ну так это и скатывается в совсем блокировку по домену

Да. Но пока ещё нет :)

то есть ютуб перестанет резолвиться сразу

потому что он кучу раз в реестре по http

Ещё раз. Отдавай IP своего фильтра. Пусть сквида. А тот уже решит

Т.е. не блокируй DNS, а подделывай

ну если IP в реестре, то он отдаст страницу блокировки

это короче какой-то вариант решения от мфи софт, только с обратной стороны

Так. Смотри. Нет больше никаких IP в реестре кроме тех что только IP. Ты видишь, что отвечают DNS по домену youtube. Ты отвечаешь "а, это 10.0.0.666". А на 10.0.0.666 у тебя сквид стоит. Пользователь лезет на твой сквид явно, а тот уже режет URL или ещё как блокирует

там четко прописано что только совпадения блокировать?

Не понял вопроса

а то так можно в A запись прописать любой айпишник сайта, который доступен только по https, и сквид ничего тебе не скажет о том, что ты реквестишь

всё равно не понял

Собственно чего мы. Там документ-то в три строки

3. Оператор связи, получивший в записи выгрузки информацию об указателе страницы сайта в сети «Интернет», доменном имени и сетевом адресе обязан ограничить доступ к соответствующему указателю страницы сайта в сети «Интернет», в том числе в случае изменения его сетевого адреса.
4. Оператор связи обязан обеспечить ограничение доступа только ко включенному в выгрузку указателю страницы сайта в сети «Интернет». Если запись выгрузки содержит сведения об указателе страницы сайта в сети «Интернет», использующем сетевой протокол, поддерживающий шифрование, допускается ограничение доступа ко всему доменному имени, в том числе путем ограничения запросов пользователей к системе получения информации о доменных именах (далее – DNS-сервер) или выполнения соответствующих настроек DNS-серверов оператора связи.

Всё. Раз  и два

А стоп

Спасибо. Я не прав

Нет у тебя никаких вариантов - только один способ для дефолтной блокировки - просматривай весь трафик

ну короче надо запрещенные домены резолвить на себя и дипиайить только их