1. 为什么我们需要在RouterOS里屏蔽网站你可能觉得路由器不就是让设备能上网的吗干嘛要屏蔽网站这问题我十年前刚开始接触网络管理时也想过。但干了这么多年处理过无数企业网和家庭网的“疑难杂症”后我发现“能上”和“该上”完全是两码事。一个管理得当的网络就像一个有规矩的家不是所有门都该敞开。先说说我遇到过的几个真实场景。有一次一家小公司的老板找到我说感觉网速时快时慢员工上班总没精神。我一看内网流量监控好家伙下午两点到四点将近一半的带宽都被几个视频网站给占了。这哪是网速问题分明是“摸鱼”问题。还有一次一个朋友担心上初中的孩子沉迷网络游戏和某些社交平台问我有没有办法在家里的路由器上设个“门禁”。这些都不是个例。所以在RouterOS里屏蔽特定网站核心目的就三个提效率、保安全、省资源。对企业保障工作带宽让视频会议、文件传输这些正经事不卡顿同时也是一种软性的工作纪律引导。对家庭给孩子创造一个更干净的网络环境过滤掉一些不适合的内容这是很多家长的刚需。对任何网络主动屏蔽已知的钓鱼网站、恶意软件下载源这是最基本的安全防护能避免很多“中招”后的麻烦。RouterOS作为一款专业级的路由操作系统它的强大之处就在于它不单单是个“转发器”更是一个功能丰富的“网络策略执行中心”。它提供了好几种不同的“武器”来实现网站访问控制每种武器都有自己的特长和适用场景。接下来我就结合我这十年多的实操经验给你详细拆解三种最常用、最高效的方案保证你听完就能上手。2. 方案一用Layer7协议过滤——精准的“内容审查官”我把Layer7协议过滤这种方法比喻成网络流量里的“内容审查官”。它不像传统防火墙只看IP地址和端口相当于只看信封上的寄件人地址它能深入到数据包的应用层去检查你访问的域名URL特征。这就好比审查官不仅看信封还会拆开信快速扫描一下信里的关键词。它的工作原理核心是依靠正则表达式。你可以写一条规则告诉RouterOS“凡是域名里包含‘facebook’或者‘youtube’字样的访问请求都给我拦下来。”配置命令看起来是这样的/ip firewall layer7-protocol add nameblocked-sites regexp^.(facebook|youtube)\\.com /ip firewall filter add chainforward protocoltcp layer7-protocolblocked-sites actiondrop我来拆解一下这几行命令。第一段是在创建一个名为blocked-sites的Layer7协议识别模式regexp后面跟的就是正则表达式。^.(facebook|youtube)\\.com这个表达式简单理解就是匹配任何以facebook.com或youtube.com结尾的域名。第二段是在防火墙的转发链里加一条规则凡是匹配到blocked-sites这个协议的TCP流量直接执行drop丢弃动作。这个方法最大的优点就是“精准”。比如你要屏蔽www.facebook.com或者m.facebook.com它都能命中因为它认的是“facebook.com”这个字符串模式。同时一条规则就能屏蔽多个相关域名管理起来很清晰。但是“审查官”也有它的局限性。首先它需要路由器有足够的性能去进行这种深度包检测DPI在低端硬件上如果规则非常复杂或者流量巨大可能会对路由器的CPU造成一定负担。其次现在很多网站都启用了HTTPS加密Layer7过滤对于纯HTTPS流量不进行SSL解密的情况下是无效的因为它看不到加密后的内容。不过对于常见的HTTP流量或者一些未加密的初始连接它依然很有效。那么这个方案最适合谁用呢我推荐在中小型网络环境且需要屏蔽的目标网站域名特征明显、数量不是特别庞大的情况下使用。比如公司内网想屏蔽几个主要的视频站和社交站用这个就非常合适。配置前记得在Winbox里打开“Torch”工具实时监控一下流量验证一下你的正则表达式能不能正确匹配到目标流量这是个很好的测试习惯。3. 方案二用DNS静态条目——简单粗暴的“指路牌”如果说Layer7是审查官那DNS静态条目这个方法就是一个简单粗暴的“错误指路牌”。DNS域名系统的作用是把我们人类好记的域名比如www.google.com翻译成机器认识的IP地址。这个方法的核心思想就是我在路由器的DNS解析环节动手脚当内网设备问“facebook.com在哪里”时我直接告诉它一个错误的地址。在RouterOS里配置起来极其简单/ip dns static add namefacebook.com address0.0.0.0 add namewww.facebook.com address0.0.0.0这里address0.0.0.0是一个典型的无效IP地址也可以设置成127.0.0.1本机回环地址。效果就是用户浏览器试图访问这些域名时会被解析到一个根本不存在或者无法访问的地址连接自然就失败了。这个方案的优点非常突出配置极其简单对路由器性能几乎零消耗。因为它只是在DNS查询结果上做了一个静态映射不涉及任何流量检测或过滤。特别适合家庭用户或者只是想快速屏蔽少数几个明确域名的情况。比如家长想临时禁止孩子访问某个游戏网站花30秒加两条静态条目立马生效。但是它的缺点也同样明显我称之为“防君子不防小人”。极易绕过如果用户手动修改自己电脑或手机的DNS服务器比如改成8.8.8.8谷歌公共DNS那么这条规则就完全失效了因为域名解析请求根本不会经过你的路由器。可能“误伤”有些大型网站会使用CDN同一个域名可能对应很多不同的IP。你只屏蔽了域名解析但如果用户通过其他方式比如Hosts文件、或者应用直接连IP知道了真实IP还是可以访问。