स्कूलों और पुस्तकालयों के लिए DNS फ़िल्टरिंग

स्कूलों और पुस्तकालयों के लिए DNS फ़िल्टरिंग हानिकारक और दुर्भावनापूर्ण साइटों को कोई भी कनेक्शन खुलने से पहले DNS लुकअप पर ही ब्लॉक कर देती है। यह बिना किसी एजेंट या नए हार्डवेयर के आपके WiFi पर मौजूद हर डिवाइस को कवर करती है। जांच में सही ठहराने के लिए, इसे एनक्रिप्टेड-DNS बायपास को भी रोकना होगा, Google, Bing और YouTube पर Safe Search को लॉक करना होगा, और ऐसी रिपोर्ट तैयार करनी होगी जिसे आपका सेफ़गार्डिंग लीड प्रमाण के रूप में प्रस्तुत कर सके।

स्कूलों और पुस्तकालयों के लिए DNS फ़िल्टरिंग क्या है?

प्रत्येक वेब कनेक्शन एक DNS लुकअप के साथ शुरू होता है। एक डिवाइस नाम को IP पते में बदलने के लिए एक हलकर्ता (resolver) से पूछता है। DNS फ़िल्टरिंग उस उत्तर में एक नीति जांच (policy check) जोड़ती है। यदि डोमेन किसी अवरुद्ध श्रेणी में आता है या उसमें किसी खतरे का संकेत है, तो हलकर्ता वास्तविक पता प्रदान नहीं करता है। ब्राउज़र कभी भी कनेक्शन नहीं खोलता है, इसलिए सामग्री, मैलवेयर या विज्ञापन कभी लोड नहीं होता है।

ऐसा करने वाले हलकर्ता को सुरक्षात्मक DNS (protective DNS) कहा जाता है। किसी स्कूल या पुस्तकालय नेटवर्क पर यह एक साथ तीन काम करता है:

• यह आपकी सामग्री नीति को लागू करता है।
• यह फ़िशिंग और मैलवेयर डोमेन को ब्लॉक करता है।
• यह खोज इंजनों को उनके सुरक्षित मोड में लॉक करता है।

फ़िल्टरिंग कहाँ होती है, और एक फ़ायरवॉल से क्या छूट जाता है?

फ़िल्टरिंग लुकअप पर होती है, इससे पहले कि डिवाइस के पास कनेक्ट करने के लिए कोई पता हो। फ़ायरवॉल बाद में, स्वयं कनेक्शन पर काम करता है। डिक्रिप्शन के बिना यह केवल एक IP पता, एक पोर्ट और बहुत कम चीजें देखता है।

अधिकांश वेब ट्रैफ़िक अब पोर्ट 443 पर HTTPS के माध्यम से चलता है। इसमें से अधिकांश कंटेंट डिलीवरी नेटवर्क (CDNs) पर जाता है, जो साझा पतों के पीछे हज़ारों असंबंधित साइटों को होस्ट करते हैं। यदि आप उन IP में से किसी एक को ब्लॉक करते हैं, तो आप इसके साथ वैध साइटों को भी ब्लॉक कर देते हैं। यदि आप इसकी अनुमति देते हैं, तो हानिकारक साइट तक पहुँच बन जाती है।

एक फ़ायरवॉल HTTPS का निरीक्षण कर सकता है, लेकिन आपके द्वारा प्रत्येक डिवाइस पर एक विश्वसनीय प्रमाणपत्र (trusted certificate) इंस्टॉल करने के बाद ही। आप स्कूल के स्वामित्व वाले लैपटॉप पर ऐसा कर सकते हैं। आप किसी पुस्तकालय में आने वाले के फोन पर या छठवीं-फॉर्म WiFi पर छात्र के अपने टैबलेट पर ऐसा नहीं कर सकते। DNS फ़िल्टरिंग के लिए डिवाइस पर किसी भी चीज़ की आवश्यकता नहीं होती है। यह उन सभी चीज़ों पर लागू होता है जो आपके नेटवर्क से अपनी DNS सेटिंग्स लेती हैं।

आपके नेटवर्क पर स्कूल DNS सामग्री फ़िल्टर क्यों मायने रखता है?

