Заказать обратный звонок
(066) (067) (097)
100-46-46

Расширенные настройки Mikrotik RouterOS: запрет facebook.com

10.12.2014
Поделиться в:

Расширенные настройки Mikrotik RouterOS: запрет facebook.com

По сути, данная статья, является дополнением к уже существующей Расширенные настройки Mikrotik RouterOS: запрет определенных сайтов. И так, как в случае с facebook, есть некоторые нюансы, справиться с которыми могут не все пользователи, то было решено осветить этот вопрос отдельно.

И так, если вы читали предыдущую статью, то знаете, что весь процесс блокировки, заключается в создании списка (например BlockedSites), в котором указываются все IP адреса сайтов, которые мы хотим заблокировать. После чего, создается правило Firewall, где для этого списка параметр Action, выбираем как drop.

Изначально, мы определяем IP адреса сайта, командой nslookup, как показано ниже:

Определение IP адреса сайта, командой nslookup

Однако, в случае с facebook.com, мы получаем только один IP, и блокировка его, не всегда приводит к желаемому результату. Все дело в том, что у компании Фейсбук, несколько тысяч адресов. Конечно же, не все они используются для работы их вебсайта, но тем не менее, какие из них именно, никто точно не знает. Поэтому, самым оптимальным вариантом, будет блокировка всех подсетей и автономных систем, принадлежащих Facebook Inc.

Для этого, мы воспользуемся замечательным инструментом BGP Toolkit от Hurricane Electric http://bgp.he.net/, где в строке поиска вводим “facebook” и получаем список всех автономных систем, принадлежащих компании.


BGP Toolkit от Hurricane

И так, если вы читали предыдущую статью, то знаете, что весь процесс блокировки, заключается в создании списка (например BlockedSites), в котором указываются все IP адреса сайтов, которые мы хотим заблокировать. После чего, создается правило Firewall, где для этого списка параметр Action, выбираем как drop.

Список довольно большой, но нам нужно выбрать из него все подсети, и добавить их в список.

Для облегчения этой задачи, я уже сделал это для вас, и даже составил целый ряд команд, при помощи которых вы сможете добавить все адреса в список BlockedSites через командную строку.

/ip fir address-list
add address=74.119.76.0/22 disabled=no list=BlockedSites comment=Facebook
add address=69.63.176.0/20 disabled=no list=BlockedSites
add address=69.63.176.0/21 disabled=no list=BlockedSites
add address=69.63.184.0/21 disabled=no list=BlockedSites
add address=69.171.224.0/19 disabled=no list=BlockedSites
add address=69.171.224.0/20 disabled=no list=BlockedSites
add address=69.171.239.0/24 disabled=no list=BlockedSites
add address=69.171.240.0/20 disabled=no list=BlockedSites
add address=69.171.255.0/24 disabled=no list=BlockedSites
add address=66.220.144.0/20 disabled=no list=BlockedSites
add address=66.220.144.0/21 disabled=no list=BlockedSites
add address=66.220.152.0/21 disabled=no list=BlockedSites
add address=31.13.24.0/21 disabled=no list=BlockedSites
add address=31.13.64.0/18 disabled=no list=BlockedSites
add address=31.13.64.0/19 disabled=no list=BlockedSites
add address=31.13.64.0/24 disabled=no list=BlockedSites
add address=31.13.65.0/24 disabled=no list=BlockedSites
add address=31.13.66.0/24 disabled=no list=BlockedSites
add address=31.13.68.0/24 disabled=no list=BlockedSites
add address=31.13.69.0/24 disabled=no list=BlockedSites
add address=31.13.70.0/24 disabled=no list=BlockedSites
add address=31.13.71.0/24 disabled=no list=BlockedSites
add address=31.13.73.0/24 disabled=no list=BlockedSites
add address=31.13.74.0/24 disabled=no list=BlockedSites
add address=31.13.75.0/24 disabled=no list=BlockedSites
add address=31.13.76.0/24 disabled=no list=BlockedSites
add address=31.13.77.0/24 disabled=no list=BlockedSites
add address=31.13.78.0/24 disabled=no list=BlockedSites
add address=31.13.79.0/24 disabled=no list=BlockedSites
add address=31.13.82.0/24 disabled=no list=BlockedSites
add address=31.13.83.0/24 disabled=no list=BlockedSites
add address=31.13.84.0/24 disabled=no list=BlockedSites
add address=31.13.85.0/24 disabled=no list=BlockedSites
add address=31.13.86.0/24 disabled=no list=BlockedSites
add address=31.13.87.0/24 disabled=no list=BlockedSites
add address=31.13.90.0/24 disabled=no list=BlockedSites
add address=31.13.91.0/24 disabled=no list=BlockedSites
add address=31.13.93.0/24 disabled=no list=BlockedSites
add address=31.13.96.0/19 disabled=no list=BlockedSites
add address=204.15.20.0/22 disabled=no list=BlockedSites
add address=199.201.64.0/22 disabled=no list=BlockedSites
add address=185.60.216.0/22 disabled=no list=BlockedSites
add address=173.252.64.0/19 disabled=no list=BlockedSites
add address=173.252.96.0/19 disabled=no list=BlockedSites
add address=173.252.70.0/24 disabled=no list=BlockedSites

А дальше, все просто. Если у вас уже была настроена блокировка других сайтов, и для этого использовался список BlockedSites, то вам больше ничего делать не нужно. Если же вы делаете это впервые, или список для facebook у вас имеет другое название, то вы переходите в раздел IP - Firewall, где на вкладке Filter Rules, создаете новое правило, при помощи кнопки “+”.

Где на вкладке General, для параметра Chain, мы выбираем значение forward, в качестве Protocol, выбираем 6(tcp), а для In Interface ставим “!” возле значения и выбираем наш порт, к которому подключен кабель провайдера, например eather1 или название соединения, например pppoe1.

Настройка MikrotikOS 1

На вкладке Adwenced, для Dst. Address List, выбираем в качестве параметра, созданный нами список BlockedSites.

Настройка MikrotikOS 2

И на вкладке Action, выбираем drop для поля Action.

Настройка MikrotikOS 3

После чего, сохраняем правило кнопкой OK.

Так же, не маловажным, будет сказать, что созданное правило, нужно поднять выше других запрещающих правил, если они у вас есть.

Таким образом, на какой бы из IP адресов, принадлежащих facebook, не обратился бы пользователь, его запрос будет отклонен.

logo
Расширенные настройки Mikrotik RouterOS: запрет facebook.com
Отзывы покупателей
Рейтинг покупателей
5 / 5 5 5 3
На основе 3 оценок покупателей
66.7%
0%
0%
0%
0%
Отзыв
Отлично
Заголовок*
Достоинства
Недостатки
Комментарий*
Представьтесь
Комментарий
serge, Скажите, для Микротика аппаратно проще использовать layer7 или блокировать пакеты фаерволом, на основании списка ИП адресов?Что более эффективно, и требует меньше аппаратных ресурсов?Благодарю."
Комментарий
Для облегчения этой задачи, я уже сделал это для вас,")))бедный блоггер. На что он только не пойдет, что бы "прславиться"))))"
Комментарий
Следует также упомянуть что Dst.port в новом правиле должен быть 443, а не 80! По скольку защищенные соединения типу https используют этот порт.

Возврат к списку


Наши партнеры
Наша компания является официальным представителем следующих производителей
Партнер
Представитель
Партнер
Официальный реселлер
Партнер
Официальный дистрибьютор
Партнер
Официальный реселлер

Авторизуйтесь, чтобы добавить отзыв

SiteHeart