[14/08/2026] Traduction complète du changelog RouterOS v7.24

Nouveautés de la 7.24 (14 août 2026, 11:33) :

- adlist : stabilité améliorée lors de l'ajustement de la configuration adlist ;
- app : ajout de l'env « HF_TOKEN » à openwebui ; ajout du paramètre « network-outgoing-access » qui bloque les connexions sortantes des apps ; ajout des apps hermes-agent, inventree, opencloud, opencloud-extended ; ajout de l'env « PAPERLESS_SECRET_KEY » à paperless-nginx ; « reset » autorisé même si disque non configuré ; HTTP autorisé pour Gitea si « check-certificate=no » ; « working_dir » réglable dans le YAML ; YAML pmacct-netflow modifié ; UI désactivée dans Hermes, accès via /container/shell ; corrigé : redirections pare-feu des apps non mises à jour lors d'un changement YAML ; corrigé : blocages sur « waiting for layer » ; secrets rendus sensibles pour ne pas polluer l'export ; healthcheck retiré de opencloud-extended-collabora ; IP VETH de l'app réservée à l'arrêt pour éviter les changements d'IP à chaque démarrage ; affichage de l'adresse du CHR au lieu du conteneur ; secrets aléatoires dans les nouvelles apps ;
- bgp : corrigé : corruption d'étiquette EVPN et sortie EVPN type-5 ; stabilité améliorée sur paquets malformés ; « save-to » retiré de « resend » ;
- bgp-vpn : corrigé : export de la route blackhole ;
- bridge : ajout de « querier-uses-bridge-address » pour utiliser l'IP du pont pour le querier IGMP ; ajout de la table de liaison IP DHCPv4 snooping ; point de planification ajouté pendant le traitement VLAN pour éviter les soft lockups au vidage FDB sur de larges plages VLAN ; corrigé : transfert via peer-port après désactivation MLAG ; entrées hôtes statiques locales ; problèmes MAC MLAG (vieillissement, vidage, déplacement) ; stabilité avec DHCPv4 snooping ; session MLAG bloquée avec L2MTU incompatibles (v7.23) ; réglage « priority » STP amélioré (avertissement si valeur non conforme, choix dans une liste) ; synchronisation de l'état STP des ports doublement connectés avec le pair MLAG ;
- btest : support VRF pour bandwidth-test et speed-test ;
- certificate : ajout de la commande « acme-renew » ; améliorations générales ; chiffrement AES à l'export PKCS#12 ;
- console : ajout de « days » au planificateur ; opérateurs « in » et « has » pour les tableaux ; « order-by » pour « print » (tri sur 3 arguments, asc/desc) ; opérateurs de comparaison pour tableaux ; trace de log si échec de démarrage de script (permissions) ; les scripts s'auto-supprimant ne sont plus interrompus ; corrigé : « print follow on-event » n'affichant pas tous les arguments ; correspondances d'arguments dans « do » pour les moniteurs ; ordre des proplists dans les moniteurs ; import/export de scripts avec « policy » vide ; stabilité de l'éditeur plein écran ; comparaisons UTF-8 sur certaines architectures ; mode « print detail » amélioré ; gestion et logs d'erreurs améliorés pour les scripts externes (DHCP, SNMP, Netwatch…) ; « mac-auth-password » sensible dans hotspot ; « password » sensible dans local-update/mirror ; erreurs d'exécution pour paramètres invalides ; arrêt proposé de la session série existante à l'ouverture d'une nouvelle ; « address » renommé « available-from » dans /ip/service (dépréciation) ; « reauth-timeout » renommé « reauth-period » dans dot1x/server (dépréciation) ; commentaires WiFi verrouillés dans la table d'enregistrement ;
