ผู้เขียน หัวข้อ: การทำ L7-Firewall บนอุปกรณ์ Mikrotik RouterBoard  (อ่าน 38165 ครั้ง)

0 สมาชิก และ 1 บุคคลทั่วไป กำลังดูหัวข้อนี้

yod

  • Administrator
  • Hero Member
  • *****
  • กระทู้: 1850
    • Sysnet Center
การทำ L7-Firewall บนอุปกรณ์ Mikrotik RouterBoard
« เมื่อ: วันที่ 4 พฤษภาคม 2012, 05:35:56 »

ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard



สวัสดีครับ


มาทดสอบการทำ L7-Filter ด้วย Router Board กันครับ


L7-Filter คืออะไร?? (ถ้าผิดบอกด้วยนะครับ  ;D)

L7-Filter มันเป็นโปรแกรมที่อยู่ใน Linux เพื่อดัก Packet ต่างๆ ทำงานในระดับ Layer 7 หรือระดับ Application ซึ่งการแยกจะไม่ใช่แค่แยกหมายเลข Port หรือหมายเลข IP แต่จะเป็นการแยกตาม Regular Expression ที่เรากำหนดเอาไว้ เช่น ถ้ามองในมุม Programmer เจ้า Regular Expression ก็เหมือน String ค่าๆนึง เราจะนำไปเปรียบเทียบกับ Packet ต่างๆที่วิ่ง ถ้า Match กันก็สามารถกำหนดได้ว่าจะทำอะไรกับ Packet พวกนี้ นึกภาพง่ายๆเหมือนเครื่องกรองน้ำ

อุปกรณ์ Mikrotik RouterBoard ทุกรุ่น มีความสามารถในการทำ Layer 7 Filter เช่นเดียวกับ Linux ครับ และก็จะมี Router บางรุ่นเช่น Linksys WRT54GL ที่ Upgrade Firmware เป็น DD-WRT ก็สามารถทำได้เช่นกัน แต่การทำ L7-Filter ค่อนข้างจะกิน CPU และ Ram พอสมควร อุปกรณ์มันจะ Hang เอาง่ายๆ


L7-Filter Regular Expression ของ Protocols ต่างๆ สามารถหาได้จาก http://l7-filter.sourceforge.net/protocols ครับ


ลองกับ MSN ก่อนเลย

โดยปกติถ้าเราจะ Block MSN โดยการ Block ที่ Port ไอ้เจ้า MSN ถ้ามันเชื่อมต่อ Port ที่มันวิ่งปกติไม่ได้ มันจะไปวิ่งที่ Port 80 ต่อ ซึ่งถ้าเรา Block Port 80 ก็จะหมายถึง HTTP Port จะทำให้เราไม่สามารถเปิด Website ได้เช่นกัน

แต่ถ้า Block ในระดับ L7 ตัว RouterBoard จะเข้าไปอ่าน Package ถ้าตรงกับ Regular Expression ที่ตั้งไว้ เช่นของ MSN มันก็จะ Drop Package นี้ออกทันที ไม่ให้วิ่งผ่าน

การใช้งานก็ง่ายครับ แต่เราต้องรู้ Regular Expression ของ Protocols ที่ใช้ก่อน จากรูปก็จะเป็นของ MSN Messenger หรือ Microsoft Network chat client




ทีนี้ก็กำหนด Filter Rules ขึ้นมา ถ้าเจอก็ Drop ทิ้งไปเลย ตรง Statistics คือ Package ที่ดักจับได้ครับ




เรียบร้อย Login ไม่ได้




Click แก้ไขปัญหา ก็ไม่ได้บอกว่าเกิดอะไรขึ้นเลย



สุดท้ายไม่ต้องเล่นกัน  ;D ;D ;D



ทีนี้ก็มาลองทดสอบกับ Bittorrent กันครับ

ถ้าเราต้องการ Block Bittorrent ด้วยการ Block Port มันเป็นไปไม่ได้เลยครับ เพราะต้อง Block กันทุก Port เหลือแค่ Port หลักๆที่ Reserve ไว้ประมาณ 1-1024 แต่ทีนี้ถ้าลูกค้าจะเล่นเกมส์ Online หรือ ทำอะไรก็แล้วแต่ที่ไม่ได้ใช้ Bandwidth ซักเท่าไหร่ และใช้ Port อื่นๆที่นอกเหนือจากนี้ ก็จะใช้งานไม่ได้ด้วย รับรองโวยวายแน่

