--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Закрыть youtube на Mikrotik (но не всем)

Нужен совет (поиск решения проблемы. не для купли-продажи)
2770
26
С друзьями на NN.RU
В социальных сетях
Поделиться
DIMANOV911
24.06.2019
Добрый день!
Есть задача закрыть доступ к youtube на роутере Mikrotik (ПО 6.44.3)
Делал вот по этой статье habr.com/ru/post/346052/
У меня задача несколько сложнее: надо доступ закрыть, но не всем пользователям, я пробовал в правила маркировки пакетов и соединений добавлять ip в исключения (!xxx.xxx.xxx.xxx) но это исключения не работают. Пробовал создать список IP которым разрешен доступ к youtube и добавить его в правила на закладке Advanced в Src/ Address list. Не помогает.
Тоже самое пробовал и в правила блокировки в разделе Filter делать, тоже нулевой результат.
Правило либо всем закрывает youtube, либо всем открывает не зависимо от наличия исключений по IP.
DIMANOV911 писал(а)
но не всем пользователям,

Прокси поднимать.
Esik
24.06.2019
Подобные вещи закрываются через антивирусные средства.
Вам точно не подойдут другие решения?
7aladin
24.06.2019
Сразу на всех сотовых-ноутах и утюгах?
Только на рабочих компьютерах.
Согласен.
Можно и через DNS закрыть. Но я забыл написать, что хочется именно на Mikrotik закрыть, так как правила там отрабатывают гибко. В обед и не рабочее время youtube, всем кому закрыт, необходимо открывать.
kassa111
24.06.2019
афигеть, как у вас все запущено...
7aladin
24.06.2019
Наверное, разрешающее правило находилось ниже запрещающего, поэтому и не работало у директора.
Правила двигал и в самый низ и в самый верх.
7aladin
24.06.2019
когда что-то меняешь, необходимо перегружать роутер, либо reset states делать. Иначе может сложиться неправильное впечатление.
Я сбрасывал соединения в Firewall
acella
24.06.2019
В src-address-list=list_name
Где list_name список тех кому низя.
Либо src-address-list=!list_name, где list_name список тех кому можно.
acella писал(а)
Либо src-address-list=!list_name, где list_name список тех кому можно.

Это как раз и не срабатывает.
acella
24.06.2019
Оно не может не срабатывать.
Правило в самый верх подними, если оно запрещающее.
Пробовал, но сейчас еще раз поэкспериментирую.
Не помогло.
Закрылся youtube у всех, даже у тех кто прописан в src-address-list=!list_name.

Пробовал указывать в качестве исключения list_name как в правилах блокировки, так и в правилах маркировки пакетов и соединений.
acella
24.06.2019
Вывод /ip firewall filter export
Можно глянуть ?
Конечно.
К сообщению прикреплен файл:
233598995-firewall.txt   (3 Kb)   Скачать файл
acella
24.06.2019
Если уж делаешь через маркировку пакетов, то и исключение в виде списка тех кому можно ставь там, в mangle .
Отруби пока этот зоопарк из правил с разным временем действия и оставь одно действующее постоянно. ( пока не начнёт работать правильно)

ЗЫ у меня это в одну строчку, правда без исключений, но не суть )
action=reject chain=forward comment="Deny Social Regexp" layer7-protocol=social protocol=tcp reject-with=tcp-reset
Нет.
Сделал так: Добавил список IP адресов, которым можно ходить на youtube, в Src Address List в таблице mangle. По идее пакеты и соединения этих IP не должны маркироваться.
Но после перезагрузки роутера на компьютере, которому разрешено ходить на youtube
"Не удалось найти IP-адрес сервера"
На всякий прикладываю вывод /ip firewall filter export
К сообщению прикреплен файл:
233601086-firewall.txt   (3 Kb)   Скачать файл
acella
24.06.2019
Бардак ))
Если в mangl юзается список кому можно, то зачем в фильтре это ? src-address-list=!Allow_SocSeti
Убери временные ограниения, пока.
Может у тебя на микроте время кривое.
+ юзай connection-state=new, зачем каждый пакет через правило прогонять
Правило вида action=accept chain=forward connection-state=established,related должно быть и желательно наверху.
И вообще, зачем эта сложность с маркировкой пакетов ?
acella писал(а)
Бардак ))
Если в mangl юзается список кому можно, то зачем в фильтре это ? src-address-list=!Allow_SocSeti

Это в старых правилах, они не активны, я их отключил.

Убери временные ограниения, пока.
Может у тебя на микроте время кривое.

Время нормальное, настроена синхронизация и часовой пояс выставил GMT+3
Временные ограничения опять же у отключенных правил.

+ юзай connection-state=new, зачем каждый пакет через правило прогонять

Этого я не умею.

Правило вида action=accept chain=forward connection-state=established,related должно быть и желательно наверху.

Перенес на самый верх.


И вообще, зачем эта сложность с маркировкой пакетов ?

Делал по первой попавшейся статье.
Если есть у Вас рабочий вариант был бы признателен.
acella
24.06.2019
DIMANOV911 писал(а)
Если есть у Вас рабочий вариант был бы признателен.

Regexp -
name=Youtube regexp="^.+(youtube).*\$"
фильтр
action=drop chain=forward layer7-protocol=Youtube

Вот по такому принципу.
Только что бы адекватно оттестить нужно грохать кеш браузера и рвать коннекшены , ибо всё что начинает работать по https уже не распотрошить.
Как раз в статье про этот вариант и написано что он не работает.
Но я попытался сделать у себя запрет по такому же варианту. Действительно не работает.
Правило перемещал и в низ и в самый верх, youtube не блокируется. Точнее блокируется, но не у всех, а как-то избирательно, у кого-то заблокировался, а у кого-то нет.
Все изменения сопровождал перезагрузкой роутера.

PS: Деактивировал правило и активировал вновь. Вроде работает как надо. Добавил исключения - буду наблюдать. Спасибо!
acella
25.06.2019
Тут есть трабл.
Если юзер зашёл в сервисы гугла и перешёл от туда на ютуб, то правило скорее всего не сработает.
надёжнее создать список ip домена youtube и банить плюсом по ip
Спасибо, я проверю. По крайней мере с поисковика google.ru переход на youtube режется правилом.
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем