1. Створення списку адрес (приклад)
2. маркування пакетів
3. Створення VPN-підключення
4. Налаштування маськарадінг
5. Додавання статичних маршрутів
6. Як дізнатися IP певного сайту?
7. Редагування, оновлення і додавання нових ресурсів
8. Що робити, якщо Policy Based Routing повільно працює?
9. Що робити, якщо провайдер робить підміну DNS-записів?
10. Що робити, якщо провайдер перехоплює звернення до стороннього DNS?
11. Відеокурс «Налаштування обладнання MikroTik» (аналог MTCNA)

В рамках даної публікації мені хотілося б поговорити про одне з методів обходу блокування сайтів з боку провайдера на маршрутизаторах Mikrotik під керуванням RouterOS.

Бувають такі ситуації, коли провайдер блокує доступ до деяких ресурсів. Найчастіше, блокування ресурсів здійснюється на базі URL, IP і DNS, багато що, звичайно ж, залежить від типу і можливостей устаткування, яке застосовується самим провайдером.

Блокування по IP - один з популярних методів, при якому заборона здійснюється на базі кінцевого IP-адреси ресурсу, це також може бути діапазон IP або ж кілька діапазонів (для дуже великих проектів).

Блокування по DNS зводиться до заборони, виключенню або підміні кінцевого IP для заданого домена. По суті, даний метод блокування обходиться досить просто, шляхом заміни DNS провайдера на сторонні, наприклад Google DNS (8.8.8.8, 8.8.4.4), Yandex DNS (базовий: 77.88.8.8, 77.88.8.1; безпечний: 77.88.8.88, 77.88.8.2; сімейний 77.88.8.7, 77.88.8.3) або будь-який інший, який вашої душі угодний.

Серйозні провайдери можуть використовувати так званий DPI (Deep packet inspection), який по-суті, є глибоким аналізів пакетів. DPI здатний блокувати ресурси не тільки по IP або DNS, але і при використанні проксі-серверів (Proxy) або інших незахищених каналів передачі.

У випадку з простий блокуванням IP, обхід здійснюється без проблем за допомогою будь-якого проксі-Анонімайзера або будь-якого VPN.

У випадку з DPI, все куди більш складніше, тому що система аналізує не тільки заголовки пакетів, кінцевого одержувача і т.д., але і вміст пакету, копаючись в переданих даних, тим самим може навіть порушувати законодавство, якщо, звичайно ж, в призначеному для користувача угоді немає дрібного шрифту. Можливості DPI дуже широкі і при бажанні, провайдер може навіть заборонити вам використовувати OpenVPN.

Сьогодні ми не будемо розглядати всі методи обходу всіх видів блокування, а лише розглянемо один з варіантів реалізації обходу, який запропонований в офіційної документації Mikrotik (Policy Based Routing).

Передбачається, що заздалегідь у вас вже повинен бути маршрутизатор на RouterOS, якщо такого немає - за вигідною ціною маршрутизатори Mikrotik можна придбати в інтернет-магазині Gigahertz .

Найбільш простий варіант обходу - використовувати сервери VPN. Причому заблоковані ресурси можна відкривати через VPN, а все решта - через провайдера.

У даного методу існує ряд переваг. Одне з головних переваг даного методу полягає в тому, що ви будете використовувати лише частину пропускної здатності VPN. Справа в тому, що сервіси VPN зазвичай знаходяться далеко закордоном і канали до них сильно завантажені, тому направляючи через тунель весь трафік, швидкість доступу буде падати, причому як для заблокованих ресурсів, так і для всіх інших.

З додаткових переваг даного методу можна відзначити відсутність необхідності налаштування VPN на всіх клієнтських пристроях, особливо якщо це смартфон. Хоча для смартфонів існує достатня кількість безкоштовних додатків, що реалізують необхідний функціонал.

Є у даного способу і недолік - пошук оптимального VPN-сервісу, як варіант, покупка преміум-аккаунта.

