Блокировка загрузки файлов по расширению. Mikrotik RouterOS

[ifaustrue]

Какая нагрузка на память\CPU на вашем железе оказывают такие правила и на какой нагрузке на канал?

[xapoh11]

+1-2% нагрузки на процессор. Память не ест.
Канал 25 мбит\с. До 100 пользователей, из них 15 в списке исключений.

[xapoh11]

Объясните разницу с точки зрения пользователя? И в том и другом случае страница ожидает загрузки и вываливает ошибку через 20-30 секунд.

[xapoh11]

Нашел разницу, спасибо за подсказку. И я был неточен, TCP reset — вываливает ошибку в браузере сразу.
DROP — пакеты уходят в «черную дыру», TCP Reset — ответ соединение сброшено.
Так как правило работает на входящие из локалки, то прятаться роутеру не от кого.

[drsmoll]

как дела с https?

[xapoh11]

https обрабатывает. Заголовок с GET не шифруется.
проверял на: https://mp3-tut.net/

[iaon]

Вот спецслужбы то обрадуются вашему открытию. Все шифруется на самом деле.
Этот кривой mp3-tut.net просто делает редирект на http.

[xapoh11]

Есть варианты, где https не «кривой»? Прошу указать

[drsmoll]

Попробуйте с этой страницы: www.nasa.gov

[iaon]

А смысл? Не взлетит.
Все мы чего-то не знаем, но вы пишете про L7 фильтрацию, но не знаете базовых вещей про https…

Тут только установка своего сертификата на клиенты и прокся-перекодировщик вам помогут, типа казахский вариант.

[drsmoll]

абсолютно верно, этого я и спрашивал у автора ;-)

[xapoh11]

Не доглядел. Буду смотреть дальше.
И судя по всему решения 100% только два: подмена сертификата HTTPS, на что сразу среагируют браузеры, или инвертировать список правил с список запретить, остальное разрешить на список разрешить, остальное запретить

[drsmoll]

при наличии MS-AD раздача сертификата не составит труда.

[phnx]

Кстати только таким способом полностью выпиливается торрент трафик, особенно DHT.

Примерный код

В Сети много вариантов, возможно есть намного свежее.
/ip firewall filter
add action=drop chain=forward comment="TORRENT No 1: Classic non security torrent" disabled=no p2p=all-p2p
add action=drop chain=forward comment="TORRENT No 2: block outgoing DHT" content=d1:ad2:id20: disabled=no dst-port=1025-65535 packet-size=95-190 protocol=udp
add action=drop chain=forward comment="TORRENT No 3: block outgoing TCP announce" content="info_hash=" disabled=no dst-port=2710,80 protocol=tcp
add action=drop chain=forward comment="TORRENT No 4: prohibits download .torrent files. " content="\r\nContent-Type: application/x-bittorrent" disabled=no protocol=tcp src-port=80
add action=drop chain=forward comment="TORRENT No 5: 6771 block Local Broadcast" content="\r\nInfohash:" disabled=no dst-port=6771 protocol=udp


[xapoh11]

Не одобряю блокировку торрентов, лучше ограничить скорость канала на пользователя.

[phnx]

Политика ИБ компании диктует условия.

Пример — производственные предприятия. Там сам факт торрент-трафика из цехов уже должен насторожить сотрудника ИБ. Хотя обычно рубят вообще любой внесетевой трафик.

[phnx]

Могу ошибаться, но вроде заголовки не шифруются. По опыту, таким способом настраивал на предприятии блокировку (500+ пользователей) и за все время работы (около года) такой конфигурации торрент трафик «не протекал» ни разу.

Правда оговорюсь, правила сами писали и кроме всего написали специальные триггеры на количество одновременных соединений, для вылавливания особенно ушлых, но вроде ни одной сработки так и не было.

[alexkuzko]

Судя по коду, нет. Там вообще 443-й порт не проверяется. Да и как? Тут надо делать аналог ssl bumping (SSL-Bump) как в сквиде, чтобы как клиент подключиться, и увидеть куда запрос направлен (но не его содержание..).

Блокировки не одобряю, но сейчас приходится думать как на работе это реализовать. В первую очередь от забывчивых пользователей, которые не выключают торрент-клиенты…

[garadash]

Зачем с такими игрушками как Микротик возиться и время терять, где вы со своим RB3011UiAS забавляетесь? За 200 $ сейчас даже 38-я серия ISR покупается в хорошем состоянии, а уже не говорю про 28-ю, ставьте и кайфуйте.

[xapoh11]

У всех свои игрушки. А для Cisco порог вхождения выше. Да и цена вхождения.
А Вы сможете за ~2600р. найти оборудование, который даст потрогать ВСЕ функции, которые раскроются на железе за ~20 000 р?

Я не спорю Cisco — вещь. Но специалисты Cisco ценятся именно потому что они редки, а значит что-то ограничивает их «размножение».

[garadash]

Конечно, полно древнючих за копейки под лабы, из 26-й серии. Трогайте на здоровье любые функции IOS. Ну, и виртуальные конструкторы типа Cisco packet tracer, gns3 и т.п. никто не отменял, не совсем то, что работать с оборудованием, но все же, какой никакой практикум.

[MeGaPk]

лучше взять микротик, чем циско за 200$. В моей практике, микротик показал себя как «Просто работает без рестартов». Циско — всех офисом хотели сжечь.

[phnx]

У Микротика одно главное преимущество в своем сегменте — функционал. Нет аналогов за те деньги, за которые вы получаете абсолютно все необходимое из коробки для low\mid-range нагрузок.

Это я к тому, что сравнивать Циски, Джуниперы, Мотороллы с Микротиком неверно априори. Эти железки разного уровня и для разных потребителей.

[xapoh11]

DEL

[rgoldshteyn]

А функционал L7 у микротика с какиой версии По начинается?