MikroTik WEB Proxy

Ще се запитате, какъв е смисъла от WEB Proxy при условие, че съществува SOCKS такова. Независимо, че WEB проксито товари повече процесора и прекарва само HTTP/HTTPS има едно огромно предимство. Може да се управлява ограничение по домейн, тип файл и т.н. Това е така защото WEB прокси проверява какво преминава през него, докато SOCKS просто прехвърля. Да разгледаме следната схема:

Mikrotik-a ще играе ролята на WEB Proxy. Ще е свързан с Internet през ether1 и ще получава настройките си по DHCP клиент. Останалите портове ще са в бридж, на който ще има DHCP сървър. В защитната стена няма да има никакви правила (няма SNAT/DNAT както всякакви други правила). Да покажем общите настройки на Mikrotik.

/system identity set name=Mikrotik /ip dns set allow-remote-requests=yes /ip dhcp-client add interface=ether1 /interface bridge add name=bridge1 /interface bridge port add bridge=bridge1 interface=ether2 add bridge=bridge1 interface=ether3 add bridge=bridge1 interface=ether4 /ip address add address=10.0.0.1/24 interface=bridge1 network=10.0.0.0 /ip pool add name=dhcp_pool0 ranges=10.0.0.200-10.0.0.254 /ip dhcp-server add address-pool=dhcp_pool0 interface=bridge1 name=dhcp1 /ip dhcp-server network add address=10.0.0.0/24 dns-server=10.0.0.1 gateway=10.0.0.1

Сега ако се пробваме да се свържем с Mikrotik през Win или Linux ще получим IP в 10.0.0.0/24.

WEB Proxy

Нека да конфигурираме и активираме WEB Proxy. Първо ще покажа командите през терминал, а после ще се постарая да обясня всички стъпки чрез картинки от WinBOX.

### Стартиране на WEB Proxy /ip proxy set enabled=yes ### Забрана на някои домейни в прокси сървъра ### Забрана на някои домейни съдържащи определени символи ### Забрана за смъкване на файлове с определени разширения /ip proxy access add action=deny disabled=no dst-host=facebook.com add action=deny disabled=no dst-host=*facebook.com add action=deny disabled=no dst-host=twitter.com add action=deny disabled=no dst-host=*twitter.com add action=deny disabled=no dst-host=*radio* add action=deny disabled=no dst-host=*sex* add action=deny disabled=no dst-host=*tube* add action=deny disabled=no dst-host=*porn* add action=deny disabled=no dst-host=*xxx* add action=deny disabled=no path=*mp3 add action=deny disabled=no path=*wav add action=deny disabled=no path=*wmv add action=deny disabled=no path=*avi add action=deny disabled=no path=*.torrent add action=deny disabled=no path=*.mkv add action=deny disabled=no path=*.swf add action=deny disabled=no path=*.mp4 add action=deny disabled=no path=*.flv ### Пренасочване към прокси сървъра на HTTP и HTTPS /ip firewall nat add action=redirect chain=dstnat dst-port=80,443 protocol=tcp src-address=\ 10.0.0.0/24 to-addresses=0.0.0.0 to-ports=8080

А сега през WinBOX.

Активираме WEB Proxy. За сега другите полета не ни вълнуват. Обърнете внимание, ползваме порт 8080.

Настройка на Linux/Win клиент

Настройката може леко да се различава в зависимост от това какъв браузър се ползва. Ако е Firefox настройката се прави в самия браузър, докато в Chrome подобни при Windows машините настройката се прави в самия Windows. Да започнем с Linux където по подразбиране браузъра е Firefox. Между другото същата логика е и при Windows.

Така търсим прокси сървър на адрес 10.0.0.1 с порт 8080,

Вече спокойно можем да браузваме. Сега да се върнем на Mikrotik и да оптимизираме самото прокси. Да забраним някои сайтове и файлове с дадени разширения.

Забраняваме достъпа до сайта facebook.com.

Забраняваме достъпа до сайта facebook.com и всичките му под домейни.

Забраняваме достъпа до всички сайтове включващи в домейн името си част от символите sex.

Забраняваме достъпа до файлове съдържащи в себе си mp3.

Крайния резултат е както на горната картинка.

Без настройки по клиента

Това беше по-простия начин на настройка на WEB Proxy. Има една досада. На всеки клиент трябва да се настройва браузъра, а има решение на проблема използвайки защитната стена. Отново първо командата през терминал.

/ip firewall nat add action=redirect chain=dstnat dst-port=80,443 protocol=tcp src-address=\ 10.0.0.0/24 to-addresses=0.0.0.0 to-ports=8080

А сега през WinBOX.

Отново имаме достъп до Internet. В груб вариант това беше всичко. Може да си поиграете да определите кой има право да ползва прокси сървъра чрез дефиниране на име и парола. Освен това за намаляване натовареността на процесора може да използвате директен достъп (така нареченото прозрачно прокси) и още много неща но това оставям на Вас.