Блокируем сайты в режиме белого и чёрного списков в MikroTik без Layer7 Protocols

Блокирование сайтов по имени
Блокирование сайтов по IP-адресу
Блокирование сайтов с помощью статических DNS записей
Блокирование сайтов с помощью Proxy сервера
Проброс портов в роутере MikroTik

Блокирование сайтов по имени
Блокирование сайтов по IP-адресу
Блокирование HTTPS сайтов
Блокирование сайтов с помощью статических DNS записей
Блокирование сайтов с помощью Proxy сервера

В этой инструкции вы узнаете, как заблокировать любой сайт в роутере MikroTik, социальную сеть одноклассники, вконтакте и т.п.

Время на прочтение

На написание данной статьи меня сподвиг тот факт, что старший ребенок стал по ночам вместо того чтобы укладываться спать, смотреть на своем смартфоне всякие ролики на youtube, до поздней ночи, а так же замена домашнего роутера с TP-Link TL-WR1043ND на MikroTik RB951G-2HnD.

Поизучав интернеты, наткнулся на презентацию от 2017 года на канале микротика в ютубе. Там описывалось, как не надо делать и как делать правильно. Возможно, для многих продвинутых пользователей MikroTik и RouterOS это не будет открытием, но надеюсь что поможет начинающим пользователям, как я, не заблудиться в дебрях вариантов, предлагаемых в интернете.

Начнем с часто предлагаемого варианта в интернете (так не надо делать!!!):

● /ip firewall layer7-protocol
add name=youtube regexp="^.+(youtube).*$"
add name=facebook regexp="^.+(facebook).*$"
● /ip firewall filter
add action=drop chain=forward layer7-protocol=facebook
add action=drop chain=forward layer7-protocol=youtube

Почему так происходит? Каждое соединение проверяется снова и снова, Layer7 проверяется не в том месте, что приводит к проверке всего трафика.

Содержание

Правильное решение
Прелюдия
Суть проблемы
Layer7 Protocols
Статические записи в DNS
WebProxy
А конкретнее…
Само решение
Заключение
Прелюдия
Суть проблемы
Layer7 Protocols
Статические записи в DNS
WebProxy
А конкретнее…
Само решение
Заключение
Блокирование сайтов по имени
Basic examples
Brute force protection
Блокирование сайтов по имени
Stats
Блокирование сайтов по IP-адресу
Summary
Properties
Блокирование сайтов по IP-адресу
Chains
Блокирование HTTPS сайтов
Блокирование сайтов с помощью статических DNS записей
Блокирование сайтов с помощью Proxy-сервера
Блокирование сайтов с помощью статических DNS записей
Проброс портов в роутере MikroTik
Menu specific commands
Блокирование сайтов с помощью Proxy-сервера

Правильное решение

Создаем правило с регулярным выражением для Layer7:

● /ip firewall layer7-protocol
add name=youtube regexp="^.+(youtube).*$"

Я блочил только ютуб, если нужен фейсбук или что-то иное, создает отдельные правила

add name=facebook regexp="^.+(facebook).*$"

Можно создавать правила и для других сервисов стримминга видео, вот один из вариантов:

regexp=”^.*youtube.com|youtu.be|netflix.com|vimeo.com|screen.yahoo.com|dailyMotion.com|hulu.com|twitch.tv|liveleak.com|vine.co|break.com|tv.com|metacafe.com|viewster.com).*$”

Далее создаем правила для маркировки соединений и пакетов:

● /ip firewall mangle
add action=mark-connection chain=prerouting protocol=udp
dst-port=53 connection-mark=no-mark layer7-protocol=youtube new-connection-mark=youtube_conn passthrough=yes
add action=mark-packet chain=prerouting connection-mark=youtube_conn new-packet-mark=youtube_packet

и правила для фильтра файрвола:

● /ip firewall filter
add action=drop chain=forward packet-mark=youtube_packet
add action=drop chain=input packet-mark=youtube_packet

Далее идем меню IP>Firewall>Mangle выбираем наши mark_connection и mark_packet и в поле Src. Address вбиваем блокируемый ip либо группу.

Все, девайс остался без ютуба, жестко, но в воспитательных целях нужно.

Так же можно применять эти правила по расписанию.

Буду рад комментариями и поправкам, если вы заметите какие то неточности, т.к. это моя первая статья на Хабре. По материалам канала MikroTik на Youtube. Внимание, эта статья не о том как ограничить доступ ребенку в интернет, ограничение доступа в ютуб — это просто пример. Статья об одном из способов ограничения доступа к нежелательным ресурсам.

Updt1, от avelor, блок по mac:

 ● /ip firewall filter add chain=input src-mac-address=aa:bb:cc:dd:ee:ff action=drop add chain=forward src-mac-address=aa:bb:cc:dd:ee:ff action=drop

Прелюдия

Это моя первая статья на Хабре (да и вообще первая подобная), поэтому прошу сильно сапогами не бить. Она ориентирована на таких же новичков, как и я, и не претендует на роль самой верной и правильной. Я просто делюсь своим решением проблемы, которого не мог найти нигде в интернете.