Створення списку адрес (приклад)

Наприклад, у нас є лістинг із заблокованих адрес. Як приклад у нас 4 списку: ВКонтакте, Однокласники, Yandex і Mail.ru.

Всі діапазони у вигляді команд для Mikrotik, для простоти додавання. Деякі запитають, а чому не об'єднати всі ресурси в один список? Відповідь дуже проста, при зміні всього одного інтернет-ресурсу, ви будете змушені переглядати весь список, тому що за одними подсетям ви орієнтуватися буде складно.

Адреси можна додавати як вручну через термінал з WinBox> New Terminal.

Список підмереж для ресурсів ВКонткте

/ Ip firewall address-list add address = 87.240.128.0 / 18 list = vkcom add address = 93.186.224.0 / 20 list = vkcom add address = 95.142.192.0 / 20 list = vkcom add address = 95.213.0.0 / 17 list = vkcom add address = 185.32.248.0 / 22 list = vkcom add address = 95.213.0.0 / 18 list = vkcom add address = 95.142.207.0 / 24 list = vkcom add address = 95.142.206.0 / 24 list = vkcom add address = 95.142.204.0 / 23 list = vkcom add address = 95.142.203.0 / 24 list = vkcom add address = 95.142.202.0 / 24 list = vkcom add address = 95.142.201.0 / 24 list = vkcom add address = 95.142.200.0 / 21 list = vkcom add address = 95.142.192.0 / 21 list = vkcom add address = 93.186.232.0 / 21 list = vkcom add address = 93.186.224.0 / 21 list = vkcom add address = 185.32.251.0 / 24 list = vkcom add address = 185.32.250.0 / 24 list = vkcom add address = 185.32.248.0 / 23 list = vkcom add address = 185.29.130.0 / 24 list = vkcom Або попередньо завантаживши в пам'ять мікротіка необхідні списки у вигляді командних файлів з дозволом RS C. Файли в Mikrotik завантажуються шляхом звичайного петасківанія на вікно WinBox> Files. Або ж за допомогою кнопки Upload, якщо Drag-n-Drop з якихось причин не працює. Після чого імпортуєте списки командою:
import file = vkcom.rsc Де vkcom.rsc - назва файлу зі списком.

Список підмереж для ресурсів Яндекса (в т.ч. КиноПоиск)

/ Ip firewall address-list add address = 5.45.192.0 / 18 list = yandex add address = 5.255.192.0 / 18 list = yandex add address = 37.9.64.0 / 18 list = yandex add address = 37.140.128.0 / 18 list = yandex add address = 77.88.0.0 / 18 list = yandex add address = 84.201.128.0 / 18 list = yandex add address = 87.250.224.0 / 19 list = yandex add address = 93.158.128.0 / 18 list = yandex add address = 95.108.128.0 / 17 list = yandex add address = 100.43.64.0 / 19 list = yandex add address = 130.193.32.0 / 19 list = yandex add address = 141.8.128.0 / 18 list = yandex add address = 178.154.128.0 / 17 list = yandex add address = 199.21.96.0 / 22 list = yandex add address = 199.36.240.0 / 22 list = yandex add address = 213.180.192.0 / 19 list = yandex add address = 93.158.134.0 / 24 list = yandex add address = 87.250.255.0 / 24 list = yandex add address = 87.250.254.0 / 24 list = yandex add address = 87.250.251.0 / 24 list = yandex add address = 87.250.250.0 / 24 list = yandex add address = 87.250.247.0 / 24 list = yandex add address = 77.88.8.0 / 24 list = yandex add address = 77.88.55.0 / 24 list = yandex add address = 77.88.54.0 / 24 lis t = yandex add address = 77.88.44.0 / 24 list = yandex add address = 77.88.35.0 / 24 list = yandex add address = 77.88.21.0 / 24 list = yandex add address = 77.75.159.0 / 24 list = yandex add address = 77.75.152.0/22 ​​list = yandex add address = 5.45.240.0 / 24 list = yandex add address = 5.45.232.0 / 24 list = yandex add address = 5.45.229.0 / 24 list = yandex add address = 5.45.217.0 / 24 list = yandex add address = 5.45.213.0 / 24 list = yandex add address = 5.45.205.0 / 24 list = yandex add address = 5.45.196.0 / 24 list = yandex add address = 5.255.255.0 / 24 list = yandex add address = 5.255 .200.0 / 24 list = yandex add address = 5.255.196.0 / 24 list = yandex add address = 5.255.195.0 / 24 list = yandex add address = 37.9.112.0 / 24 list = yandex add address = 213.180.204.0 / 24 list = yandex add address = 213.180.202.0 / 24 list = yandex add address = 213.180.199.0 / 24 list = yandex add address = 213.180.193.0 / 24 list = yandex add address = 185.71.79.0 / 24 list = yandex add address = 185.71. 78.0 / 24 list = yandex add address = 185.71.77.0 / 24 list = yandex add address = 185.71.76.0 / 24 list = yandex add address = 185.71. 76.0 / 22 list = yandex add address = 185.32.186.0 / 24 list = yandex add address = 185.32.185.0 / 24 list = yandex add address = 178.154.170.0 / 24 list = yandex add address = 178.154.131.0 / 24 list = yandex add address = 109.235.165.0 / 24 list = yandex add address = 109.235.160.0 / 21 list = yandex add address = 100.43.87.0 / 24 list = yandex

