Proxy-Einrichtung auf MikroTik-Routern: Schritt-für-Schritt-Anleitung zum Schutz des Unternehmensnetzwerks und zur Traffic-Filterung

Wenn Ihr Unternehmen auch nur einen MikroTik-Router hat, verfügen Sie bereits über ein integriertes Werkzeug zur Kontrolle des Datenverkehrs, zur Blockierung unerwünschter Websites und zum Schutz des Unternehmensnetzwerks. Die meisten Systemadministratoren nutzen nicht einmal die Hälfte seiner Möglichkeiten. In diesem Leitfaden werden wir erläutern, wie Sie einen Proxy direkt auf MikroTik einrichten — ohne zusätzliche Server und unnötige Kosten.

Was ist Web Proxy in MikroTik und warum ist es für Unternehmen wichtig?

MikroTik RouterOS ist ein vollständiges Betriebssystem für Netzwerkgeräte, das einen integrierten HTTP/HTTPS-Proxy-Server umfasst. Er wird Web Proxy genannt und ist ab den Basislizenzen verfügbar. Im Grunde genommen ist es ein Zwischenknoten zwischen den Benutzern Ihres Netzwerks und dem Internet: Der gesamte Datenverkehr läuft darüber, und Sie haben die volle Kontrolle darüber, was im Netzwerk passiert.

Was unterscheidet es von einer normalen Firewall? Eine Firewall arbeitet auf der Ebene von IP-Adressen und Ports — sie „versteht“ den Inhalt der Anfragen nicht. Der Proxy arbeitet auf Anwendungsebene: Er sieht spezifische URLs, Domains, Inhaltstypen. Das bietet ein grundsätzlich anderes Maß an Kontrolle.

Der integrierte Web Proxy in MikroTik kann:

• Webinhalte cachen — reduziert die Belastung des Internetkanals um bis zu 30–40% in Büros mit aktivem Browsing
• Den Zugriff auf bestimmte Websites, Domains, URL-Muster blockieren
• Den Zugriff nach IP-Adressen von Benutzern oder Subnetzen einschränken
• Alle HTTP-Anfragen protokollieren — wer, wohin und wann zugegriffen hat
• Im transparenten Modus arbeiten — Benutzer bemerken seine Anwesenheit nicht
• Datenverkehr an einen externen Proxy-Server (Parent Proxy) umleiten

Es ist wichtig, die Einschränkung zu verstehen: Der integrierte Web Proxy in MikroTik funktioniert nur mit HTTP-Datenverkehr im nativen Modus. HTTPS-Datenverkehr kann er nur im transparenten Modus mit bestimmten Einschränkungen abfangen oder über die Konfiguration des Parent Proxy. Für eine vollständige Inspektion von HTTPS sind zusätzliche Lösungen erforderlich — darüber werden wir im Abschnitt über externe Proxys sprechen.

Anwendungsfälle: Wer braucht diese Einstellung und warum?

Bevor wir zu den technischen Details übergehen, lassen Sie uns die spezifischen Geschäftsaufgaben betrachten, die der Proxy auf MikroTik löst. Das hilft zu verstehen, welche Einstellungen Sie benötigen.

Büro mit Angestellten

Das häufigste Szenario. Aufgaben: Soziale Netzwerke während der Arbeitszeit blockieren, das Herunterladen von Torrents verbieten, den Zugriff auf Streaming-Dienste einschränken, die die Bandbreite „auffressen“. Der transparente Proxy auf MikroTik löst all dies, ohne Agenten auf den Computern der Mitarbeiter zu installieren. Die Mitarbeiter wissen nicht einmal, dass ihr Datenverkehr gefiltert wird — alles funktioniert automatisch.

Internet-Cafés, Coworking-Spaces, Hotels

Hier wird der Proxy für zwei Dinge benötigt: Caching (beliebte Inhalte werden schneller geladen und verbrauchen nicht erneut Datenverkehr) und grundlegende Filterung illegaler Inhalte. Caching ist besonders relevant bei begrenztem oder teurem Internetzugang.