สำหรับ Regular Expression ของ Bittorrent (P2P filesharing / publishing tool) ครับ




สร้าง Filter Rules ขึ้นมาเช่นกัน แต่ Disable ไว้ ทำให้ Download ได้ปกติ




Enable ซะเลย โหลดไม่ได้แล้ว และ Package ที่ RouterBoard จับได้ วิ่งตลอด




วิธีการ Block Bittorrent ด้วย Mikrotik Router Board ที่อยู่ใน Webboard จะมีการดักจับ Peer Address ด้วยครับ และ Block เครื่องไม่ให้เชื่อมต่อกับ Peer Address เหล่านี้ด้วย เป็นการ Block อีกชั้นนึงแบบ 100%  ;D ;D



ด้วยความสามารถของตัว RouterBoard ที่สามารถทำ L7-Filter ได้ ทำให้ประยุกติใช้งานได้อย่างหลากหลาย ยิ่งถ้าใช้กับ Firewall - Mangle เพื่อทำการ Mark Package ที่เราดักจับได้ เราก็สามารถนำมาใช้ร่วมกับ Queue เพื่อทำการ Shape Package ได้เช่นกัน เช่นถ้า Download ไฟล์พวก exe, zip, rar ก็ให้ Download ได้น้อยๆ แต่เข้า Web ได้เร็วๆ (ยังไม่เคยลองนะครับ) หรือ ใช้ Bittorrent ได้น่ะ แต่กำหนดความเร็วตามที่เราต้องการ (ลองแล้วครับ Work)



แต่ปัญหาสำคัญที่สุดของการจับ Package แบบนี้คือ ถ้าเป็น SSL มีการ Encrypt ข้อมูลเอาไว้ จะใช้งานไม่ได้นะครับ ผมเคย Post ไปถามวิธีใน Board mikrotik.com โดนตอบมาว่า ถ้าทำได้เขาก็จะไป Hack พวก Internet banking ได้เช่นกัน (ปวดตับเลย  >:()




หวังว่าคงมีประยชน์กันไม่มากก็น้อยนะครับ  :D :D




« แก้ไขครั้งสุดท้าย: วันที่ 8 พฤษภาคม 2017, 13:15:32 โดย yod »

kindaechi

  • Mikrotik
  • Newbie
  • *****
  • กระทู้: 3
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #1 เมื่อ: วันที่ 9 พฤษภาคม 2012, 02:42:02 »
แล้วผมจาหา Regular Expression ได้จากที่ไหนคับ T_T

เขียนเองนี่ไม่ได้แน่นอนเลย

jonglak

  • Mikrotik
  • Newbie
  • *****
  • กระทู้: 12
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #2 เมื่อ: วันที่ 14 มิถุนายน 2012, 10:18:50 »
ขอถามด้วยคนครับ Regular Expression  หาได้จากที่ไหนโดยใช้อะไรเป็นตัวจับมาครับ

yod

  • Administrator
  • Hero Member
  • *****
  • กระทู้: 1850
    • Sysnet Center
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #3 เมื่อ: วันที่ 14 มิถุนายน 2012, 11:18:26 »
ได้แจ้ง link ไว้ในกระทู้นี้อยู่แล้วนะครับ

prongprong_1

  • Newbie
  • *
  • กระทู้: 1
    • อีเมล์
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #4 เมื่อ: วันที่ 28 สิงหาคม 2012, 09:57:04 »
ขอบคุณครับ :)

tm007

  • Newbie
  • *
  • กระทู้: 1
    • อีเมล์
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #5 เมื่อ: วันที่ 31 มกราคม 2013, 15:13:11 »
อยากทราบขั้นตอนที่สร้าง Filter Rules คับ

poggy

  • Newbie
  • *
  • กระทู้: 2
    • อีเมล์
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #6 เมื่อ: วันที่ 22 ตุลาคม 2013, 16:41:51 »
ขอบคุณสำหรับความรู้ครับ