Список підмереж для Одноклассники.ru

/ Ip firewall address-list add address = 5.61.16.0 / 21 list = okru add address = 5.61.232.0 / 21 list = okru add address = 79.137.157.0 / 24 list = okru add address = 79.137.183.0 / 24 list = okru add address = 94.100.176.0 / 20 list = okru add address = 95.163.32.0 / 19 list = okru add address = 128.140.168.0 / 21 list = okru add address = 178.22.88.0 / 21 list = okru add address = 178.237.16.0 / 20 list = okru add address = 185.5.136.0 / 22 list = okru add address = 185.6.247.0 / 24 list = okru add address = 185.16.244.0 / 22 list = okru add address = 188.93.56.0 / 21 list = okru add address = 194.186.63.0 / 24 list = okru add address = 195.211.20.0 / 22 list = okru add address = 195.218.168.0 / 24 list = okru add address = 195.218.190.0 / 23 list = okru add address = 217.20.144.0 / 20 list = okru add address = 217.69.128.0 / 20 list = okru

Список підмереж для ресурсів Mail.ru

/ Ip firewall address-list add address = 5.61.16.0 / 21 list = mailru add address = 5.61.232.0 / 21 list = mailru add address = 79.137.157.0 / 24 list = mailru add address = 79.137.183.0 / 24 list = mailru add address = 94.100.176.0 / 20 list = mailru add address = 95.163.32.0 / 19 list = mailru add address = 128.140.168.0 / 21 list = mailru add address = 178.22.88.0 / 21 list = mailru add address = 178.237.16.0 / 20 list = mailru add address = 185.5.136.0 / 22 list = mailru add address = 185.6.247.0 / 24 list = mailru add address = 185.16.244.0 / 22 list = mailru add address = 188.93.56.0 / 21 list = mailru add address = 194.186.63.0 / 24 list = mailru add address = 195.211.20.0 / 22 list = mailru add address = 195.218.168.0 / 24 list = mailru add address = 195.218.190.0 / 23 list = mailru add address = 217.20.144.0 / 20 list = mailru add address = 217.69.128.0 / 20 list = mailru add address = 195.211.21.0 / 24 list = mailru add address = 195.211.22.0 / 24 list = mailru add address = 195.211.20.0 / 24 list = mailru add address = 208.87.94.0 / 24 list = mailru add address = 195.211.130.0 / 23 list = mailru add address = 195.211.1 28.0 / 24 list = mailru add address = 195.211.128.0 / 23 list = mailru add address = 195.211.128.0 / 22 list = mailru add address = 185.16.244.0 / 23 list = mailru add address = 185.16.148.0 / 22 list = mailru add address = 128.140.170.0 / 24 list = mailru

Списки адрес знаходяться в розділі IP - Firewall - Address Lists.

