Cara Menambahkan Address-List Berbasis Nama Domain MikroTik v7

Di era web modern dengan HTTPS everywhere — seperti YouTube, Facebook, TikTok, hingga layanan cloud—menggunakan teknologi CDN (Content Delivery Network), IP Dinamis, QUIC Protocol (HTTP/3), serta enkripsi TLS 1.3. Alamat IP tujuan mereka berubah secara konstan, sehingga mendaftarkan IP secara manual, Layer7 Filtering dan content ke dalam firewall sudah tidak efektif lagi untuk memfilter berdasarkan nama domain. Yang membuat pengaturan trafik (manajemen bandwidth, pisah trafik/static route, web filtering etc) menjadi lebih menantang.

Dokumentasi ini membahas beberapa tehnik atau strategi yang “future-proof” untuk situs dan aplikasi modern, lengkap dengan contoh konfigurasi.

Prasyarat dan Konsep Dasar

• Versi RouterOS menggunakan MikroTik RouterOS v7.x dan terhubung ke internet.
• Pastikan seluruh klien di jaringan Anda menggunakan IP MikroTik sebagai DNS Server mereka.

Challenge Web Modern: QUIC Protocol (HTTP/3), TLS 1.3, DoH/DoT & CDN

Sebelum masuk cara teknis, sangat penting memahami mengapa cara lama seperti Layer7 Protocol atau content tidak lagi ampuh:

• TLS 1.3 Encryption: Pada TLS 1.3/ECH, seluruh proses handshake dan payload sepenuhnya dienkripsi. Metode Deep Packet Inspection atau Layer7 Filtering di MikroTik tidak lagi mampu membaca isi paket HTTP/HTTPS. Ini merupakan enkripsi bawaan yang terintegrasi secara native di dalam payload UDP QUIC Protocol (HTTP/3).
• CDN & Load Balancing: Website populer menggunakan server CDN (seperti Cloudflare, Akamai, atau Google GVT). Satu domain bisa menghasilkan belasan IP berbeda tergantung lokasi pengguna, ISP, dan waktu akses. Dan bisa juga membuat satu IP digunakan oleh ribuan domain berbeda.
• Encrypted DNS (DoH / DoT): Jika client di LAN menggunakan DNS over HTTPS (DoH) langsung ke browser, router tidak akan pernah melihat kueri DNS lokal tersebut.

Teknik 1: Address-List Statis dengan FQDN (DNS Name)

Teknik paling sederhana adalah langsung memasukkan nama domain ke address-list, lalu menggunakan address-list tersebut di firewall. Router akan me-resolve FQDN menjadi IP dan menjaga list tetap terbarui sesuai TTL DNS.

Langkah-langkah konfigurasi dengan Winbox:

1. Buka aplikasi Winbox dan login ke router MikroTik Anda.
2. Buka menu IP -> Firewall -> tab Address Lists.
3. Klik tombol + (Add New).
4. Isi parameter berikut:
   • Name: ips_youtube (atau nama grup address-list Anda)
   • Address: youtube.com (masukkan nama domain tanpa http/https)
5. Klik Apply lalu OK.

Catatan Penting: untuk FQDN yang ingin terus di-update berdasarkan DNS, jangan beri nilai timeout pada baris FQDN, biarkan kosong sehingga router selalu melakukan resolusi sesuai TTL DNS.

• Kelebihan: Konfigurasi sangat praktis, beban kinerja prosesor router sangat rendah. Sangat efektif jika targetnya adalah server lokal atau VPS yang IP-nya jarang berubah.
• Kelemahan: MikroTik hanya mengambil satu IP pertama yang diberikan oleh DNS server saat perintah dieksekusi. Layanan modern menggunakan CDN (Content Delivery Network). IP yang didapatkan oleh router saat melakukan resolve bisa berbeda dengan IP yang didapatkan oleh HP atau laptop klien, membuat aturan firewall menjadi tidak sinkron.

Perintah CLI (Terminal):

/ip firewall address-list
add address=facebook.com list=ips_facebook
add address=youtube.com list=ips_youtube
add address=googlevideo.com list=ips_youtube
add address=whatsapp.com list=ips_whatsapp
add address=whatsapp.net list=ips_whatsapp

Teknik 2: Address-List Dinamis (Domain Event-Based)

Fitur ini yang saya sarankan untuk dunia TLS 1.3 dan HTTPS: ini adalah metode termudah dan paling efisien di RouterOS v7. Ketika router menerima request DNS dari klien, RouterOS akan otomatis mencatat IP hasil resolve tersebut ke dalam address-list. Entry tersebut akan dihapus ketika TTL DNS berakhir, sehingga selalu sinkron dengan record DNS terbaru.