Bonn121

  • Mikrotik
  • Newbie
  • *****
  • กระทู้: 44
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #7 เมื่อ: วันที่ 23 ตุลาคม 2013, 02:45:05 »
อยากสอบถามว่าตัวนี้มันสามารถ block connectify ได้หรือเปล่าครับ
[ทำ hotspot ด้วย] RB450G ครับ

ronnakorn

  • Mikrotik
  • Newbie
  • *****
  • กระทู้: 6
    • อีเมล์
Re: ทดสอบ L7-Filter บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #8 เมื่อ: วันที่ 14 มกราคม 2014, 11:22:24 »
ขอสอบถามหน่อยนะครับ ว่า ทำยังไงเราจะรู้ว่า IP อะไร กำลังพยายาม โหลด bit ครับ ผมใช้ RB450G   ปิดไม่ใช้ Hotspot นะครับ
เราเช็คตรงไหนครับผม ขอบคุณครับ

llwswss

  • Ubiquiti Member
  • Newbie
  • *****
  • กระทู้: 14
Re: การทำ L7-Firewall บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #9 เมื่อ: วันที่ 12 มกราคม 2015, 23:24:38 »
แล้วท้า Block Baidu ทำใน L7-Firewall ได้ปะครับ  แล้วทำอย่างไรบ้างครับ

nuttakorn

  • Mikrotik
  • Newbie
  • *****
  • กระทู้: 2
Re: การทำ L7-Firewall บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #10 เมื่อ: วันที่ 3 กันยายน 2015, 13:14:26 »
สอบถามครับวิธีบล็อก'เช่น garena ครับจะทำยังไรครับ

kaewman.s

  • Newbie
  • *
  • กระทู้: 3
Re: การทำ L7-Firewall บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #11 เมื่อ: วันที่ 5 มิถุนายน 2017, 17:02:27 »
ขอบคุณคร๊าบ

Wizard

  • Newbie
  • *
  • กระทู้: 5
    • อีเมล์
Re: การทำ L7-Firewall บนอุปกรณ์ Mikrotik RouterBoard
« ตอบกลับ #12 เมื่อ: วันที่ 11 กรกฎาคม 2017, 15:04:29 »
ตอนนี้  Version.ใหม่ไม่มี  protocol p2p.ให้เลือก แก้ไขยังไงดีครับ มีอัพเดทใหม ;D


Share via facebook

xx
การทำ Port Forward บนอุปกรณ์ Mikrotik

เริ่มโดย yod เมื่อ อุปกรณ์ Mikrotik Router

5 ตอบ
8979 อ่าน
กระทู้ล่าสุด วันที่ 12 กันยายน 2013, 17:01:49
โดย yuttapong
xx
การทำ Multiple Network บนอุปกรณ์ Mikrotik Router

เริ่มโดย yod เมื่อ อุปกรณ์ Mikrotik Router

2 ตอบ
41478 อ่าน
กระทู้ล่าสุด วันที่ 16 ธันวาคม 2015, 12:22:27
โดย kimnue
xx
ทำ Bandwidth Management บนอุปกรณ์ Mikrotik RouterBoard

เริ่มโดย yod เมื่อ อุปกรณ์ Mikrotik Router

12 ตอบ
29169 อ่าน
กระทู้ล่าสุด วันที่ 6 พฤศจิกายน 2014, 19:19:22
โดย Ghost
xx
การแยก Net แยก Game บนอุปกรณ์ QNO Firewall Router

เริ่มโดย yod เมื่อ อุปกรณ์ QNO (คิวโน่)

2 ตอบ
11995 อ่าน
กระทู้ล่าสุด วันที่ 21 เมษายน 2014, 11:08:27
โดย tOn—
xx
การทำ Forward Port บนอุปกรณ์ QNO ตัวอย่างดูกล้องผ่าน iPhone

เริ่มโดย yod เมื่อ อุปกรณ์ QNO (คิวโน่)

0 ตอบ
9785 อ่าน
กระทู้ล่าสุด วันที่ 27 มีนาคม 2012, 11:22:22
โดย yod
 


Users found this pages searching for: