Как разрешить только Skype на Mikrotik?

Question

[Александр Матковский]

Добрый.
Задача, запретить на маршрутизаторе Mikrotik весть "интернет" из сети, разрешить только Skype.
Подскажите как правильно эту задачу решать?

Пробовал разрешить только 80, 443 и 33033 порты на сервера Skype (список ip адресов серверов доставал через sniffer), но не заработало.
В теории это надо делать через Layer7, как например Basic traffic shaping based on layer-7 protocols. Но у меня тоже не заработало.

Comments

[Maksim]

Сообщите результат, по совету nimbo - интересно работает ли.

Answer 1

[Anton]

если нужно разрешить только доступ к определенным адресам, зачем указывать порты? укажите только адреса.

Comments

[Александр Матковский]

Делал только по адресам всё равно не получается. Копаю дальше ...

[Anton]

Александр Матковский: у вас сколько белых адресов? нужно иметь ввиду, что пользователи с белыми адресами устанавливают связь непосредственно друг с другом после авторизации на мастер-узле skype.
Под "не заработало" вы что получаете?

Answer 2

[nimbo]

https://virtualitsupport.wordpress.com/2013/12/09/...
от этого можно прыгать

Answer 3

[LESHIY_ODESSA]

1. Сделать NAT только для разрешенных IP.

Список IP Skype взят из гугла. Уточняйте его самостоятельно или зарядите в него весь Microsoft.

/ip firewall address-list add list=list-skype address=111.221.74.0/24
/ip firewall address-list add list=list-skype address=111.221.77.0/24
/ip firewall address-list add list=list-skype address=157.55.130.0/24
/ip firewall address-list add list=list-skype address=157.55.235.0/24
/ip firewall address-list add list=list-skype address=157.55.56.0/24
/ip firewall address-list add list=list-skype address=157.56.52.0/24
/ip firewall address-list add list=list-skype address=213.199.179.0/24
/ip firewall address-list add list=list-skype address=64.4.23.0/24
/ip firewall address-list add list=list-skype address=65.55.223.0/24

Поднимаем NAT только с разрешенных IP.

/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1 dst-address-list=list-skype

Проверил, у меня работает, но список IP перепроверьте.

2. Само собою такой же фокус можно провернуть в Firewall с правилом запрещающим всё, кроме разрешенного списка IP Skype.

/ip firewall filter
add chain=forward src-address-list=list-skype
add action=drop chain=forward dst-address-list=!list-skype