Я нашел лучший способ обрабатывать трафик Netflix. Список адресов в порядке, но после дальнейшего поиска я нашел способ динамически генерировать этот список. Этот гайд показывает систему очередей для приоритизации или ограничения скорости видео-сайтов. Я взял его пример и адаптировал его под свое решение по пересылке прокси. Я по-прежнему использую свой маршрут /ip route add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.1.2 routing-mark=to_proxy scope=30 target-scope=10 Помните, что мой внешний IP-адрес squid-прокси — 192.168.1.2, а адрес моего файрвола — 192.168.1.1. Что я изменил, так это способ генерации списка адресов. Вместо добавления целых IP-блоков я добавил 2 правила mangle перед моим правилом пересылки прокси. Вот как они выглядят (я перечислил их в нужном порядке. Правило mangle с маршрутом прокси должно быть последним.) /ip firewall mangle chain=prerouting action=add-dst-to-address-list protocol=tcp address-list=Netflix address-list-timeout=1d dst-port=80 content=nflxvideo.net chain=prerouting action=add-dst-to-address-list protocol=tcp address-list=Netflix address-list-timeout=1d dst-port=80 content=netflix.com chain=prerouting action=add-dst-to-address-list protocol=tcp address-list=Netflix address-list-timeout=1d layer7-protocol="Netflix llnwd" dst-port=80 В гайде парень не установил тайм-аут для списка адресов. Это значит, что список в конечном итоге вырастет, чтобы включить каждый IP-адрес, который использует Netflix. Теоретически это звучит хорошо, но надо помнить, что это будет происходить по одному IP-адресу за раз, а не по целому блоку подсетей. Я подумал, что 1 день — это достаточно времени. Я по-прежнему использую свое правило mangle для добавления тега маршрута к трафику с указанным маркером. Я добавил отрицательный список адресов назначения, чтобы исключить мой вновь созданный список адресов Netflix, который генерируется. (Это правило mangle должно быть последним.) /ip firewall mangle chain=prerouting action=mark-routing new-routing-mark=to_proxy passthrough=yes protocol=tcp src-address-list=Proxy_Clients dst-address-list=!Netflix dst-port=80 У меня также есть протокол layer7. Я не очень хорошо разбираюсь в regexp, но тот, который я использую, работает лучше всех других примеров, которые я нашел. /ip firewall layer7-protocol name="Netflix llnwd" regexp="netflix-[0-9][0-9][0-9]\.vo\.llnwd\.net" Я уверен, что выражение regex можно немного улучшить. Я запустил несколько пакетов и пытался увидеть, на что именно роутер смотрит, когда использует regex для анализа пакетов. Это было лучшее, что я смог сделать. По крайней мере, я не исключаю весь llnwd.net из прокси. Я хотел только контент Netflix, который они размещают. Что это делает — создает динамическую запись в списке адресов Netflix каждый раз, когда кто-то пытается получить доступ к netflix.com, nflxvideo.net или одному из множества серверов контента, у которых netflix-####.vo.llnwd.net. Поскольку список адресов "Netflix" исключен из тегирования прокси, мой файрвол не пытается пересылать трафик Netflix на мой внешний сервер squid-прокси. Есть еще один домен Netflix, который я не включил. nflximg.com Netflix, похоже, не возражает против кэширования изображений, связанных с видео, поэтому я оставил его за пределами. Я бы предпочел, чтобы этот трафик проксировался и экономил немного полосы. Если вы хотите включить его, все, что нужно сделать, это добавить еще одно правило mangle. Просто скопируйте первое правило mangle и измените значение контента на nflximg.com (не забудьте, что порядок важен). Пока что все работает довольно хорошо. Нагрузки на роутер, похоже, не растет, даже при одновременной работе 6 различных устройств. Я думаю, поскольку я помечаю соединения для роутера, это очень помогает.
