فیلتر پروتکل لایه ۷ در فایروال میکروتیک
فیلتر لایه ۷ (Layer7) یکی از ویژگیهای پیشرفته RouterOS است که به شما امکان میدهد محتوای بستههای شبکه را بررسی کنید و بر اساس الگوهای موجود در داده، ترافیک را شناسایی و مسدود کنید.
لایه ۷ چیست؟
قوانین معمول فایروال روی لایه ۳ (IP) و لایه ۴ (پورتهای TCP/UDP) کار میکنند. لایه ۷ عمیقتر میرود و محتوای واقعی بستهها را برای یافتن الگو بررسی میکند. در RouterOS، شما یک الگوی regex تعریف میکنید و فایروال دادههای بسته را با آن مقایسه میکند.
محل تنظیم
TEXT
/ip firewall layer7-protocolساخت یک الگوی لایه ۷
TEXT
/ip firewall layer7-protocol add name=block-youtube regexp="^.*(youtube.com|googlevideo.com).*$"اعمال در قانون فایروال
TEXT
/ip firewall filter add chain=forward layer7-protocol=block-youtube action=drop comment="Block YouTube"مسدود کردن فیسبوک (HTTP)
TEXT
/ip firewall layer7-protocol add name=block-facebook regexp="^.*(facebook.com|fbcdn.net).*$"
/ip firewall filter add chain=forward layer7-protocol=block-facebook action=dropتوجه: این روش فقط برای ترافیک HTTP رمزنگارینشده کار میکند. ترافیک HTTPS رمزگذاری شده است.
ترکیب با لیست آدرس
TEXT
/ip firewall layer7-protocol add name=detect-torrent regexp="^(BitTorrent protocol)"
/ip firewall filter add chain=forward layer7-protocol=detect-torrent action=add-src-to-address-list address-list=torrent-users address-list-timeout=1h
/ip firewall filter add chain=forward src-address-list=torrent-users action=dropملاحظات عملکردی
لایه ۷ از نظر پردازنده سنگین است:
- RouterOS باید محتوای هر بسته را بررسی کند
- بهطور پیشفرض فقط ۱۰ بسته اول هر اتصال را بررسی میکند
- روی شبکههای پرترافیک میتواند CPU را به ۱۰۰٪ برساند
نکات بهینهسازی
- قوانین لایه ۷ را بعد از قوانین IP/پورت قرار دهید
- فقط اتصالات جدید را بررسی کنید:
TEXT
/ip firewall filter add chain=forward connection-state=new layer7-protocol=block-youtube action=dropمحدودیتهای لایه ۷
- با ترافیک رمزگذاریشده (HTTPS) کار نمیکند
- فقط بستههای اول اتصال را بررسی میکند
- ممکن است الگوهای کلی، ترافیک معتبر را هم مسدود کنند
- برای فیلترینگ قابلاطمینان، از DNS filtering یا پروکسی استفاده کنید
نمایش الگوها
TEXT
/ip firewall layer7-protocol printخلاصه
- لایه ۷ ترافیک را بر اساس محتوای payload شناسایی میکند
- الگوها را زیر
/ip firewall layer7-protocolتعریف کنید - بهترین کارایی برای ترافیک HTTP رمزنگارینشده است
- قوانین لایه ۷ را در انتهای زنجیره قرار دهید تا CPU کمتر مصرف شود