mikrotik и фильтрация рекламы 1. Прозрачный прокси без прокси Микротика

[dan_litvinov]

Добрый день.
Mikrotik hAP mini (650MHz, 32MB RAM), ROS 6.37 stable.
Интернет-белый ip, внутренняя сеть 192.168.1.0/24,
публичный wifi 192.168.2.0/24.
Своя прокся на 192.168.1.181:8080, микротик 192.168.1.5.

Задача простая, но с заковыкой-сделать фильтрацию рекламы.
Программа минимум-по http.

Что не удалось сделать? Перенаправить http-трафик на внешний прокси,
минуя локальный прокси Микротика.
В локальный прокси с перенаправлением действует
(сейчас так и настроено - все в локальный прокси, а у него parent-внешняя прокся).

Правило:
/ip firewall nat
add action=redirect chain=dstnat comment="wifi_zavorot http na mikrotik-proxy" \
dst-address=!192.168.1.0/24 dst-port=80 \
src-address=192.168.2.0/24 \
to-ports=8080

Что попробовано:
в качестве действия правила
dst-nat на ip и порт прокси
netmap на ip и порт прокси
Странно, но при этих действиях правила в логах прокси не вижу никаких запросов извне.

Как сейчас действует?
Перенаправляю на внутренний прокси, а он шлет запросы внешнему прокси:

Ловим пакеты и запузыриваем их локальной проксе:
/ip firewall nat
add action=redirect chain=dstnat comment="wifi_zavorot http na mikrotik-proxy" \
dst-address=!192.168.1.0/24 dst-port=80 \
src-address=192.168.2.0/24 \
to-ports=8080
Встроенный прокси микротика перенаправляет запросы уже на внешний прокси:
/ip proxy
set anonymous=yes cache-on-disk=no enabled=yes \
max-cache-object-size=32KiB max-cache-size=32KiB parent-proxy=\
192.168.1.181 parent-proxy-port=8080 port=8080 serialize-connections=no \
src-address=::

Хочется избежать локальной прокси-сразу слать внешней.

Подскажите, что делаю не так? И как сделать, чтобы действовало?
(в глубины ната не погружен и впервой встречаюсь с его детальной настройкой).

Заранее благодарю за помощь.

[maxim_minton]

А такое Вам не пойдёт?

https://stopad.cgood.ru

[dan_litvinov]

[quote="maxim_minton"]А такое Вам не пойдёт?
https://stopad.cgood.ru[/quote]

Благодарю - это уже вторая часть того, что сделано.
Правда, списки брал не у них, а у http://pgl.yoyo.org/adservers/serverlis ... =plaintext
Однако, жрет много памяти под кеш, поэтому и хочу обойтись без прокси-отключаю все возможное и ненужное.
В этой версии Микротика всего 32 мега, поэтому приходится бороться за каждый мегабайт.
Пока это все тестовая конструкция-при большой нагрузке или поменяю железяку на бОльшую
или, что скорее всего, ресурсоемкие задачи перенесу на виртуалку с микротиком-там памяти хоть заглонись.
Но про это будет вторая часть вопроса. Пока задача зарулить напрямую трафик, а что-то не получилось.
Думаю, что-то не дописал в натовых правилах-может, нужен какой обратный нат для принятия ответа или чего еще?

[Dragon_Knight]

А такое Вам не пойдёт?

https://stopad.cgood.ru

Гыгыгы. Под копирку мои идею слизали, и даже не покраснели...

[maxim_minton]

А такое Вам не пойдёт?

https://stopad.cgood.ru

Гыгыгы. Под копирку мои идею слизали, и даже не покраснели...

А где Ваша идея была представлена?

[podarok66]

А где Ваша идея была представлена?

viewtopic.php?f=13&t=6640 вот посмотрите, похоже?

[Dragon_Knight]

Ну и ещё это: viewtopic.php?f=13&t=6639

[maxim_minton]

Похоже, вот ссылка на тему на хабре, с чего все и начиналось. Обратите внимание на дату публикации :)

https://habrahabr.ru/post/264001/

[dan_litvinov]

[quote="Dragon_Knight"][quote="maxim_minton"]А такое Вам не пойдёт?

https://stopad.cgood.ru[/quote]
Гыгыгы. Под копирку мои идею слизали, и даже не покраснели...[/quote]

Идея хорошая и, как показала практика, действующая.
Вопрос только в странном поглощении памяти микротиком при таких операциях.
Слил с этого сайта весь список (чуть больше 45000 адресов),
залил все это дело в микротик в виртуалке.
Сначала выделил 128 мегов памяти-не закончив вливать на букву А,
скорость вливания упала до одного адреса в несколько секунд.
Загрузка проца - 100% (2,4GHz).
Подождал с час-то же самое.
Монитор ресурсов показывает свободной памяти около 5МБ.

Понял-такое уже было на железном малыше-микротике - кончилась память.
Перезагрузил, догнал памяти до 256 - влилось за несколько минут.
Однако, из 256 памяти осталось после заливки свободно около 80.
Перезагрузил виртуалку - также.
Получается, что для хранения такого количества dns-записей нужен неслабый микротик
с кучей памяти (уж очень он ее любит под это дело отдать).

Поэтому пока ограничился только кратким списком из своих хостов - для тех,
кто идет по https и, соответственно, минует проксю.

Однако, первоначальный вопрос про "не получилось зарулить трафик напрямую, минуя прокси Микротика" остался в силе.
Может, подскажет кто-буду благодарен.

[Dragon_Knight]

Всё версно. Что-бы DN сервер мог быстро обработать запрос, список доменов индексируется и производится бинарный поиск, от чего база данный доменов имеет огромную избыточность, но при этом и огромную скорость выборки.
Так что тут нужно соблюдать баланс.
Именно по этому мои списки, по ссылкам выше имеют отфильтрованные домены, т.е. реально существующие, которые резолвятся, а вышеописанный сайт имет процентов 40 мёртвых доменов.