+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Блокировать сайты по http и https без использования веб-прокси / Работает на 100%

Блокировать сайты по http и https без использования веб-прокси / Работает на 100%, RouterOS

ansari

Guest

15.02.2018 12:36:00

Сегодня я делюсь своим небольшим опытом с таким же новичком, как я. Судя по названию, вы уже поняли суть поста, так что без лишних слов — начнём. Этот метод не повлияет на другие сайты, на примере я хочу заблокировать Facebook.

1. Добавляем сайт в Layer7 Protocol:
/ip firewall layer7-protocol
add name=facebook regexp="^.+(facebook.com).*\$"

2. Добавляем IP-адреса DNS, провайдера и DSL-модема в адрес-лист фаервола для исключения:
/ip firewall address-list
add address=8.8.8.8 list=not_this_dst
add address=8.8.4.4 list=not_this_dst
add address=10.0.0.1 list=not_this_dst

3. Создаём правило mangle для фильтрации IP-адресов Facebook:
/ip firewall mangle
add chain=forward action=add-dst-to-address-list protocol=tcp
src-address=192.168.88.0/24 dst-address-list=!not_this_dst
address-list=facebook address-list-timeout=0s layer7-protocol=facebook

Теперь все IP-адреса Facebook из подключений фаервола будут собраны в адрес-листе.

4. Создаём ещё одно правило mangle для соединений Facebook из этого адрес-листа:
/ip firewall mangle
add chain=forward action=mark-connection new-connection-mark=facebook
passthrough=yes dst-address-list=facebook

5. Теперь блокируем соединения Facebook с помощью фильтра фаервола:
/ip firewall filter
add chain=forward action=drop src-address=192.168.88.0/24 connection-mark=facebook

Если хотите разрешить доступ к Facebook некоторым пользователям, добавьте их IP-адреса в список исключений:
/ip firewall address-list
add address=192.168.88.101 list=not_this_src
add address=192.168.88.120 list=not_this_src
add address=192.168.88.155 list=not_this_src

Удалите предыдущее правило фильтра и добавьте новое, как тут:

/ip firewall filter
add chain=forward action=drop src-address=192.168.88.0/24
src-address-list=!not_this_src connection-mark=facebook

Или просто можете отредактировать старое правило, дополнив список исключений нужными IP.

Все? Нет! Кто-то может обойти ваш Mikrotik через VPN. В этом случае можно использовать OpenDNS для блокировки прокси и VPN.

P.S. Этот метод работает не только с YouTube, можно также блокировать видео на YouTube через L7:

/ip firewall layer7-protocol
add name=videos regexp=videoplayback|video

Извиняюсь, раньше допустил пару ошибок в методе, теперь исправил. Спасибо!

blackzero

Guest

10.08.2018 01:38:00

Я пришёл с поиска Google. Мой местный продавец Mikrotik имеет такую статью: http://www.mikrotik.co.id/artikel_lihat.php?id=282 Но я не могу понять, как сделать это в виде белого списка. В статье объясняется, как заблокировать HTTPS-соединение с Facebook. А мне нужно разрешить HTTPS только для определённых сайтов, например, банков и WhatsApp. Мне не подходит подход с чёрным списком.

vecernik87

Guest

10.08.2018 08:00:00

Я не первый, кто даёт такой совет… Я видел столько подобных, что уже добавил в закладки конкретное время из презентации твоего коллеги: https://youtu.be/XkKj9rj4quQ?t=25m54s. К сожалению, ни «старый правильный» метод, ни новый метод tls-host не являются полностью надёжными. Самое раздражающее — это то, что, например, YouTube начал использовать протокол QUIC. Доступность этого протокола кэшируется, так что любой, кто когда-либо заходил на YouTube и у кого браузер поддерживает QUIC, даже не попадёт на tls-host — весь трафик идёт через UDP.

pe1chl

Guest

10.08.2018 08:55:00

Вам нужно понять, что тут разные заинтересованные стороны. Крупные и мощные компании делают всё, чтобы блокировка их сервисов была нереальной, а вот маленькие провайдеры пытаются блокировать то, что им кажется бесполезным или перегружающим их ограниченные каналы. На форуме много обсуждений по этой теме, и везде встречаются «решения», которые не достигают своей цели (блокировки), но при этом вызывают нежелательные эффекты — блокируют другие сервисы и перегружают роутер. Если у вас нет неограниченного времени и хорошего бюджета, лучше не пытайтесь ограничивать трафик через «блокировку YouTube». Это безнадёжное дело. А когда надо, например, «заблокировать Facebook», потому что сотрудники тратят рабочее время на телефон вместо работы, лучше использовать другие методы для повышения продуктивности. Блокировка не сработает хорошо и потребует постоянного ухода и внимания.

vecernik87

Guest

11.08.2018 11:30:00

И когда нужно «заблокировать Facebook», например, потому что сотрудники тратят рабочее время на телефоны, а не на работу, лучше использовать другие методы для повышения производительности. Боже! Так и надо — это бы в закон записать. У меня такое недавно было, всего месяц назад, когда один из клиентов понял, что я могу делать не только настройку роутера. Понимаю, о чём ты. Я просто пытался донести мысль, что блокировка YouTube сегодня почти невозможна, а Facebook… ну, его надо блокировать правильно, и всё равно нет гарантии, что это сработает.

pe1chl Guest	#6 0 11.08.2018 12:03:00 Как только вы успешно заблокируете Facebook, вы заметите, что такие «абсолютно законные для бизнеса» сервисы, как «Prezi», вдруг станут недоступны для пользователей, которые «входят через свой аккаунт Facebook». Это, конечно, очень хитрый ход со стороны Facebook: предложить другим сервисам использовать свой механизм аутентификации и сделать это так, чтобы нельзя было заблокировать их основной сервис, но при этом дать возможность этому механизму аутентификации работать.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры