-address-list/dst-address-list; устранены дубликаты в /port/remote-access; повышена стабильность скриптов из Dude.

Краткое заключение

RouterOS 7.25 — это стабильный минорный релиз с функциональными и security-усилениями на уровне bridge (DAI, IP source guard) и заметным набором исправлений для MLAG, BGP в VRF и DHCPv6 snooping. Критично обновиться тем, кто уже на ветке 7.23+ с включённым DHCPv6 snooping (там фрагментированный IPv6-трафик мог отбрасываться), а также владельцам MLAG-схем и BGP-сессий в VRF. Переименование IGMP-свойства и обновления API/console стоит учесть тем, у кого есть автоматизация. Перед апгрейдом обязательно сделайте бэкап и экспорт — откат на старшую ветку возможен, но с проверкой совместимости конфигурации.

Перед обновлением: бэкап

/system backup save name=before-upgrade
/export file=before-upgrade-export
/system resource print
/system routerboard print

Скачать пакет

Определите архитектуру и скачайте соответствующий пакет. Базовый URL: https://download.mikrotik.com/routeros/7.25/, страница загрузки — mikrotik.com/download?v=7.25. Пример для arm64:

/system resource get architecture-name
/tool fetch url="https://download.mikrotik.com/routeros/7.25/routeros-7.25-arm64.npk" dst-path=routeros-7.25-arm64.npk

Готовые URL по архитектурам (подставьте нужную): routeros-7.25-arm64.npk, routeros-7.25-arm.npk, routeros-7.25-mipsbe.npk, routeros-7.25-mmips.npk, routeros-7.25-smips.npk, routeros-7.25-tile.npk, routeros-7.25-ppc.npk, основной пакет без суффикса — routeros-7.25.npk.

Обновление RouterOS / RouterBOARD

Онлайн-обновление (рекомендуемый способ):

/system package update set channel=stable
/system package update check-for-updates
/system package update download
/system package update install

Либо установка из локально скачанного .npk (файл должен лежать в корне Files):

/system package update install
/system reboot

После обновления RouterOS прошейте RouterBOARD-прошивку, если доступна новая версия:

/system routerboard print
/system routerboard upgrade
/system reboot

Проверьте версию и статус после перезагрузки:

/system resource print
/system routerboard print

Источник: MikroTik RouterOS (stable / long-term)