La aplicación de Layer 7 (L7) en MikroTik RouterOS permite identificar y clasificar el tráfico de red basándose en el contenido real de los paquetes, en lugar de solo en la dirección IP o en el puerto.

Esto es útil para filtrar, priorizar o limitar tráfico específico, como bloquear sitios web específicos, priorizar el tráfico de VoIP, o limitar el ancho de banda para aplicaciones de streaming. A continuación, se describe cómo configurar reglas de Layer 7 en MikroTik RouterOS:

1. Definir un Patrón de Layer 7

Primero, debes crear un patrón de Layer 7 que RouterOS utilizará para identificar el tráfico específico. Esto se hace en el menú “IP” → “Firewall” y luego en la pestaña “Layer7 Protocols”. Aquí puedes definir un nuevo patrón L7.

/ip firewall layer7-protocol
add name="nombre_protocolo_L7" regexp="expresión_regular"

Por ejemplo, para identificar el tráfico HTTP que contenga la palabra “facebook” en el encabezado del paquete, podrías usar una expresión regular como esta:

add name="facebook" regexp="facebook.com"

2. Crear una Regla de Firewall Utilizando el Patrón L7

Después de definir el patrón L7, puedes usarlo en una regla de firewall para filtrar o priorizar el tráfico. Esto se hace en el menú “IP” → “Firewall” y luego en la pestaña “Filter Rules” o “Mangle” según lo que quieras lograr.

• Para bloquear el tráfico:

/ip firewall filter
add action=drop chain=forward layer7-protocol=nombre_protocolo_L7

• Para marcar el tráfico y luego aplicar políticas específicas (como limitación de velocidad o priorización):

/ip firewall mangle
add action=mark-packet chain=forward layer7-protocol=nombre_protocolo_L7 new-packet-mark=marcado_paquete

Consideraciones Importantes

• Rendimiento: El uso intensivo de reglas L7 puede aumentar significativamente la carga en el CPU del dispositivo, ya que requiere inspeccionar el contenido de los paquetes. Es importante monitorear el rendimiento del router tras implementar estas reglas, especialmente en redes con mucho tráfico.
• Exactitud: Las expresiones regulares deben ser escritas cuidadosamente para asegurar que solo se capture el tráfico deseado. Una expresión regular mal definida puede llevar a falsos positivos o negativos.
• Cifrado: En la actualidad, mucho tráfico de Internet utiliza cifrado (como HTTPS), lo que puede limitar la efectividad de las reglas basadas en Layer 7 para identificar el contenido específico del tráfico. Para el tráfico cifrado, considera métodos alternativos de identificación y control, como el bloqueo o la priorización basada en direcciones IP, puertos, o conexiones SNI TLS.

La configuración de Layer 7 en MikroTik RouterOS es una herramienta poderosa para la gestión avanzada del tráfico, permitiendo a los administradores de red implementar políticas de red sofisticadas basadas en el contenido real de los paquetes de datos.