# Guida Accesso Sicuro con Chiavi SSH — MikroTik RouterOS 7.x

Configurazione dell'autenticazione a chiave pubblica su RouterOS: più sicura
delle password e ideale per automatizzare SCP/SSH verso più router da remoto.

> **Regola d'oro:** non disabilitare mai l'accesso via password PRIMA di aver
> verificato al 100% che l'accesso con chiave funziona. Altrimenti rischi il
> lock-out, soprattutto da remoto.

---

## 1. Genera la coppia di chiavi (sul tuo PC)

```
ssh-keygen -t ed25519 -f ~/.ssh/mikrotik_key
```

- `ed25519` è l'algoritmo moderno consigliato (chiavi corte e robuste).
- Se hai router più vecchi che non lo supportano, usa RSA a 2048+ bit:
  ```
  ssh-keygen -t rsa -b 4096 -f ~/.ssh/mikrotik_key
  ```
- Alla richiesta, imposta una **passphrase**: protegge la chiave privata se
  qualcuno mette le mani sul file.

Vengono creati due file:
- `mikrotik_key`      → chiave **privata** (resta sul tuo PC, NON condividerla)
- `mikrotik_key.pub`  → chiave **pubblica** (da caricare sul router)

---

## 2. Carica la chiave pubblica sul router (via SCP)

```
scp ~/.ssh/mikrotik_key.pub admin@<IP-router>:
```

Se RouterOS 7.x rifiuta la connessione per mismatch di algoritmi, abilita lo
strong crypto sul router e riprova (vedi anche passo 5):
```
/ip ssh set strong-crypto=yes
```

Verifica che il file sia arrivato:
```
/file print
```
Deve comparire `mikrotik_key.pub`.

---

## 3. Importa la chiave su RouterOS

Collegati via SSH al router e associa la chiave pubblica all'utente:
```
/user ssh-keys import public-key-file=mikrotik_key.pub user=admin
```

Verifica che sia stata importata:
```
/user ssh-keys print
```

---

## 4. Verifica l'accesso con chiave (dal tuo PC)

```
ssh -i ~/.ssh/mikrotik_key admin@<IP-router>
```

Se entri **senza** che il router chieda la password (al massimo ti viene chiesta
la passphrase della chiave), l'autenticazione a chiave funziona.

> **Non procedere al passo 5 finché questo test non riesce in modo affidabile.**

---

## 5. Rafforza la sicurezza (solo DOPO aver validato il passo 4)

### 5.1 Strong crypto
Forza algoritmi robusti e disabilita quelli deboli/obsoleti:
```
/ip ssh set strong-crypto=yes
```

### 5.2 Disabilita il login con password
Da qui in poi si entra SOLO con chiave:
```
/ip ssh set password-authentication=no
```

> **ATTENZIONE:** dopo questo comando, chi non ha la chiave non entra più via
> SSH. Assicurati che:
> - la tua chiave privata sia al sicuro e con un backup;
> - resti almeno un canale di recupero (vedi sezione 6).

---

## 6. Rete di sicurezza (paracadute)

Con la password SSH disabilitata, se perdi la chiave privata o cambi PC senza
aver configurato la nuova chiave, non entri più via SSH. Tieni quindi attivi:

- **MAC-Winbox su tutte le interfacce** come accesso di emergenza a Layer 2:
  ```
  /tool mac-server set allowed-interface-list=all
  /tool mac-server mac-winbox set allowed-interface-list=all
  ```
- Un **backup della chiave privata** in luogo sicuro.
- Idealmente, accesso fisico o una persona sul posto per i casi estremi.

---

### Config lato client (comodità)
Nel tuo `~/.ssh/config` puoi definire scorciatoie per non ripetere `-i` ogni volta:
```
Host mikrotik-sedeX
    HostName 172.17.5.116
    User admin
    IdentityFile ~/.ssh/mikrotik_key
```
Poi accedi semplicemente con:
```
ssh mikrotik-sedeX
```

---

## Checklist finale
- [ ] Coppia di chiavi generata con passphrase
- [ ] Chiave pubblica caricata e importata sul router
- [ ] Accesso con chiave testato e funzionante
- [ ] Strong crypto abilitato
- [ ] Login password disabilitato SOLO dopo il test riuscito
- [ ] Paracadute attivo (MAC-Winbox + backup chiave privata)