เว็บไซต์ส่วนใหญ่ตอนนี้ใช้ https และการบล็อกเว็บไซต์ https นั้นยากขึ้นมากด้วย MikroTik RouterOS เวอร์ชันต่ำกว่า 6.41 แต่เริ่มต้นด้วย RouterOS v6.41 MikroTik Firewall จะแนะนำคุณสมบัติใหม่ที่เรียกว่า ทีแอลเอส ฮอส ซึ่งสามารถจับคู่เว็บไซต์ https ได้อย่างง่ายดายมาก 

ดังนั้นการบล็อกเว็บไซต์ https เช่น Facebook, YouTube เป็นต้น ทำได้ง่ายๆ ด้วย MikroTik Router หากเวอร์ชัน RouterOS สูงกว่า 6.41 

การกรองตามชื่อโฮสต์

คุณสามารถใช้ “tls-host” ในกฎไฟร์วอลล์เพื่อกรองการรับส่งข้อมูลตามชื่อโฮสต์แทนที่อยู่ IP ซึ่งจะเป็นประโยชน์หากที่อยู่ IP ของเซิร์ฟเวอร์ที่คุณสื่อสารด้วยมีแนวโน้มที่จะเปลี่ยนแปลง และคุณต้องการใช้ชื่อโฮสต์ที่คงที่

/ip ไฟร์วอลล์กรองเพิ่ม chain=forward dst-port=443 protocol=tcp tls-host=example.com action=accept

ในตัวอย่างนี้ กฎจะอนุญาตให้รับส่งข้อมูล TLS ขาออกไปยังพอร์ต 443 ที่กำหนดไว้สำหรับ “example.com”

การจัดการใบรับรองและชื่อโฮสต์

ด้วยการใช้ตัวเลือก “tls-host” คุณสามารถทำให้การจัดการใบรับรอง SSL/TLS บนเครือข่ายของคุณง่ายขึ้น หากใบรับรองเปลี่ยนแปลงหรือต่ออายุและชื่อโฮสต์ยังคงเดิม คุณไม่จำเป็นต้องอัปเดตกฎไฟร์วอลล์ด้วยที่อยู่ IP ใหม่

ลดการพึ่งพาที่อยู่ IP แบบคงที่

ในบางกรณี โดยเฉพาะอย่างยิ่งเมื่อมีการโต้ตอบกับบริการที่โฮสต์บนคลาวด์หรือกับผู้ให้บริการที่อาจเปลี่ยนที่อยู่ IP ที่กำหนด การใช้ "tls-host" จะให้เลเยอร์นามธรรมที่ลดการพึ่งพาที่อยู่ IP แบบคงที่

/ip ตัวกรองไฟร์วอลล์เพิ่ม chain=forward dst-port=8443 protocol=tcp tls-host=cloud-service.com action=accept

ที่นี่การรับส่งข้อมูล TLS ขาออกไปยังพอร์ต 8443 ถูกกำหนดไว้สำหรับ “cloud-service.com” จะได้รับอนุญาตโดยไม่คำนึงถึงที่อยู่ IP ปัจจุบันของบริการ

สิ่งสำคัญคือต้องทราบว่าเพื่อให้ตัวเลือก "tls-host" มีประสิทธิภาพ บริการระยะไกลจะต้องรองรับการใช้ชื่อโฮสต์แทนที่อยู่ IP บริการหรือแอปพลิเคชันบางอย่างอาจไม่มีความยืดหยุ่นนี้ ดังนั้นการตรวจสอบเอกสารประกอบสำหรับบริการเฉพาะที่คุณใช้จึงเป็นสิ่งสำคัญ

 วิธีบล็อกเว็บไซต์ HTTPS ด้วย TLS Host Matcher

1. ไปที่รายการเมนู IP > ไฟร์วอลล์ แล้วคลิกแท็บกฎการกรอง จากนั้นคลิกเครื่องหมายบวก (+) หน้าต่างกฎไฟร์วอลล์ใหม่จะปรากฏขึ้น
2. เลือกไปข้างหน้าจากเมนูแบบเลื่อนลง String
3. เลือก tcp จากเมนูแบบเลื่อนลง Protocol
4. คลิกวันเวลา พอร์ตและกล่องเข้าพอร์ต 443
5. คลิกแท็บขั้นสูงแล้วคลิกช่องป้อนข้อมูล TLS Host แล้วใส่ชื่อโดเมนที่คุณต้องการบล็อก (เช่น *.facebook.com) ลงในช่องนี้
6. คลิกแท็บการดำเนินการ และเลือกวางจากเมนูแบบเลื่อนลงการดำเนินการ
7. คลิกนำไปใช้และปุ่มตกลง

กฎไฟร์วอลล์ตามคำสั่ง

/ip ตัวกรองไฟร์วอลล์เพิ่ม chain=forward dst-port=443 protocol=tcp tls-host=*.facebook.com action=drop