Mikrotik : bloquer les pubs avec AdGuard et RouterOS

Avoir un routeur Mikrotik, c’est posséder une puissance de feu incroyable dans un petit boîtier. Mais saviez-vous qu’il peut remplacer avantageusement un bloqueur de pub installé sur chaque ordinateur ? En utilisant le protocole DoH (DNS over HTTPS) et les serveurs gratuits d’AdGuard, votre Mikrotik devient le filtre purificateur de tout votre WiFi.

Voici comment configurer le blocage en une ligne, tout en gardant la main sur une liste blanche pour vos appareils spécifiques.

1. Pourquoi utiliser le DoH avec AdGuard ?

Le DNS classique est lisible par n’importe qui sur le réseau. Le DNS over HTTPS (DoH) chiffre vos requêtes. En choisissant AdGuard comme résolveur, vous obtenez :

• Blocage automatique : les serveurs DNS d’AdGuard refusent de résoudre les domaines de publicités et de trackers.
• Confidentialité : votre fournisseur d’accès ne voit plus vos requêtes DNS.
• Zéro logiciel : pas besoin d’installer d’extension sur vos navigateurs, le filtrage se fait à la source.

2. Configuration : la commande « One-Liner »

Avant de commencer, assurez-vous que deux conditions sont remplies :

• Votre Mikrotik est à l’heure (système NTP configuré), car le chiffrement HTTPS échouera si la date est fausse.
• Un certificat racine est importé sur le routeur. Téléchargez le bundle de certificats à https://curl.se/docs/caextract.html, puis importez-le via System → Certificates → Import dans Winbox. Sans ce certificat, la connexion DoH échouera même si l’URL est correcte.

Ouvrez un terminal et collez cette commande pour activer le filtrage sécurisé :

/ip dns set use-doh-server=https://dns.adguard.com/dns-query verify-doh-cert=yes allow-remote-requests=yes

Note importante : vous devez avoir un serveur DNS classique (comme 1.1.1.1) configuré dans /ip dns set servers=1.1.1.1 pour permettre au routeur de résoudre l’adresse d’AdGuard la première fois. Une fois le DoH actif, ce serveur de secours n’est plus utilisé pour les requêtes clientes.

3. Créer une liste blanche (White List)

Il arrive parfois que le filtrage d’AdGuard soit trop agressif pour certains usages : une console de jeu qui ne peut plus accéder à son store, ou une smart TV capricieuse. Pour ces appareils, nous allons créer une exception.

Étape A : Identifier l’appareil

Nous allons créer une « Address List » pour regrouper les appareils qui ne doivent pas être filtrés. Remplacez l’IP par celle de votre appareil (ex : votre console) :

/ip firewall address-list add address=192.168.88.50 list=WiFi_Sans_Filtre

Étape B : Rediriger le trafic (Le NAT forcé)

Par défaut, nous voulons que tout le monde utilise le DNS du Mikrotik (AdGuard), sauf les appareils de notre liste blanche. Voici les règles à ajouter, dans cet ordre exact. RouterOS les évalue de haut en bas, la première correspondance gagne :

# 1. On autorise la liste blanche à passer sans interception
/ip firewall nat add chain=dstnat action=accept protocol=udp src-address-list=WiFi_Sans_Filtre dst-port=53
/ip firewall nat add chain=dstnat action=accept protocol=tcp src-address-list=WiFi_Sans_Filtre dst-port=53

# 2. On force tous les autres vers le Mikrotik (donc AdGuard via DoH)
/ip firewall nat add chain=dstnat action=redirect to-ports=53 protocol=udp dst-port=53
/ip firewall nat add chain=dstnat action=redirect to-ports=53 protocol=tcp dst-port=53

Attention : ces quatre règles doivent être positionnées avant toute autre règle dstnat existante sur votre routeur. Si vous les ajoutez après coup, utilisez la commande /ip firewall nat move pour les déplacer vers le haut, ou vérifiez leur ordre dans l’onglet NAT de Winbox.

4. Pourquoi cette méthode est la meilleure ?

• Étanchéité : même si un utilisateur tente de changer manuellement les DNS sur son téléphone pour bypasser votre protection, la règle « redirect » du firewall le ramènera de force vers le filtre du Mikrotik.
• Flexibilité : vous pouvez agouter ou supprimer des appareils de la liste WiFi_Sans_Filtre en un clic dans l’interface Winbox, sans jamais couper la connexion des autres.
• Visibilité : dans l’onglet Cache de /ip dns, vous pourrez voir en temps réel les requêtes résolues ou en cours.

Conclusion

Le couple Mikrotik et AdGuard est la solution de sécurité la plus légère et la plus robuste pour un réseau WiFi domestique ou de petite entreprise. Vous libérez de la bande passante, vous protégez votre vie privée et vous gardez un contrôle total grâce à la liste blanche.
C’est là toute la beauté de RouterOS : une réelle complexité qui, une fois domptée, offre une liberté sans égale.