Суть проблемы

Года эдак два назад я решил обзавестись домашней точкой доступа (в простонародии роутер) и выбор пал на оборудование фирмы MikroTik. Я не был знаком с их интерфейсом и возможностями, поэтому, когда мне понадобилось выборочно заблокировать сайты, я полез в гугл, который мне выдал всего пару вариантов для реализации этой затеи. Выделю три основных:

Фильтровать пакеты с помощью Layer7 Protocols
Банально задать статические DNS записи для нужных доменов
Использование WebProxy

Layer7 Protocols

На первый взгляд идеальное решение. Однако, загружает CPU «микрота» и требует отключения fasttrack`а. В дополнение к этому, лично у меня так и не вышло настроить эту фичу нужным мне образом. Либо блокировалось всё, либо ничего.

Статические записи в DNS

Естественно, для этого сам микротик должен выступать в роли DNS-сервера в сети. Но основной недостаток этого метода — если нужно работать с сайтами в режиме «белого списка», т.е. блокировать всё, кроме нужных доменов — он бесполезен. Ну либо придётся добавить весь интернет в такие записи.

WebProxy

Тут даже говорить не о чем, он банально не работает с HTTPS.

Собственно, долго и упорно я гуглил другие методы, коих так и не смог найти нигде. Однако, пытаясь решить данную задачу другим путём, совершенно случайно набрёл на удобную фичу, что мне помогла решить эту проблему в полной мере — Addresses Lists.

А конкретнее…

Присутствует в микротике такая замечательная функция, как Firewall -> Addresses Lists.

Само решение

Проделывать я всё буду в Winbox, т.к. статья всё-таки для таких же новичков, как и я, и GUI здесь будет понятнее намного.

Идём в обозначенный выше пункт IP -> Firewall -> Addresses Lists.

IP — Firewall — Addresses Lists

Создаём новый список, обзываем как душе угодно, в поле Address прописываем домен нужного нам сайта и нажимаем «ОК».

Создание нового списка

Смотрим динамически созданные адреса

Далее переходим в соседнюю вкладку «Filter Rules»

Смотрим, где она

Добавляем новое правило со следующими параметрами:

Вкладка General
- Chain: forward
Вкладка Advanced
- Dst. Address List: Выбираем наш свежеиспечённый список, у меня он называется «VK»
Вкладка Action
- Action: drop

Изменённый пункт выделен синим

На этом всё 🙂 Т.к. этот способ работает через обычные правила фаерволла, то можно настроить и список локальных адресов, на которые требуется распространить данное ограничение, но это уже будет выходить за рамки данной статьи.

Заключение

Надеюсь, я помог хотя бы одному новичку, столь же яро ищущего ответа на вопрос как же проще всего и без потерь блокировать нужные сайты.

Также приветствуется критика знающих людей: может, я где-то что-то упустил.

Прелюдия

Суть проблемы

Фильтровать пакеты с помощью Layer7 Protocols
Банально задать статические DNS записи для нужных доменов
Использование WebProxy

Layer7 Protocols

Статические записи в DNS

WebProxy

Тут даже говорить не о чем, он банально не работает с HTTPS.

А конкретнее…

Присутствует в микротике такая замечательная функция, как Firewall -> Addresses Lists.

Само решение

Идём в обозначенный выше пункт IP -> Firewall -> Addresses Lists.

IP — Firewall — Addresses Lists

Создание нового списка

Смотрим динамически созданные адреса

Далее переходим в соседнюю вкладку «Filter Rules»

Смотрим, где она

Добавляем новое правило со следующими параметрами:

Вкладка General
- Chain: forward
Вкладка Advanced
- Dst. Address List: Выбираем наш свежеиспечённый список, у меня он называется «VK»
Вкладка Action
- Action: drop

Изменённый пункт выделен синим

Заключение

Также приветствуется критика знающих людей: может, я где-то что-то упустил.

Блокирование сайтов по имени

В RouterOS 6.36 и выше откройте меню NewTerminal и выполните следующие команды для блокировки сайтов:

Cписок запрещенных сайтов можно редактировать в меню IP — Firewall на вкладке Address Lists.

Правило блокировки находится в меню IP — Firewall на вкладке Filter Rules.

Basic examples

/ip firewall filter add chain=forward protocol=tcp tcp-flags=!syn,ack

But with this configuration you will match all connections which state is not NEW or RELATED.

/ip firewall filter add action=accept chain=forward connection-state=!new,related

Both configure similarly.

Lets say our private network is 192.168.0.0/24 and public (WAN) interface is ether1. We will set up firewall to allow connections to router itself only from our local network and drop the rest. Also we will allow ICMP protocol on any interface so that anyone can ping your router from internet.

