MikroTik RB5009UG+S+IN : le routeur des passionnés de réseau
Test du routeur filaire compact à huit ports, SFP+ 10G et RouterOS 7 : architecture, possibilités, consommation, température et limites à connaître.
Le MikroTik RB5009UG+S+IN ressemble à un petit commutateur, mais son intérêt se trouve derrière les prises. Ce routeur filaire associe un processeur ARM 64 bits à quatre cœurs, RouterOS 7, un port SFP+ à 10 Gbit/s, un port Ethernet à 2,5 Gbit/s et sept ports Gigabit. Il vise moins le foyer qui cherche un Wi-Fi prêt en cinq minutes que le passionné de réseau, le laboratoire domestique ou la petite infrastructure qui veut contrôler ses VLAN, ses VPN, ses routes et ses files de trafic.
Après prise en main, le verdict est clair : le matériel offre beaucoup dans un boîtier compact et silencieux, mais il exige de comprendre RouterOS. Sa polyvalence est précisément ce qui le rend intéressant — et ce qui empêche de le recommander à tout le monde.
Une fiche technique inhabituelle dans ce format
| Processeur | Marvell 88F7040, ARM 64 bits, 4 cœurs de 350 à 1 400 MHz |
|---|---|
| Mémoire et stockage | 1 Go de DDR4 et 1 Go de NAND |
| Ethernet | 1 × 2,5 Gbit/s et 7 × 1 Gbit/s |
| Fibre ou DAC | 1 × SFP+ à 10 Gbit/s |
| Extension | 1 × USB 3.0 type A, jusqu’à 1,5 A |
| Commutation | Marvell 88E6393, liaison 10 Gbit/s full-duplex vers le processeur |
| Alimentation | Prise CC, bornier deux broches ou PoE-in sur ether1, de 24 à 57 V |
| Consommation | 14 W sans accessoires, jusqu’à 25 W avec périphériques |
| Refroidissement | Passif, sans ventilateur |
| Dimensions | 220 × 125 × 22 mm |
| Système | RouterOS 7, licence de niveau 5 |
Le châssis métallique fait aussi office de dissipateur. Il est peu haut, fortement nervuré et dépourvu de ventilateur : aucun bruit, aucune pièce mobile, mais la chaleur est volontairement transmise au boîtier. Les ouvertures latérales servent également au montage. Avec les accessoires adaptés, quatre unités peuvent prendre place côte à côte dans 1U.
Visite des ports : tout est accessible en façade
De gauche à droite, on trouve le bouton de réinitialisation, la prise d’alimentation CC, la cage SFP+, le port USB 3.0, puis les huit prises Ethernet. Ether1 est la seule interface cuivre à 2,5 Gbit/s et accepte aussi l’alimentation PoE-in. Ether2 à ether8 sont limitées à 1 Gbit/s. Un bornier 24–57 V placé sur le côté offre une troisième manière d’alimenter l’appareil.
Le port SFP+ accepte un module fibre ou un câble DAC compatible. Un module cuivre 10GBASE-T peut aussi fonctionner, mais il consomme et chauffe davantage ; il faut donc vérifier la liste de compatibilité, la ventilation et la température du module. Pour une courte liaison vers un commutateur ou un serveur, le DAC reste souvent la solution la plus simple et la moins chaude.
Une architecture qui demande de distinguer commutation et routage
Toutes les interfaces rejoignent le circuit de commutation 88E6393. Celui-ci communique avec le processeur par une liaison de 10 Gbit/s full-duplex. Cela ne signifie pas que le routeur additionne sans limite 10 Gbit/s, 2,5 Gbit/s et sept fois 1 Gbit/s à travers toutes les règles imaginables.
Une trame commutée matériellement dans un même pont peut rester dans le switch chip. Un paquet qui change de sous-réseau, traverse le pare-feu, reçoit une traduction d’adresse, entre dans une file QoS ou dans un tunnel doit davantage solliciter le processeur. Les performances dépendent alors de la taille des paquets, du nombre de règles, du suivi de connexion, du type de chiffrement et de la configuration.
