Острые углы сглаживаются процентом пропусков (пока) и временем на исправление (в надежде). Иначе ТОЛЬКО ТЕХНИЧЕСКИХ решений, устраивающих отрасль, я не вижу.
URL не фильтровать — блокировать домен, если не идут на контакт. SNI могут оставить желающие, как и DPI Базово - фильтровать доступ на уровне DNS + по явно перечисленным адресам в выгрузке.