Как создать Белый список сайтов?

Тема в разделе "Вопросы начинающих", создана пользователем User31, 15 фев 2016.

Страница 1 из 2
  1. User31

    User31 Новый участник

    Везде говориться, о том как блокировать некоторые сайты, но нигде не говорят о создании белого списка. Все сайты по умолчанию не должны работать, но должны только те, которые разрешены. Разрешенные сайты с HTTPS должны при этом работать корректно. подскажите пожалуйста.
     
    User31, 15 фев 2016
    #1
    Аудит архитектуры сети, выявление слабых мест существующей ЛВС и построение отказоустойчивой системы
    Аудит архитектуры сети, выявление слабых мест существующей ЛВС и построение отказоустойчивой системы
    Построение стабильной сети WIFI в тепличном комплексе
    Построение стабильной сети WIFI в тепличном комплексе
    Проект создания беспроводной сети в загородном доме
    Проект создания беспроводной сети в загородном доме
  2. Илья Князев

    Илья Князев Администратор Команда форума

    Использовать Web Proxy или исопльзовать L7 Filter в файрволле, отлавливая запросы http
     
    Илья Князев, 15 фев 2016
    #2
  3. User31

    User31 Новый участник

    L7 Filter - это понятно. если можно покажите подробнее на примере сайта avito.ru пожалуйста. пример для новичков. и как отлавливать запросы http ?
     
    User31, 15 фев 2016
    #3
  4. Илья Князев

    Илья Князев Администратор Команда форума

    ОК. Уговорили. Блокируем rambler и avito.
    1. Создаем L7 фильтр.
    Код:
    /ip firewall layer7-protocol
add name=Block-URL regexp="^.+(rambler|avito).*\$"
    Далее мы не хотим проверять каждый пакет, потому что это вызывает дополнительную нагрузку на CPU. Значит метим соединение и потом блокируем соединение в файрволе.
    Следующее правило говорит "если соединение ранее не помечено, то проверяем его на L7"
    Если L7 сработал, вешаем метку Block-URL
    Если не сработал, вешаем метку Other
    Код:
    /ip firewall mangle
add action=mark-connection chain=prerouting connection-mark=no-mark \
    layer7-protocol=Block-URL new-connection-mark=Block-URL
add action=mark-connection chain=prerouting connection-mark=no-mark \
    new-connection-mark=Other
    Ну а теперь в файрволе блокируем соединения с меткой Block-Url
    Код:
    /ip firewall filter
add action=drop chain=forward connection-mark=Block-URL
    Примечание.
    Формально можно без маркировки обойтись, но это будет дороже по процессору. Тогда убираем маркировку в mangle, а фильтр переделываем на
    Код:
    /ip firewall filter
add action=drop chain=forward layer7-protocol=Block-URL
     
    Илья Князев, 16 фев 2016
    #4
    Kato и Vaippp нравится это.
  5. User31

    User31 Новый участник

    спасибо! Я имел в виду пример открытого доступа к сайту - avito.ru, который должен работатать, а все остальное закрыто. В приоритете над запрещенными в своем большинстве должны быть сайты разрешенные - например один сайт авито. Потом эти все строки необходимо скопировать в L7 Filter и сохранить правило? правильно я понял?
     
    User31, 16 фев 2016
    #5
  6. Илья Князев

    Илья Князев Администратор Команда форума

    Так поменяйте фильтр в файрволле
    Нет. Это перечень команд. Вы их можете ввести в New Terminal
     
    Илья Князев, 16 фев 2016
    #6
  7. User31

    User31 Новый участник

    что может означать эта фраза? ^.*.*$
     
    User31, 16 фев 2016
    #7
  8. User31

    User31 Новый участник

    подскажите, как найти new terminal чтобы туда вводить? :)
     
    User31, 16 фев 2016
    #8
  9. Илья Князев

    Илья Князев Администратор Команда форума

    Может обозначать регулярное выражение. Лень расписывать. В сети справочников по regexp более чем много.
    В Winbox слева в меню.
     
    Илья Князев, 16 фев 2016
    #9
  10. User31

    User31 Новый участник

    я серьезно не могу найти. нажима. на кнопку new terminal происходит выход
     
    User31, 16 фев 2016
    #10
  11. Илья Князев

    Илья Князев Администратор Команда форума

    clip_21.png
     
    Илья Князев, 16 фев 2016
    #11
    Денис Друженков нравится это.
  12. User31

    User31 Новый участник

    меня выкидывает из программы
     
    User31, 16 фев 2016
    #12
  13. Илья Князев

    Илья Князев Администратор Команда форума

    Попробуйте обновить Winbox с сайта Mikrotik (раздел Download).
    Если не поможет - разбирайтесь с Windows.
     
    Илья Князев, 16 фев 2016
    #13
  14. User31

    User31 Новый участник

    полоучилось
     
    User31, 16 фев 2016
    #14
  15. User31

    User31 Новый участник

    new terminal.png
     
    User31, 16 фев 2016
    #15
  16. Илья Князев

    Илья Князев Администратор Команда форума

    Регэкспы у вас кривоваты.
    (Точка) сопоставляется с любым символом за исключением символов новой строки: \n, \r
     
    Илья Князев, 16 фев 2016
    #16
  17. User31

    User31 Новый участник

    winbox.png
     
    User31, 16 фев 2016
    #17
  18. Илья Князев

    Илья Князев Администратор Команда форума

    Ну логично.
    Сначала у вас перенос строки не на месте.
    Потом вставляете не в том разделе.
     
    Илья Князев, 16 фев 2016
    #18
  19. АндрейМ

    АндрейМ Новый участник

    Тоже озадачился белым списком. Метод описанный выше похоже для белого не работает, в принципе понятно почему - L7 фильтрует по маске а часть пакетов проскальзывают мимо.
    Для запрещающего правила это безразлично а вот для разрешающего - проблема. Коннект устанавливается через раз, поэтому вопрос бел список остался актуальным. Есть другие варианты (дешевые)? (не прибегая к скриптингу и опросу днса с выдачей списка ip)

    К примеру, нужно разрешить компу ходить на мелкософтовские апдейт-сервера а там целая CDN сеть с ограниченным списком днсов, большинство которых по маске microsoft бьется, а остальной трафик в мир блокернуть.
     
    Последнее редактирование: 27 янв 2017
    АндрейМ, 27 янв 2017
    #19
  20. Илья Князев

    Илья Князев Администратор Команда форума

    Как вариант фильтровать по маске DNS-запросы. Если он не попадает в маску - редиректить на роутер. На роутере в DNS создать regexp
    Например
    /ip dns static
    add address=127.0.0.1 name=.*.*
     
    Илья Князев, 27 янв 2017
    #20
Страница 1 из 2