Les tableaux de débit du constructeur sont donc utiles pour comparer des scénarios, pas pour promettre 10 Gbit/s dans n’importe quelle topologie. Il faut tester sa propre configuration avec iperf3, surveiller les quatre cœurs et vérifier que le matériel décharge bien ce qu’il peut décharger.
RouterOS 7 : la vraie raison d’acheter ce routeur
Le matériel ne serait qu’un boîtier dense sans RouterOS. Le système permet de construire un réseau beaucoup plus précis que celui d’une box ordinaire :
- ponts, VLAN filtrés et agrégation de liens ;
- plusieurs accès Internet, routage par politiques et bascule ;
- OSPF et BGP pour un laboratoire ou une infrastructure avancée ;
- pare-feu IPv4 et IPv6, NAT et listes d’adresses ;
- VPN WireGuard, IPsec et OpenVPN selon le besoin ;
- DHCP, DNS, serveur d’heure, portail captif et outils de diagnostic ;
- files simples ou arborescentes pour la QoS ;
- scripts, planificateur, API et supervision SNMP.
Cette profondeur a un coût : il est facile de créer une règle qui coupe l’accès au routeur, place un port dans le mauvais VLAN ou autorise trop de trafic. Le mode sécurisé de WinBox et du terminal est indispensable pendant les changements à distance : si la session se rompt anormalement, RouterOS annule automatiquement les modifications réalisées dans ce mode.
Premier démarrage : cinq gestes avant toute expérimentation
- Reliez un ordinateur en local et ouvrez WinBox ou WebFig à l’adresse de configuration indiquée par MikroTik. WinBox peut aussi retrouver l’équipement par son adresse MAC.
- Créez un compte nominatif avec un mot de passe unique, puis désactivez le compte par défaut si votre configuration l’utilise encore.
- Mettez RouterOS et RouterBOOT à jour vers une branche stable adaptée à votre exploitation.
- Conservez le pare-feu d’entrée et limitez WinBox, SSH, l’API et WebFig aux réseaux d’administration. Pour l’accès distant, préférez un VPN tel que WireGuard.
- Exportez la configuration et créez une sauvegarde avant les changements importants. Conservez les deux fichiers hors du routeur.
Désactivez également les services inutilisés, l’administration par MAC hors du réseau de maintenance, la découverte de voisins sur les interfaces non fiables et le serveur de test de bande passante en production. Une interface inutilisée peut simplement être désactivée.
VPN, BGP, QoS : assez de réserve pour un vrai laboratoire
Avec quatre cœurs ARM64, le RB5009 peut faire fonctionner simultanément plusieurs fonctions qui satureraient un petit routeur grand public. Dans un home lab, il peut assurer les routes inter-VLAN, un tunnel WireGuard, des règles de pare-feu, une file destinée à protéger la latence et quelques sessions BGP sans donner l’impression de travailler constamment à sa limite.
Il faut toutefois se méfier des raccourcis. FastTrack accélère beaucoup de flux établis, mais il peut contourner certaines files, règles ou fonctions d’inspection. Le désactiver rend le traitement plus prévisible pour un laboratoire QoS ou de comptabilité, tout en augmentant la charge CPU. Le bon réglage dépend de l’objectif : débit maximal, observation complète des flux ou politique de trafic détaillée.
Pour un VPN, le protocole et le chiffrement changent fortement le résultat. Une mesure locale entre deux hôtes filaires, puis une autre à travers le tunnel, est plus informative qu’un chiffre unique trouvé dans une fiche technique. Surveillez l’usage par cœur : une charge globale modérée peut masquer un traitement surtout concentré sur un seul cœur.
Conteneurs : possibles, mais le routeur ne devient pas un serveur
RouterOS 7 propose un paquet optionnel pour exécuter des conteneurs sur cette architecture ARM64. Cela ouvre des usages légers : relais DNS, petit collecteur, service auxiliaire ou outil de réseau. La fonction est désactivée par défaut et son activation demande une confirmation avec accès physique, une protection volontaire contre une prise de contrôle silencieuse.
Le gigaoctet de NAND intégré n’est pas un disque d’applications. Pour un conteneur, utilisez plutôt un SSD externe sur USB 3.0 et limitez les écritures. Une base de données active, un moteur d’indexation ou un service critique restera mieux placé sur un serveur ou un NAS. Le routeur doit continuer à router même si un périphérique USB ou un conteneur tombe en panne.