管理繁琐如果要屏蔽的网站有很多子域名比如m.facebook.com,login.facebook.com,api.facebook.com你需要为每一个子域名都添加一条静态条目否则就会有漏洞。所以DNS静态条目法最适合的场景是对网络控制要求不高、需要快速临时性屏蔽、且目标用户不太懂技术修改DNS的家庭或极小型办公环境。它是一种轻量级、急救式的方案。4. 方案三用地址列表Address List——稳固的“IP封锁墙”这是我个人最推荐也是在给客户部署软路由时最常用的方案。地址列表就像是在你的网络边界筑起一道稳固的“IP封锁墙”。它的思路非常直接不管域名怎么变最终通信都要落到IP地址上。我只要找到这个网站或这类网站所使用的IP地址段然后把这些IP段全部拉进黑名单在防火墙层面禁止任何通往这些IP的通信。实操起来分为两步。第一步收集并封禁IP地址段。以某个大型社交平台为例它可能使用157.240.0.0/16和31.13.0.0/16这两个大的IP段。/ip firewall address-list add address157.240.0.0/16 listblocked-sites commentSocial Platform A add address31.13.0.0/16 listblocked-sites commentSocial Platform A这里我创建了一个名为blocked-sites的地址列表并把两个IP段加了进去。/16是子网掩码的CIDR表示法代表一个包含6万多个IP地址的大段。加comment注释是个好习惯方便以后维护时知道这条规则是干嘛的。第二步在防火墙规则中引用这个列表。/ip firewall filter add chainforward dst-address-listblocked-sites actiondrop这条规则的意思是在转发链上检查数据包的目标地址dst-address如果目标地址属于blocked-sites这个列表那么直接丢弃。这个方案的优点非常硬核难以绕过只要通信目的地是这些IP无论用户怎么改DNS、甚至直接用IP访问都会被防火墙在最底层拦截。这是网络层的封锁非常稳固。效率极高防火墙对比IP地址的速度极快对路由器性能影响微乎其微即使列表里有成千上万条IP段。一劳永逸一个网站可能有很多域名但背后的IP段相对稳定。封掉IP段能覆盖其绝大多数服务入口。管理灵活你可以创建不同的地址列表比如blocked-games,blocked-social然后在防火墙规则里灵活组合使用实现精细化管理。当然它也有挑战主要在于“IP地址的获取和维护”。大型网站的IP地址确实可能会变但通常不会频繁变动尤其是大的地址段。你可以通过ping域名、使用在线的IP查询工具或者查看一些公开的IP情报数据来获取。维护起来就是定期检查一下如果发现封锁失效了再去更新一下地址列表。对于绝大多数商业网站其核心IP段在几个月甚至几年内都是稳定的。所以地址列表方案是我心中的“主力方案”特别适合企业网络、学校机房、或者对网络管控有较强要求的家庭。它提供了在性能和效果之间最佳的平衡既稳固又高效。我经手过的项目只要客户有稳定的屏蔽需求我基本都是基于地址列表来构建防护体系。5. 实战组合拳与避坑指南在实际项目中我很少只用一个“招式”。更多时候是根据情况打一套“组合拳”。比如对于最重要的几个网站我用地址列表封IP段作为核心防线同时用Layer7规则作为补充抓取一些新的、还未被归纳进IP列表的域名对于内部一些需要严格DNS管控的网络再辅以DNS静态条目进行快速干预。三层防护下来效果就非常扎实了。在配置过程中我也踩过不少坑这里分享几个关键的注意事项能帮你省下大量排错时间1. 测试测试再测试这是血泪教训。任何一条新的屏蔽规则上线前一定要在非业务高峰时段先在一个测试设备或一个小网段里试一下。RouterOS的防火墙规则是从上到下执行的顺序错了可能完全没效果或者误封正常业务。善用Log功能把规则的日志先打开看看它到底匹配和丢弃了哪些流量。2. 注意规则的方向和位置我们的例子主要用的是chainforward这针对的是经过路由器转发的流量即内网设备访问外网。如果你是想屏蔽外网对路由器本身比如Web管理界面的访问那就要用chaininput。规则在列表里的上下顺序至关重要通常更具体的规则要放在更通用的规则上面。3. 别忘了DNS这个关键点如果你采用了DNS静态条目或地址列表方案务必确保内网所有设备都使用你的RouterOS作为DNS服务器通过DHCP Server下发。否则用户自己改了DNS你的努力就白费了。你可以在RouterOS的IP - DHCP Server里检查DNS Servers这个选项是否指向了路由器的内网IP。4. 组合使用查漏补缺没有一种方法是万能的。地址列表防IP但防不了通过CDN动态IP或IPv6的访问如果网站支持。Layer7对HTTPS流量乏力。DNS条目容易被绕过。理解每种方法的边界才能更好地搭配使用。对于非常重要的屏蔽目标我通常会同时部署地址列表和Layer7规则。5. 定期维护规则库网络世界是动态的。今天有效的IP段明天可能就变了。可以设定一个日历提醒比如每个季度检查一下主要屏蔽目标的访问日志看看是否有“漏网之鱼”。对于地址列表可以尝试访问目标网站如果发现能打开就用工具查一下它当前使用的IP及时更新到列表里。网络管理就像治水宜疏不宜堵但必要的“堤坝”绝对不能少。RouterOS给了我们构筑这些堤坝的优秀工具关键看我们怎么因地制宜地使用。从简单的DNS重定向到坚固的IP防火墙选择哪种方案完全取决于你对网络控制力、安全性和易用性的权衡。我的经验是对于严肃的管理场景从“地址列表”方案开始构建你的基础防线绝对是一个稳健的选择。