Việc triển khai Lớp 7 (L7) trong MikroTik RouterOS cho phép bạn xác định và phân loại lưu lượng mạng dựa trên nội dung thực tế của gói, thay vì chỉ địa chỉ IP hoặc cổng.

Điều này hữu ích để lọc, ưu tiên hoặc giới hạn lưu lượng truy cập cụ thể, chẳng hạn như chặn các trang web cụ thể, ưu tiên lưu lượng VoIP hoặc giới hạn băng thông cho các ứng dụng phát trực tuyến. Dưới đây là cách định cấu hình quy tắc Lớp 7 trong MikroTik RouterOS:

1. Xác định mẫu lớp 7

Trước tiên, bạn phải tạo mẫu Lớp 7 mà RouterOS sẽ sử dụng để xác định lưu lượng truy cập cụ thể. Việc này được thực hiện trong menu “IP” → “Tường lửa” và sau đó trong tab “Giao thức lớp 7”. Tại đây bạn có thể xác định mẫu L7 mới.

/ip firewall layer7-protocol
add name="nombre_protocolo_L7" regexp="expresión_regular"

Ví dụ: để xác định lưu lượng HTTP có chứa từ “facebook” trong tiêu đề gói, bạn có thể sử dụng biểu thức chính quy như sau:

add name="facebook" regexp="facebook.com"

2. Tạo quy tắc tường lửa bằng mẫu L7

Sau khi xác định mẫu L7, bạn có thể sử dụng nó trong quy tắc tường lửa để lọc hoặc ưu tiên lưu lượng truy cập. Việc này được thực hiện trong menu “IP” → “Tường lửa” và sau đó trong tab “Quy tắc bộ lọc” hoặc “Mangle” tùy thuộc vào những gì bạn muốn đạt được.

• Để chặn giao thông:

/ip firewall filter
add action=drop chain=forward layer7-protocol=nombre_protocolo_L7

• Để gắn cờ lưu lượng truy cập và sau đó áp dụng các chính sách cụ thể (chẳng hạn như giới hạn tỷ lệ hoặc ưu tiên):

/ip firewall mangle
add action=mark-packet chain=forward layer7-protocol=nombre_protocolo_L7 new-packet-mark=marcado_paquete

cân nhắc quan trọng

• Hiệu suất: Việc sử dụng nhiều quy tắc L7 có thể làm tăng đáng kể tải cho CPU của thiết bị vì nó yêu cầu kiểm tra nội dung của các gói. Điều quan trọng là phải giám sát hiệu suất của bộ định tuyến sau khi thực hiện các quy tắc này, đặc biệt là trên các mạng có lưu lượng truy cập cao.
• Sự chính xác: Biểu thức chính quy phải được viết cẩn thận để đảm bảo chỉ nắm bắt được lưu lượng truy cập mong muốn. Một biểu thức chính quy được xác định kém có thể dẫn đến kết quả dương tính hoặc âm tính giả.
• Mã hóa: Ngày nay, nhiều lưu lượng truy cập Internet sử dụng mã hóa (chẳng hạn như HTTPS), điều này có thể hạn chế tính hiệu quả của các quy tắc dựa trên Lớp 7 trong việc xác định nội dung cụ thể của lưu lượng truy cập. Đối với lưu lượng được mã hóa, hãy xem xét các phương pháp nhận dạng và kiểm soát thay thế, chẳng hạn như chặn hoặc ưu tiên dựa trên địa chỉ IP, cổng hoặc kết nối SNI TLS.

Cấu hình lớp 7 trong MikroTik RouterOS là một công cụ mạnh mẽ để quản lý lưu lượng nâng cao, cho phép quản trị viên mạng thực hiện các chính sách mạng phức tạp dựa trên nội dung thực tế của gói dữ liệu.