- container : commande « save » pour sauvegarder les images ; « swap-current » ; « swap-max » global et par conteneur ; mode privilégié ; support initial RKE2 ; refus de démarrage sans DNS ; env non affichées au démarrage ; corrigé : « start-on-boot » sans nouvelle tentative sur certaines erreurs ; « devices » sous /dev ; calcul de taille des couches amélioré ; support amélioré ; écritures flash réduites au health check ; « TERM=xterm » par défaut au shell ;
- crypto : corrigé : accélérateur matériel pour GCM/TLS sur CPU Alpine ;
- defconf : « configuration.dtim-period=3 » pour le WiFi ; « add-dns-entries=yes » sur les équipements avec serveur DHCP ;
- dhcp : corrigé : options DHCP de plus de 255 octets ;
- dhcpv4-relay : corrigé : stabilité avec relais en double ;
- dhcpv4-server : « class-id » conservé quand le bail perd « bound » ; « ciaddr » défini dans forcerenew pour permettre l'unicast via relais ;
- dhcpv6-relay : corrigé : relais inopérant depuis WinBox ;
- dhcpv6-server : corrigé : indicateur invalide ;
- discovery : colonne « address6 » dans /ip/neighbor ; sujet de log « discovery » ; fonctionnalité « dying-gasp » (LLDP, MNDP, CDP) envoyant TTL=0 avant arrêt/redémarrage propre ; voisin effacé à la réception d'un « dying-gasp » ; stabilité avec des centaines d'IP sur une interface ;
- disk : propriété « last-seen » (modèle/série du disque retiré) ; commande « raid-scrub-cancel » ; erreur au passage good→bad ; les disques USB ne sont plus auto-chiffrant ; corrigé : « smart-info » sur certains stockages ; swap limité à 10× la RAM ; stockage pouvant changer d'info au reboot ;
- ethernet : EEE désactivé sur hAP be3 Media ; stabilité Chateau PRO ax ; stabilité CPU Alpine ; « 1G-baseT-half » retiré sur RTL8367 ;
- fetch : paramètre « ip-type » ; HTTP/2 forcé (ARM64 et x86/CHR) ; corrigé : faux « bad request » avec URL IPv6 ; liste de fichiers suggérée pour « src-path »/« dst-path » ;
- hardware : « max-power » renommé « manufacturer-reported-max-power » ;
- iot : maintien de connexion LoRa UDP ; plans radio LoRa US manquants ; support clé USB Wiliot ; « timeout » Modbus max 10 s ; watchdog de l'état du worker LoRa ; certification Wiliot ;
- ip-service : reverse-proxy retiré pour SMIPS ; nom du service « l2tp » affiché ;
- ipsec : corrigé : gestion des SA expirées (erreurs « no such item ») ;
- ipsec,ike1 : échange en mode base abandonné ; validation PFS corrigée ; analyse SA/transform/fragment et paquets malformés améliorées ;
- ipsec,ike2 : corrigé : génération de clé enfant ppk au rekey ; validation KE améliorée ; PPK toujours utilisée si autorisée (y compris SA enfants), traitement déplacé vers la tâche SA enfant ; première sélection KE enfant seulement lors d'IKE_AUTH ;
- ipsec,qkd : QKD déplacé dans /system/keymat-provider (fournisseur générique) ;
- ipv6 : colonne « status » dans /ipv6/neighbor ;
- ipv6,ra : distance « router-advertisement-route-distance » par défaut à 1 ; RA annonçant un préfixe expiré traités ; invalidation des préfixes corrigée ; durée de vie dynamique = valeur la plus basse entre IPv6/Pool et IPv6/ND/Prefix/Default ;
- isis : corrigé : suppression de route ECMP ;
- l2tp : fragmentation des grands paquets IPv6 ;
