MikroTik RouterOS: quando roteador se torna ferramenta de aprendizado de redes
MikroTik foi o equipamento que me fez entender roteamento de verdade — não na teoria, mas configurando rotas, NAT e firewall rules em equipamento real. O que você aprende quando o hardware expõe o protocolo.
Tinha um MikroTik RB750 na bancada que ninguém usava.
Não era equipamento em produção — era sobra de projeto antigo. Pedi para usar para estudar. Passou o próximo mês configurando e quebrando e reconfigurando tudo que conseguia.
RouterOS do MikroTik é incomum para quem vem de Cisco ou Juniper. Interface chamada Winbox. CLI próprio. Mas por trás disso, os primitivos são os mesmos de qualquer roteador: tabela de roteamento, regras de firewall com chains (input/forward/output), NAT com src-nat e dst-nat, interface bridges.
O que o MikroTik faz diferente é expor esses primitivos de forma transparente. Não há abstração de "ative o firewall" — você cria as regras explicitamente. Não há "configure NAT automaticamente" — você escreve a regra de masquerade com o endereço de saída específico.
Isso é frustrante no começo. É exatamente o que te faz aprender.
Aprendi NAT no MikroTik porque não tinha outra opção.
Source NAT: quando dispositivo na rede interna faz requisição para internet, o roteador substitui o endereço IP privado pelo endereço público antes de enviar. Quando a resposta volta, faz o caminho inverso. Sem isso, a resposta volta endereçada ao IP privado e o roteador de internet descarta — IP privado não tem rota na internet.
Destination NAT: o inverso. Tráfego chegando de fora endereçado ao IP público é redirecionado para dispositivo interno. Port forwarding é DNAT.
Na teoria, esse conceito é simples. Configurando a regra manualmente, entendendo o que cada campo faz, vendo o tráfego passar (ou não passar), quebrando e consertando — aí você entende.
Firewall rules no MikroTik também tinham esse efeito.
Três chains: input (tráfego para o próprio roteador), forward (tráfego passando pelo roteador), output (tráfego saindo do roteador). Regras são avaliadas em ordem — primeira que bater, ganha.
Errei a ordem das regras várias vezes. Coloquei accept antes de drop sem querer, ou drop antes de regra específica que deveria permitir. O resultado era tráfego ou bloqueado quando deveria passar, ou passando quando deveria bloquear.
Cada erro era um ciclo de debug: ping não funciona → checar qual regra está bloqueando → /ip firewall filter print → identificar a regra errada → corrigir.
Isso virou reflexo. Quando, anos depois, depurava security group rules em AWS ou network policy em Kubernetes, o processo mental era o mesmo — só que os primitivos tinham nomes diferentes.
Equipamento que expõe os mecanismos de protocolo sem esconder atrás de wizard é ferramenta de aprendizado. MikroTik tinha esse efeito.
Não é que o equipamento seja melhor que alternativas de abstração maior. É que para aprender, abstração menor é melhor. Quando você tem que configurar NAT explicitamente, você entende NAT. Quando o roteador faz isso por você, você sabe usar o roteador mas não entende o protocolo.
A escolha entre ferramenta que abstrai e ferramenta que expõe depende do objetivo. Para operar em produção com velocidade: abstração. Para aprender: exposição.
Essa semana: tem alguma tecnologia que você usa com abstração alta que você nunca estudou os mecanismos por baixo?