/ip firewall filter
add chain=input connection-state=invalid action=drop \	comment="Drop Invalid connections"
add chain=input connection-state=established action=accept \	comment="Allow Established connections"
add chain=input protocol=icmp action=accept \	comment="Allow ICMP"
add chain=input src-address=192.168.0.0/24 action=accept \	in-interface=!ether1
add chain=input action=drop comment="Drop everything else"

/ip firewall filter
add chain=forward protocol=tcp connection-state=invalid \	action=drop comment="drop invalid connections"
add chain=forward connection-state=established action=accept \	comment="allow already established connections"
add chain=forward connection-state=related action=accept \	comment="allow related connections"

add chain=forward src-address=0.0.0.0/8 action=drop
add chain=forward dst-address=0.0.0.0/8 action=drop
add chain=forward src-address=127.0.0.0/8 action=drop
add chain=forward dst-address=127.0.0.0/8 action=drop
add chain=forward src-address=224.0.0.0/3 action=drop
add chain=forward dst-address=224.0.0.0/3 action=drop

Make jumps to new chains:

add chain=forward protocol=tcp action=jump jump-target=tcp
add chain=forward protocol=udp action=jump jump-target=udp
add chain=forward protocol=icmp action=jump jump-target=icmp

Create tcp chain and deny some tcp ports in it:

add chain=tcp protocol=tcp dst-port=69 action=drop \	comment="deny TFTP"
add chain=tcp protocol=tcp dst-port=111 action=drop \	comment="deny RPC portmapper"
add chain=tcp protocol=tcp dst-port=135 action=drop \	comment="deny RPC portmapper"
add chain=tcp protocol=tcp dst-port=137-139 action=drop \	comment="deny NBT"
add chain=tcp protocol=tcp dst-port=445 action=drop \	comment="deny cifs"
add chain=tcp protocol=tcp dst-port=2049 action=drop comment="deny NFS"
add chain=tcp protocol=tcp dst-port=12345-12346 action=drop comment="deny NetBus"
add chain=tcp protocol=tcp dst-port=20034 action=drop comment="deny NetBus"
add chain=tcp protocol=tcp dst-port=3133 action=drop comment="deny BackOriffice"
add chain=tcp protocol=tcp dst-port=67-68 action=drop comment="deny DHCP"

Deny udp ports in udp chain:

add chain=udp protocol=udp dst-port=69 action=drop comment="deny TFTP"
add chain=udp protocol=udp dst-port=111 action=drop comment="deny PRC portmapper"
add chain=udp protocol=udp dst-port=135 action=drop comment="deny PRC portmapper"
add chain=udp protocol=udp dst-port=137-139 action=drop comment="deny NBT"
add chain=udp protocol=udp dst-port=2049 action=drop comment="deny NFS"
add chain=udp protocol=udp dst-port=3133 action=drop comment="deny BackOriffice"

Allow only needed icmp codes in icmp chain:

add chain=icmp protocol=icmp icmp-options=0:0 action=accept \	comment="echo reply"
add chain=icmp protocol=icmp icmp-options=3:0 action=accept \	comment="net unreachable"
add chain=icmp protocol=icmp icmp-options=3:1 action=accept \	comment="host unreachable"
add chain=icmp protocol=icmp icmp-options=3:4 action=accept \	comment="host unreachable fragmentation required"
add chain=icmp protocol=icmp icmp-options=8:0 action=accept \	comment="allow echo request"
add chain=icmp protocol=icmp icmp-options=11:0 action=accept \	comment="allow time exceed"
add chain=icmp protocol=icmp icmp-options=12:0 action=accept \	comment="allow parameter bad"
add chain=icmp action=drop comment="deny all other types"

other ICMP codes are found here.

Brute force protection

This simple firewall filter rule will limit ether1 outgoing traffic to 100Mbps.

Блокирование сайтов по имени

В RouterOS 6.36 и выше откройте меню NewTerminal и выполните следующие команды для блокировки сайтов:

Cписок запрещенных сайтов можно редактировать в меню IP — Firewall на вкладке Address Lists.

Правило блокировки находится в меню IP — Firewall на вкладке Filter Rules.

Stats

/ip firewall filter print stats will show additional read-only properties

By default print is equivalent to print static and shows only static rules.

[admin@dzeltenais_burkaans] /ip firewall mangle> print stats
Flags: X - disabled, I - invalid, D - dynamic # CHAIN ACTION BYTES PACKETS 0 prerouting mark-routing 17478158 127631 1 prerouting mark-routing 782505 4506

To print also dynamic rules use print all.

[admin@dzeltenais_burkaans] /ip firewall mangle> print all stats
Flags: X - disabled, I - invalid, D - dynamic # CHAIN ACTION BYTES PACKETS 0 prerouting mark-routing 17478158 127631 1 prerouting mark-routing 782505 4506 2 D forward change-mss 0 0 3 D forward change-mss 0 0 4 D forward change-mss 0 0 5 D forward change-mss 129372 2031

Or to print only dynamic rules use print dynamic

[admin@dzeltenais_burkaans] /ip firewall mangle> print stats dynamic
Flags: X - disabled, I - invalid, D - dynamic # CHAIN ACTION BYTES PACKETS 0 D forward change-mss 0 0 1 D forward change-mss 0 0 2 D forward change-mss 0 0 3 D forward change-mss 132444 2079

Блокирование сайтов по IP-адресу

Блокирование социальных сетей довольно трудоемкий процесс, поскольку социальные сети открывают дубликаты своих сайтов с другими именами и IP адресами серверов. Продвинутые пользователи обходят ограничения еще с помощью сайтов анонимайзеров. Поэтому блокируя доступ к социальным сетям, вам также придется выискивать сайты анонимайзеры и тоже их блокировать.