स्कूल: KCSIE और DfE मानक

इंग्लैंड में, Keeping Children Safe in Education (KCSIE) शिक्षा विभाग (DfE) का वैधानिक सेफ़गार्डिंग मार्गदर्शन है। इसके लिए शासी निकायों और मालिकों को उचित फ़िल्टरिंग और निगरानी व्यवस्था लागू करने और वे कितना अच्छा काम कर रहे हैं इसकी समीक्षा करने की आवश्यकता होती है। यह नामित सेफ़गार्डिंग लीड (DSL) को ऑनलाइन सुरक्षा के लिए प्रमुख जिम्मेदारी देता है, जिसमें फ़िल्टरिंग और निगरानी प्रणालियों को समझना शामिल है।

स्कूलों और कॉलेजों के लिए DfE के फ़िल्टरिंग और निगरानी मानक यह बताते हैं कि व्यावहारिक रूप से इसका क्या अर्थ है:

• स्पष्ट भूमिकाएं सौंपें।
• कम से कम सालाना अपने प्रावधान की समीक्षा करें।
• शिक्षण और सीखने को अनुचित रूप से प्रभावित किए बिना हानिकारक और अनुपयुक्त सामग्री को ब्लॉक करें।

KCSIE स्कूलों को UK Safer Internet Centre की उपयुक्त फ़िल्टरिंग की परिभाषा की ओर निर्देशित करता है। वह परिभाषा अपेक्षा करती है कि आपका प्रदाता Internet Watch Foundation (IWF) का सदस्य हो और IWF की बाल यौन शोषण सामग्री की सूची को ब्लॉक करे। यह यह भी अपेक्षा करती है कि प्रदाता Counter Terrorism Internet Referral Unit (CTIRU) से पुलिस-मूल्यांकन की गई गैर-कानूनी आतंकवादी सामग्री की सूची को ब्लॉक करे। अपनी शॉर्टलिस्ट में शामिल किसी भी विक्रेता के सामने दोनों प्रश्न रखें।

इसके बजाय US के स्कूल Children's Internet Protection Act (CIPA) का सामना करते हैं। हम अपने CIPA-अनुपालन WiFi फ़िल्टरिंग के अलग गाइड में प्रमाणीकरण चरणों को कवर करते हैं। नीति पक्ष के लिए, Web filtering for schools: Policies that work देखें।

क्या पुस्तकालयों को सामग्री फ़िल्टरिंग की आवश्यकता है?

व्यावहारिक रूप से, हाँ। कानूनी कर्तव्य इस बात पर निर्भर करता है कि आप कहाँ काम करते हैं और आपको धन कैसे मिलता है।

US में, CIPA उन सार्वजनिक पुस्तकालयों पर लागू होता है जो इंटरनेट एक्सेस के लिए E-rate छूट लेते हैं। उन पुस्तकालयों को एक प्रौद्योगिकी सुरक्षा उपाय चलाना होगा जो अश्लील, बाल यौन शोषण सामग्री, या नाबालिगों के लिए हानिकारक छवियों को ब्लॉक करता है। Federal Communications Commission (FCC) पुस्तकालय को किसी वयस्क द्वारा प्रामाणिक शोध या किसी अन्य कानूनी उद्देश्य के लिए फ़िल्टर को अक्षम करने की अनुमति देता है।

UK में, कोई भी कानून सार्वजनिक पुस्तकालय को फ़िल्टर करने के लिए बाध्य नहीं करता है। फिर भी कई पुस्तकालय सेवाएं फ़िल्टर करती हैं, और कई Friendly WiFi मान्यता प्राप्त करने का प्रयास करती हैं। Friendly WiFi सार्वजनिक WiFi के लिए एक सरकार द्वारा शुरू की गई प्रमाणीकरण योजना है। इसके न्यूनतम मानक के लिए आवश्यक है कि जहाँ भी बच्चे मौजूद हो सकते हैं, वहाँ आप अश्लीलता और IWF-सूचीबद्ध बाल यौन शोषण सामग्री को फ़िल्टर करें।