Marketingagenturen und Digital-Teams

Ein spezifisches Szenario: Teams, die mit vielen Werbekonten in Facebook Ads, TikTok Ads, Instagram arbeiten, nutzen häufig MikroTik als Gateway, um den Datenverkehr über externe Proxys zu leiten. Verschiedene Mitarbeiter oder Arbeitsstationen gehen über unterschiedliche IP-Adressen ins Internet — das ist entscheidend für die Arbeit mit mehreren Konten auf einer Plattform.

Provider und ISPs

Kleine Provider nutzen den caching Proxy von MikroTik, um die Belastung des Backbone-Kanals zu reduzieren. Bei einer großen Anzahl von Abonnenten, die die gleichen Nachrichten oder YouTube ansehen, führt Caching zu spürbaren Einsparungen beim Datenverkehr.

Was benötigt wird, bevor Sie mit der Einrichtung beginnen

Bevor Sie mit der Konfiguration beginnen, stellen Sie sicher, dass Sie alles Notwendige haben. Das Auslassen dieses Schrittes ist die Ursache für 80% der Probleme bei der Einrichtung.

Zugriff auf den Router: Sie benötigen Zugriff auf die Web-Oberfläche von MikroTik (Winbox oder WebFig) mit Administratorrechten. Winbox ist die bevorzugte Option, da sie vollen Zugriff auf alle Einstellungen bietet. Sie können es kostenlos von der offiziellen MikroTik-Website herunterladen.

RouterOS-Version: Für einen stabilen Betrieb des Web Proxy wird RouterOS 6.x oder 7.x empfohlen. Überprüfen Sie die Version über System → Packages. Wenn die Version veraltet ist, aktualisieren Sie sie über System → Packages → Check for Updates.

Freier Speicherplatz auf der Festplatte: Der Proxy-Cache wird auf der Festplatte des Routers gespeichert. Für das Caching benötigen Sie mindestens 50–100 MB freien Speicherplatz. Überprüfen Sie dies über Files in Winbox. Auf Routern mit wenig Flash-Speicher (8 MB oder weniger) sollten Sie das Caching besser deaktivieren.

Netzwerkschema: Notieren oder zeichnen Sie auf, welche Subnetze Sie haben, welcher Schnittstelle ins Internet schaut (WAN) und welche in das interne Netzwerk (LAN). Ohne dieses Verständnis können Sie die NAT-Regeln für den transparenten Proxy nicht einrichten.

Schritt 1: Aktivieren des Web Proxy auf MikroTik

Die Aktivierung des Web Proxy ist der einfachste Schritt. Alles geschieht über die grafische Benutzeroberfläche von Winbox in wenigen Minuten.

Über Winbox (empfohlen):

1. Öffnen Sie Winbox und verbinden Sie sich mit dem Router
2. Wählen Sie im linken Menü IP → Web Proxy
3. Setzen Sie im sich öffnenden Fenster das Häkchen bei Enabled
4. Stellen Sie den Port ein — standardmäßig 8080, kann belassen oder geändert werden
5. Geben Sie im Feld Max Cache Size die Größe des Caches an (z. B. 100 MB) oder wählen Sie unlimited, wenn der Platz es zulässt
6. Klicken Sie auf Apply, dann auf OK

Über das Terminal (für diejenigen, die die Befehlszeile bevorzugen):

/ip proxy
set enabled=yes port=8080 max-cache-size=100000KiB
  

Nach der Aktivierung überprüfen Sie, ob der Proxy gestartet wurde. Führen Sie im Terminal aus:

/ip proxy print
  

In der Ausgabe sollte enabled: yes stehen. Wenn Sie enabled: no sehen, ist etwas schiefgelaufen, wiederholen Sie die Schritte.

An diesem Punkt ist der Proxy aktiviert, filtert jedoch den Datenverkehr noch nicht automatisch. Benutzer müssen ihn manuell in den Browsereinstellungen eingeben (IP des Routers, Port 8080). Um dies automatisch für das gesamte Netzwerk zu tun, ist der transparente Modus erforderlich, über den wir im nächsten Schritt sprechen.

