Блокировка WhatsApp и Telegram в офисе на MikroTik: фильтрация L7
Зачем ограничивать мессенджеры в офисной сети?
Неконтролируемое использование мобильных и десктопных версий мессенджеров сотрудниками создает две проблемы: падение продуктивности и перегрузка рабочего интернет-канала постоянной передачей тяжелых видео- и фотофайлов.
| Мессенджер | Используемые протоколы | Сложность блокировки |
|---|---|---|
| Telegram | MTProto, HTTPS, Socks5, WebSockets | Высокая (динамические IP, обход блокировок) |
| HTTPS (443), WhatsApp Voice (UDP 3478, 4244) | Средняя (множество CDN серверов Meta) |
Настройка блокировки на маршрутизаторе MikroTik (RouterOS)
Блокировка Telegram через динамические списки IP (Address Lists)
Откройте терминал WinBox и добавьте правила перехвата DNS-запросов к доменам Telegram в отдельный список адресов:
/ip firewall address-list add list=Telegram_IPs address=t.me add list=Telegram_IPs address=telegram.org add list=Telegram_IPs address=web.telegram.org /ip firewall filter add chain=forward action=drop dst-address-list=Telegram_IPs comment="Block Telegram Traffic"Блокировка WhatsApp по TLS-Host и L7-сигнатурам
Для блокировки защищенных сессий без расшифровки SSL используется проверка TLS-Host (SNI):
/ip firewall filter add chain=forward action=drop protocol=tcp dst-port=443 tls-host=*whatsapp.com comment="Block WhatsApp Web/App" add chain=forward action=drop protocol=tcp dst-port=443 tls-host=*whatsapp.net add chain=forward action=drop protocol=udp dst-port=3478,4244 comment="Block WhatsApp Calls"Применение правил только к гостевой сети или компьютерам сотрудников
Чтобы руководство не потеряло доступ к связи, привяжите правила к входящему сетевому интерфейсу сотрудников (например,
bridge-office) или списку IP-адресов.
Совет: Избегайте использования тяжелых регулярных выражений в /ip firewall layer7-protocol на слабых роутерах (hEX lite, hAP mini), так как это загрузит процессор до 100%.
Частые вопросы (FAQ)
Почему Telegram продолжает работать после блокировки доменов?
Приложение Telegram имеет встроенные жестко прописанные IP-адреса серверов (DC 1–5). Для полной блокировки требуется закрывать ASN диапазоны номеров автономной системы Telegram (AS44907, AS62041).
Перестанут ли ходить голосовые звонки в WhatsApp?
Да, блокировка портов UDP 3478 и 4244 полностью предотвращает установление прямого аудио/видео соединения.
Можно ли разрешить мессенджеры только определенным отделам?
Да, в правиле Filter Rule укажите параметр <code>Src. Address List</code>, куда будут включены IP-адреса компьютеров руководителей, и установите для них действие Accept выше правил Drop.
Повлияет ли блокировка whatsapp.com на работу почты или сайтов?
Нет, блокировка по TLS Host затрагивает только сетевые пакеты, направленные конкретно к сервисам Meta/WhatsApp.