पुस्तकालयों का काम स्कूलों की तुलना में अधिक कठिन है। एक ही नेटवर्क होमवर्क क्लब में एक बच्चे और किसी मेडिकल स्थिति पर शोध कर रहे एक वयस्क दोनों को सेवा प्रदान करता है। आपकी नीति को वयस्क को अत्यधिक ब्लॉक किए बिना बच्चे की रक्षा करनी होगी। उन दर्शकों को अलग-अलग नेटवर्क पर विभाजित करना आमतौर पर सबसे साफ उत्तर है। How to Set Up Network Segmentation for Guests and Staff इस दृष्टिकोण के बारे में विस्तार से बताता है।

स्कूलों और पुस्तकालयों के लिए DNS फ़िल्टरिंग कैसे काम करती है?

आप एक सेटिंग बदलते हैं: DNS सर्वर जो आपके DHCP स्कोप उपकरणों को सौंपते हैं। एक्सेस पॉइंट, कंट्रोलर और स्विच वहीं रहते हैं जहाँ वे हैं। इसके बाद प्रत्येक उपकरण सुरक्षात्मक रिज़ॉल्वर को अपनी खोज भेजता है, और रिज़ॉल्वर आपकी नीति लागू करता है।

सामग्री श्रेणियां और खतरा सुरक्षा

रिज़ॉल्वर संकेतों के दो सेटों के विरुद्ध प्रत्येक डोमेन की जांच करता है।

• सामग्री श्रेणियां, जैसे कि वयस्क सामग्री, जुआ, हथियार या प्रॉक्सी और अनामकर्ता। आप चुनते हैं कि प्रत्येक दर्शक वर्ग के लिए किसे ब्लॉक करना है।
• खतरा इंटेलिजेंस, जिसमें फ़िशिंग, मैलवेयर, कमांड-एंड-कंट्रोल और हमलों में उपयोग किए जाने वाले नए पंजीकृत डोमेन शामिल हैं।

खतरे के पक्ष में गति मायने रखती है, क्योंकि हमलावर डोमेन पंजीकृत करते हैं और घंटों के भीतर उनका उपयोग करते हैं। Shield दुर्भावनापूर्ण डोमेन की पहचान होते ही इन खतरों को चिह्नित कर देता है। किसी स्कूल के लिए, यह किसी कर्मचारी द्वारा फ़िशिंग लिंक पर क्लिक करने और रिज़ॉल्वर द्वारा उत्तर देने से मना करने के बीच का अंतर है।

व्यस्त साझा WiFi पर विज्ञापन ब्लॉकिंग क्या करती है

पुस्तकालय और स्कूल अक्सर सीमित बैकहॉल पर सघन WiFi चलाते हैं। DNS लेयर पर विज्ञापन और एनालिटिक्स डोमेन को ब्लॉक करने से अनावश्यक ट्रैफ़िक आपके कनेक्शन तक पहुँचने से पहले ही हट जाता है। इन अनुरोधों को फ़िल्टर करने से निम्न लाभ होते हैं:

• उपयोगकर्ताओं के लिए तेज़ पेज लोड
• कुल डेटा उपयोग में कमी
• नेटवर्क पर आने वाले कम DNS प्रश्नों की संख्या
• कुल वेब ट्रैफ़िक वॉल्यूम में कमी

सार्वजनिक कंप्यूटर और आगंतुक फोन द्वारा साझा किए गए पुस्तकालय कनेक्शन पर, यह बचा हुआ बैंडविड्थ गृहकार्य, नौकरी के आवेदनों और वीडियो पाठों के काम आता है।

आप एक स्कूल नेटवर्क पर Safe Search कैसे लागू करते हैं?

