Durch die Implementierung von Layer 7 (L7) in MikroTik RouterOS können Sie den Netzwerkverkehr anhand des tatsächlichen Inhalts der Pakete und nicht nur anhand der IP-Adresse oder des Ports identifizieren und klassifizieren.

Dies ist nützlich, um bestimmten Datenverkehr zu filtern, zu priorisieren oder zu begrenzen, beispielsweise um bestimmte Websites zu blockieren, VoIP-Datenverkehr zu priorisieren oder die Bandbreite für Streaming-Anwendungen zu begrenzen. So konfigurieren Sie Layer-7-Regeln in MikroTik RouterOS:

1. Definieren Sie ein Layer-7-Muster

Zunächst müssen Sie ein Layer-7-Muster erstellen, das RouterOS verwendet, um bestimmten Datenverkehr zu identifizieren. Dies geschieht im Menü „IP“ → „Firewall“ und dann im Reiter „Layer7-Protokolle“. Hier können Sie ein neues L7-Muster definieren.

/ip firewall layer7-protocol
add name="nombre_protocolo_L7" regexp="expresión_regular"

Um beispielsweise HTTP-Verkehr zu identifizieren, der das Wort „facebook“ im Paketheader enthält, könnten Sie einen regulären Ausdruck wie diesen verwenden:

add name="facebook" regexp="facebook.com"

2. Erstellen Sie eine Firewall-Regel mit dem L7-Muster

Nachdem Sie das L7-Muster definiert haben, können Sie es in einer Firewall-Regel verwenden, um den Datenverkehr zu filtern oder zu priorisieren. Dies geschieht im Menü „IP“ → „Firewall“ und dann im Reiter „Filterregeln“ oder „Mangle“, je nachdem, was Sie erreichen möchten.

• Um den Verkehr zu blockieren:

/ip firewall filter
add action=drop chain=forward layer7-protocol=nombre_protocolo_L7

• Um den Datenverkehr zu kennzeichnen und dann bestimmte Richtlinien anzuwenden (z. B. Ratenbegrenzung oder Priorisierung):

/ip firewall mangle
add action=mark-packet chain=forward layer7-protocol=nombre_protocolo_L7 new-packet-mark=marcado_paquete

Wichtige Überlegungen

• Performance: Eine starke Nutzung von L7-Regeln kann die Belastung der CPU des Geräts erheblich erhöhen, da eine Überprüfung des Paketinhalts erforderlich ist. Es ist wichtig, die Router-Leistung nach der Implementierung dieser Regeln zu überwachen, insbesondere in Netzwerken mit hohem Datenverkehr.
• Exactitud: Reguläre Ausdrücke müssen sorgfältig geschrieben werden, um sicherzustellen, dass nur der gewünschte Datenverkehr erfasst wird. Ein schlecht definierter regulärer Ausdruck kann zu falsch positiven oder negativen Ergebnissen führen.
• Verschlüsselung: Heutzutage verwendet ein Großteil des Internetverkehrs Verschlüsselung (z. B. HTTPS), was die Wirksamkeit von Layer-7-basierten Regeln bei der Identifizierung des spezifischen Inhalts des Datenverkehrs einschränken kann. Ziehen Sie für verschlüsselten Datenverkehr alternative Identifizierungs- und Kontrollmethoden in Betracht, z. B. Blockierung oder Priorisierung basierend auf IP-Adressen, Ports oder SNI-TLS-Verbindungen.

Die Layer-7-Konfiguration in MikroTik RouterOS ist ein leistungsstarkes Tool für die erweiterte Verkehrsverwaltung, das es Netzwerkadministratoren ermöglicht, anspruchsvolle Netzwerkrichtlinien basierend auf dem tatsächlichen Inhalt von Datenpaketen zu implementieren.