Summary

Sub-menu: /ip firewall filter

The firewall implements packet filtering and thereby provides security functions that are used to manage data flow to, from and through the router. Along with the Network Address Translation it serves as a tool for preventing unauthorized access to directly attached networks and the router itself as well as a filter for outgoing traffic.

Network firewalls keep outside threats away from sensitive data available inside the network. Whenever different networks are joined together, there is always a threat that someone from outside of your network will break into your LAN. Such break-ins may result in private data being stolen and distributed, valuable data being altered or destroyed, or entire hard drives being erased. Firewalls are used as a means of preventing or minimizing the security risks inherent in connecting to other networks. Properly configured firewall plays a key role in efficient and secure network infrastrure deployment.

MikroTik RouterOS has very powerful firewall implementation with features including:

Properties

Property	Description
`action` (action name; Default: accept)	Action to take if packet is matched by the rule: `accept` — accept the packet. Packet is not passed to next firewall rule. `add-dst-to-address-list` — add destination address to address list specified by `address-list` parameter `add-src-to-address-list` — add source address to address list specified by `address-list` parameter `drop` — silently drop the packet `fasttrack-connection` — process packets from a connection using FastPath by enabling FastTrack for the connection `jump` — jump to the user defined chain specified by the value of `jump-target` parameter `log` — add a message to the system log containing following data: in-interface, out-interface, src-mac, protocol, src-ip:port->dst-ip:port and length of the packet. After packet is matched it is passed to next rule in the list, similar as `passthrough` `passthrough` — if packet is matched by the rule, increase counter and go to next rule (useful for statistics) `reject` — drop the packet and send an ICMP reject message `return` — passes control back to the chain from where the jump took place `tarpit` — captures and holds TCP connections (replies with SYN/ACK to the inbound TCP SYN packet)
`address-list-timeout` (none-dynamic \| none-static \| time; Default: none-dynamic)	Time interval after which the address will be removed from the address list specified by `address-list` parameter. Used in conjunction with `add-dst-to-address-list` or `add-src-to-address-list` actions Value of `none-dynamic` (`00:00:00`) will leave the address in the address list till reboot Value of `none-static` will leave the address in the address list forever and will be included in configuration export/backup
`chain` (name; Default: )	Specifies to which chain rule will be added. If the input does not match the name of an already defined chain, a new chain will be created.
`comment` (string; Default: )	Descriptive comment for the rule.
`chain` (name; Default: )	Specifies to which chain rule will be added. If the input does not match the name of an already defined chain, a new chain will be created.
`comment` (string; Default: )	Descriptive comment for the rule.
`connection-bytes` (integer-integer; Default: )	Matches packets only if a given amount of bytes has been transfered through the particular connection. 0 — means infinity, for example `connection-bytes=2000000-0` means that the rule matches if more than 2MB has been transfered through the relevant connection
`connection-limit` (integer,netmask; Default: )	Matches connections per address or address block after given value is reached. Should be used together with connection-state=new and/or with tcp-flags=syn because matcher is very resource intensive.
`connection-mark` (no-mark \| string; Default: )	Matches packets marked via mangle facility with particular connection mark. If no-mark is set, rule will match any unmarked connection.
`connection-nat-state` (srcnat \| dstnat; Default: )	Can match connections that are srcnatted, dstnatted or both. Note that connection-state=related connections connection-nat-state is determined by direction of the first packet. and if connection tracking needs to use dst-nat to deliver this connection to same hosts as main connection it will be in connection-nat-state=dstnat even if there are no dst-nat rules at all.
`connection-rate` (Integer 0..4294967295; Default: )	Connection Rate is a firewall matcher that allow to capture traffic based on present speed of the connection. Read more >>
`connection-state` (estabilished \| invalid \| new \| related \| untracked; Default: )	Interprets the connection tracking analysis data for a particular packet: `established` — a packet which belongs to an existing connection `invalid` — a packet that does not have determined state in connection tracking (usually — severe out-of-order packets, packets with wrong sequence/ack number, or in case of resource overusage on router), for this reason invalid packet will not participate in NAT (as only connection-state=new packets do), and will still contain original source IP address when routed. We strongly suggest to drop all connection-state=invalid packets in firewall filter forward and input chains `new` — the packet has started a new connection, or otherwise associated with a connection which has not seen packets in both directions. `related` — a packet which is related to, but not part of an existing connection, such as ICMP errors or a packet which begins FTP data connection `untracked` — packet which was set to bypass connection tracking in firewall RAW tables.
