Как заблокировать steam на роутере mikrotik

For people living in third world economies, where uncapped high speed broadband internet is only a myth, we are forced to come up with creative means of managing our bandwidth.

The scenario is this:
You have two internet connections, one, a high speed capped internet connection, the other a low speed uncapped option. You would want all game and Steam client traffic to run over the high speed connection, but all Steam downloads have to be routed through the slow uncapped connection. We assume that the default route is through the uncapped connection, and only specific traffic gets routed over the high speed link.

From the Steam website you can find the following port information:

Steam Client:

• UDP 27000 to 27015 inclusive (Game client traffic)
• UDP 27015 to 27030 inclusive (Typically Matchmaking and HLTV)
• TCP 27014 to 27050 inclusive (Steam downloads)
• UDP 4380

Dedicated or Listen Servers

• TCP 27015 (SRCDS Rcon port)

Steamworks P2P Networking and Steam Voice Chat

I have PPPoE Server running for my LAN users through Mikrotik (PPPoE Users IPs = 192.168.0.0/16), my Mikrotik router also provides DHCP for LAN users (LAN Users IPs = 172.16.0.0/16) however my DHCP Server only provides IP Address and Appropriate Subnet Mask to LAN users through DHCP (172.16.0.3/255.255.0.0). Now I want to Block Games Over the Network such as Counter Strike. I know that Counter Strike uses TCP 27015 but no matter I make filter rules it does not block Counter Strike over LAN. Basically I don’t want my LAN users to make their own Counter STrike Game servers instead I will create one for them.

If you want to isolate your clients , set up client isolation on the AP’s/ OR Do Port isolation on the switch ports . Then no matter what settings user places on their PC, they will not be able to scan and find other hosts on the network.

If it’s not possible for u get manageable switches, Then the very last you can do is to limit there access by create DHCP subnet of /32
Goto DHCP-server > Networks (Take properties of your subnet) > Set Netmask to 32.
This way user will get 255.255.255.255 subnet and it will prevent them from being able to directly access other users computers.

But Remember, It makes it a bit more difficult to scan using this trick, but it is easier to change IP and your MAC address as client have full control over there pc’s. It just At it’s best. it prevents normal/casual users, but there is nothing to prevent people that are determined to do so.

Also Place your Counter Strike Server behind Mikrotik’s DMZ, this way only pppoe connected users will be able to Connect with your CS Server.

Use Firewall Filters rules then to allow/deny access to specific targets.

You mentioned you are using src-port=27000-27050, source ports are dynamic, they changem
use dst-port instead.

Время на прочтение
3 мин

Количество просмотров 173K

На написание данной статьи меня сподвиг тот факт, что старший ребенок стал по ночам вместо того чтобы укладываться спать, смотреть на своем смартфоне всякие ролики на youtube, до поздней ночи, а так же замена домашнего роутера с TP-Link TL-WR1043ND на MikroTik RB951G-2HnD.

Поизучав интернеты, наткнулся на презентацию от 2017 года на канале микротика в ютубе. Там описывалось, как не надо делать и как делать правильно. Возможно, для многих продвинутых пользователей MikroTik и RouterOS это не будет открытием, но надеюсь что поможет начинающим пользователям, как я, не заблудиться в дебрях вариантов, предлагаемых в интернете.

Начнем с часто предлагаемого варианта в интернете (так не надо делать!!!):

● /ip firewall layer7-protocol
add name=youtube regexp="^.+(youtube).*$"
add name=facebook regexp="^.+(facebook).*$"

● /ip firewall filter
add action=drop chain=forward layer7-protocol=facebook
add action=drop chain=forward layer7-protocol=youtube

У данного решения следующие минусы: высокая нагрузка на cpu, увеличенная latency, потеря пакетов, youtube и facebook не блокируются.

Почему так происходит? Каждое соединение проверяется снова и снова, Layer7 проверяется не в том месте, что приводит к проверке всего трафика.

Правильное решение

Создаем правило с регулярным выражением для Layer7:

● /ip firewall layer7-protocol
add name=youtube regexp="^.+(youtube).*$"

Я блочил только ютуб, если нужен фейсбук или что-то иное, создает отдельные правила

add name=facebook regexp="^.+(facebook).*$"

Можно создавать правила и для других сервисов стримминга видео, вот один из вариантов:

regexp=”^.*youtube.com|youtu.be|netflix.com|vimeo.com|screen.yahoo.com|dailyMotion.com|hulu.com|twitch.tv|liveleak.com|vine.co|break.com|tv.com|metacafe.com|viewster.com).*$”

Далее создаем правила для маркировки соединений и пакетов:

● /ip firewall mangle
add action=mark-connection chain=prerouting protocol=udp 
dst-port=53 connection-mark=no-mark layer7-protocol=youtube new-connection-mark=youtube_conn passthrough=yes 
add action=mark-packet chain=prerouting connection-mark=youtube_conn new-packet-mark=youtube_packet

и правила для фильтра файрвола:

● /ip firewall filter
add action=drop chain=forward packet-mark=youtube_packet
add action=drop chain=input packet-mark=youtube_packet

У меня в домашней сети по dhcp раздаются статические ip-адреса, поэтому фильтр я применял к ip-адресу смартфона ребенка, можно создать группу адресов и применить к ней. Идем в меню IP>Firewall>AddressList нажимаем кнопку Add, вводим название группы и не забываем заполнить список адресов для блокировки.

Далее идем меню IP>Firewall>Mangle выбираем наши mark_connection и mark_packet и в поле Src. Address вбиваем блокируемый ip либо группу.

Все, девайс остался без ютуба, жестко, но в воспитательных целях нужно.

Так же можно применять эти правила по расписанию.

Буду рад комментариями и поправкам, если вы заметите какие то неточности, т.к. это моя первая статья на Хабре. По материалам канала MikroTik на Youtube. Внимание, эта статья не о том как ограничить доступ ребенку в интернет, ограничение доступа в ютуб — это просто пример. Статья об одном из способов ограничения доступа к нежелательным ресурсам.

Updt1, от avelor, блок по mac:

 ● /ip firewall filter
    add chain=input src-mac-address=aa:bb:cc:dd:ee:ff action=drop
    add chain=forward src-mac-address=aa:bb:cc:dd:ee:ff action=drop

можно заблочить и в dhcp — сделать lease и жмякнуть block access