Achten Sie auch auf den Parameter Cache Path — er gibt an, wo der Cache gespeichert wird. Standardmäßig ist dies der interne Speicher des Routers. Wenn Sie einen USB-Stick oder eine Speicherkarte haben, ist es besser, den Cache dorthin zu verschieben — das erhöht das Volumen und verringert den Verschleiß des internen Speichers.

Schritt 2: Konfiguration des transparenten Proxys über Firewall NAT

Der transparente Proxy ist ein Modus, bei dem der gesamte HTTP-Datenverkehr aus dem lokalen Netzwerk automatisch über den Proxy-Server umgeleitet wird. Benutzer müssen in ihren Browsern nichts einstellen. Aus Sicht des Mitarbeiters funktioniert alles wie gewohnt, aber tatsächlich läuft jede Anfrage über den Proxy.

Dies wird durch eine NAT-Regel in der MikroTik-Firewall realisiert. Die Regel fängt den gesamten ausgehenden TCP-Datenverkehr auf Port 80 (HTTP) ab und leitet ihn an den Proxy-Port (8080) weiter.

Über Winbox:

1. Gehen Sie zu IP → Firewall → NAT
2. Klicken Sie auf die Schaltfläche + (Regel hinzufügen)
3. Stellen Sie auf der Registerkarte General ein:
   • Chain: dstnat
   • Protocol: tcp
   • Dst. Port: 80
   • In. Interface: Ihre LAN-Schnittstelle (z. B. ether2 oder bridge-local)
4. Stellen Sie auf der Registerkarte Action ein:
   • Action: redirect
   • To Ports: 8080
5. Klicken Sie auf OK

Über das Terminal:

/ip firewall nat
add chain=dstnat protocol=tcp dst-port=80 in-interface=ether2 \
    action=redirect to-ports=8080
  

Ersetzen Sie ether2 durch den Namen Ihrer LAN-Schnittstelle. Wenn Sie mehrere LAN-Schnittstellen in einem Bridge zusammengefasst haben, geben Sie den Namen der Bridge-Schnittstelle an.

Überprüfen Sie nach dem Hinzufügen der Regel die Funktion: Öffnen Sie eine beliebige HTTP-Website von einem Computer im lokalen Netzwerk. Wenn der Proxy korrekt funktioniert, wird die Seite geöffnet und im Proxy-Log (IP → Web Proxy → Access) erscheint ein Eintrag. Wenn die Seite nicht geöffnet wird, überprüfen Sie den Namen der Schnittstelle und den Proxy-Port.

Schritt 3: Filterregeln — Blockieren von Websites und Kategorien

Dies ist der Schlüsselabschnitt für diejenigen, die den Zugriff der Mitarbeiter auf das Internet kontrollieren möchten. Der Web Proxy in MikroTik ermöglicht die Erstellung flexibler Regeln: Blockieren bestimmter Domains, URL-Muster oder umgekehrt — nur bestimmte Ressourcen zuzulassen.

Die Zugriffsregeln werden in IP → Web Proxy → Access konfiguriert. Jede Regel hat Bedingungen (was überprüft wird) und eine Aktion (was zu tun ist: allow oder deny).

Blockieren einer bestimmten Domain (z. B. vk.com):

/ip proxy access
add dst-host=vk.com action=deny comment="Block VK"
add dst-host=*.vk.com action=deny comment="Block VK Subdomains"
  

Blockieren nach URL-Muster (z. B. alle Seiten von YouTube):

/ip proxy access
add dst-host=*.youtube.com action=deny comment="Block YouTube"
add dst-host=youtube.com action=deny comment="Block YouTube Hauptseite"
  

Zugriff nur für ein bestimmtes Subnetz erlauben (z. B. nur die IT-Abteilung darf auf GitHub zugreifen):

/ip proxy access
add src-address=192.168.1.10/32 dst-host=github.com action=allow
add dst-host=github.com action=deny
  