- l3hw : offload HW pour VLAN sur Ethernet en série CRS8xx ; VRF HW offloaded sur 98DX8208, 98DX8216, 98DX8212, 98DX8332, 98DX3257, 98DX4310, 98DX8525, 98DX3255, 98CX8410 ; VRF via règles ACL sur Marvell Prestera ; VLAN tagué dans VXLAN ; problèmes VRF CRS8xx corrigés ; offload VTEP corrigé sur changements de route IPv4 /32 ;
- leds : mode sombre pour L009, hAP ax2, hAP ax3, hEX refresh, hEX S (2025), hAP ax S, Chateau ax ; LED Ethernet corrigée pour Chateau LTE18 ax (v7.23) ; stats d'interface améliorées sur Marvell Prestera ;
- lte : paramètre force-confirmation pour eSIM ; durée de vie préfixe IPv6 plafonnée pour ipv6-interface ; plus de /128 ajoutée pour ipv6-interface ; pas d'interrogation voisins 5G tant que FW RG650E-EU non corrigé ; report d'événements AT pour EG25-G et EC25-EU ; corrigé : infos cellule R11l-LTE7 après handover ; échelle EC/IO dans CLI et GUI ; trafic EC25-EU/EG25-G vers 67 UDP ; gestion RA IPv6 pour l'interface multiapn non primaire ; décodage ICCID modems tiers pour eSIM ; itinérance Cinterion PLS8-E ; déinscription pour modems AT ; stabilité sans APN ; mode USB pour BG770A-GL ; durée de vie IPv6 limitée seulement si infinie ; MAC persistante pour R11e-LTE6 et R11l-LTE7 ; DNS local retiré pour ipv6-interface ; redémarrage après FW retiré pour EC200A-EU ; ID court en 3G pour modems AT ; appels entrants restreints pour FG621-EU ; « +CME ERROR: 10 » = « SIM not present » ; « data-class » au lieu d'« access-technology » en LTE (modems 5G AT) ; « primary-band » au lieu d'« earfcn » (sans CA) ; RSCP et EC/IO en 3G pour R11e-LTE6, R11l-LTE7, FG621-EA ;
- mesh : corrigées : entrées FDB manquantes des ports sans fil ;
- mpls : gestionnaire ICMP time exceeded IPv6 ; FastPath avec expl-null ;
- netinstall : ajout du paquet Netinstall ; détection d'architecture ;
- netinstall-cli : paramètre « help » ; flags « reboot » et « shutdown » pour le redémarrage post-installation ;
- netwatch : corrigé : « timeout » de la sonde DNS ; sonde HTTP GET sur IPv6 ; « rtt-stdev » inexact ; sondes ICMP n'acceptant pas les TTL exceeded avec « accept-icmp-time-exceeded » ; taille max des paquets à 65535 ;
- ospf : stabilité lors des flaps d'interface ; passif forcé pour VRF ;
- pimsm : « hash-mask-length » cohérent et fautes corrigées ;
- poe-in : surveillance PoE-in et négociation PoE LLDP pour les équipements récents (CRS504, CRS510, hEX S 2025, hAP be3 Media) ;
- poe-out : FW mis à jour pour cartes 802.3at (brève coupure des ports poe-out) ; FW mis à jour pour cartes 802.3bt (brève coupure des ports poe-out) ;
- ppp : « MT-Address-List » ajouté à la liste IPv6 depuis RADIUS avec DHCP ; champ iccid dans ppp info (BG77, BG770) ; version FW affichée à firmware-upgrade ; radio activée/désactivée selon l'interface ppp ; corrigé : FW BG77/BG770 indisponible ; stabilité ppp-out ; config IPv6 via RA en émulation PPP ; « info » amélioré (BG77, BG770) ; gestion SSL OVPN ; PIN seulement avec « show-sensitive » ; stats d'usage réseau réelles au lieu de « 0 » (RADIUS IPv6, paquet « Stop ») ; radio basculée à l'activation/désactivation de l'interface ;
- queue : corrigée : commande « undo » pour les files simples ;
- reverse-proxy : stabilité améliorée ;
- rip : clés d'authentification non exportées par défaut ;
- route : route avec destination link-local autorisée ; fuite mémoire corrigée sur flaps adresses/interfaces ; condition de concurrence corrigée ; « interface » respectée au ping IPv6 sur ECMP ;
