Webinar incia en

0 Días

0 Horas

0 Minutos

0 Segundos

Webinar Gratuito

Introducción a Protocolo IPv6 con MikroTik RouterOS

¡ NUEVO ! ... MTCIPv6E (MikroTik Certified IPv6 Engineer)

MTCNA (Network Associate)

MTCTCE (Control de Tráfico y QoS)

MTCRE (Ruteo avanzado, OSPF, VRRP)

MTCINE (Internetworking, BGP, MPLS)

MTCSE (Seguridad Avanzada)

MTCSWE (Switching Avanzado)

Cómo Bloquear Sitios HTTPS Eficazmente con MikroTik TLS Host

Q: ¿Puedo bloquear YouTube?

Sí, utilizando reglas como: tls-host=*.youtube.com Aunque algunos contenidos pueden servirse desde otros dominios relacionados, por lo que quizá debas añadir reglas adicionales para una cobertura completa.

Ingrid Espinoza
noviembre 6, 2026
7:45 am
No hay comentarios

En las versiones recientes de RouterOS, MikroTik incorporó la función TLS Host, una de las formas más eficientes de bloquear sitios web HTTPS sin necesidad de implementar un servidor proxy o realizar inspección SSL. Esta característica analiza el Server Name Indication (SNI) que el cliente envía al iniciar una conexión TLS, permitiendo identificar el dominio solicitado antes de que la comunicación quede completamente cifrada.

En esta guía aprenderás qué es TLS Host, cómo funciona, cómo configurarlo correctamente y cuáles son sus limitaciones para que puedas bloquear páginas como Facebook, YouTube, TikTok o cualquier otro dominio de forma sencilla.

Al final del artículo encontrarás un pequeño test que te permitirá evaluar los conocimientos adquiridos en esta lectura

Ir al Test

¿Qué es TLS Host en MikroTik?

Cuando un usuario accede a un sitio HTTPS, el contenido viaja cifrado mediante TLS. Sin embargo, durante el establecimiento inicial de la conexión, el cliente envía el nombre del dominio en el campo SNI (Server Name Indication).

MikroTik aprovecha esta información para crear reglas de Firewall capaces de bloquear conexiones hacia dominios específicos.

En otras palabras, aunque el tráfico HTTPS esté cifrado, el nombre del sitio solicitado todavía puede identificarse durante el inicio de la conexión.

Ventajas de TLS Host

No requiere Proxy Web.
Funciona directamente desde el Firewall.
Es más eficiente que Layer7 para HTTPS.
Fácil de administrar.
Compatible con RouterOS v6.41+ y RouterOS v7.

¿Cómo funciona TLS Host?

El proceso ocurre de la siguiente manera:

El cliente intenta conectarse a un sitio HTTPS.
Durante el handshake TLS envía el nombre del dominio (SNI).
MikroTik compara ese dominio con las reglas configuradas.
Si coincide, el Firewall bloquea la conexión antes de establecerse.

Gracias a este mecanismo no es necesario descifrar el tráfico HTTPS.

Requisitos

Antes de comenzar verifica lo siguiente:

RouterOS 6.41 o superior.
Firewall Filter habilitado.
FastTrack correctamente configurado.
El tráfico HTTPS debe pasar por el router.

Cómo bloquear un sitio HTTPS con TLS Host

Desde la Terminal ejecuta el siguiente comando:

/ip firewall filter
add chain=forward protocol=tcp dst-port=443 tls-host=facebook.com action=drop comment="Bloquear Facebook"

Con esta regla cualquier intento de acceder a facebook.com será descartado por el Firewall.

Bloquear todos los subdominios

La mejor práctica consiste en utilizar comodines.

Ejemplo:

/ip firewall filter
add chain=forward protocol=tcp dst-port=443 tls-host=*.facebook.com action=drop

De esta manera también se bloquearán dominios como:

www.facebook.com
m.facebook.com
static.facebook.com

Bloquear varios sitios

Puedes crear varias reglas independientes.

/ip firewall filter
add chain=forward protocol=tcp dst-port=443 tls-host=*.facebook.com action=drop
add chain=forward protocol=tcp dst-port=443 tls-host=*.youtube.com action=drop
add chain=forward protocol=tcp dst-port=443 tls-host=*.tiktok.com action=drop

También puedes usar Address Lists para organizar mejor las políticas cuando administras una gran cantidad de dominios.

Ejemplo práctico

Supongamos que una empresa desea impedir que los empleados accedan a Facebook durante el horario laboral.

La regla sería:

/ip firewall filter
add chain=forward \
protocol=tcp \
dst-port=443 \
tls-host=*.facebook.com \
action=drop \
comment="Bloqueo Facebook"

Después de agregarla, intenta acceder a:

Si la regla está correctamente ubicada en el Firewall, la conexión será rechazada.

¿Por qué algunos sitios siguen funcionando?

Muchos administradores piensan que TLS Host bloquea cualquier sitio HTTPS, pero existen algunas limitaciones.

HTTP/3 (QUIC)

Algunos servicios utilizan QUIC, que funciona sobre UDP puerto 443.

Si únicamente bloqueas TCP 443, el navegador podría seguir utilizando HTTP/3.

Puedes impedirlo con una regla adicional:

/ip firewall filter
add chain=forward protocol=udp dst-port=443 action=drop comment="Bloquear QUIC"

Aplicaciones móviles

Algunas aplicaciones utilizan conexiones diferentes al navegador, servidores propios o técnicas que dificultan el bloqueo mediante SNI.

En estos casos puede ser necesario combinar TLS Host con:

Address Lists
DNS Filtering
Reglas por IP
Listas dinámicas

CDN

Muchos sitios utilizan redes de distribución de contenido (CDN).

Si varios dominios comparten la misma infraestructura, bloquear únicamente por IP puede afectar otros servicios. Por ello, TLS Host suele ser una opción más precisa que el bloqueo por dirección IP.

Buenas prácticas

Para obtener el mejor rendimiento sigue estas recomendaciones:

Coloca las reglas de TLS Host antes de FastTrack cuando corresponda.
Utiliza comentarios descriptivos en cada regla.
Agrupa dominios por categorías (redes sociales, streaming, juegos, etc.).
Revisa periódicamente los contadores del Firewall para confirmar que las reglas están funcionando.
Mantén RouterOS actualizado para aprovechar mejoras de rendimiento y compatibilidad.

Ventajas y desventajas de TLS Host

Ventajas	Desventajas
Fácil de configurar	No inspecciona el contenido cifrado
No requiere Proxy	No funciona con todo el tráfico HTTP/3
Muy bajo consumo de CPU	Algunas aplicaciones pueden evadir el bloqueo
Ideal para HTTPS	Depende de que el cliente envíe el SNI

Conclusión

TLS Host es una de las herramientas más útiles de MikroTik para controlar el acceso a sitios HTTPS. Al aprovechar el campo SNI, permite bloquear dominios específicos sin necesidad de descifrar el tráfico, ofreciendo un equilibrio entre simplicidad, rendimiento y eficacia.

Para obtener los mejores resultados, combina esta función con reglas bien organizadas, bloquea QUIC (UDP 443) cuando sea necesario y verifica periódicamente el comportamiento de las reglas en el Firewall. Con una configuración adecuada, podrás implementar políticas de navegación seguras y eficientes tanto en redes empresariales como educativas.

tls-host=*.youtube.com

Aunque algunos contenidos pueden servirse desde otros dominios relacionados, por lo que quizá debas añadir reglas adicionales para una cobertura completa.