маркування пакетів

Для того, щоб відібрати тільки заблоковані ресурси, необхідно знайти і промаркувати необхідні пакети. Робиться це в IP - Firewall - Mangle.

При створенні вказуємо наступні параметри:

chain = prerouting

action = mark-routing

dst-address-list = mailru (список адрес)

src-address = 192.168.106.0 / 24 (локальна підмережа)

Замість 192.168.106.0/24 необхідно вказувати свою локальну підмережу, з якої будуть йти звернення. Як нескладно здогадатися, dst-address-list це кінцевий адресу (зі списку). Для всього трафіку, що задовольняє даним умовам, буде встановлена ​​відповідна позначка Traffic_XXXXX.

/ Ip firewall mangle add action = mark-routing chain = prerouting comment = "Mark mail.ru" dst-address-list = mailru new-routing-mark = Traffic_mailru passthrough = no src-address = 192.168.106.0 / 24 add action = mark-routing chain = prerouting comment = "Mark ok.ru" dst-address-list = okru new-routing-mark = Traffic_okru passthrough = no src-address = 192.168.106.0 / 24 add action = mark-routing chain = prerouting comment = "Mark vk.com" dst-address-list = vkcom new-routing-mark = Traffic_vkcom passthrough = no src-address = 192.168.106.0 / 24 add action = mark-routing chain = prerouting comment = "Mark Yandex" dst- address-list = yandex new-routing-mark = Traffic_yandex passthrough = no src-address = 192.168.106.0 / 24

Створення VPN-підключення

Як приклад скористаємося безкоштовним сервісом VPN PPTP - SuperFreeVPN . Для прикладу виберемо сервер, розташований в Лондоні (Великобританія) - IP 77.92.68.65 (uk.superfreevpn.com), логін free, пароль 1891. Зверніть увагу, тип підключення PPTP або L2TP. Мінусом конкретно даного сервісу є те, що він постійно змінює паролі для підключення до сервера, ми ж використовуємо його виключно як приклад.

Створення підключення до VPN здійснюється в розділі PPP - Interface, натискаємо синій плюс і вибираємо необхідний тип підключення.

/ Interface pptp-client add comment = "VPN Failover" connect-to = uk.superfreevpn.com disabled = no name = pptp-to-freevpn password = 1891 user = free

Важливо! Не використовуйте опцію «Add Default Route», в іншому випадку весь трафік піде через VPN.

Зверніть увагу, деякі сервери можуть, як вимагати шифрування, так і не використовувати його зовсім, тому якщо з'єднання не вдалося - перевірте поточного профілю підключення (PPP - Profiles). Для L2TP, в кращому випадку, використовується MPPE 128-bit, який вже давним-давно скомпрометований.

Кращим варіантом буде використання OpenVPN, зокрема з преміум-аккаунтом. Також не забувайте, що RouterOS не підтримує поки TLS для OpenVPN.

Більшість безкоштовних серверів можуть бути нестабільні як в плані доступності, так і в плані швидкості. До того ж, ніхто не гарантує збереження ваших особистих даних. З урахуванням вищесказаного, до вибору постачальника послуг варто підійти відповідально. Як мінімум, завжди використовуйте захищене з'єднання (HTTPS) при роботі з сайтами.

Налаштування маськарадінг

Сам Mikrotik вже знає про новий шлюз, а для того, щоб ресурсами VPN-каналу змогли користуватися інші користувачі локальної мережі, необхідно налаштувати маськарадінг.

Робиться це в розділі IP - Firewall - NAT. Для out-interface обов'язково слід вказати правильну назву вашого VPN-підключення.

/ Ip firewall nat add action = masquerade chain = srcnat out-interface = pptp-to-freevpn

Додавання статичних маршрутів

Після настройки маськарадінг переходимо до завершального кроку - створення статичних маршрутів. Робиться це в розділі IP - Routers.

