Implementacja warstwy 7 (L7) w MikroTik RouterOS pozwala identyfikować i klasyfikować ruch sieciowy na podstawie rzeczywistej zawartości pakietów, a nie tylko adresu IP lub portu.

Jest to przydatne do filtrowania, ustalania priorytetów lub ograniczania określonego ruchu, na przykład blokowania określonych witryn internetowych, ustalania priorytetów ruchu VoIP lub ograniczania przepustowości aplikacji do przesyłania strumieniowego. Oto jak skonfigurować reguły warstwy 7 w MikroTik RouterOS:

1. Zdefiniuj wzór warstwy 7

Najpierw musisz utworzyć wzorzec warstwy 7, którego RouterOS będzie używał do identyfikowania określonego ruchu. Robi się to w menu „IP” → „Firewall”, a następnie w zakładce „Protokoły warstwy 7”. Tutaj możesz zdefiniować nowy wzór L7.

/ip firewall layer7-protocol
add name="nombre_protocolo_L7" regexp="expresión_regular"

Na przykład, aby zidentyfikować ruch HTTP zawierający słowo „facebook” w nagłówku pakietu, możesz użyć wyrażenia regularnego takiego jak to:

add name="facebook" regexp="facebook.com"

2. Utwórz regułę zapory sieciowej, korzystając ze wzorca L7

Po zdefiniowaniu wzorca L7 można go użyć w regule zapory sieciowej w celu filtrowania ruchu lub ustalania priorytetów. Robi się to w menu „IP” → „Firewall”, a następnie w zakładce „Reguły filtrowania” lub „Mangle” w zależności od tego, co chcesz osiągnąć.

• Aby zablokować ruch:

/ip firewall filter
add action=drop chain=forward layer7-protocol=nombre_protocolo_L7

• Aby oznaczyć ruch, a następnie zastosować określone zasady (takie jak ograniczanie szybkości lub ustalanie priorytetów):

/ip firewall mangle
add action=mark-packet chain=forward layer7-protocol=nombre_protocolo_L7 new-packet-mark=marcado_paquete

Uwagi Ważne

• Wydajność: Intensywne używanie reguł L7 może znacznie zwiększyć obciążenie procesora urządzenia, ponieważ wymaga sprawdzania zawartości pakietów. Ważne jest monitorowanie wydajności routera po wdrożeniu tych zasad, zwłaszcza w sieciach o dużym natężeniu ruchu.
• Exactitud: Wyrażenia regularne należy pisać ostrożnie, aby mieć pewność, że przechwytywany będzie tylko żądany ruch. Źle zdefiniowane wyrażenie regularne może prowadzić do wyników fałszywie dodatnich lub ujemnych.
• Szyfrowanie: Obecnie większość ruchu internetowego wykorzystuje szyfrowanie (takie jak HTTPS), co może ograniczać skuteczność reguł opartych na warstwie 7 w identyfikowaniu określonej zawartości ruchu. W przypadku ruchu zaszyfrowanego należy rozważyć alternatywne metody identyfikacji i kontroli, takie jak blokowanie lub ustalanie priorytetów na podstawie adresów IP, portów lub połączeń SNI TLS.

Konfiguracja warstwy 7 w MikroTik RouterOS to potężne narzędzie do zaawansowanego zarządzania ruchem, umożliwiające administratorom sieci wdrażanie wyrafinowanych polityk sieciowych w oparciu o rzeczywistą zawartość pakietów danych.