- sfp : corrigée : liaison hAP ax S et hEX S (2025) en « 1G-baseX » ; « 2.5G-baseX » retiré sur CRS312-4C+8XG et CRS326-4C+20G+2Q+ ;
- sftp : corrigé : téléchargement du paquet de marque ;
- sms : symboles GSM7 ajoutés à l'outil SMS ;
- snmp : OID hotspot active-user-count et host-count dans MIKROTIK-MIB ; OID SFP manquants ajoutés ; OID canal WiFi « mtxrWifiInterfacesCurrentChannel » ;
- ssh : échange de clés mlkem768x25519-sha256 ; plus de connexion auto avec mot de passe vide si RADIUS ; tunnel SSH IPv6 link-local sur interfaces non Ethernet corrigé ; validation des paquets SSH plus stricte ;
- supout : interface monitor-traffic ; section LTE eSIM ;
- switch : corrigée : gestion des MAC réservées IEEE sur CRS1xx, CRS2xx ;
- system : stabilité améliorée ; « factory-software »→« minimum-version » et « factory-firmware »→« minimum-firmware » ; processus utilisant le swap restreints ; affichage de qui utilise /system serial-terminal ;
- traffic-generator : corrigée : injection pcap/pcapng sur MIPSBE ;
- tunnel : corrigé : stabilité avec boucle de routage sous un pont (v7.22) ;
- upgrade : stratégie sensible retirée pour « apply-changes » ;
- usb : durée de power-reset modifiable ; nom par défaut de l'interface Ethernet USB corrigé ;
- vpls : détection de boucle de transmission ;
- vrrp : paramètre « v3-checksum-as-v2 » ; corrigé : stabilité avec « sync-connection-tracking » ;
- vxlan : corrigée : propriété L2MTU manquante avec VRF ; interfaces désactivées ignorées lors des conflits de config ;
- webfig : corrigé : trafic keep-alive croissant ; chiffrement et stabilité améliorés ; améliorations des graphiques ;
- wifi : « Preamble Puncturing » sous WiFi/Channel ; tiret ajouté quand CAPsMAN génère un nom d'interface se terminant par un chiffre ; itinérance/direction améliorées pour WiFi 7 MLO ; stabilité améliorée ; mode station-bridge amélioré ; infos réglementaires radio mises à jour ; pilote wifi-qcom mis à niveau ;
- wifi-mediatek : corrigées : interfaces cassées au démarrage ; définitions de canaux pour certains pays ; commutation de canaux améliorée ; stabilité au changement de canal MLO ;
- winbox : menu « Network » pour le WiFi ; « Preferred Architecture » pour L009 ; « SIM PIN » sous Tools/SMS ; corrigé : « Connection Bytes » sous IP/Firewall ; échelle « EC/IO » pour LTE ; « Use Ipsec » et « Ipsec Secret » sous Interfaces/L2TP Ether ; valeur vide dans « Immediate Gateway » sous IP/Routes ; tri de la « Address List » sous IPv6/Firewall ; clé « Auth key » LoRa et « Password » MQTT sensibles ; « EAP » déplacé sous l'onglet « Security » (WiFi) ; colonne « Any. Port » par défaut sous IP/Firewall ; durées de vie IPv6 affichées aussi sur IP statiques ; bits de priorité dans « VLAN ID » sous Tools/Packet Sniffer ;
- wireguard : noms de domaine dans client-dns ; avertissement si allowed-address chevauche un pair ; corrigée : recréation du pair au changement d'interface ; compteurs Tx/Rx ; sortie wg-export et endpoint non défini ; espaces AllowedIPs au wg-import ; numéro de port généré à zéro ; wg-export affiche le domaine du endpoint ; wg-import ignore les clés wg-quick ; reconfiguration seulement si changements significatifs ; socket réinitialisée au changement de VRF ;
- x86 : corrigé : affichage IRQ par CPU sur NIC Intel série 700 ;