/ Ip route add comment = "Route MAIL.RU" distance = 1 gateway = pptp-to-freevpn routing-mark = Traffic_mailru add comment = "Route OK.RU" distance = 1 gateway = pptp-to-freevpn routing-mark = Traffic_okru add comment = "Route VK.COM" distance = 1 gateway = pptp-to-freevpn routing-mark = Traffic_vkcom add comment = "Route YANDEX" distance = 1 gateway = pptp-to-freevpn routing-mark = Traffic_yandex

При створенні маршрутів кінцевий адресу задаємо як і для звичайного інтернет підключення -0.0.0.0 / 0, в якості шлюзу (gateway) необхідно вказати VPN-підключення (в нашому випадку pptp-to-freevpn). Обов'язково вибираємо routing-mark зі списку. Таким чином ми створюємо статичний маршрут для промаркованого трафіку.

Ось власне і все, якщо все зроблено правильно, а VPN робочий - ви зможете отримати доступ до необхідних ресурсів. Також можете почитати офіційну документацію Mikrotik по Policy Base Routing.

Як дізнатися IP певного сайту?

Трохи вище, в якості прикладу, опубліковані загальні списки IP-адрес і діапазонів, що належать відповідним ресурсів. Списки надано як є, без претензій до їх точності. Настійно рекомендую формувати список самостійно, так би мовити «під себе».

У випадку зі звичайними інтернет-сайтам, звичайно потрібно додати всього 1-2 IP-адреси, в той час як для великих проектів може використовуватися кілька діапазонів. Як же знайти всі IP за певним навіщо він потрібен?

В якості найбільш простого варіанту, з під Windows (виклик командного рядка - комбінація Win + R) можна використовувати стандартну команду:

nslookup <домен>
Недоліком такого методу є отримання неповного списку адрес - деякі сервіси можуть віддавати всього 2 записи з Х, а на наступний день вони вже могуть стати іншими. Для пошуку найбільш повного списку всіх адрес, можна скористатися спеціальними сервісами . За допомогою пошуку від Hurricane Electric, можна здійснювати пошук, як по доменному домену (наприклад, youtube.com), так і за назвою компанії, яка володіє пулом адрес (наприклад, Youtube або YouTube, LLC).

Редагування, оновлення і додавання нових ресурсів

Ще однією незаперечною преімществом роздільних списків є те, що в будь-який момент можна додавати, видаляти або змінювати окремі списку, при цьому інші ресурси не будуть порушені.
Список підмереж для Лабораторії Касперського
/ Ip firewall address-list add address = 93.159.230.0 / 23 list = kaspersky add address = 93.159.228.0 / 23 list = kaspersky add address = 93.159.224.0 / 22 list = kaspersky add address = 91.103.64.0 / 21 list = kaspersky add address = 77.74.183.0 / 24 list = kaspersky add address = 77.74.180.0 / 22 list = kaspersky add address = 77.74.178.0 / 23 list = kaspersky add address = 77.74.177.0 / 24 list = kaspersky add address = 77.74.176.0 / 24 list = kaspersky add address = 185.85.15.0 / 24 list = kaspersky add address = 185.85.14.0 / 24 list = kaspersky add address = 185.85.12.0 / 24 list = kaspersky add address = 185.54.221.0 / 24 list = kaspersky add address = 185.54.220.0 / 24 list = kaspersky

Ну і, звичайно ж, щоб почати обробку нового списку, необхідно створити новий Мангла (промаркувати пакети) і статичний маршрут для нового списку (загальний принцип описаний вище).

Що робити, якщо Policy Based Routing повільно працює?

На деяких конфігураціях може виникнути проблема, суть якої полягає в тому, що при прямому підключенні по VPN на ПК - все працює швидко, але якщо налаштувати Policy Based Routing за вищевказаною наприклад в Mikrotik, сайти починають відкриваються повільно.

Проблема вирішується відключенням FastTrack в IP - Firewall - Filter Rules.