`connection-type` (ftp \| h323 \| irc \| pptp \| quake3 \| sip \| tftp; Default: )	Matches packets from related connections based on information from their connection tracking helpers. A relevant connection helper must be enabled under /ip firewall service-port
`content` (string; Default: )	Match packets that contain specified text
`dscp` (integer: 0..63; Default: )	Matches DSCP IP header field.
`dst-address` (IP/netmask \| IP range; Default: )	Matches packets which destination is equal to specified IP or falls into specified IP range.
`dst-address-list` (name; Default: )	Matches destination address of a packet against user-defined address list
`dst-address-type` (unicast \| local \| broadcast \| multicast; Default: )	Matches destination address type: `unicast` — IP address used for point to point transmission `local` — if dst-address is assigned to one of router’s interfaces `broadcast` — packet is sent to all devices in subnet `multicast` — packet is forwarded to defined group of devices
`dst-limit` (integer[/time],integer,dst-address \| dst-port \| src-address[/time]; Default: )	Matches packets until a given rate is exceeded. Rate is defined as packets per time interval. As opposed to the `limit` matcher, every flow has it’s own limit. Flow is defined by mode parameter. Parameters are written in following format: `count[/time],burst,mode[/expire]`. count — packet count per time interval per flow to match time — specifies the time interval in which the packet count per flow cannot be exceeded (optional, 1s will be used if not specified) burst — initial number of packets per flow to match: this number gets recharged by one every `time`/`count`, up to this number mode — this parameter specifies what unique fields define flow (src-address, dst-address, src-and-dst-address, dst-address-and-port, addresses-and-dst-port) expire — specifies interval after which flow with no packets will be allowed to be deleted (optional)
`dst-port` (integer[-integer]: 0..65535; Default: )	List of destination port numbers or port number ranges
`fragment` (yes\|no; Default: )	Matches fragmented packets. First (starting) fragment does not count. If connection tracking is enabled there will be no fragments as system automatically assembles every packet
`hotspot` (auth \| from-client \| http \| local-dst \| to-client; Default: )	Matches packets received from HotSpot clients against various HotSpot matchers. `auth` — matches authenticted HotSpot client packets `from-client` — matches packets that are coming from the HotSpot client `http` — matches HTTP requests sent to the HotSpot server `local-dst` — matches packets that are destined to the HotSpot server `to-client` — matches packets that are sent to the HotSpot client
`icmp-options` (integer:integer; Default: )	Matches ICMP type:code fields
`in-bridge-port` (name; Default: )	Actual interface the packet has entered the router, if incoming interface is bridge. Works only if use-ip-firewall is enabled in bridge settings.
`in-bridge-port-list` (name; Default: )	Set of interfaces defined in interface list. Works the same as `in-bridge-port`
`in-interface` (name; Default: )	Interface the packet has entered the router
`in-interface-list` (name; Default: )	Set of interfaces defined in interface list. Works the same as `in-interface`
`ingress-priority` (integer: 0..63; Default: )	Matches the priority of an ingress packet. Priority may be derived from VLAN, WMM, DSCP or MPLS EXP bit. read more»
`ipsec-policy` (in \| out, ipsec \| none; Default: )	Matches the policy used by IpSec. Value is written in following format: `direction, policy`. Direction is Used to select whether to match the policy used for decapsulation or the policy that will be used for encapsulation. `in` — valid in the PREROUTING, INPUT and FORWARD chains `out` — valid in the POSTROUTING, OUTPUT and FORWARD chains `ipsec` — matches if the packet is subject to IpSec processing; `none` — matches packet that is not subject to IpSec processing (for example, IpSec transport packet). For example, if router receives Ipsec encapsulated Gre packet, then rule `ipsec-policy=in,ipsec` will match Gre packet, but rule `ipsec-policy=in,none` will match ESP packet.
`ipv4-options` (any \| loose-source-routing \| no-record-route \| no-router-alert \| no-source-routing \| no-timestamp \| none \| record-route \| router-alert \| strict-source-routing \| timestamp; Default: )	Matches IPv4 header options. `any` — match packet with at least one of the ipv4 options `loose-source-routing` — match packets with loose source routing option. This option is used to route the internet datagram based on information supplied by the source `no-record-route` — match packets with no record route option. This option is used to route the internet datagram based on information supplied by the source `no-router-alert` — match packets with no router alter option `no-source-routing` — match packets with no source routing option `no-timestamp` — match packets with no timestamp option `record-route` — match packets with record route option `router-alert` — match packets with router alter option `strict-source-routing` — match packets with strict source routing option `timestamp` — match packets with timestamp
`jump-target` (name; Default: )	Name of the target chain to jump to. Applicable only if `action=jump`
