Архитектура утилиты /tool fetch и причины сбоев HTTP/HTTPS

Утилита /tool fetch в RouterOS предназначена для загрузки файлов, отправки веб-хуков (Webhooks), взаимодействия с REST API и выгрузки резервных копий по протоколам HTTP, HTTPS, FTP и SFTP. Ошибка fetch,error failed to download file: HTTP connection error генерируется сокетом утилиты в следующих ситуациях:

• Сбой TLS Handshake: Ошибка проверки SSL/TLS-сертификата (срок действия, самоподписанный CA, отсутствие SNI — Server Name Indication).
• Сетевые таймауты: Сброс соединения (TCP RST), блокировка фаерволом провайдера или отсутствие ответа (SYN Timeout).
• HTTP 4xx/5xx коды: Удаленный сервер вернул ошибку авторизации или отсутствие файла, когда не включен флаг игнорирования ошибок.

Бизнес-риски

Остановка работы систем резервного копирования в облачные хранилища, невозможность автоматического получения SSL-сертификатов Let's Encrypt для RouterOS, сбой отправки аварийных алертов в Telegram-боты системных администраторов.

Типовые HTTP-статусы и поведение /tool fetch

Регламент диагностики и устранения сбоев /tool fetch

Сценарий 1: Проверка и исправление параметров проверки SSL/TLS (check-certificate)

По умолчанию RouterOS v7 строго проверяет валидность SSL-сертификатов при обращении по HTTPS. Если на сервере самоподписанный сертификат или в системе нет корневых доверенных сертификатов:

# Загрузка актуального хранилища доверенных корневых сертификатов (Mozilla Root CA)
/certificate enable-ssl-certificate

# Если загрузка выполняется на внутренний узел без валидного PKI (тестовый режим):
/tool fetch url="https://192.168.88.10/api/data" check-certificate=no dst-path=data.json

# Корректный запрос с указанием SNI (Server Name Indication) и валидацией CA:
/tool fetch url="https://api.telegram.org/bot123:ABC/sendMessage" \
    http-method=post http-data="chat_id=999&text=TestAlert" \
    check-certificate=yes-without-crl keep-result=no

Сценарий 2: Проверка маршрутизации и привязки к исходящему интерфейсу

Если на маршрутизаторе настроено несколько провайдеров (Multi-WAN / Policy-Based Routing), пакеты fetch могут уходить через интерфейс, где заблокирован доступ:

# Принудительное указание таблицы маршрутизации для утилиты fetch (RouterOS v7)
/tool fetch url="https://backup.corp.com/file.rsc" routing-table=main dst-path=file.rsc

# Проверка доступности порта с помощью встроенного сетевого сканера
/tool tcp-ping address=api.telegram.org port=443 count=3

Сценарий 3: Диагностика MTU и фрагментации пакетов TCP

Если маршрутизатор подключен через PPPoE / L2TP / WireGuard, большой размер пакета TLS Client Hello может фрагментироваться и отбрасываться узлами интернета. Убедитесь в наличии правила Change MSS:

/ip firewall mangle add chain=forward protocol=tcp tcp-flags=syn action=change-mss \
    new-mss=clamp-to-pmtu comment="Clamp MSS for VPN/PPPoE"

Типовые ошибки администраторов

• Постоянное использование check-certificate=no в production: Создает уязвимость Man-in-the-Middle (MitM), позволяя перехватывать конфигурационные файлы и пароли бэкапов.
• Забытые пробелы и спецсимволы в URL без URL-Encoding: Символы типа #, &, пробелы в строке запроса ломают парсер fetch.