Blockieren nach Dateierweiterung (Verbot des Herunterladens von .exe, .torrent):

/ip proxy access
add path=*.exe action=deny comment="Block EXE Downloads"
add path=*.torrent action=deny comment="Block Torrent Dateien"
add path=*.zip action=deny comment="Block ZIP Downloads"
  

Achten Sie auf die Reihenfolge der Regeln: MikroTik überprüft sie von oben nach unten und stoppt bei der ersten Übereinstimmung. Die Regeln allow für bestimmte IPs sollten über den Regeln deny für dieselben Domains stehen.

Über Winbox werden die Regeln in IP → Web Proxy → Registerkarte Access → Schaltfläche + hinzugefügt. Die Benutzeroberfläche ist intuitiv: Wählen Sie die Bedingung (Source Address, Destination Host, Path, Method) und die Aktion (Allow/Deny).

Schritt 4: Caching des Datenverkehrs zur Einsparung von Bandbreite

Caching ist einer der Hauptgründe, warum der Proxy auf MikroTik in kleinen Büros und Bildungseinrichtungen überhaupt aktiviert wird. Das Prinzip ist einfach: Wenn 20 Mitarbeiter dieselbe Nachrichten-Seite öffnen, lädt der Router sie ohne Cache 20 Mal herunter. Mit Cache — einmal, und die anderen 19 erhalten die Daten sofort aus dem lokalen Speicher des Routers.

Die Cache-Einstellungen befinden sich in IP → Web Proxy. Die wichtigsten Parameter sind:

Konfiguration über das Terminal:

/ip proxy
set max-cache-size=102400KiB \
    max-cache-object-size=4096KiB \
    max-fresh-time=3d
  

Zur Überprüfung der Effizienz des Caches verwenden Sie den Befehl:

/ip proxy monitor
  

Achten Sie auf die Werte hits und misses. Ein guter Wert ist, wenn die Hits 20–40% der Gesamtzahl der Anfragen ausmachen. Wenn die Hits nahe null liegen, liegt entweder der Großteil des Datenverkehrs in HTTPS (das wird nicht gecached) oder der Cache ist zu klein.

Ein wichtiger Punkt: Moderne Websites verwenden immer häufiger die Header Cache-Control: no-store oder no-cache, die das Caching verbieten. Daher ist die Effizienz des Caches im Jahr 2024 in der Praxis geringer als vor 5–10 Jahren. Dennoch funktioniert das Caching für statische Ressourcen (Bilder, CSS, JS-Dateien) nach wie vor gut.

Schritt 5: Verbindung eines externen Proxy-Servers über MikroTik

Dies ist das interessanteste Szenario für diejenigen, die nicht nur den Datenverkehr filtern, sondern die IP-Adresse vollständig kontrollieren möchten, über die das Unternehmensnetzwerk oder einzelne Geräte ins Internet gehen. MikroTik unterstützt die Funktion Parent Proxy — wenn alle Anfragen vom lokalen Proxy an einen übergeordneten externen Proxy-Server weitergeleitet werden.

Warum ist das in der Praxis notwendig:

• Änderung der IP für das gesamte Netzwerk — der gesamte Datenverkehr des Büros geht über die IP des externen Proxys und nicht über Ihre echte IP des Providers
• Umgehung regionaler Beschränkungen — Zugriff auf Ressourcen, die in Ihrer Region blockiert sind
• Verschiedene IPs für verschiedene Geräte — durch Routing verwenden verschiedene Arbeitsstationen unterschiedliche externe Proxys
• Schutz der echten IP des Unternehmens — externe Dienste sehen die IP des Proxys und nicht Ihre Unternehmensadresse

Konfiguration des Parent Proxy über Winbox:

1. Gehen Sie zu IP → Web Proxy
2. Finden Sie den Abschnitt Parent Proxy
3. Geben Sie die Parent Proxy Address ein — die IP-Adresse des externen Proxy-Servers
4. Geben Sie den Parent Proxy Port an — den Proxy-Port (normalerweise 8080, 3128 oder einen anderen)
5. Klicken Sie auf Apply

Über das Terminal:

/ip proxy
set parent-proxy=203.0.113.10 parent-proxy-port=8080
  

Ersetzen Sie 203.0.113.10 und 8080 durch die tatsächlichen Daten Ihres Proxy-Servers.

