ش ی لت ر در میکروتیک نیاز به تعریف ای پی

[alinikyar]

سلام
من سناریوی زیر را اجرا کردم برای به دست آوردن آی پی های سایت ها به عنوان مثال ی و تی وب مشکل دارم تعداد ای پی های سایت مذکور بسیار زیاد است ایا راه آسان تری برای باز کردن سایت ها می باشد.

https://wiki.mikrotik.com/wiki/Policy_Base_Routing

---

موضوعات مشابه:

• ارتباط تعداد سی پی یو در سرور hp با تعداد هسته سی پی یو
• تعریف یه آی پی روی دی ان اس
• مشکل تعریف آی پی در میکروتیک
• سابنت مسک،آدرس شبکه و تعداد کلاینت های آی پی 46.143.202.62/26
• تعریف دو رنج آی پی با قابلیت دیدن هم

---

[shahani]

میتوانید برعکس عمل کنید، یعنی تمام داده پورت های 443 و 80 TCP را از داخل وی پی ان با مارک گذاری ارسال نمایید.
سپس قبل از این رول یا در همین رول منگل، استثنا قرار دهید و سایت های ایرانی که نمیخواهید تانل شوند را مارک گذاری نکنید.
وب سایت های بزرگی مثل یوتیوب و فیسبوک بیشمار آی پی دارند که دائم تغییر نیز میکنند، بنابراین استفاده از آی پی راه مناسبی برای مارک کردن این وب سایت ها نیست، اما مثلا برای تلگرام با توجه به رنج کم آن، استفاده از آی پی برای مارک گذاری خوب است.

روش دیگری که برای مارک گذاری میتوانید اعمال کنید، استفاده از لایه هفت است که اگر کاربری در بروزر خاص خود آدرس وب سایت مشخصی را وارد نمود، داده آن مارک گذاری شود، این روش بار پردازشی خیلی زیادی به روتر تحمیل میکنه و اگه روتر بسیار پرقدرتی ندارید، استفاده از آن را اصلا پیشنهاد نمیکنم.
علاوه بر این که استفاده از این لایه و نوشتن رول های آن نیز اصلا کار ساده ای نیست.

نمونه ای برای شما از روتر خودم می آورم :



در تصویر بالا رول شماره 0 / 1 و 2 مربوط به عملیات فست ترکینگ هستند که بعضی داده ها شبکه داخلی ، مربوط به فایل شرینگ و غیره را به سرعت و بدون بررسی در جدول منگل از روی روتر عبور میدهد.

رول شماره 3 برای اینکه تمام داده های یک دیوایس بصورت کامل به داخل تانل وی پی ان ارسال شود نوشته شده است و در زمان تست سرعت تانل وی پی ان میتواند مفید باشد

رول شماره 4 برای این است که تمام داده های یک نود بطور کامل بدون مارک گذاری و از طریق مسیر پیشفرض روتر به سمت اینترنت برود نوشته شده است که وجود چنین رولی میتواند برای تست و عیب یابی مفید باشد.

رول شماره 5 تمام داده هایی که به سمت "آدرس لیست" ساخته شده سرور های تلگرام (که با نام T-VPN اماده شده است) می رود را مارک روتینگ کرده تا از داخل وی پی ان عبور کند. (البته چون تمام این داده ها بر روی پورت 443 TCP هستند این شرط نیز به این رول اضافه شده است تا سرعت انجام عملیات بالاتر رود.

رول شماره 6 تمام پکت های اول هر ارتباط جدید که از نوع new / Related هستند را بررسی میکند و اگر از مبدا کلاینت خاصی (که نیاز به ارتباط مستقیم دارد) باشد، کل کانکشن پکت مربوطه را مارک گذاری میکند. (با اعمال - passthrough برای انتقال این داده ها به خط بعد برای بررسی)
رول شماره 7 تمام داده، کانکشن های مارک گذاری شده را قبول کرده و از جدول منگل خارج میکند. (عملیات مارک گذاری کانکشن ها برای کاهش بار ترافیکی روتر انجام می شود و میتوان بجای آن از ابتدا تمام پکت های داده را Accept نمود یا روتینگ مارک نمود)
- در مجموع رول های 5-6-7 یک دستگاه و نود خاص در شبکه داده های تلگرامش از داخل تانل وی پی ان عبور کرده و مابقی داده های آن دستگاه بطور مستقیم متصل می گردند.