Température : le boîtier chaud est le dissipateur
Sans ventilateur, la température de surface varie avec la charge, l’alimentation, le module SFP+ et la circulation d’air. Sur l’exemplaire photographié, une mesure ponctuelle a relevé environ 38 °C sur la face supérieure et 43 °C sous le boîtier, tandis que RouterOS signalait un processeur proche de 49 °C. Ces chiffres décrivent un environnement précis : ils ne constituent ni une garantie ni un seuil de panne.
La plage officielle de –40 à +60 °C concerne la température ambiante testée, pas une consigne de température interne. Laissez de l’espace au-dessus et au-dessous, ne posez pas l’appareil sur un textile et évitez d’emprisonner un module SFP+ cuivre très chaud dans une armoire sans circulation d’air.
Des pieds plus hauts peuvent améliorer la convection naturelle. Dans l’installation photographiée, un support imprimé en 3D a surélevé le routeur et la température du processeur a diminué d’environ 5 °C. Ce résultat dépend évidemment du meuble, de la charge et de l’air ambiant.
Ce qui convainc, et ce qui manque
| Points forts | Limites |
|---|---|
| RouterOS 7 extrêmement complet | Courbe d’apprentissage réelle |
| SFP+ 10G et Ethernet 2,5G dans un petit boîtier | Un seul port cuivre à 2,5 Gbit/s |
| Boîtier métallique, passif et silencieux | Châssis chaud si la convection est mauvaise |
| Trois entrées d’alimentation et large plage de tension | Aucun PoE-out sur cette version |
| Routage dynamique, VLAN, VPN, QoS et automatisation | Aucun Wi-Fi intégré |
| USB 3.0 et conteneurs pour des services légers | Le stockage NAND ne convient pas aux charges d’écriture |
L’absence de Wi-Fi est parfois présentée comme un défaut, mais elle peut être un avantage dans une architecture propre : le routeur reste dans la baie ou le coffret, tandis que des points d’accès placés au bon endroit s’occupent de la radio. Il faut simplement prévoir leur commutateur PoE ou leurs injecteurs, puisque cette version du RB5009 ne les alimente pas.
Pour qui est-il fait ?
Le RB5009UG+S+IN convient particulièrement à la personne qui veut segmenter son réseau, relier un NAS en 2,5 Gbit/s, utiliser une liaison SFP+ vers un commutateur, apprendre BGP ou OSPF, héberger plusieurs tunnels VPN et conserver une marge pour faire évoluer la configuration. Il trouve aussi sa place dans une petite entreprise qui dispose déjà de points d’accès séparés et d’un administrateur à l’aise avec RouterOS.
Il convient moins à celui qui attend une application mobile avec trois boutons, un Wi-Fi intégré ou huit ports multigigabit. Pour une simple connexion Internet Gigabit et deux appareils, sa richesse logicielle restera largement inutilisée. Pour une baie entièrement en 2,5 ou 10 Gbit/s, son mélange d’un port 2,5G et de sept ports 1G impose l’ajout d’un commutateur.
Conclusion
Le MikroTik RB5009UG+S+IN est un excellent routeur de passionné parce qu’il ne dicte presque rien. Il peut devenir le cœur VLAN d’une maison, la passerelle d’un laboratoire, un concentrateur WireGuard, un routeur BGP compact ou l’interface entre un accès multigigabit et une baie SFP+. Son silence, ses trois entrées d’alimentation et son format renforcent cette impression d’outil sérieux.
Il faut en échange accepter de documenter sa configuration, de tester les règles, de sauvegarder avant les changements et d’apprendre la logique RouterOS. Le matériel possède de la réserve ; la qualité finale dépend surtout de la manière dont on l’administre.
Références techniques
À lire ensuite
À propos de l’auteur
Jeremy Kraft administre les infrastructures et les services auto-hébergés de l’IBCSC. Ces guides reprennent des configurations réellement déployées, revérifiées avant publication.
Discussion
Commentaires
Aucun commentaire pour le moment. Vous pouvez ouvrir la discussion avec une question ou un retour d’expérience.