`layer7-protocol` (name; Default: )	Layer7 filter name defined in layer7 protocol menu.
`limit` (integer,time,integer; Default: )	Matches packets up to a limited rate (packet rate or bit rate). Rule using this matcher will match until this limit is reached. Parameters are written in following format: `count[/time],burst:mode`. count — packet or bit count per time interval to match time — specifies the time interval in which the packet or bit count cannot be exceeded (optional, 1s will be used if not specified) burst — initial number of packets or bits to match: this number gets recharged every 10ms so burst should be at least 1/100 of rate per second mode — packet or bit mode
`log-prefix` (string; Default: )	Adds specified text at the beginning of every log message. Applicable if `action=log`
`nth` (integer,integer; Default: )	Matches every nth packet. Read more >>
`out-bridge-port` (name; Default: )	Actual interface the packet is leaving the router, if outgoing interface is bridge. Works only if use-ip-firewall is enabled in bridge settings.
`out-bridge-port-list` (name; Default: )	Set of interfaces defined in interface list. Works the same as `out-bridge-port`
`out-interface` (; Default: )	Interface the packet is leaving the router
`out-interface-list` (name; Default: )	Set of interfaces defined in interface list. Works the same as `out-interface`
`packet-mark` (no-mark \| string; Default: )	Matches packets marked via mangle facility with particular packet mark. If no-mark is set, rule will match any unmarked packet.
`packet-size` (integer[-integer]:0..65535; Default: )	Matches packets of specified size or size range in bytes.
`per-connection-classifier` (ValuesToHash:Denominator/Remainder; Default: )	PCC matcher allows to divide traffic into equal streams with ability to keep packets with specific set of options in one particular stream. Read more >>
`port` (integer[-integer]: 0..65535; Default: )	Matches if any (source or destination) port matches the specified list of ports or port ranges. Applicable only if `protocol` is TCP or UDP
`priority` (integer: 0..63; Default:)	Matches packet’s priority after a new priority has been set. Priority may be derived from VLAN, WMM, DSCP, MPLS EXP bit or from priority that has been set using the `set-priority` action. Read more >>
`protocol` (name or protocol ID; Default: tcp)	Matches particular IP protocol specified by protocol name or number
`psd` (integer,time,integer,integer; Default: )	Attempts to detect TCP and UDP scans. Parameters are in following format `WeightThreshold, DelayThreshold, LowPortWeight, HighPortWeight` WeightThreshold — total weight of the latest TCP/UDP packets with different destination ports coming from the same host to be treated as port scan sequence DelayThreshold — delay for the packets with different destination ports coming from the same host to be treated as possible port scan subsequence LowPortWeight — weight of the packets with privileged (<1024) destination port HighPortWeight — weight of the packet with non-priviliged destination port
`random` (integer: 1..99; Default: )	Matches packets randomly with given probability.
`reject-with` (icmp-admin-prohibited \| icmp-net-prohibited \| icmp-protocol-unreachable \| icmp-host-prohibited \| icmp-network-unreachable \| tcp-reset \| icmp-host-unreachable \| icmp-port-unreachable; Default: icmp-network-unreachable)	Specifies ICMP error to be sent back if packet is rejected. Applicable if `action=reject`
`routing-table` (string; Default: )	Matches packets which destination address is resolved in specific a routing table. More details can be found in the Routing Table Matcher page
`routing-mark` (string; Default: )	Matches packets marked by mangle facility with particular routing mark
`src-address` (Ip/Netmaks, Ip range; Default: )	Matches packets which source is equal to specified IP or falls into specified IP range.
`src-address-list` (name; Default: )	Matches source address of a packet against user-defined address list
`src-address-type` (unicast \| local \| broadcast \| multicast; Default: )	Matches source address type: `unicast` — IP address used for point to point transmission `local` — if address is assigned to one of router’s interfaces `broadcast` — packet is sent to all devices in subnet `multicast` — packet is forwarded to defined group of devices
`src-port` (integer[-integer]: 0..65535; Default: )	List of source ports and ranges of source ports. Applicable only if protocol is TCP or UDP.
`src-mac-address` (MAC address; Default: )	Matches source MAC address of the packet
`tcp-flags` (ack \| cwr \| ece \| fin \| psh \| rst \| syn \| urg; Default: )	Matches specified TCP flags `ack` — acknowledging data `cwr` — congestion window reduced `ece` — ECN-echo flag (explicit congestion notification) `fin` — close connection `psh` — push function `rst` — drop connection `syn` — new connection `urg` — urgent data
`tcp-mss` (integer[-integer]: 0..65535; Default: )	Matches TCP MSS value of an IP packet
`time` (time-time,sat \| fri \| thu \| wed \| tue \| mon \| sun; Default: )	Allows to create filter based on the packets’ arrival time and date or, for locally generated packets, departure time and date
`tls-host` (string; Default: )	Allows to match https traffic based on TLS SNI hostname. Accepts GLOB syntax for wildcard matching. Note that matcher will not be able to match hostname if TLS handshake frame is fragmented into multiple TCP segments (packets).
`ttl` (integer: 0..255; Default: )	Matches packets TTL value

