ExplainerDNS filtering limits

DNS फ़िल्टरिंग का फेल ओपन बनाम फेल क्लोज्ड: फ़िल्टर डाउन होने पर क्या होता है

आप यह तय कर सकेंगे कि DNS फ़िल्टर का जवाब मिलना बंद होने पर आपके गेस्ट और स्टाफ WiFi को कैसा व्यवहार करना चाहिए, और यह जांच सकेंगे कि क्या आपका नेटवर्क वाकई फेल क्लोज्ड होता है। आपको पता चलेगा कि DHCP, फ़ॉरवर्डर्स और डिवाइसेज में फॉलबैक कहाँ छिपा होता है, और आउटेज द्वारा परीक्षण किए जाने से पहले रिडंडेंसी का परीक्षण...

12 min readUpdated 31 अक्टूबर 2026

Key points

प्रत्येक DHCP स्कोप का ऑडिट करें और द्वितीयक DNS फ़ील्ड से किसी भी ISP या सार्वजनिक रिसॉल्वर को हटा दें, क्योंकि एक अनफ़िल्टर्ड पता डिज़ाइन को फ़ेल ओपन में बदल देता है।
प्रत्येक फ़ायरवॉल या गेटवे DNS फ़ॉरवर्डर पर अपस्ट्रीम सूची की जांच करें, क्योंकि फ़िल्टर के नीचे सूचीबद्ध एक सार्वजनिक रिसॉल्वर DHCP साफ़ दिखने पर भी फ़ेल ओपन हो जाता है।
एक ही पॉलिसी के साथ कम से कम दो फ़िल्टरिंग रिसॉल्वर पते कॉन्फ़िगर करें, ताकि फ़ेल क्लोज़्ड एक रिसॉल्वर के नुकसान से बचा रहे।
फ़िल्टर में आउटबाउंड DNS को ब्लॉक करके एकल परीक्षण VLAN से विफलता व्यवहार का परीक्षण करें: यदि साइटें अभी भी लोड होती हैं और कुछ भी लॉग नहीं होता है, तो आप फ़ेल ओपन हो जाते हैं।
सुनिश्चित करें कि कैप्टिव पोर्टल और वॉल्ड गार्डन डोमेन रिडंडेंट फ़िल्टरिंग रिसॉल्वर के माध्यम से रिसॉल्व होते हैं, ताकि आंशिक आउटेज के दौरान भी मेहमान लॉगिन कर सकें।
ब्लॉक पेज, SERVFAIL और RFC 8914 एक्सटेंडेड DNS एरर का उपयोग करके, आउटेज से पॉलिसी ब्लॉक बताने के लिए अपने हेल्पडेस्क को सूचित करें।
ईग्रेस नियमों के साथ DoH और DoT बाईपास को संभालें, क्योंकि फ़ेल क्लोज़्ड सेटिंग्स केवल उन डिवाइस की सुरक्षा करती हैं जो आपके रिसॉल्वर का उपयोग करते हैं।

DNS फ़िल्टरिंग फे़ल ओपन बनाम फे़ल क्लोज्ड इस बात का चुनाव है कि जब कोई नेटवर्क फ़िल्टरिंग रिजॉल्वर जवाब देना बंद कर देता है तो वह क्या करता है। फे़ल ओपन बिना फ़िल्टर किए गए रिजॉल्वर पर वापस चला जाता है, इसलिए सुरक्षा के बिना ब्राउज़िंग जारी रहती है। फे़ल क्लोज्ड NIST SP 800-53 कंट्रोल SC-24 (फे़ल इन नोन स्टेट) के अनुरूप कहीं और प्रश्न नहीं भेजता है, इसलिए बिना फ़िल्टर किए कुछ भी रिजॉल्व नहीं होता है।

DNS फ़िल्टरिंग फे़ल ओपन बनाम फे़ल क्लोज्ड क्या है?

DNS फ़िल्टरिंग हर कनेक्शन के पहले चरण पर स्थित होती है। कोई भी फ़ोन किसी भी सेशन को खोलने से पहले रिजॉल्वर से डोमेन नाम को IP एड्रेस में बदलने के लिए कहता है (RFC 1035)। एक सुरक्षात्मक DNS रिजॉल्वर थ्रेट इंटेलिजेंस और आपकी कंटेंट पॉलिसी के खिलाफ उस नाम की जांच करता है। फिर यह वास्तविक एड्रेस, एक ब्लॉक पेज एड्रेस या एक अस्वीकृति वापस लौटाता है।

यह प्लेसमेंट ही वह कारण है जिससे DNS फ़िल्टरिंग काम करती है। यह जांच डेस्टिनेशन तक एक भी पैकेट पहुंचने से पहले होती है। यह किसी फ़िशिंग लिंक या मैलवेयर कॉलबैक को रोक सकता है जिसे एक फ़ायरवॉल केवल पोर्ट 443 पर अनुमति प्राप्त ट्रैफ़िक के रूप में देखेगा। UK नेशनल साइबर सिक्योरिटी सेंटर इसी सिद्धांत पर सार्वजनिक क्षेत्र के लिए एक सुरक्षात्मक DNS सेवा चलाता है।

यह प्लेसमेंट इसकी कमजोर कड़ी भी है। यदि प्रत्येक लुकअप फ़िल्टरिंग रिजॉल्वर पर निर्भर करता है, तो आपको इस बात के लिए एक योजना की आवश्यकता है कि जब उस तक नहीं पहुंचा जा सके। केवल दो योजनाएं हैं।

फे़ल ओपन। नेटवर्क या डिवाइस प्रश्न को किसी अन्य रिजॉल्वर के पास भेजता है जो कोई पॉलिसी लागू नहीं करता है। ब्राउज़िंग जारी रहती है, लेकिन फ़िल्टर वापस आने तक सुरक्षा, लॉगिंग और कंटेंट नियम रुक जाते हैं।
फे़ल क्लोज्ड। कोई भी बिना फ़िल्टर किया गया पाथ मौजूद नहीं होता है। नए लुकअप फ़िल्टरिंग रिजॉल्वर के जवाब देने का इंतज़ार करते हैं, और पॉलिसी के निर्णय के बिना कुछ भी रिजॉल्व नहीं होता है।

यह विकल्प उपलब्धता और आश्वासन के बीच का एक सौदा है। फे़ल ओपन उस विज़िटर का पक्ष लेता है जो चाहता है कि कोई पेज अभी लोड हो। फे़ल क्लोज्ड आपकी सुरक्षा टीम, सेफ़गार्डिंग लीड और ऑडिटर का पक्ष लेता है, जिन्हें यह दिखाना होता है कि साल के हर मिनट नेटवर्क को फ़िल्टर किया गया था।

NIST SP 800-53 Rev. 5 दो कंट्रोल में एक ही विचार को प्रस्तुत करता है। SC-24 "फे़ल इन नोन स्टेट" है और SC-7(18) "फे़ल सिक्योर" है (NIST SP 800-53 Rev. 5)।

रिजॉल्वर पर फ़िल्टर विफलता व्यवहार कैसे काम करता है?

