Duvida - como bloquear que um mikrotik acesse dns externos de outras redes

Depois destes ataques nos Mikrotiks tivemos que atualizar todos nossos clientes manualmente, agora ele veio mais poderoso, tenho observado em meus clientes que mesmo em alguns atualizados os nomes de usuários foram restringidos por ip, podendo ser acessados apenas por ip's desconhecidos, e nos dns foram alterados para alguns dns muito estranhos.
Queria bloquear para que nem um cliente meu pudesse gerar trafego para estes dns e ip's.
Alguém tem uma sugestão de regra para bloquear?

Marque todas as conexões UDP protocolo 53
E faça um dstnat para um dns seu.
Pronto a parte de DNs foi "resolvida".

Quanto aos ips você precisa fazer um access-list colocando os ips que podem acessar e um drop all no resto.

obrigado pela sugestão, eu sei fazer mas estava meio perdido

ip firewall nat add chain=dstnat protocol=udp dst-port=5
3 action=dst-nat to-addresses=ip_do_mikrotik to-ports=53


acho que seria assim

mas seria bom tambem vc, bloquear a entrada

ip firewall filter add chain=input protocol=udp dst-port
=53 in-interface=WAN_DO_MIKROTIK action=drop