Блокирование сайтов по IP-адресу

Chains

The firewall operates by means of firewall rules. Each rule consists of two parts — the matcher which matches traffic flow against given conditions and the action which defines what to do with the matched packet.

Firewall filtering rules are grouped together in chains. It allows a packet to be matched against one common criterion in one chain, and then passed over for processing against some other common criteria to another chain. For example a packet should be matched against the IP address:port pair. Of course, it could be achieved by adding as many rules with IP address:port match as required to the forward chain, but a better way could be to add one rule that matches traffic from a particular IP address, e.g.: /ip firewall filter add src-address=1.1.1.2/32 jump-target=»mychain» and in case of successfull match passes control over the IP packet to some other chain, id est mychain in this example. Then rules that perform matching against separate ports can be added to mychain chain without specifying the IP addresses.

There are three predefined chains, which cannot be deleted:

input — used to process packets entering the router through one of the interfaces with the destination IP address which is one of the router’s addresses. Packets passing through the router are not processed against the rules of the input chain
forward — used to process packets passing through the router
output — used to process packets originated from the router and leaving it through one of the interfaces. Packets passing through the router are not processed against the rules of the output chain

Packet flow diagrams illustrate how packets are processed in RouterOS.

When processing a chain, rules are taken from the chain in the order they are listed there from top to bottom. If a packet matches the criteria of the rule, then the specified action is performed on it, and no more rules are processed in that chain (the exception is the passthrough action). If a packet has not matched any rule within the built-in chain, then it is accepted.

Блокирование HTTPS сайтов

Сейчас в интернете много сайтов используют защищенный протокол https, который шифрует данные. Поэтому контент таких сайтов очень сложно фильтровать. В MikroTik RouterOS, начиная с версии 6.41.1, появилась возможность блокировать https-сайты (TLS трафик) с помощью расширения TLS SNI, называемого «TLS-HOST»

Например, чтобы заблокировать сайт youtube.com, выполните в терминале MikroTik следующие команды:

В параметре tls-host можно указывать имена сайтов, составленных с использованием синтаксиса GLOB. Этот синтаксис используют для создания подстановочных знаков в имени сайта.

Обратите внимание, что если фрейм TLS handshake будет фрагментирован на несколько TCP сегментов (пакетов), то невозможно будет сопоставить имя сайта и заблокировать его.

Блокирование сайтов с помощью статических DNS записей

Заблокировать доступ к сайту можно также, создав статическую DNS запись с названием сайта и несуществующим IP адресом для него, например 127.0.0.1. Перед именем сайта бывает автоматически приписывается www, поэтому нужно создавать две записи, например odnoklassniki.ru и www.odnoklassniki.ru

Откройте меню NewTerminal и выполните следующие команды для блокировки одноклассников:

/ip dns static add name=»odnoklassniki.ru» address=127.0.0.1
/ip dns static add name=»www.odnoklassniki.ru» address=127.0.0.1

У пользователей заблокированные сайты еще будут открываться некоторое время, потому что на компьютерах есть DNS кэш, в котором временно хранятся имена посещенных сайтов и их IP адреса. Для очистки DNS кэша на компьютере нужно запустить командную строку cmd и ввести команду ipconfig /flushdns.

Такой способ блокирования сайтов будет работать только в том случае, если пользователь использует DNS сервер центрального роутера MikroTik. Если пользователь настроит вручную другой адрес DNS сервера, то ограничение работать не будет. Поэтому все DNS запросы необходимо завернуть на наш роутер. Для этого откройте меню New Terminal и выполните следующие команды:

/ip firewall nat
add chain=dstnat protocol=udp dst-port=53 action=redirect
add chain=dstnat protocol=tcp dst-port=53 action=redirect

Далее перейдите в меню IP — Firewall и на вкладке NAT переместите созданные правила вверх. Теперь все DNS запросы будут идти через наш роутер.

Блокирование сайтов с помощью Proxy-сервера

Закрыть доступ к сайтам можно также с использованием прозрачного proxy-сервера MikroTik.

Разрешим использование прокси-сервера и настроим его. Для этого откройте New Terminal и выполните следующие команды:

Делаем proxy-сервер прозрачным:

/ip firewall nat add chain=dstnat protocol=tcp dst-port=80 action=redirect to-ports=8080

Закрываем доступ к прокси-серверу со стороны интернета:

/ip firewall filter add chain=input in-interface= protocol=tcp dst-port=8080 action=drop

Вводим команду блокировки сайта:

/ip proxy access add dst-host=www.odnoklassniki.ru action=deny

Блокирование сайтов с помощью статических DNS записей

Откройте меню NewTerminal и выполните следующие команды для блокировки одноклассников:

/ip dns static add name=»odnoklassniki.ru» address=127.0.0.1
/ip dns static add name=»www.odnoklassniki.ru» address=127.0.0.1

У пользователей заблокированные сайты еще будут открываться некоторое время, потому что на компьютерах есть DNS кэш, в котором временно хранятся имена посещенных сайтов и их IP адреса. Для очистки DNS кэша на компьютере нужно запустить командную строку cmd и ввести команду ipconfig /flushdns.

/ip firewall nat add chain=dstnat protocol=udp dst-port=53 action=redirect add chain=dstnat protocol=tcp dst-port=53 action=redirect

Далее перейдите в меню IP — Firewall и на вкладке NAT переместите созданные правила вверх. Теперь все DNS запросы будут идти через наш роутер.

Проброс портов в роутере MikroTik

Проброс портов в роутере MikroTik (port forwarding) позволяет организовать удаленный доступ из интернета к какому-нибудь устройству внутри вашей локальной сети (к IP-камере, Web, FTP или игровому серверу).

Откройте меню IP — Cloud
Поставьте галочку DDNS Enabled
Нажмите кнопку Apply
Если после этого отобразиться статус «updated» без ошибок, то у вас белый IP-адрес.

Внутри подсети есть IP-камера с адресом 192.168.88.250, у которой есть Web-интерфейс, работающий на 80 порту. Нам нужно обеспечить доступ из интернета к Web-интерфейсу IP-камеры.

Необходимо сделать так, чтобы при открытии в браузере адреса http://178.189.224.122:10000, мы попадали на Web-интерфейс IP-камеры.

10000 в адресной строке — это произвольный номер порта. Его желательно указывать в диапазоне от 49152 до 65535. Можно также использовать диапазон от 1024 до 49151, если вы уверены, что указанный порт не будет конфликтовать с какой-то программой.

Для проброса портов в роутере MikroTik откройте меню New Terminal и выполните команды, описанные ниже:

Первым делом добавляем правило маскарадинга для подсети 192.168.88.0/24

/ip firewall nat add action=masquerade chain=srcnat src-address=192.168.88.0/24

Далее обращения из интернета к порту 10000, перенаправляем во внутреннюю сеть на устройство 192.168.88.250 и порт 80.

/ip firewall nat add action=netmap chain=dstnat dst-port=10000 in-interface=ether1 protocol=tcp to-addresses=192.168.88.250 to-ports=80

/ip firewall nat add action=netmap chain=dstnat dst-address=178.189.224.122 dst-port=10000 in-interface=bridge protocol=tcp src-address=192.168.88.0/24 to-addresses=192.168.88.250 to-ports=80

Созданные правила можно посмотреть в меню IP — Firewall на вкладке NAT.

Теперь открываем в браузере адрес http://178.189.224.122:10000. Появляется окно с вводом пароля.

Я еще захотел просматривать видео на планшете в полноэкранном режиме без использования Web-интерфейса. В этом поможет программа VLC media player. Она может отображать видеопоток по протоколу RTSP, который поддерживает моя камера TP-Link. Протокол RTSP использует порт 554, поэтому его нужно пробросить в роутере MikroTik.

Обращения из интернета к порту 554, перенаправляем во внутреннюю сеть на устройство 192.168.88.250 и порт 554.

/ip firewall nat add action=netmap chain=dstnat dst-port=554 in-interface=ether1 protocol=tcp to-addresses=192.168.88.250 to-ports=554

/ip firewall nat add action=netmap chain=dstnat dst-address=178.189.224.122 dst-port=554 in-interface=bridge protocol=tcp src-address=192.168.88.0/24 to-addresses=192.168.88.250 to-ports=554

Теперь запускаем на планшете программу VLC media player и выбираем открыть Сетевой ресурс. В ОС Windows в VLC media player нужно открыть меню Медиа — Открыть URL.

Строка RTSP запроса для вашей модели камеры может отличаться. Поэтому уточните на сайте производителя или в документации к камере, как она правильно прописывается. Также удостоверьтесь, что ваша камера поддерживает протокол RTSP и он включен в настройках.

Далее нажмите Открыть сетевой ресурс. В нижней части появится миниатюра видео с камеры. Нажмите на нее.

После этого видео на планшете откроется в полноэкранном режиме.

Property	Description
`reset-counters` (id)	Reset statistics counters for specified firewall rules.
`reset-counters-all` ()	Reset statistics counters for all firewall rules.

Блокирование сайтов с помощью Proxy-сервера

Закрыть доступ к сайтам можно также с использованием прозрачного proxy-сервера MikroTik.

Делаем proxy-сервер прозрачным:

/ip firewall nat add chain=dstnat protocol=tcp dst-port=80 action=redirect to-ports=8080

Закрываем доступ к прокси-серверу со стороны Интернета:

/ip firewall filter add chain=input in-interface= protocol=tcp dst-port=8080 action=drop

Вводим команду блокировки сайта:

/ip proxy access add dst-host=www.odnoklassniki.ru action=deny

Блокируем сайты в режиме белого и чёрного списков в MikroTik без Layer7 Protocols

Правильное решение

Прелюдия

Суть проблемы

Layer7 Protocols

Статические записи в DNS

WebProxy

А конкретнее…

Само решение

Заключение

Прелюдия

Суть проблемы

Layer7 Protocols

Статические записи в DNS

WebProxy

А конкретнее…

Само решение

Заключение

Блокирование сайтов по имени

Basic examples

Brute force protection

Блокирование сайтов по имени

Stats

Блокирование сайтов по IP-адресу

Summary

Properties

Блокирование сайтов по IP-адресу

Chains

Блокирование HTTPS сайтов

Блокирование сайтов с помощью статических DNS записей

Блокирование сайтов с помощью Proxy-сервера

Блокирование сайтов с помощью статических DNS записей

Проброс портов в роутере MikroTik

Menu specific commands

Блокирование сайтов с помощью Proxy-сервера