+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Заблокировать обновления Play Store / Android

Заблокировать обновления Play Store / Android, RouterOS

bobin56

Guest

28.10.2016 07:47:00

Привет, ребята! Я новичок в Mikrotik, и начальник попросил меня создать правило, которое заблокирует доступ к Playstore и отключит обновления Android для пользователей в офисной сети. Для Playstore я попробовал использовать протокол layer-7 с регулярным выражением ^.+( play.google.com ).*$, но он блокирует только веб-версию Playstore, а на Android-устройствах не работает. Для обновлений Android я настроил фильтр, который сбрасывает соединения на UDP и TCP порту 5228, но обновления и загрузка приложений всё равно работают. Я даже пробовал прописать статический DNS на play.google.com, но с приложением это не помогло. Можно ли вообще заблокировать обновления Android и Playstore с помощью Mikrotik? Если да, буду признателен за любую помощь. Спасибо!

twyxted

Guest

12.03.2018 11:50:00

Попробуйте этот вариант, я сейчас им пользуюсь, и пока всё работает: /ip firewall layer7-protocol add name=Google-PlayStore regexp=^..+.( play.googleapis.com|android.clients.google.com|lh3.googleusercontent.com ).*$ Мы используем его не для блокировки, а чтобы контролировать потребление трафика именно для Google Play Store, так как я работаю в компании по мобильной разработке и публикации — нам нужно приоритизировать трафик для этого. Сейчас я ещё изучаю layer7-protocol для iOS App Store, Amazon Store и Windows Store.

umair102

Guest

19.10.2018 08:21:00

Здравствуйте, сэр (twyxted). Согласно вашей инструкции ниже, я создал /ip firewall layer7-protocol add name=Google-PlayStore regexp=^..+.( play.googleapis.com|android.clients.google.com|lh3.googleusercontent.com ).*$, и раньше всё работало. Это блокировало Google App Store и приложение YouTube, но, к сожалению, один мой друг отключил это, и теперь, когда я снова создал протокол, он не работает. Не могли бы вы помочь, пожалуйста?

sigmasquared

Guest

19.12.2019 03:47:00

Возрождаю старую тему, но я использую списки адресов, чтобы это блокировать. Значительно меньше нагрузки на процессор, чем L7. У меня такая ситуация: если переключаюсь на LTE с оптоволокна, то не хочу, чтобы были доступны Google Play, YouTube, Windows Update, Netflix, Steam и т.п., потому что у меня тариф с оплатой за каждый гигабайт трафика LTE. Ниже пример, который я использую для Play Store:

/ip firewall mangle
add action=add-dst-to-address-list address-list=GooglePlay address-list-timeout=5m chain=prerouting comment="Определение списка адресов Google Play" content=play.google.com
add action=add-dst-to-address-list address-list=GooglePlay address-list-timeout=5m chain=prerouting comment="Определение списка адресов Google Play" content=android.clients.google.com

/ip firewall filter
add action=drop chain=forward comment="Блокировка Google Play на LTE" dst-address-list=GooglePlay out-interface=lte1

backdoorcisco Guest	#5 0 19.12.2019 10:38:00 Как вы заполняете списки адресов?

sigmasquared Guest	#6 0 19.12.2019 12:58:00 Использование mangle. На этапе prerouting добавляет IP-адрес в список адресов при проверке URL.

pe1chl

Guest

19.12.2019 13:24:00

Проблема всех этих решений на базе протокола L7 в том, что: шаблон часто слишком общий (может срабатывать и на другой трафик), затраты процессора на проверку этого шаблона во всём трафике высоки, а сам шаблон не гарантированно будет встречаться в трафике, особенно сейчас, когда всё больше трафика становится зашифрованным. Когда такие L7-сопоставления «кажутся работающими», это обычно происходит только потому, что они случайно совпадают с SNI в TLS, а это можно сделать гораздо надёжнее, используя сопоставление TLS Host.

backdoorcisco Guest	#8 0 20.12.2019 09:49:00 Как можно настроить совпадение TLS Host в Mikrotik? Это вообще возможно?

pe1chl Guest	#9 0 20.12.2019 12:31:00 Это доступно на вкладке Advanced в настройках правила файрвола, когда используется протокол TCP и оно не перекрывается чем-то вроде Established/Related. Правило сопоставляет SNI в последовательности настройки TLS. Поэтому, конечно, оно перестанет работать, когда стандартом станет зашифрованный SNI. Преимущество этого метода в том, что он может сопоставлять именно то поле, которое содержит SNI, тогда как широко распространённые L7-матчи вроде «^. facebook.com . $» просто ищут любой пакет, в котором встречается строка facebook.com, и при этом сработают и на facebook.comics.net или что-то подобное, а также на пакеты с этим текстом, например, обсуждения на форуме.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры