Не увеличит ли Layer7 нагрузку на микротик?

Question

[CityCat4]

Блокирую телеметрию WinX по IP. Это не слишком удобно, программисты часто жалуются на то, что в блокировку попадают сайты с сервисами MS (что логично - для MS телеметрия - тот же сервис :D). Хочу сделать правило с блокировкой через Layer7. Увеличивает ли использование Layer7 нагрузку? Микротик RB2011. Раньше не использовал, не было необходимости.

Answer 1

[Виктор Бельский]

Да, L7 фильтр значительно увеличивает нагрузку на железку. Вот выдержка с сайта.

Note: The L7 matcher is very resource intensive. Use this feature only for very specific traffic. It is not recommended to use L7 matcher for generic traffic, such as for blocking webpages. This will almost never work correctly and your device will exhaust it's resources, trying to catch all the traffic. Use other features to block webpages by URL.

Хотя, если роутер не сильно загружен, то можно и попробовать.

Comments

[CityCat4]

Хм. Надо попробовать и посмотреть на загрузку, если будет тормозить - возможно придется помощнее железку пробивать.

JFYI: Повышение нагрузки на RB2011 - очень заметно. Без L7 правила - в пике до 20%, с ним - в пике до 100%

Answer 2

[Сергей]

CityCat4, можете поделится своим опытом в блокировке телеметрии,
когда я попробовал блокировать телеметрию у пользователей возникли проблемы с zakupki.gov.ru.

Пример Layer 7

^.+(vortex.data.microsoft.com|vortex-win.data.microsoft.com|
telecommand.telemetry.microsoft.com|telecommand.telemetry.microsoft.com.nsatc.net|oca.telemetry.microsoft.com|
oca.telemetry.microsoft.com.nsatc.net|sqm.telemetry.microsoft.com|sqm.telemetry.microsoft.com.nsatc.net|
watson.telemetry.microsoft.com|watson.telemetry.microsoft.com.nsatc.net|redir.metaservices.microsoft.com|
choice.microsoft.com|choice.microsoft.com.nsatc.net|df.telemetry.microsoft.com|
reports.wes.df.telemetry.microsoft.com|wes.df.telemetry.microsoft.com|services.wes.df.telemetry.microsoft.com|
sqm.df.telemetry.microsoft.com|telemetry.microsoft.com|watson.ppe.telemetry.microsoft.com|telemetry.appex.bing.net|
telemetry.urs.microsoft.com|telemetry.appex.bing.net|settings-sandbox.data.microsoft.com|
vortex-sandbox.data.microsoft.com|survey.watson.microsoft.com|watson.live.com|watson.microsoft.com|
statsfe2.ws.microsoft.com|corpext.msitadfs.glbdns2.microsoft.com|compatexchange.cloudapp.net|cs1.wpc.v0cdn.net|
a-0001.a-msedge.net|statsfe2.update.microsoft.com.akadns.net|diagnostics.support.microsoft.com|
corp.sts.microsoft.com|statsfe1.ws.microsoft.com|pre.footprintpredict.com|i1.services.social.microsoft.com|
i1.services.social.microsoft.com.nsatc.net|feedback.windows.com|feedback.microsoft-hohm.com|
feedback.search.microsoft.com|rad.msn.com|preview.msn.com|ad.doubleclick.net|ads.msn.com|
ads1.msads.net|ads1.msn.com|a.ads1.msn.com|a.ads2.msn.com|adnexus.net|adnxs.com|
az361816.vo.msecnd.net|az512334.vo.msecnd.net).*$

Comments

[CityCat4]

Я отказался от идеи блокировки по Layer7 - она реально увеличивает нагрузку на микротик. Блокировать буду на прокси по именам, только пару самых злостных - по IP. Пробовал блокировать по IP, под блокировку попадает dist.nuget.org и бинговский переводчик, которые нужны программерам