— Vigilant Automate —

Après un peu déplorer que, bien souvent, ces matériels nomades qui décuplent la fluidité de la solution sont en fait la propriété perso du salarié, pas vraiment fournis par l'entreprise qui se contente d'un micro-casque + PC... Car oui tout le monde (ou presque) a un smartphone au boulot, mais une minorité autour de moi a un smartphone fourni par le ledit boulot.

Faut rappeler quand même que le téléphone pro doit être fourni par l'employeur, ceux qui utilisent leur tel perso ont accepté de leur plein gré (enfin j'espère pour eux).

Quand 3 téléconseiller de l'opérateur au carré rouge te répètent en boucle sans aucune humanité qu'il faut que le mari décédé doit lui même faire un courrier pour faire de son épouse le titulaire du contrat... Au moins chat GPT aurait sorti.des.phrases de compassion.

Bon,
après malgré qu'ils soient bien trop présents, la téléphonie ne se limite pas aux centres d'appel, il y a quand même encore des gens normaux qui discutent entre eux, même professionnellement.

heu,
c'est pas ça devient, mais c'est, devient on pouvait dire ça il y a 20 ans, mais plus en 2026.
Aussi en BTS, pourquoi ne pas commencer par une base ipv6, pour venir après sur le folklore ipv4 ?
Car à un moment ipv4 sera du folklore, comme les locomotives diesel ou à vapeur sur le rail.
Des protocoles réseau, j'en ai appris pas mal sur ma période d'activité: dans l'ordre chrono: BSC, SDLC, X25, Frame relay, ATM et superposé à tout ça depuis X25, IPV4 puis ipV6, plus IPX dans les lan, sans parler des divers ethernet, du gros coax jaune aux switchs 10G et le tout hors scolarité, limitée à mon antique BTS électrotechnique, des mauvaises langues vont dire que ça se voit 
Mais juste pour dire qu'il faut de la souplesse et de la curiosité surtout pour progresser aussi vite que les technologies, j'ai toujours eu la chance d'être plus intéressé par ce qui est nouveau et ses bugs que par le confort de l'antique dont on maitrise tous les vices.

Sur le fond je suis entièrement d'accord, malheureusement la réalité est loin d'être si évidente.

Quand on voit des fournisseurs Cloud fournir uniquement de l'IPv4 et racheter des pools d'IP à prix d'or, ça n'envoie pas un signal encourageant.
Même chose côté FAI : il n'y a pas si longtemps je gérais pas mal de liaisons OBS et l'IPv6 était une option payante...

Côté entreprise on n'en parle pas, c'est totalement inexistant, y compris dans les équipes réseau.

Attention je ne dis pas que c'est une bonne chose et au contraire il faut pousser pour l'adoption de l'IPv6 mais le protocole est tellement peu évident d'approche par rapport à IPv4 que ça en dégoûte beaucoup qui se demandent pourquoi ils devraient accepter d'en faire plus pour un même résultat.

Sans parler des contraintes annexes potentielles comme devoir mettre des pare-feux sur les équipements en IP publiques (quand c'est possible... Il n'y a qu'à voir l'IOT, souvent il n'y a même pas de support d'IPv6) là où ils se retranchaient derrière du NAT en IPv4.

C'est malheureux mais il y a fort à parier que ça se règlera par la force des choses avec de l'IPv6 sur le WAN et du NPTv6.

Pour le BTS plus spécifiquement, vu la multitude de sujets à voir aujourd'hui, avec un référentiel (pour le SIO) axé majoritairement sur la cybersécu (ce qui pose déjà aujourd'hui des vrais soucis, beaucoup d'étudiants ne savent même plus faire un diag réseau basique car certains fondamentaux ne sont plus abordés) auquel on ajoutera prochainement de l'IA, clairement c'est compliqué.

A une époque plus lointaine beaucoup approfondissaient les sujets chez eux, mais aujourd'hui pour beaucoup devoir finir un TP c'est déjà à la limite de l'inacceptable !