Für Unternehmensaufgaben, bei denen Stabilität und Anonymität wichtig sind, werden als Parent Proxy residential Proxys verwendet — sie haben IP-Adressen echter Haushaltsnutzer, was den Datenverkehr von normalem Benutzerverhalten nicht unterscheidbar macht. Dies ist besonders wichtig bei der Arbeit mit Plattformen, die das Verhalten und den Verbindungstyp analysieren.

Wenn Ihr Team mobilen Datenverkehr simulieren muss — beispielsweise für die Testung von Werbekampagnen in Facebook Ads oder Instagram von mobilen Geräten — sind mobile Proxys als Parent Proxy geeignet. Sie arbeiten über echte SIM-Karten von Mobilfunkanbietern und bieten IPs von 3G/4G/5G Mobilfunknetzen.

Überwachung und Protokollierung von Anfragen

Eines der Hauptargumente für Proxys in einer Unternehmensumgebung ist die Möglichkeit zu sehen, was Benutzer im Internet tun. MikroTik Web Proxy kann alle HTTP-Anfragen protokollieren: wer (IP-Adresse), wohin (URL), wann, welche Methode der Anfrage und den Status der Antwort.

Aktivierung der Protokollierung:

/ip proxy
set log-connect=yes
  

Nach der Aktivierung erscheinen die Protokolle im Log (Menü in Winbox). Für eine bequeme Ansicht filtern Sie nach dem Thema web-proxy.

Für die langfristige Speicherung von Protokollen und eine bequeme Analyse richten Sie das Senden an einen externen Syslog-Server ein:

/system logging action
add name=remote-syslog target=remote remote=192.168.1.100 remote-port=514

/system logging
add action=remote-syslog topics=web-proxy
  

Ersetzen Sie 192.168.1.100 durch die IP Ihres Syslog-Servers. Als Syslog-Server können Sie Graylog, Splunk oder einfach rsyslog auf Linux verwenden.

Auch nützlich ist der Befehl zur Anzeige der Proxy-Statistiken in Echtzeit:

/ip proxy monitor
  

Hier sehen Sie: die Anzahl der aktiven Verbindungen, die Gesamtzahl der Anfragen, Treffer im Cache, das Volumen der übertragenen Daten. Diese Daten helfen, die Belastung des Routers und die Effizienz des Caching zu bewerten.

Wichtiger Hinweis zu GDPR und Arbeitsrecht: Wenn Sie den Datenverkehr von Mitarbeitern protokollieren, stellen Sie sicher, dass dies im Arbeitsvertrag oder in der Unternehmenssicherheitspolitik vorgesehen ist. In einigen Ländern ist die Überwachung der Internetaktivitäten von Mitarbeitern ohne deren Benachrichtigung ein Verstoß gegen das Gesetz.

Häufige Fehler und wie man sie behebt

Wir haben die häufigsten Probleme zusammengestellt, die bei der Einrichtung des Web Proxy auf MikroTik auftreten, sowie Lösungen dafür.

Fehler 1: Internet funktioniert nicht mehr nach der Einrichtung des transparenten Proxys

Ursache: Falsche Angabe der LAN-Schnittstelle in der NAT-Regel oder die Regel steht nicht an der richtigen Position.

Lösung: Überprüfen Sie den Namen der Schnittstelle mit dem Befehl /interface print. Stellen Sie sicher, dass Sie genau die Schnittstelle angeben, an die die Benutzer angeschlossen sind. Wenn Sie eine Bridge verwendet haben, geben Sie die Bridge an und nicht den physischen Port.