Pastikan seluruh klien di jaringan Anda menggunakan IP MikroTik sebagai DNS Server mereka. Buat aturan static DNS dengan menyertakan parameter address-list.

Langkah-langkah konfigurasi dengan Winbox:

1. Buka aplikasi Winbox Buka menu IP -> DNS -> Static.
2. Klik tombol + (Add New).
3. Isi parameter berikut:
   • Regexp: .*(youtube\.com|googlevideo\.com).* (masukkan nama domain dengan format regexp)
   • Address List: ips_youtube (atau nama grup address-list Anda)
   • Type: FWD
   • Forward To: 8.8.8.8
4. Klik Apply lalu OK.

Dengan teknik ini, walaupun koneksi ke youtube.com memakai TLS 1.3 dan payload terenkripsi, Anda tetap bisa membedakan dan mengatur traffic berdasarkan IP yang secara eksplisit di-resolve dari domain tersebut.

• Kelebihan: Sangat ringan, tidak membebani CPU, kompatibel penuh dengan TLS 1.3 karena membaca data sebelum enkripsi terjadi di level aplikasi. Cocok untuk website raksasa yang menggunakan CDN. Setiap kali klien membuka Youtube atau subdomainnya, MikroTik akan otomatis menangkap IP tersebut secara otomatis saat itu juga.
• Kelemahan: Tidak efektif jika pengguna ngatur DNS sendiri (seperti DoH/DoT atau DNS Google 8.8.8.8) di perangkat mereka. Anda harus memblokir atau membelokkan request DNS eksternal menggunakan FIREWALL/NAT (Intercept DNS Cache / Snooping).

Perintah CLI (Terminal):

/ip dns static
add address-list=ips_youtube comment="Catch YT IPs" forward-to=8.8.8.8 regexp=".*(youtube\\.com|googlevideo\\.com).*" type=FWD
add address-list=ips_whatsapp comment="Catch WA IPs" forward-to=8.8.8.8 regexp=".*(whatsapp\\.com|whatsapp\\.net).*" type=FWD
add address-list=ips_facebook comment="Catch FB IPs" forward-to=8.8.8.8 regexp=".*(facebook\\.com).*" type=FWD

Tehnik 3: ASN Tracking (Solusi untuk CDN)

Website besar atau aplikasi modern jarang menggunakan satu IP statik. Mereka bersembunyi di balik CDN atau memiliki blok IP raksasa sendiri yang diidentifikasi melalui ASN (Autonomous System Number). Dibanding mengejar domain, lebih baik Anda memasukkan seluruh IP milik penyedia layanan tersebut.

Untuk mencari nomor ASN dan range-ip nya (contoh: Facebook/Meta AS32934, Cloudflare AS13335, Netflix AS2906), bisa menggunakan tool script generator Mikrotik Blocker.

• Kelebihan: Sangat akurat untuk memisahkan trafik content provider besar (Netflix, Google, Meta) dan tidak terpengaruh oleh enkripsi TLS 1.3 maupun ECH.
• Kelemahan: Jika target menggunakan CDN publik seperti Cloudflare, Anda berisiko memasukkan ribuan website lain yang berada di CDN yang sama ke dalam address-list Anda.

Kesimpulan

Untuk menangani jaringan modern dengan TLS 1.3 dan CDN di MikroTik RouterOS v7 adalah berpindah dari tehnik Layer7, content dan tls-host ke berbasis DNS dan address-list domain/FQDN. Fitur /ip firewall address-list dengan FQDN, /ip dns static, dan script berbasis [:resolve] memberi Anda kontrol tanpa perlu “mengintip” isi koneksi yang sudah terenkripsi.

Contoh skenario yang dapat memanfaatkan address-list ini bisa diterapkan di:

• Cara Setting Static Route & Pisah Trafik di MikroTik v7 (Dual ISP): Jika Anda ingin mengarahkan website tertentu ke gateway tertentu (traffic steering).

Tags firewall_mikrotik, mikrotik