Rule blokirnya udah dipasang, address list-nya udah diisi, tapi TikTok sama YouTube tetap kebuka di HP karyawan.
Biasanya rule-nya nggak salah. Ada tiga jalur yang belum ketutup.
Jalur pertama: QUIC
Ini penyebab nomor satu.
Chrome sama aplikasi Google pakai QUIC, protokol yang jalan di atas UDP port 443, bukan TCP. Rule firewall yang cuma ngeblokir TCP 443 nggak nyentuh dia sama sekali.
Tutup dulu QUIC-nya:
/ip firewall filter
add chain=forward protocol=udp dst-port=443 action=drop \
comment="tutup QUIC biar blokir SNI jalan"Efek sampingnya: YouTube jadi agak lebih lambat buffering-nya buat semua orang, soalnya kepaksa balik ke TCP. Itu harga yang harus disadari.
Habis QUIC ditutup, browser balik ke TLS biasa, dan blokir berbasis SNI baru bisa kerja.
Jalur kedua: DNS over HTTPS
Kalau blokirnya ngandelin DNS statis atau redirect DNS, HP modern bisa ngelewatin itu.
Android sama iOS sekarang punya DNS terenkripsi default. Permintaan DNS-nya nggak lewat router Anda sama sekali, langsung ke Cloudflare atau Google lewat HTTPS.
Jadi blokir berbasis DNS doang itu udah nggak cukup sejak beberapa tahun terakhir.
Yang perlu: blokir di lapisan yang lebih bawah, pakai tls-host yang baca SNI:
/ip firewall layer7-protocol
add name=sosmed regexp="(tiktok|youtube)"
/ip firewall filter
add chain=forward protocol=tcp dst-port=443 tls-host=*tiktok.com* action=drop
add chain=forward protocol=tcp dst-port=443 tls-host=*youtube.com* action=droptls-host baca nama domain dari jabat tangan TLS, sebelum enkripsinya jalan. Itu yang bikin dia masih bisa lihat tujuan walaupun isinya terenkripsi.
Jalur ketiga: alamat IP yang berubah terus
Blokir berbasis address list yang diisi manual itu kalah cepat. CDN mereka punya ribuan alamat dan gantinya tiap hari.
Blokir berdasarkan nama, bukan alamat. Itu sebabnya tls-host lebih tahan lama daripada daftar IP.
Kenapa DoH nggak bisa ditutup total
Bisa sih, tapi harganya mahal. Anda harus ngeblokir alamat resolver DoH yang dikenal, dan daftarnya nambah terus. Sebagian aplikasi juga bakal berhenti jalan.
Buat sebagian besar kantor, cukup tutup QUIC dan pakai tls-host. Karyawan yang beneran niat tetap bisa lewat VPN, dan itu masalah kebijakan, bukan masalah teknis.
Bikin rule-nya
Generator Blokir Sosmed & YouTube nyusun ketiga lapisan itu sekaligus, dengan ceklis per layanan. Ada dua versi script, RouterOS 6 sama 7.