Fehler 2: HTTPS-Websites werden nicht von den Web Proxy-Regeln blockiert

Ursache: Der Web Proxy in MikroTik fängt HTTPS-Datenverkehr nicht ab. Die Regeln in IP → Web Proxy → Access funktionieren nur für HTTP.

Lösung: Verwenden Sie Layer 7 Protocols oder Address Lists in der Firewall, um HTTPS-Websites zu blockieren. Fügen Sie beispielsweise die IP-Adressen der gewünschten Website zur Liste hinzu und blockieren Sie sie über IP → Firewall → Filter Rules.

Fehler 3: Proxy funktioniert, aber Cache wird nicht gefüllt

Ursache: Die meisten modernen Websites verwenden HTTPS und Header, die das Caching verbieten. Der Cache funktioniert nur für HTTP.

Lösung: Dies ist ein normales Verhalten für das moderne Web. Der Cache wird mit statischen Ressourcen (Bilder, Dateien) von HTTP-Websites gefüllt. Wenn der Cache kritisch ist, ziehen Sie spezialisierte Lösungen wie Squid auf einem separaten Server mit SSL-Bump in Betracht.

Fehler 4: Router arbeitet langsam nach Aktivierung des Proxys

Ursache: Der schwache Prozessor des Routers kann die Last des Proxys bei einer großen Anzahl von Benutzern nicht bewältigen.

Lösung: Überprüfen Sie die CPU-Auslastung mit dem Befehl /system resource print. Wenn die CPU ständig über 80% liegt, reduzieren Sie die Cache-Größe oder verlagern Sie den Proxy auf einen separaten Server (Squid auf Ubuntu/Debian). MikroTik wird in diesem Fall nur als Gateway verwendet, das den Datenverkehr an den externen Proxy weiterleitet.

Fehler 5: Parent Proxy funktioniert nicht — Websites öffnen sich über die echte IP

Ursache: Parent Proxy in MikroTik wird nur für den Datenverkehr angewendet, der tatsächlich über den Web Proxy läuft. HTTPS-Anfragen und Datenverkehr, der nicht von der NAT-Regel erfasst wird, gehen direkt.

Lösung: Stellen Sie sicher, dass die Regel für den transparenten Proxy (Umleitung auf Port 8080) aktiv ist und an der richtigen Position steht. Um den gesamten Datenverkehr über den externen Proxy umzuleiten, ist eine komplexere Konfiguration mit Policy Based Routing erforderlich.

Fazit

Die Einrichtung des Web Proxy auf MikroTik ist eine praktische Lösung zur Kontrolle des Unternehmensdatenverkehrs ohne zusätzliche Server und Lizenzen. In wenigen Schritten erhalten Sie: Filterung unerwünschter Websites, Caching zur Einsparung von Bandbreite, Protokollierung der Benutzeraktivitäten und die Möglichkeit, den Datenverkehr über externe Proxy-Server zu leiten.

Das Wichtigste, was Sie beachten sollten: Der integrierte Proxy von MikroTik bewältigt HTTP-Datenverkehr gut, aber für den vollständigen Schutz eines modernen Unternehmensnetzwerks, in dem 95% des Datenverkehrs HTTPS sind, sind seine Möglichkeiten nicht ausreichend. In solchen Fällen wird MikroTik als Gateway und Router verwendet, während die Funktionen zur Filterung und Inspektion des Datenverkehrs spezialisierten Lösungen überlassen werden.

Wenn Ihre Aufgabe darin besteht, den gesamten Datenverkehr des Unternehmensnetzwerks über einen zuverlässigen externen Proxy mit fester IP oder einem Adresspool zu leiten, sollten Sie auf Datacenter-Proxys achten — sie bieten hohe Geschwindigkeit und stabile Verbindungen, was entscheidend ist, wenn sie als Parent Proxy für ein ganzes Büro verwendet werden. Für Aufgaben, bei denen maximale Anonymität wichtig ist und der Datenverkehr nicht von gewöhnlichem Benutzerverhalten abweichen darf, sind residential Proxys die beste Wahl.