רוב האתרים משתמשים כעת ב-https וחסימת אתרי https היא הרבה יותר קשה עם גרסת MikroTik RouterOS נמוכה מ-6.41. אבל החל מ-RouterOS v6.41, MikroTik Firewall מציגה מאפיין חדש בשם TLS Hos t אשר מסוגל להתאים אתרי https בקלות רבה. 

לכן, חסימת אתרי https כמו פייסבוק, יוטיוב וכו'. ניתן לעשות זאת בקלות עם MikroTik Router אם גרסת ה-RouterOS גבוהה מ-6.41. 

סינון מבוסס על שמות מארח

אתה יכול להשתמש ב-"tls-host" בכללי חומת אש כדי לסנן תעבורה על סמך שמות מארחים במקום כתובות IP. זה יכול להיות מועיל אם כתובות ה-IP של השרתים שאתה מתקשר איתם נוטות להשתנות ואתה מעדיף להשתמש בשמות מארחים שנשארים קבועים.

/ip חומת אש filter add chain=forward dst-port=443 protocol=tcp tls-host=example.com action=accept

בדוגמה זו, הכלל יאפשר תעבורת TLS יוצאת ליציאה 443 המיועדת ל-"example.com".

ניהול תעודות ושם מארח

על ידי שימוש באפשרות "tls-host", אתה יכול להקל על ניהול תעודות SSL/TLS ברשת שלך. אם האישורים משתנים או מתחדשים ושם המארח נשאר זהה, לא תצטרך לעדכן את כללי חומת האש בכתובות IP חדשות.

הפחתת התלות בכתובות IP קבועות

במקרים מסוימים, במיוחד בעת אינטראקציה עם שירותים המתארחים בענן או עם ספקי שירות שעשויים לשנות כתובות IP שהוקצו, השימוש ב-"tls-host" מספק שכבת הפשטה שמפחיתה את ההסתמכות על כתובות IP קבועות.

/ip חומת אש filter add chain=forward dst-port=8443 protocol=tcp tls-host=cloud-service.com action=accept

כאן, תעבורת TLS יוצאת לנמל 8443 המיועדת ל"cloud-service.com" יתאפשר ללא קשר לכתובת ה-IP הנוכחית של השירות.

חשוב לציין שכדי שהאפשרות "tls-host" תהיה יעילה, השירות המרוחק חייב לתמוך בשימוש בשמות מארח במקום בכתובות IP. לא כל השירותים או היישומים מאפשרים גמישות זו, ולכן חיוני לעיין בתיעוד עבור השירות הספציפי שבו אתה משתמש.

 כיצד לחסום אתרי HTTPS עם TLS Host Matcher

1. עבור אל פריט התפריט IP > חומת אש ולחץ על הכרטיסייה כללי סינון ולאחר מכן לחץ על סימן הפלוס (+). החלון New Firewall Rule מופיע.
2. בחר קדימה מהתפריט הנפתח מחרוזת.
3. בחר tcp מהתפריט הנפתח פרוטוקול.
4. לחץ על Dst. תיבת כניסה לנמל וכניסה לנמל 443.
5. לחץ על הכרטיסייה מתקדם ולחץ על תיבת הקלט TLS Host ושם את שם הדומיין שברצונך לחסום (כגון *.facebook.com) בתיבה זו.
6. לחץ על הכרטיסייה פעולה ובחר יציאה מהתפריט הנפתח פעולה.
7. לחץ על החל ועל הלחצן אישור.

כלל חומת אש לפי פקודה

/ip חומת אש filter add chain=forward dst-port=443 protocol=tcp tls-host=*.facebook.com action=drop