رول شماره 8 پورت های TCP 80 - 443 را پکت اول ایجاد یک کانکشن جدید را بررسی میکند (new / Related) سپس بررسی میکند که مقصد داده این پکت به کجاست، در لیست آدرس All Direct لیستی از رنج تمام آی پی سرورهای بانکی،بازی ها، نرم افزارهای داخلی، اینستاگرام و غیره وجود دارد.
در این رول بررسی می شود و اگر مقصد داده، یکی از آی پی های آن لیست نباشد، کل کانکشن آن داده برای ارسال به داخل تانل وی پی ان مارک گذاری می شود.
بجز آن پورت های گوگل پلی نیز مارک گذاری می شود، تا افراد داخل شبکه بتوانند به سادگی به تمام برنامه های گوگل استور دسترسی داشته باشند و تحریم آن دور زده شود.(با اعمال passthrough برای انتقال این داده ها به خط بعد برای بررسی دوباره و مارک روتینگ)

رول شماره 9 - مشابه رول 8 همین کار را برای پورت UDP 80 443 انجام می دهد که برنامه ها و یا وب سایت هایی که با استفاده از این پورت ارتباط برقرار میکنند، کانکشن آنها مارک گذاری شود.(با اعمال passthrough برای انتقال این داده ها به خط بعد برای بررسی دوباره و مارک روتینگ)

رول شماره 10- تمام پکت هایی که مارک کانکشن شده اند را روتینگ مارک میکنند تا در جدول روتینگ روتر مورد استفاده قرار گرفته و به سمت وی پی ان ارسال شود.

- رول های شماره 8-9-10 تمام داده های وب سایت ها که کاربران و نود های داخل شبکه اقدام به بازکردن آنها کرده اند را به داخل تانل وی پی ان ارسال می کند بجز آن رنج آی پی هایی که استثنا قرار گرفته و مورد نیاز است که بصورت مستقیم ارتباطشان برقرار شود.
همینطور تمامی پورت های دیگر که بازی ها و برنامه های مختلف از آنها استفاده میکنند بصورت مستقیم به اینترنت متصل شده و ارتباط سریعتر خواهند داشت.

رول شماره 11 تا 14 برای مارک گذاری داده های خروجی از خود روتر هستند که نیاز است از داخل تانل وی پی ان عبور کنند.
سرویس DNS برای دریافت آی پی های سالم و غیر فیلتر شده وب سروها، حتما باید مارک گذاری شده و از داخل وی پی ان عبور کند.
در رول شماره 11 و 12 داده های خروجی از روتر که به مقصد آی پی های سرورهای بین المللی DNS می روند مارک گذاری می شوند (این آدرسها در بخش IP/DNS روتر به عنوان لیست سرورهایی که روتر باید از آنها به عنوان دی ان اس سرور استفاده نماید، مشخص شده اند)

رول 13- سرویس وب و بعضی ارتباطات وب که به مقصد سرورهای تلگرام می رود نیز باید از داخل تانل عبور کند. البته برای شما ضروری نیست و مربوط به برقراری ارتباط با ربات تلگرامی این روتر و ارسال پیام های وضعیت شبکه به روی تلگرام است.
همینطور سرویس SNTP روتر که برای تنظیم دقیق ساعت است و اگر سرورهای خارجی ساعت، دچار فیلترینگ شدند، میتوان از آن استفاده نمود و ارتباط را برقرار نمود تا ساعت روتر همواره دقیق باشد.

رول های پایین تر به موضوع ما مرتبط نیست و مربوط به سرویس WebProxy و همینطور فعالیت FailOver و تعویض مودم ها در صورت قطع شدن اینترنت یکی از مودمهاست.

===
علت اینکه پیشنهاد میکنم در استفاده از صفحات وب بصورت معکوس عمل کرده و همه داده ها را به تانل بفرستید بجز آنهایی که نمی خواهید، این است که حجم میلیاردی صفحات وب بسیار گسترده است و فیلترینگ حجم عظیمی از آنها را مسدود نموده است، در صورتی که سرورهای باز و یا داخلی، که گاها نیم بها حساب میشود شاید تعدادشان به پانصد عدد نیز نرسد و نمیتوان آنرا بطور کلی با شبکه جهانی اینترنت مقایسه نمود.

[shahani]

یک پیشنهاد دیگه نیز میتونم به شما بدم، درصورتی که مایل هستید یک یا فقط دو وب سایت را تانل کنید
میتونید یک آی پی از وب سایت مورد نظرتون رو انتخاب کنید و اون رو در بخش Ip/DNS/Static وارد کنید



سپس در بخش فایروال منگل - دقیقا همان آی پی را مارک گذاری کنید و داده هایی که به سمت آن آی پی ارسال می شود از داخل تانل وی پی ان عبور میکند، با توجه به اتوماتیک بودن دی ان اس سرور و استفاده کاربران شما از سرور دی ان اس میکروتیک، همواره در زمان سوال پرسیدن در مورد مقصد وب سایت، همان آی پی وارد شده شما، به کاربران برای ارتباط بازگردانده می شود و ارتباط آنها برقرار خواهد شد.

البته در نظر داشته باشید در این روش، اگر آی پی وارد شده شما از سرویس دهی خارج شود و یا بار ترافیکی آن کامل پر شده باشد، کاربران برای دسترسی به آن با اشکالاتی روبرو خواهند شد.