DoH и DoQ, а под рукой никакого NGFW и прокси сервера, то и в этой ситуации можно что-то придумать и не только с Микротиком. Идея предложенного подхода - разрешаем на файрволе только то, что есть в кеше нашего DNS. Получается этакий DNS snooping. В работоспособности на практике я сомневаюсь, но как идея.В контролируемых корпоративных сетях проблемы с несанкционрированным доступом к левым
DNS не должно возникать, настройки на всё задаются централизованно, про это просто надо вспомнить. А в общедоступных сетях, нет большого смысла контролировать кто каким DNS пользуется, DNS уж точно не файрвол.