आपका कॉन्फ़िगरेशन फ़िल्टर विफलता व्यवहार तय करता है, न कि स्वयं फ़िल्टर। तीन स्थान इसे सेट करते हैं: DHCP, कोई भी स्थानीय DNS फ़ॉरवर्डर, और डिवाइस।

DHCP DNS फ़ील्ड

DHCP वह प्रोटोकॉल है जो प्रत्येक डिवाइस के शामिल होने पर उसका IP एड्रेस और नेटवर्क सेटिंग्स सौंपता है। अधिकांश गेस्ट और स्टाफ नेटवर्क इसका उपयोग प्रत्येक डिवाइस को दो या अधिक DNS सर्वर एड्रेस देने के लिए करते हैं। यदि वे सभी फ़िल्टरिंग रिजॉल्वर की ओर इशारा करते हैं, तो डिज़ाइन फे़ल क्लोज्ड हो जाता है। यदि दूसरा किसी ISP या सार्वजनिक रिजॉल्वर की ओर इशारा करता है, तो डिज़ाइन फे़ल ओपन हो जाता है, चाहे फ़िल्टरिंग वेंडर जो भी वादा करे।

Fail open: the filtering resolver times out, the device retries an unfiltered secondary, and the lookup succeeds with no policy applied.

Flow diagram showing a guest device query timing out at the filtering resolver, falling back to an unfiltered secondary resolver and connecting to a domain with no policy check.

Connections

Guest device to Filtering resolver (1. Query on port 53)
Filtering resolver to Guest device (2. Timeout, no reply)
Guest device to Unfiltered fallback resolver (3. Retry to secondary)
Unfiltered fallback resolver to Answer with no policy check (4. Resolves any domain)
Answer with no policy check to Connection opens (5. Device connects)

स्थानीय फ़ॉरवर्डर

कई फ़ायरवॉल और गेटवे एक DNS फ़ॉरवर्डर चलाते हैं। डिवाइस गेटवे से पूछताछ करते हैं, और गेटवे अपस्ट्रीम रिज़ॉल्वर को फ़ॉरवर्ड करता है। यहाँ फ़ॉलबैक फ़ॉरवर्डर की अपस्ट्रीम सूची में रहता है। फ़िल्टर के नीचे एक सार्वजनिक रिज़ॉल्वर को सूचीबद्ध करने वाला फ़ॉरवर्डर फ़ेल ओपन हो जाता है, भले ही DHCP साफ़ दिखाई दे रहा हो।

डिवाइस का अपना व्यवहार

ऑपरेटिंग सिस्टम के अनुसार रिज़ॉल्वर का चयन भिन्न होता है। कुछ डिवाइस दूसरे सर्वर को एक सख्त स्टैंडबाय मानते हैं। अन्य इसे तब क्वेरी करते हैं जब पहला धीमा होता है, या दोनों को क्वेरी भेजते हैं। एक फ़ेल ओपन डिज़ाइन पर, फ़िल्टर पूरी तरह से स्वस्थ होने पर भी अनफ़िल्टर्ड उत्तर लीक हो सकते हैं।

फ़ेल क्लोज्ड कैसा दिखता है

फ़ेल क्लोज्ड डिज़ाइन में, कोई डिवाइस या फ़ॉरवर्डर उपयोग कर सकने वाला प्रत्येक DNS पता उसी नीति वाले फ़िल्टरिंग रिज़ॉल्वर की ओर इशारा करता है। यदि कोई एक उत्तर देना बंद कर देता है, तो डिवाइस अगले के खिलाफ पुनः प्रयास करता है। लुकअप केवल तभी विफल होता है जब प्रत्येक फ़िल्टरिंग रिज़ॉल्वर पहुंच से बाहर होता है। तब डिवाइस को अनफ़िल्टर्ड उत्तर के बजाय एक टाइमआउट या SERVFAIL, जो कि मानक DNS "सर्वर विफलता" प्रतिक्रिया है, मिलती है।

फ़ेल क्लोज्ड: रिडंडेंट फ़िल्टरिंग रिज़ॉल्वर एक ही नीति साझा करते हैं, और यदि वे सभी विफल हो जाते हैं तो अनफ़िल्टर्ड रिज़ॉल्व होने के बजाय लुकअप विफल हो जाता है।

फ़्लो आरेख जो दिखाता है कि पहला विफल होने के बाद एक डिवाइस दूसरे फ़िल्टरिंग रिज़ॉल्वर का पुनः प्रयास कर रहा है, नीति डोमेन की अनुमति दे रही है या ब्लॉक कर रही है, और एक डैश वाला पथ जहाँ सभी रिज़ॉल्वर विफल हो जाते हैं और कोई कनेक्शन नहीं खुलता है।

Connections

डिवाइस to फ़िल्टरिंग रिज़ॉल्वर 1 (1. क्वेरी)
डिवाइस to फ़िल्टरिंग रिज़ॉल्वर 2 (2. अगले फ़िल्टर पर पुनः प्रयास)
फ़िल्टरिंग रिज़ॉल्वर 2 to नीति जांच (3. नेटवर्क नीति लागू करें)
नीति जांच to सुरक्षित उत्तर (4a. डोमेन की अनुमति है)
नीति जांच to ब्लॉक प्रतिक्रिया (4b. खतरा या अवरुद्ध श्रेणी)
डिवाइस to कोई उत्तर नहीं (यदि सभी फ़िल्टर विफल हो जाते हैं)

सही ढंग से किया जाए तो फ़ेल क्लोज्ड नाजुक नहीं होता है। लचीलापन रिडंडेंट फ़िल्टरिंग रिज़ॉल्वर से आता है, न कि किसी अनफ़िल्टर्ड एस्केप हैच से।

फ़ेल ओपन, फ़ेल क्लोज्ड, फ़ेल सिक्योर: कौन से शब्द भ्रमित करते हैं?

वेंडर दस्तावेज़ों, ऑडिट निष्कर्षों और चेंज टिकटों में चार आसपास के शब्द दिखाई देते हैं। वे अलग-अलग चीज़ों का वर्णन करते हैं, और उन्हें मिलाने से गलत डिज़ाइन बनता है।

