Zum Inhalt

MikroTik Router-Backup

Stand: 23. August 2026.

Diese Seite beschreibt das manuelle und geplante zentrale Backup des produktiven MikroTik-Routers.

Binäres RouterOS-Backup

Vor größeren Änderungen auf dem Router ausführen:

/system backup save name=router-backup-vor-aenderung

RouterOS legt anschließend im Dateispeicher des Routers eine Datei an:

router-backup-vor-aenderung.backup

Dieses Backup eignet sich vor allem für die schnelle Wiederherstellung auf demselben Gerät beziehungsweise auf einem sehr ähnlichen RouterOS-Stand.

Da ein binäres Backup sensible Konfigurationsdaten enthält, sollte es für eine dauerhafte zentrale Ablage verschlüsselt erzeugt werden.

Lesbarer Konfigurations-Export

Bei aktuellem RouterOS werden sensible Werte im normalen Export standardmäßig nicht ausgegeben. Ein manueller Export auf dem Router lautet daher:

/export file=router-export-vor-aenderung

Die erzeugte Datei lautet:

router-export-vor-aenderung.rsc

Der .rsc-Export ist besonders wichtig für einen manuellen Neuaufbau, Fehlersuche oder eine spätere Migration, weil die Konfiguration lesbar bleibt.

Export direkt auf einen zentralen Linux-Host

Der bestehende RouterOS-Benutzer mcp kann den Export über SSH auf stdout ausgeben. Dadurch muss keine .rsc-Datei auf dem Router erzeugt werden und die zusätzliche RouterOS-Dateiübertragungsberechtigung ist nicht erforderlich.

Beispiel auf dem MCP-Server:

ssh mcp@10.10.10.1 '/export' > "router-$(date +%F-%H%M).rsc"

Dieser Weg wurde am 23. August 2026 erfolgreich getestet.

Warum /export file=... mit dem MCP-Benutzer nicht funktioniert

Die RouterOS-Gruppe mcp-server besitzt bewusst keine ftp-Policy. RouterOS verlangt für das Schreiben eines Konfigurations-Exports in eine Datei zusätzlich zu den Konfigurationsrechten auch die Dateiübertragungs-/Dateirechte. Deshalb schlägt /export file=... als Benutzer mcp mit not enough permissions fehl.

Der direkte SSH-Stream umgeht dieses Problem, ohne die Rechte des bestehenden MCP-Benutzers zu erweitern.

Geplante zentrale Sicherung

Für eine regelmäßige automatische Sicherung ist folgende Architektur vorgesehen:

  1. Job läuft auf dem MCP-Server 10.10.10.33;
  2. lesbarer .rsc-Export wird über SSH direkt auf den MCP-Server gestreamt;
  3. binäres .backup wird verschlüsselt erzeugt;
  4. für das Abholen der binären Datei wird vorzugsweise ein separater RouterOS-Backup-Benutzer mit minimal benötigten Rechten und Quelladressbeschränkung auf 10.10.10.33 verwendet;
  5. erfolgreiche Sicherungen werden auf den separaten Proxmox-Backup-Datenträger /mnt/local-backup kopiert;
  6. alte Sicherungen werden nach einer definierten Aufbewahrungszeit automatisch gelöscht.

Der Proxmox-Benutzer mcp-agent hat derzeit noch keine Schreibrechte auf /mnt/local-backup. Vor Einrichtung des Jobs muss dort einmalig ein dediziertes Verzeichnis mit passenden Rechten angelegt werden, zum Beispiel /mnt/local-backup/mikrotik.

Empfehlung vor manuellen Änderungen

Mindestens ein binäres Backup anlegen:

/system backup save name=router-backup-vor-aenderung

Zusätzlich auf einem administrativen Linux-System einen lesbaren Export sichern:

ssh mcp@10.10.10.1 '/export' > "router-$(date +%F-%H%M).rsc"

Vor der Firewall-Umstellung vom 23. August 2026 wurde das binäre Backup router-backup-vor-firewall.backup erstellt.

Verweise