http://mikrotik.moscow Новое в теме tls-host без документа форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 16:02:41 -0400 tls-host без документа RouterOS в форуме RouterOS.
К сожалению, это не работает с QUIC.
16.05.2018 14:01:00, alli.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444215 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444215 Wed, 16 May 2018 14:01:00 -0400 RouterOS tls-host без документа RouterOS в форуме RouterOS.
У меня это работает в **** /ip firewall filter chain=forward rules в версии 6.41.1 настолько, насколько это вообще возможно. Но имейте в виду, что вы не можете использовать это вместе с connection-state=new по причинам, описанным выше (пакет client-hello отправляется уже после того, как TCP-соединение установлено). Поэтому вы можете использовать совпадение, чтобы разорвать TCP-сессию, но не, например, перенаправить её на выделённое WAN-соединение — для этого слишком поздно, когда срабатывает это правило.
26.03.2018 19:47:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444214 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444214 Mon, 26 Mar 2018 19:47:00 -0400 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Что?..
12.03.2018 06:14:00, Chupaka.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444213 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444213 Mon, 12 Mar 2018 06:14:00 -0400 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Я тоже не могу заставить это работать на переадресованных соединениях.
07.03.2018 16:46:00, protagonista.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444212 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444212 Wed, 07 Mar 2018 16:46:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Ну, простое тестирование показывает, что матчер просто не работает в правилах NAT.
09.02.2018 07:10:00, Chupaka.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444211 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444211 Fri, 09 Feb 2018 07:10:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Полагаю, что этот матчтер не срабатывает на SYN и ACK пакетах, а анализирует первые пакеты с содержимым. Адреса источника и назначения определяются без участия этого матчтера. При совпадении он завершает исходное соединение между роутером и сервером и создаёт новое соединение с новым пунктом назначения, используя новый источник (определённый правилами, включая матчтер). Для клиента ничего необычного не произойдёт, если у сервера на конечном пункте назначения есть правильный сертификат. Сервер на конечном пункте назначения тоже не заметит никаких отличий. Оригинальный сервер назначения заметит TCP-соединение, которое сразу завершается ещё до первого пакета от клиента.
08.02.2018 18:22:00, boen_robot.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444210 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444210 Thu, 08 Feb 2018 18:22:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Тем не менее, как мы можем использовать TLS Host matcher в правилах NAT, если пакеты с данными SNI не обрабатываются правилами NAT? Похоже, это какая-то ошибка.
06.02.2018 10:06:00, Chupaka.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444209 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444209 Tue, 06 Feb 2018 10:06:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Это теперь добавлено в документацию... И, как я и говорил, всё основано на значении SNI. Интересный нюанс в том, что TLS-рукопожатие, которое клиент отправляет, должно помещаться в один пакет, чтобы фильтр сработал. Поскольку TLS находится на более высоком уровне модели OSI, чем TCP, идея похожа на фильтр L7, но он проверяет только конкретный формат (TLS) в первом пакете, что технически делает его предопределённым фильтром уровня L6.
05.02.2018 16:03:00, boen_robot.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444208 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444208 Mon, 05 Feb 2018 16:03:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
SNI — это фишка на стороне сервера. При открытии https-страницы всегда запрашивается сертификат с именем сайта (FQDN). (Это происходит после трехстороннего TCP-рукопожатия в начале сессии). Насколько я понимаю, этот tls-host — просто специальный фильтр седьмого уровня, который «ловит» имя сертификата во время SSL-рукопожатия.
01.02.2018 21:58:00, 16again.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444207 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444207 Thu, 01 Feb 2018 21:58:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Важная часть — это «в TCP SYN пакетах», потому что именно это важно для NAT, вы не можете перенаправить соединение позже, когда приходит имя хоста SNI.
01.02.2018 21:55:00, Sob.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444206 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444206 Thu, 01 Feb 2018 21:55:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Это вроде как есть в последних версиях TLS, которые поддерживают современные браузеры и серверы: SNI. Полагаю, именно это и проверяет этот матчмер. Однако браузеры или другие приложения, которые этого не поддерживают, таких пакетов не отправят, и, соответственно, этот матчмер файрвола их не поймает... Так что в идеале всё равно нужно как-то работать с пакетами без SNI.
01.02.2018 21:01:00, boen_robot.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444205 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444205 Thu, 01 Feb 2018 21:01:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
Работа! https://t.me/cgood/208
01.02.2018 20:48:00, cgood.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444204 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444204 Thu, 01 Feb 2018 20:48:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
TLS Host не работает в RouterOS 6.41. Используйте последнюю версию RouterOS 6.42rc15 (кандидат на релиз).
01.02.2018 12:04:00, dmon47.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444203 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444203 Thu, 01 Feb 2018 12:04:00 -0500 RouterOS tls-host без документа RouterOS в форуме RouterOS.
firewall — добавлен матчмент «tls-host» в брандмауэр, документации по этому поводу нет.
24.12.2017 00:18:00, irghost.]]> http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444202 http://mikrotik.moscow/forum/forum57/90754-tls_host-bez-dokumenta/message444202 Sun, 24 Dec 2017 00:18:00 -0500 RouterOS