Fail open बनाम fail closed बनाम वे शब्द जिनके साथ लोग भ्रमित होते हैं Data as of 2026-06-10
शब्द	यह क्या बताता है	फ़िल्टर आउटेज के दौरान	इसमें क्या जोखिम शामिल है
Fail open	जब फ़िल्टर तक पहुँच संभव न हो तो क्वेरी अनफ़िल्टर्ड रिज़ॉल्वर पर वापस आ जाती हैं	ब्राउज़िंग बिना फ़िल्टर के जारी रहती है	खतरे और ब्लॉक की गई श्रेणियां बिना किसी नीति के और अक्सर बिना किसी लॉग के रिज़ॉल्व होती हैं
Fail closed	केवल फ़िल्टरिंग रिज़ॉल्वर कॉन्फ़िगर किए गए हैं, जिसमें कोई अनफ़िल्टर्ड फॉलबैक नहीं है	फ़िल्टरिंग रिज़ॉल्वर का उत्तर मिलने तक नए लुकअप विफल रहते हैं	उपलब्धता फ़िल्टर रिडंडेंसी पर निर्भर करती है
Fail secure (NIST SC-7(18))	नियंत्रण ढांचे का शब्द: विफलता पर एक बाउंड्री डिवाइस को असुरक्षित स्थिति में नहीं जाना चाहिए	Fail closed जैसा ही व्यावहारिक परिणाम	ऑडिटर आपसे इसका प्रमाण मांग सकते हैं
Serve-stale (RFC 8767)	अपस्ट्रीम सर्वर तक पहुँच न होने पर रिज़ॉल्वर समाप्त हो चुके कैश से उत्तर देता है	हाल ही में देखी गई डोमेन रिज़ॉल्व होती रहती हैं	उत्तर अंतिम निर्णय को दर्शाते हैं, किसी नए नीति निरीक्षण को नहीं
Default deny	उन डोमेन के लिए नीति जिन्हें फ़िल्टर ने अभी तक वर्गीकृत नहीं किया है	यह विफलता मोड नहीं है; यह तब लागू होता है जब फ़िल्टर सही स्थिति में होता है	यदि बहुत सख्त सेट किया गया है तो अत्यधिक ब्लॉकिंग
Bypass	एक डिवाइस हार्ड कोडेड DNS, DoH या DoT के माध्यम से नेटवर्क रिज़ॉल्वर को अनदेखा करता है	अप्रभावित, क्योंकि यह हर समय अनफ़िल्टर्ड रहता है	इसके लिए विफलता सेटिंग नहीं, बल्कि निकास नियंत्रण की आवश्यकता है

NIST SP 800-53 Rev. 5 से Fail secure शब्दावली। RFC 8767 में Serve-stale परिभाषित।

Fail closed default deny नहीं है

Default deny अवर्गीकृत डोमेन के बारे में एक नीतिगत विकल्प है। यह तब काम करता है जब फ़िल्टर सही स्थिति में हो। Fail closed इस बारे में है कि फ़िल्टर अनुपस्थित होने पर क्या होता है। आप अनुमत नीति के साथ fail closed चला सकते हैं, या सख्त नीति के साथ fail open चला सकते हैं।

Serve-stale दोनों के बीच में है

RFC 8767 एक रिज़ॉल्वर को अपस्ट्रीम सर्वर तक न पहुँच पाने पर समाप्त हो चुके कैश से उत्तर देने की अनुमति देता है। यह छोटे आउटेज के दौरान लोकप्रिय नामों को चालू रखता है। यह अंतिम निर्णय को फिर से चलाता है, इसलिए उस समय के बाद दुर्भावनापूर्ण बना डोमेन पकड़ में नहीं आता है।

Bypass विफलता नहीं है

सार्वजनिक रिज़ॉल्वर के लिए DNS over HTTPS (DoH, RFC 8484) या DNS over TLS (DoT, RFC 7858) का उपयोग करने वाला डिवाइस आपके फ़िल्टर को कभी नहीं छूता है। Fail closed सेटिंग्स इस पर कुछ नहीं करती हैं। आप निकास नियमों (egress rules) के साथ bypass को संभालते हैं।

व्यावहारिक रूप से आप DNS फ़िल्टरिंग आउटेज का सामना कहाँ करते हैं?

DNS फ़िल्टरिंग आउटेज केवल तभी मायने रखता है जब इंटरनेट लिंक चालू हो लेकिन फ़िल्टर तक पहुँचना असंभव हो। यदि पूरा अपलिंक डाउन हो जाता है, तो दोनों मोड एक जैसे दिखते हैं। व्यावहारिक रूप से, सामान्य परिचालन घटनाओं के माध्यम से यह अंतर सामने आता है:

एक फ़ायरवॉल परिवर्तन जो फ़िल्टर के पतों पर आउटबाउंड पोर्ट 53 को ब्लॉक करता है;
एक स्थानीय फ़ॉरवर्डर जो क्रैश हो जाता है या अपस्ट्रीम फ़ॉरवर्ड करना बंद कर देता है;
ब्रांच WAN पर एक राउटिंग बदलाव जो DNS को गलत तरीके से भेजता है;
एक ठेकेदार द्वारा "लचीलेपन के लिए" DHCP स्कोप को एडिट करना और एक सार्वजनिक रिज़ॉल्वर जोड़ना;
स्वयं फ़िल्टरिंग प्रदाता पर कोई घटना होना।

फ़ेल क्लोज़्ड नेटवर्क पर इनमें से प्रत्येक हानिरहित दिखता है। इनमें से प्रत्येक फ़ेल ओपन नेटवर्क पर चुपचाप सुरक्षा को हटा देता है।

हॉस्पिटैलिटी गेस्ट नेटवर्क

गेस्ट WiFi को परिवारों के लिए उपयुक्त और मैलवेयर से सुरक्षित रखने के लिए होटल और पब समूह कंटेंट पॉलिसी लागू करते हैं। एक फ़ेल ओपन गेस्ट नेटवर्क बिना किसी को बताए उस पॉलिसी को हटा देता है। बड़े हॉस्पिटैलिटी ऑपरेटरों के लिए, सार्वजनिक WiFi पर नीतिगत चूक से ब्रांड जोखिम के साथ - साथ सुरक्षा जोखिम भी होता है।

हेल्थकेयर

Shield सेंट जॉर्ज हेल्थकेयर NHS ट्रस्ट में हर सप्ताह लगभग 241,000 खतरों को रोकता है। हमारे हिसाब से, यह औसतन लगभग 1,400 प्रति घंटा बैठता है। एक घंटे की फ़ेल ओपन विंडो से मरीज, विज़िटर और कर्मचारियों के डिवाइसों पर वे लुकअप बिना किसी जांच के रिज़ॉल्व हो जाएंगे।

ट्रांसपोर्ट हब

हवाई अड्डे सार्वजनिक नेटवर्क पर हजारों यात्री डिवाइसों को संभालते हैं, जिनमें से कई अनमैनेज्ड होते हैं। एक टर्मिनल में, फ़ेल ओपन गैप का अर्थ पीक वॉल्यूम पर एक अनफ़िल्टर्ड सार्वजनिक नेटवर्क है।

स्टाफ और कॉर्पोरेट नेटवर्क

स्टाफ नेटवर्क उपलब्धता पर दांव बढ़ाते हैं। व्यावसायिक ऐप्स को काम करते रहना चाहिए, इसलिए फ़ेल क्लोज़्ड के पीछे वास्तविक रिडंडेंसी की आवश्यकता होती है। आंतरिक नाम आमतौर पर आंतरिक DNS सर्वर पर रिज़ॉल्व होते हैं, जो फिर बाहरी प्रश्नों को फ़िल्टर पर फॉरवर्ड करते हैं। सुनिश्चित करें कि उस फॉरवर्डिंग टियर में भी कोई अनफ़िल्टर्ड अपस्ट्रीम न हो।

फ़ेल क्लोज़्ड DNS की सीमाएं और एज केस क्या हैं?

अधिकतर गेस्ट और स्टाफ WiFi के लिए फ़ेल क्लोज़्ड ही सही डिफ़ॉल्ट है। इसकी अभी भी सीमाएं हैं, और इसके आसपास डिज़ाइन करने से पहले आपको उन्हें जान लेना चाहिए।

एक रिज़ॉल्वर के साथ फ़ेल क्लोज़्ड होना आउटेज की योजना है

यदि नेटवर्क एकल फ़िल्टरिंग पते को सूचीबद्ध करता है, तो फ़ेल क्लोज़्ड का अर्थ है कि उस पते का प्रत्येक आउटेज DNS को डाउन कर देता है। कई फ़िल्टरिंग रिज़ॉल्वर में रिडंडेंसी ही फ़ेल क्लोज़्ड को व्यावहारिक बनाती है। अपने प्रदाता से पूछें कि आप कितने रिज़ॉल्वर पते कॉन्फ़िगर कर सकते हैं और प्रत्येक का परीक्षण करें।

कैश कुछ नामों को सक्रिय रखता है

प्रत्येक DNS उत्तर में एक TTL (टाइम टू लिव) होता है, जो उन सेकंडों की संख्या है जितने समय तक कोई डिवाइस या रिज़ॉल्वर इसे कैश कर सकता है। एक छोटे आउटेज के दौरान, कैश्ड नाम काम करते रहते हैं और नए नाम विफल हो जाते हैं। विज़िटर इसे "कुछ साइटें काम करती हैं, अन्य नहीं" के रूप में नोटिस करते हैं, जो आपके हेल्पडेस्क को भटका सकता है।

Captive Portal को लॉगिन से पहले DNS की आवश्यकता होती है

Captive Portal वह स्प्लैश पेज है जिसे कोई गेस्ट ऑनलाइन होने से पहले देखता है। ऑथेंटिकेट होने से पहले डिवाइस को पोर्टल और किसी भी वॉल्ड गार्डन डोमेन को रिज़ॉल्व करना होगा। यदि प्री - लॉगिन नेटवर्क एक अनफ़िल्टर्ड रिज़ॉल्वर का उपयोग करता है, तो पोर्टल गैप बन जाता है। यदि यह बिना किसी रिडंडेंसी के फ़ेल क्लोज़्ड हो जाता है, तो गेस्ट बिल्कुल भी लॉगिन नहीं कर सकते हैं।

एक विफलता ब्लॉक से अलग दिखती है

एक ब्लॉक डोमेन को एक ब्लॉक पेज या एक स्पष्ट इनकार वापस करना चाहिए। एक विफल लुकअप टाइमआउट या SERVFAIL लौटाता है। RFC 8914 Extended DNS Errors ऐसे कोड जोड़ता है जो उन्हें अलग करते हैं, जैसे कि Blocked (15) और Filtered (17) बनाम No Reachable Authority (22)। अपने हेल्पडेस्क को दोनों के बारे में जानकारी दें, ताकि वे पॉलिसी ब्लॉक और आउटेज के बीच अंतर बता सकें।

DNS नाम से आगे नहीं देख सकता

फेल क्लोज्ड हर लुकअप पर एक नीतिगत निर्णय की गारंटी देता है, न कि संपूर्ण कवरेज की। रॉ IP पतों से कनेक्शन DNS को पूरी तरह से छोड़ देते हैं। आउटेज से पहले से खुले कनेक्शन जारी रहते हैं। DNS केवल डोमेन को देखता है, पथ को कभी नहीं, जिसे DNS फ़िल्टरिंग पूर्ण URL क्यों नहीं देख सकती में समझाया गया है।

व्यापक स्टैक में ये सीमाएं कहां फिट बैठती हैं, इसके लिए क्या DNS फ़िल्टरिंग पर्याप्त है? और DNS फ़िल्टरिंग सीमाएं अवलोकन देखें।

फेल क्लोज्ड DNS Purple Shield से कैसे संबंधित है?

Purple Shield हर नेटवर्क के लिए सुरक्षात्मक DNS और कंटेंट फ़िल्टरिंग है। Shield फेल क्लोज्ड होता है, इसलिए कोई भी आउटेज नेटवर्क को कभी भी अनफ़िल्टर नहीं छोड़ता है। हर लुकअप को नीतिगत निर्णय मिलता है या कोई उत्तर नहीं मिलता, अनचेक उत्तर कभी नहीं मिलता।

आप Shield को किसी भी WiFi नेटवर्क पर स्टैंडअलोन या Purple Access के साथ चला सकते हैं। आप प्रति नेटवर्क और प्रति VLAN (वर्चुअल LAN, साझा हार्डवेयर पर एक तार्किक रूप से अलग नेटवर्क) एक नीति निर्धारित करते हैं। एक ही स्थान पर अतिथि, कर्मचारी और बैक ऑफिस नेटवर्क अलग-अलग नियमों को लागू कर सकते हैं। Shield को किसी नए हार्डवेयर की आवश्यकता नहीं है और यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks और Fortinet पर एक क्लाउड ओवरले के रूप में बैठता है।

~241,000खतरे प्रति सप्ताह ब्लॉक किए गएSt George's Healthcare NHS Trust
80,000+लाइव स्थानPurple डेटा
90देशPurple डेटा

DNSFilter और Cisco Umbrella भी DNS रिज़ॉल्यूशन पर फ़िल्टर करते हैं, इसलिए प्लेसमेंट का तर्क तीनों पर लागू होता है। प्रत्येक विक्रेता से पूछने वाला प्रश्न यह है कि फ़ॉलबैक कहाँ स्थित है। पूछें कि जब रिज़ॉल्वर तक पहुँचा न जा सके तो उनके रोमिंग एजेंट कैसे व्यवहार करते हैं, और आप कितने फ़िल्टरिंग पतों को कॉन्फ़िगर कर सकते हैं। फिर जांचें कि आपकी अपनी DHCP और फ़ॉरवर्डर सेटिंग्स कोई अनफ़िल्टर पथ फिर से पेश न करें।

Shield 90 देशों में Purple के 80,000+ स्थानों के फ़ुटप्रिंट पर चलता है। परिनियोजन विवरण के लिए Shield कैसे काम करता है पढ़ें। एंटरप्राइज WiFi सुरक्षा गाइड दिखाता है कि पहचान और विभाजन के साथ DNS फ़िल्टरिंग कहाँ बैठती है।

यह अवधारणा विवरणिका में नहीं, बल्कि परिवर्तन की समय-सीमा (change window) में प्रभाव दिखाती है। फ़ायरवॉल नियम, DHCP संपादन या "लचीला" सार्वजनिक सेकेंडरी यह तय करता है कि आपका नेटवर्क फ़िल्टर रहता है या नहीं। इस तिमाही में इन तीनों सेटिंग्स का ऑडिट करें। इसके बाद, DNS over TLS and filtering: what port 853 changes पढ़ें, क्योंकि फ़ेल-क्लोज्ड रिज़ॉल्वर केवल उन डिवाइसों की सुरक्षा करता है जो वास्तव में इसका उपयोग करते हैं।

बार-बार पूछे जाने वाले प्रश्न

क्या फ़ेल-क्लोज्ड DNS का मतलब यह है कि आउटेज होने पर मेरा WiFi ऑफ़लाइन हो जाएगा?

नहीं, तब नहीं जब फ़िल्टर रिडंडेंट रिज़ॉल्वर पर चलता है। फ़ेल-क्लोज्ड केवल तभी नई खोजों (lookups) को रोकता है जब प्रत्येक फ़िल्टरिंग रिज़ॉल्वर एक साथ अनुपलब्ध हो जाता है। डिवाइस पहले अगले फ़िल्टरिंग पते पर पुन: प्रयास करते हैं। कैश्ड उत्तर हाल ही में देखी गई साइटों को छोटी रुकावटों के दौरान रिज़ॉल्व करना जारी रखते हैं। लाइव होने से पहले रिडंडेंसी को डिज़ाइन करें, फिर परीक्षण VLAN से एक बार में एक रिज़ॉल्वर को ब्लॉक करके इसका परीक्षण करें।

क्या Shield मेरे पास पहले से मौजूद एक्सेस पॉइंट और फ़ायरवॉल के साथ काम करेगा?

हाँ। Shield DNS रिज़ॉल्यूशन पर फ़िल्टर करता है, इसलिए इसे किसी नए हार्डवेयर की आवश्यकता नहीं होती है और यह किसी भी WiFi नेटवर्क पर स्टैंडअलोन चलता है। Purple Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet के साथ काम करता है। आप प्रत्येक नेटवर्क या VLAN के लिए DNS को Shield की ओर इंगित करते हैं, किसी भी अनफ़िल्टर्ड फ़ॉलबैक को हटाते हैं और प्रति नेटवर्क एक नीति लागू करते हैं। उत्पाद पृष्ठ में इन चरणों को शामिल किया गया है।

Shield की कीमत कैसे तय की जाती है?

Purple इस गाइड में सूची मूल्य प्रकाशित करने के बजाय आपके एस्टेट के लिए Shield का कोटेशन देता है। Shield एक सुरक्षा एड-ऑन है जिसे आप किसी भी WiFi नेटवर्क पर स्टैंडअलोन चला सकते हैं या Purple Access के साथ चला सकते हैं। इसलिए कोटेशन आपके नेटवर्क और स्थानों को दर्शाता है, नए हार्डवेयर को नहीं। अपने स्थानों की संख्या, अपने नेटवर्क और VLAN की संख्या, और आप पहले से ही Purple चलाते हैं या नहीं, इसके साथ कोटेशन का अनुरोध करें।

मैं फ़िल्टरिंग में बिना किसी रुकावट के DNSFilter या Cisco Umbrella से कैसे स्थानांतरित हो सकता हूँ?

एक बार में एक नेटवर्क या VLAN को स्थानांतरित करें। परीक्षण VLAN के DHCP DNS को Shield की ओर निर्देशित करें, ब्लॉक और लॉग की पुष्टि करें, फिर परिवर्तन की समय-सीमा में लाइव नेटवर्क को स्थानांतरित करें। पुराने रिज़ॉल्वर पतों को सेकेंडरी DNS के रूप में छोड़ने के बजाय पूरी तरह से हटा दें। कर्मचारियों के डिवाइस पर रोमिंग एजेंटों की भी जाँच करें, क्योंकि उनकी फ़ॉलबैक सेटिंग्स आपके DHCP दायरे से बाहर होती हैं।

क्या कोई नियम फ़ेल-क्लोज्ड DNS फ़िल्टरिंग की आवश्यकता को अनिवार्य करता है?

कोई भी नियम फ़ेल-क्लोज्ड DNS का नाम नहीं लेता है, लेकिन नियंत्रण तंत्र सुरक्षा नियंत्रणों से एक ज्ञात, सुरक्षित स्थिति में विफल (fail) होने की उम्मीद करते हैं। NIST SP 800-53 Rev. 5 नियंत्रण SC-24 एक ज्ञात स्थिति में विफल होने को कवर करता है। SC-7(18) सीमा सुरक्षा को कवर करता है जो विफल होने पर सुरक्षित रहती है। फ़ेल-क्लोज्ड फ़िल्टरिंग आपको यह प्रमाण देती है कि नीति हर मिनट लागू होती है, जो लेखा परीक्षकों या सुरक्षा प्रमुखों द्वारा पूछे जाने पर काम आती है।

मैं अपने वर्तमान फ़िल्टर विफलता व्यवहार का परीक्षण कैसे करूँ?

एक एकल परीक्षण VLAN से अपने फ़िल्टरिंग रिज़ॉल्वर के आउटबाउंड DNS को ब्लॉक करें और देखें कि डिवाइस क्या करता है। यदि वेबसाइटें अभी भी लोड होती हैं और फ़िल्टर कुछ भी लॉग नहीं करता है, तो नेटवर्क फ़ेल-ओपन होता है। DHCP DNS फ़ील्ड, फॉरवर्डर अपस्ट्रीम सूचियों और किसी भी हार्ड-कोडेड डिवाइस सेटिंग्स की जाँच करें। रिडंडेंसी काम करती है या नहीं, इसकी पुष्टि करने के लिए एक बार में एक फ़िल्टरिंग रिज़ॉल्वर को ब्लॉक करके इसे दोहराएं।

क्या DNS फ़िल्टरिंग अपने आप में पर्याप्त है, या मुझे एक सुरक्षित वेब गेटवे की आवश्यकता है?

DNS फ़िल्टरिंग अधिकांश गेस्ट और स्थान नेटवर्क के लिए खतरा सुरक्षा और सामग्री नीति को कवर करती है, लेकिन पूर्ण URL निरीक्षण या डेटा हानि रोकथाम को नहीं। यह डोमेन नाम देखती है, पाथ या फ़ाइल सामग्री नहीं। यदि आपको उन नियंत्रणों की आवश्यकता है, तो प्रबंधित उपकरणों पर एक सुरक्षित वेब गेटवे जोड़ें। सीमा कहाँ है, यह जानने के लिए DNS filtering vs secure web gateway देखें।

Key terms

प्रोटेक्टिव DNS: एक रिकर्सिव रिज़ॉल्वर जो उत्तर देने से पहले थ्रेट इंटेलिजेंस और कंटेंट पॉलिसी के खिलाफ पूछे गए प्रत्येक डोमेन की जांच करता है, वास्तविक पता, ब्लॉक पेज पता या अस्वीकृति लौटाता है। यह कोई भी सेशन खुलने से पहले, RFC 1035 में परिभाषित नेम लुकअप पर काम करता है। UK NCSC इसी सिद्धांत पर सार्वजनिक क्षेत्र के लिए प्रोटेक्टिव DNS सेवा चलाता है। यह वह नियंत्रण है जिसके विफलता मोड को यह निर्णय नियंत्रित करता है।
फेल ओपन: एक ऐसी डिज़ाइन जिसमें फ़िल्टरिंग रिज़ॉल्वर के अनपहुंचयोग्य होने पर DNS क्वेरीज़ ऐसे रिज़ॉल्वर पर फॉलबैक हो जाती हैं जो कोई पॉलिसी लागू नहीं करता है। रिज़ॉल्यूशन जारी रहता है, लेकिन थ्रेट ब्लॉकिंग, कंटेंट नियम और लॉगिंग बंद हो जाते हैं। आप आमतौर पर DHCP सेकेंडरी फ़ील्ड या फ़ॉरवर्डर अपस्ट्रीम सूची में एक पब्लिक या ISP रिज़ॉल्वर के रूप में इससे मिलते हैं। यह अक्सर बदलाव के दौरान गलती से आ जाता है।
फेल क्लोज्ड: एक ऐसी डिज़ाइन जिसमें प्रत्येक DNS एड्रेस जिसे कोई डिवाइस या फ़ॉरवर्डर उपयोग कर सकता है, समान पॉलिसी वाले फ़िल्टरिंग रिज़ॉल्वर की ओर इशारा करता है। एक लुकअप केवल तभी टाइमआउट या SERVFAIL के साथ विफल होता है जब प्रत्येक फ़िल्टरिंग रिज़ॉल्वर अनपहुंचयोग्य हो। अधिकांश गेस्ट और स्टाफ WiFi के लिए यह सही डिफॉल्ट है, बशर्ते रिडंडेंट फ़िल्टरिंग रिज़ॉल्वर इसके पीछे खड़े हों।
फेल सिक्योर (NIST SC-7(18)): NIST SP 800-53 Rev. 5 बाउंड्री प्रोटेक्शन एन्हांसमेंट SC-7(18), जिसके लिए विफल होने पर बाउंड्री डिवाइस को असुरक्षित स्थिति में प्रवेश करने से बचना आवश्यक होता है। ऑडिटर्स आपसे इसका प्रमाण देने के लिए कह सकते हैं। फेल क्लोज्ड DNS फ़िल्टरिंग समान व्यावहारिक परिणाम देती है।
फेल इन नोन स्टेट (NIST SC-24): NIST SP 800-53 Rev. 5 नियंत्रण SC-24, जिसके लिए सिस्टम को अप्रत्याशित स्थिति के बजाय एक परिभाषित, ज्ञात स्थिति में विफल होने की आवश्यकता होती है। कोई भी विनियमन फेल क्लोज्ड DNS का नाम नहीं देता है, लेकिन ऑडिटर्स या सेफगार्डिंग लीड्स को इसे उचित ठहराते समय यह नियंत्रण वह फ्रेमवर्क भाषा है जिसका आप हवाला देते हैं।
सर्व-स्टेल: RFC 8767 का व्यवहार जो अपस्ट्रीम सर्वरों तक न पहुँच पाने पर रिज़ॉल्वर को एक्सपायर्ड कैश से उत्तर देने की अनुमति देता है, जिससे हाल ही में रिज़ॉल्व हुए नामों का काम जारी रहता है। यह छोटे आउटेज को नरम करता है, लेकिन यह अंतिम निर्णय को फिर से चलाता है, इसलिए तब से दुर्भावनापूर्ण हुआ डोमेन पकड़ा नहीं जाता है।
SERVFAIL: RFC 1035 में परिभाषित DNS संदेश फ़ॉर्मेट में सर्वर विफलता प्रतिक्रिया कोड, जो तब वापस आता है जब कोई रिसॉल्वर लुकअप पूरा नहीं कर पाता है। फ़ेल क्लोज़्ड नेटवर्क पर, हर फ़िल्टरिंग रिसॉल्वर के बंद होने पर एक डिवाइस को यही प्राप्त होता है। आपके हेल्पडेस्क को इसे ब्लॉक से अलग पहचानना होगा।
एक्सटेंडेड DNS एरर: RFC 8914 कोड जो DNS प्रतिक्रियाओं में विवरण जोड़ते हैं, जिनमें ब्लॉक (15), फ़िल्टर्ड (17) और नो रीचेबल अथॉरिटी (22) शामिल हैं। साइटों के लोड न होने की रिपोर्ट का निदान करते समय ये सहायता कर्मचारियों और टूल को पॉलिसी ब्लॉक को आउटेज से अलग करने में मदद करते हैं।
TTL (टाइम टू लिव): RFC 1035 में परिभाषित प्रत्येक DNS रिसोर्स रिकॉर्ड में मौजूद फ़ील्ड, जो उन सेकंड की संख्या देता है जितने समय के लिए कोई डिवाइस या रिसॉल्वर उत्तर को कैश कर सकता है। छोटे आउटेज के दौरान कैश्ड नाम काम करते रहते हैं और नए नाम विफल हो जाते हैं। विज़िटर इसे कुछ साइटों के काम करने और अन्य के न करने के रूप में रिपोर्ट करते हैं।
DNS फ़ॉरवर्डर: फ़ायरवॉल, गेटवे या आंतरिक सर्वर पर एक DNS सेवा जो डिवाइस प्रश्नों को प्राप्त करती है और उन्हें अपस्ट्रीम रिसॉल्वर की कॉन्फ़िगर की गई सूची में फ़ॉरवर्ड करती है। फ़ॉलबैक इसकी अपस्ट्रीम सूची में रहता है। वहां एक सार्वजनिक रिसॉल्वर फ़ेल ओपन हो जाता है, भले ही DHCP साफ़ हो, जिसमें स्टाफ नेटवर्क पर आंतरिक DNS के पीछे का टियर भी शामिल है।
DoH और DoT: DNS ओवर HTTPS, जो RFC 8484 में निर्दिष्ट है, और DNS ओवर TLS, जो RFC 7858 में निर्दिष्ट है। दोनों एक चुने हुए रिसॉल्वर के लिए DNS को एन्क्रिप्ट करते हैं और नेटवर्क रिसॉल्वर के आसपास रूट कर सकते हैं। ये बाईपास हैं, विफलता नहीं। फ़ेल क्लोज़्ड सेटिंग्स इनके बारे में कुछ नहीं करती हैं, इसलिए आप इन्हें ईग्रेस नियमों के साथ नियंत्रित करते हैं।
कैप्टिव पोर्टल: ऑनलाइन आने से पहले मेहमान जो स्प्लैश पेज देखते हैं। प्रमाणित होने से पहले डिवाइस को पोर्टल और वॉल्ड गार्डन डोमेन को रिसॉल्व करना होगा। एक अनफ़िल्टर्ड प्री-लॉगिन रिसॉल्वर पोर्टल को गैप बना देता है। बिना किसी रिडंडेंसी वाला फ़ेल क्लोज़्ड पोर्टल नेटवर्क मेहमानों को लॉगिन करने से रोकता है।
डिफ़ॉल्ट डिनाई: उन डोमेन के लिए एक फ़िल्टरिंग पॉलिसी जिन्हें फ़िल्टर ने अभी तक वर्गीकृत नहीं किया है। यह तब लागू होता है जब फ़िल्टर सही स्थिति में हो और यह विफलता मोड नहीं है। इसे अक्सर फ़ेल क्लोज़्ड समझने की भूल की जाती है। आप अनुमत पॉलिसी के साथ फ़ेल क्लोज़्ड चला सकते हैं या सख्त पॉलिसी के साथ फ़ेल ओपन चला सकते हैं।

Worked examples

एक ठेकेदार लचीलेपन के लिए सेकेंडरी DNS के रूप में गेस्ट नेटवर्क के DHCP स्कोप में एक पब्लिक रिज़ॉल्वर जोड़ता है। फ़िल्टरिंग रिज़ॉल्वर प्राइमरी बना रहता है। क्या नेटवर्क अभी भी सुरक्षित है?

नहीं। सेकेंडरी फ़ील्ड में एक पब्लिक रिज़ॉल्वर डिज़ाइन को फेल ओपन में बदल देता है। कुछ ऑपरेटिंग सिस्टम उस दूसरे सर्वर से तब भी प्रश्न पूछते हैं जब पहला धीमा होता है, इसलिए अनफ़िल्टर की गई लुकअप केवल आउटेज के दौरान ही नहीं, बल्कि रोजाना लीक हो सकती हैं। पुष्टि करने के लिए, किसी एक टेस्ट VLAN से फ़िल्टरिंग रिज़ॉल्वर के लिए आउटबाउंड DNS को ब्लॉक करें। यदि साइटें अभी भी लोड होती हैं और फ़िल्टर कुछ भी लॉग नहीं करता है, तो नेटवर्क फेल ओपन होता है। पब्लिक एड्रेस को दूसरे फ़िल्टरिंग रिज़ॉल्वर से बदलें जिसमें वही पॉलिसी हो। फिर उसी खामी के लिए फ़ॉरवर्डर अपस्ट्रीम सूचियों और हार्ड-कोडेड डिवाइस सेटिंग्स की जांच करें। अंत में, यह साबित करने के लिए कि रिडंडेंसी काम करती है, एक समय में एक फ़िल्टरिंग रिज़ॉल्वर को ब्लॉक करें।

आप गेस्ट और स्टाफ नेटवर्क को DNSFilter या Cisco Umbrella से Purple Shield पर ले जा रहे हैं। आप कट-ओवर के दौरान फ़िल्टरिंग में अंतर से कैसे बचते हैं?

एक समय में एक नेटवर्क या VLAN को कट ओवर करें। टेस्ट VLAN के DHCP DNS को Shield की ओर इंगित करके शुरू करें, फिर पुष्टि करें कि ब्लॉक और लॉग अपेक्षा के अनुसार दिखाई दे रहे हैं। टेस्ट पास होने के बाद लाइव नेटवर्क को चेंज विंडो में स्थानांतरित करें। पुराने रिज़ॉल्वर एड्रेस को सेकेंडरी DNS के रूप में छोड़ने के बजाय पूरी तरह से हटा दें। बचा हुआ सेकेंडरी एड्रेस एक अनफ़िल्टर या असंगत पाथ को फिर से पेश करता है। स्टाफ डिवाइसेज पर रोमिंग एजेंटों की भी जांच करें, क्योंकि उनकी फॉलबैक सेटिंग्स आपके DHCP स्कोप से बाहर होती हैं। यह दृष्टिकोण पूरे ट्रांसफर के दौरान हर लुकअप को एक पॉलिसी निर्णय के तहत रखता है। पुराना वेंडर चले जाने के बाद यह Shield के फेल क्लोज्ड व्यवहार को भी बरकरार रखता है।

Frequently asked questions

क्या फ़ेल क्लोज़्ड DNS का मतलब है कि आउटेज मेरे WiFi को ऑफ़लाइन कर देता है?

नहीं, तब नहीं जब फ़िल्टर रिडंडेंट रिसॉल्वर पर चलता है। फ़ेल क्लोज़्ड केवल तभी नए लुकअप रोकता है जब प्रत्येक फ़िल्टरिंग रिसॉल्वर एक साथ अनपहुंच योग्य हो। डिवाइस पहले अगले फ़िल्टरिंग पते के विरुद्ध पुनः प्रयास करते हैं। कैश्ड उत्तर हाल ही में देखी गई साइटों को छोटी रुकावटों के दौरान रिसॉल्व करते रहते हैं। लाइव होने से पहले रिडंडेंसी डिज़ाइन करें, फिर एक परीक्षण VLAN से एक बार में एक रिसॉल्वर को ब्लॉक करके इसका परीक्षण करें।

क्या Shield उन एक्सेस पॉइंट और फ़ायरवॉल के साथ काम करेगा जो मेरे पास पहले से हैं?

हाँ। Shield DNS रिज़ॉल्यूशन पर फ़िल्टर करता है, इसलिए इसे किसी नए हार्डवेयर की आवश्यकता नहीं है और यह किसी भी WiFi नेटवर्क पर स्टैंडअलोन चलता है। Purple, Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet के साथ काम करता है। आप प्रत्येक नेटवर्क या VLAN के लिए Shield पर DNS को इंगित करते हैं, किसी भी अनफ़िल्टर्ड फ़ॉलबैक को हटाते हैं और प्रति नेटवर्क एक पॉलिसी लागू करते हैं। उत्पाद पृष्ठ इन चरणों को कवर करता है।

Shield की कीमत कैसे तय की जाती है?

Purple इस गाइड में सूची मूल्य प्रकाशित करने के बजाय आपके एस्टेट के लिए Shield की कीमत का कोट प्रदान करता है। Shield एक सुरक्षा ऐड-ऑन है जिसे आप किसी भी WiFi नेटवर्क पर स्टैंडअलोन या Purple Access के साथ चला सकते हैं। इसलिए कोट आपके नेटवर्क और वेन्यू को दर्शाता है, न कि नए हार्डवेयर को। अपने वेन्यू की संख्या, अपने नेटवर्क और VLAN की संख्या, और क्या आप पहले से Purple का उपयोग कर रहे हैं, इसके साथ कोट का अनुरोध करें।

मैं फ़िल्टरिंग में बिना किसी रुकावट के DNSFilter या Cisco Umbrella से कैसे स्थानांतरित हूँ?

एक समय में एक नेटवर्क या VLAN को कट ओवर करें। किसी टेस्ट VLAN के DHCP DNS को Shield की ओर इंगित करें, ब्लॉक और लॉग की पुष्टि करें, फिर चेंज विंडो में लाइव नेटवर्क को मूव करें। पुराने रिज़ॉल्वर एड्रेस को सेकेंडरी DNS के रूप में छोड़ने के बजाय पूरी तरह से हटा दें। स्टाफ डिवाइस पर रोमिंग एजेंट की भी जांच करें, क्योंकि उनकी फ़ॉलबैक सेटिंग्स आपके DHCP स्कोप से बाहर होती हैं।

क्या किसी विनियमन के लिए फेल-क्लोज्ड DNS फ़िल्टरिंग की आवश्यकता होती है?

कोई भी विनियमन विशेष रूप से फेल-क्लोज्ड DNS का नाम नहीं लेता है, लेकिन नियंत्रण ढांचों से अपेक्षा की जाती है कि सुरक्षा नियंत्रण एक ज्ञात, सुरक्षित स्थिति में विफल हों। NIST SP 800-53 Rev. 5 कंट्रोल SC-24 ज्ञात स्थिति में विफल होने को कवर करता है। SC-7(18) बाउन्ड्री प्रोटेक्शन को कवर करता है जो फेल-सिक्योर होता है। फेल-क्लोज्ड फ़िल्टरिंग आपको इसका प्रमाण देती है कि नीति हर मिनट लागू हुई, जो ऑडिटरों या सेफगार्डिंग प्रमुखों द्वारा पूछे जाने पर मदद करती है।

मैं अपने वर्तमान फ़िल्टर विफलता व्यवहार का परीक्षण कैसे करूं?

किसी एकल टेस्ट VLAN से अपने फ़िल्टरिंग रिज़ॉल्वर पर आउटबाउंड DNS को ब्लॉक करें और देखें कि डिवाइस क्या करता है। यदि वेबसाइटें अभी भी लोड होती हैं और फ़िल्टर कुछ भी लॉग नहीं करता है, तो नेटवर्क फेल-ओपन होता है। DHCP DNS फ़ील्ड, फ़ॉरवर्डर अपस्ट्रीम सूचियों और किसी भी हार्ड-कोडेड डिवाइस सेटिंग्स की जांच करें। यह पुष्टि करने के लिए कि रिडंडेंसी काम करती है, एक समय में एक फ़िल्टरिंग रिज़ॉल्वर को ब्लॉक करके दोहराएं।

क्या DNS फ़िल्टरिंग अपने आप में पर्याप्त है, या मुझे एक सुरक्षित वेब गेटवे की आवश्यकता है?

DNS फ़िल्टरिंग अधिकांश गेस्ट और वेन्यू नेटवर्क के लिए थ्रेट प्रोटेक्शन और कंटेंट पॉलिसी को कवर करती है, लेकिन पूर्ण URL निरीक्षण या डेटा हानि रोकथाम को नहीं। यह डोमेन नाम देखती है, पाथ या फ़ाइल सामग्री नहीं। यदि आपको उन नियंत्रणों की आवश्यकता है, तो प्रबंधित उपकरणों पर एक सुरक्षित वेब गेटवे जोड़ें। सीमा कहाँ स्थित है, यह जानने के लिए [DNS फ़िल्टरिंग बनाम सुरक्षित वेब गेटवे](guide:dns-filtering-vs-secure-web-gateway) देखें।

DNS फ़िल्टरिंग का फेल ओपन बनाम फेल क्लोज्ड: फ़िल्टर डाउन होने पर क्या होता है

DNS फ़िल्टरिंग फे़ल ओपन बनाम फे़ल क्लोज्ड क्या है?

रिजॉल्वर पर फ़िल्टर विफलता व्यवहार कैसे काम करता है?

DHCP DNS फ़ील्ड

स्थानीय फ़ॉरवर्डर

डिवाइस का अपना व्यवहार

फ़ेल क्लोज्ड कैसा दिखता है

फ़ेल ओपन, फ़ेल क्लोज्ड, फ़ेल सिक्योर: कौन से शब्द भ्रमित करते हैं?

Fail closed default deny नहीं है

Serve-stale दोनों के बीच में है

Bypass विफलता नहीं है

व्यावहारिक रूप से आप DNS फ़िल्टरिंग आउटेज का सामना कहाँ करते हैं?

हॉस्पिटैलिटी गेस्ट नेटवर्क

हेल्थकेयर

ट्रांसपोर्ट हब

स्टाफ और कॉर्पोरेट नेटवर्क

फ़ेल क्लोज़्ड DNS की सीमाएं और एज केस क्या हैं?

एक रिज़ॉल्वर के साथ फ़ेल क्लोज़्ड होना आउटेज की योजना है

कैश कुछ नामों को सक्रिय रखता है

Captive Portal को लॉगिन से पहले DNS की आवश्यकता होती है

एक विफलता ब्लॉक से अलग दिखती है

DNS नाम से आगे नहीं देख सकता

फेल क्लोज्ड DNS Purple Shield से कैसे संबंधित है?

बार-बार पूछे जाने वाले प्रश्न

क्या फ़ेल-क्लोज्ड DNS का मतलब यह है कि आउटेज होने पर मेरा WiFi ऑफ़लाइन हो जाएगा?

क्या Shield मेरे पास पहले से मौजूद एक्सेस पॉइंट और फ़ायरवॉल के साथ काम करेगा?

Shield की कीमत कैसे तय की जाती है?

मैं फ़िल्टरिंग में बिना किसी रुकावट के DNSFilter या Cisco Umbrella से कैसे स्थानांतरित हो सकता हूँ?

क्या कोई नियम फ़ेल-क्लोज्ड DNS फ़िल्टरिंग की आवश्यकता को अनिवार्य करता है?

मैं अपने वर्तमान फ़िल्टर विफलता व्यवहार का परीक्षण कैसे करूँ?

क्या DNS फ़िल्टरिंग अपने आप में पर्याप्त है, या मुझे एक सुरक्षित वेब गेटवे की आवश्यकता है?

Key terms

Worked examples

Frequently asked questions

Sources

Decide what your network reaches, free for 30 days

Tell us your networks. We map a policy to each one.

DNS फ़िल्टरिंग फे़ल ओपन बनाम फे़ल क्लोज्ड क्या है?

रिजॉल्वर पर फ़िल्टर विफलता व्यवहार कैसे काम करता है?

DHCP DNS फ़ील्ड

स्थानीय फ़ॉरवर्डर

डिवाइस का अपना व्यवहार

फ़ेल क्लोज्ड कैसा दिखता है

फ़ेल ओपन, फ़ेल क्लोज्ड, फ़ेल सिक्योर: कौन से शब्द भ्रमित करते हैं?

Fail closed default deny नहीं है

Serve-stale दोनों के बीच में है

Bypass विफलता नहीं है

व्यावहारिक रूप से आप DNS फ़िल्टरिंग आउटेज का सामना कहाँ करते हैं?

हॉस्पिटैलिटी गेस्ट नेटवर्क

हेल्थकेयर

ट्रांसपोर्ट हब

स्टाफ और कॉर्पोरेट नेटवर्क

फ़ेल क्लोज़्ड DNS की सीमाएं और एज केस क्या हैं?

एक रिज़ॉल्वर के साथ फ़ेल क्लोज़्ड होना आउटेज की योजना है

कैश कुछ नामों को सक्रिय रखता है

Captive Portal को लॉगिन से पहले DNS की आवश्यकता होती है

एक विफलता ब्लॉक से अलग दिखती है

DNS नाम से आगे नहीं देख सकता

फेल क्लोज्ड DNS Purple Shield से कैसे संबंधित है?

बार-बार पूछे जाने वाले प्रश्न

क्या फ़ेल-क्लोज्ड DNS का मतलब यह है कि आउटेज होने पर मेरा WiFi ऑफ़लाइन हो जाएगा?

क्या Shield मेरे पास पहले से मौजूद एक्सेस पॉइंट और फ़ायरवॉल के साथ काम करेगा?

Shield की कीमत कैसे तय की जाती है?

मैं फ़िल्टरिंग में बिना किसी रुकावट के DNSFilter या Cisco Umbrella से कैसे स्थानांतरित हो सकता हूँ?

क्या कोई नियम फ़ेल-क्लोज्ड DNS फ़िल्टरिंग की आवश्यकता को अनिवार्य करता है?

मैं अपने वर्तमान फ़िल्टर विफलता व्यवहार का परीक्षण कैसे करूँ?

क्या DNS फ़िल्टरिंग अपने आप में पर्याप्त है, या मुझे एक सुरक्षित वेब गेटवे की आवश्यकता है?

Key terms

Worked examples

Frequently asked questions

Sources

Related guides

Decide what your network reaches, free for 30 days

Tell us your networks. We map a policy to each one.