Підтримка FastTrack була додана, починаючи з RouterOS 6.29, якщо коротко, функція дозволяє пересилати деякі пакети без додатково обробки. У деяких конфігураціях, дана функція дозволяє істотно (в кілька разів) прискорити обробку пакетів і знизити навантаження на процесор.

Що робити, якщо провайдер робить підміну DNS-записів?

Для того, щоб показувати клієнту сторінку-заглушку, замість кінцевого URL, провайдери практикують підміну DNS-записів. Перевірити це дуже легко: відкриваємо командний рядок і робимо tracert для необхідного домену, після чого перевіряємо whois для кінцевого IP, який асоційовані з доменним ім'ям. Якщо IP не належить кінцевому ресурсу, значить має місце підміна DNS-записи.

У такому випадку, якщо ви використовуєте DNS провайдера, при підключенні по VPN, для кінцевого домену буде використовуватися IP, наданий провайдером. Тому, при зверненні до домену навіть через VPN, в кінцевому підсумку, ви назад потрапите на сторінку з заглушкою (якщо це зовнішній IP) або отримаєте помилку "сервер не знайдений" (якщо IP недоступний). В цьому випадку необхідно відмовитися від використання DNS провайдера (use-peer-dns = no), наприклад:

/ Ip dhcp-client add comment = "default configuration" dhcp-options = hostname, clientid disabled = no interface = ether1-gateway use-peer-dns = no

Або через інтерфейс Winbox: зайти в підміню IP - DHCP Client, вибрати своє підключення до Інтернет і відключити в його профілі опцію "Use Peer DNS".

Далі необхідно задіяти сторонні DNS-сервери, наприклад Google DNS (8.8.8.8, 8.8.4.4), Яндекс DNS (77.88.8.8, 77.88.8.1) і / або будь-який інший сервер:

/ Ip dns set allow-remote-requests = yes cache-size = 1024KiB query-server-timeout = 1s servers = 8.8.8.8,8.8.4.4,77.88.8.8,77.88.8.1

Після чого виполняетм очищення кеша DNS-записів:

/ Ip dns cache flush

Або в Winbox: в розділі IP - DNS - Cache - Flush Cache.

Що робити, якщо провайдер перехоплює звернення до стороннього DNS?

На практиці можливі випадки, коли провайдер перехоплює звернення до зовнішніх DNS-сервісів (використовуючи DNAT), повертаючи при цьому клієнтові змінений відповідь від сервера, в якому можна відразу підставити сторінку з заглушкою. В цьому випадку всі звернення до зовнішнього DNS також необхідно загортати в VPN, наприклад:

/ Ip firewall address-list add address = 8.8.8.8 list = dns add address = 8.8.4.4 list = dns add address = 77.88.8.8 list = dns add address = 77.88.8.1 list = dns / ip firewall mangle add action = mark -routing chain = prerouting comment = "Mark DNS traffic" dst-address-list = dns new-routing-mark = Traffic_dns passthrough = no src-address = 192.168.106.0 / 24 / ip route add check-gateway = ping comment = " Route DNS "distance = 1 gateway = l2tp-to-germany routing-mark = Traffic_dns

Є у цього методу і мінус: при підключенні до сервера VPN по dns-імені, може виникнути проблема, пов'язана з неможливістю отримання IP, тому що підключення по імені, а відповіді від DNS приймаються тільки всередині тонеля.

Відеокурс «Налаштування обладнання MikroTik» (аналог MTCNA)

Вчіться працювати з MikroTik? Рекомендую відеокурс « Налаштування обладнання MikroTik ». В курсі розібрані всі теми з офіційною навчальної програми MTCNA і багато додаткового матеріалу. Курс поєднує теоретичну частину і практику - настройку маршрутизатора за технічним завданням. Консультації за завданнями курсу веде його автор Дмитро скоромні. Підійде і для першого знайомства з обладнанням MikroTik, і для систематизації знань досвідченим фахівцям.