श्रेणी अवरोधन (कैटेगरी ब्लॉकिंग) पूरी साइटों को रोकता है। सर्च इंजन अधिक कठिन हैं, क्योंकि Google, Bing और YouTube सीखने के लिए आवश्यक हैं लेकिन अपने डिफ़ॉल्ट मोड में स्पष्ट (एक्सप्लिसिट) परिणाम लौटाते हैं। प्रत्येक विक्रेता एक DNS विधि का दस्तावेज़ीकरण करता है जो नेटवर्क स्तर पर इसके सुरक्षित मोड को लागू करती है:

• Google forcesafesearch.google.com प्रकाशित करता है। जब आपका हलकर्ता (resolver) उस पते के साथ Google खोज प्रश्नों का उत्तर देता है, तो SafeSearch लॉक हो जाता है और खोज करने वाला व्यक्ति इसे बंद नहीं कर सकता है।
• Bing strict.bing.com प्रकाशित करता है, जो ठीक उसी तरह सख्त SafeSearch लागू करता है।
• YouTube restrict.youtube.com और restrictmoderate.youtube.com प्रकाशित करता है, जो सख्त या मध्यम स्तर पर प्रतिबंधित मोड लागू करते हैं।

एक सुरक्षात्मक DNS सेवा आपके लिए इस मैपिंग को संभालती है, जिससे आप रिकॉर्ड को मैन्युअल रूप से संपादित करने के बजाय एक सेटिंग चुनते हैं। मध्यम YouTube प्रतिबंध आमतौर पर माध्यमिक स्कूलों के लिए उपयुक्त होता है, क्योंकि सख्त मोड कई वैध शिक्षण वीडियो छुपा देता है। हर साइट पर लागू करने से पहले वास्तविक पाठ सामग्री के साथ परीक्षण करें।

छात्र DoH के साथ स्कूल WiFi फ़िल्टरिंग को कैसे बायपास करते हैं?

एनक्रिप्टेड DNS एक DNS फ़िल्टर को बायपास करने का सबसे सामान्य तरीका है। DNS over HTTPS (DoH, RFC 8484 में परिभाषित) साधारण HTTPS ट्रैफ़िक के अंदर लुकअप भेजता है। DNS over TLS (DoT, RFC 7858) उन्हें पोर्ट 853 पर एनक्रिप्ट करता है। दोनों में से कोई भी डिवाइस के लुकअप को आपके हलकर्ता (resolver) से आगे बढ़ाकर किसी ऐसे सार्वजनिक हलकर्ता तक ले जा सकता है जो कोई नीति लागू नहीं करता है।

छात्रों को शायद ही कभी इसे स्वयं सेट करने की आवश्यकता होती है, क्योंकि ब्राउज़र और ऑपरेटिंग सिस्टम एनक्रिप्टेड DNS विकल्पों के साथ आते हैं। यह तालिका प्रत्येक मार्ग और इसे बंद करने के प्रलेखित तरीके को दर्शाती है।

बायपास मार्ग	यह आपके फ़िल्टर को कैसे बायपास करता है	इसे कैसे बंद करें
Firefox डिफ़ॉल्ट DoH	Firefox सार्वजनिक DoH हलकर्ता को लुकअप भेज सकता है	Mozilla के केनरी डोमेन, use-application-dns.net के लिए कोई उत्तर न लौटाएं, जो Firefox को आपके नेटवर्क के हलकर्ता का उपयोग जारी रखने के लिए कहता है
Chrome और Edge सुरक्षित DNS	जब कॉन्फ़िगर किए गए हलकर्ता का कोई ज्ञात DoH समकक्ष होता है तो DoH पर अपग्रेड हो जाता है	प्रबंधित उपकरणों (managed devices) पर DnsOverHttpsMode नीति को off पर सेट करें; अप्रबंधित उपकरणों पर अपग्रेड केवल आपके अपने हलकर्ता के प्रदाता के विरुद्ध चलता है
iCloud Private Relay	Apple के सर्वर के माध्यम से Safari ट्रैफ़िक और DNS को रिले करता है	जैसा कि Apple दस्तावेज़ों में दिया गया है, mask.icloud.com और mask-h2.icloud.com के लिए एक नकारात्मक उत्तर दें, और उपकरण Private Relay को अनुपलब्ध के रूप में दिखाते हैं
Android Private DNS (DoT)	पोर्ट 853 पर TLS के माध्यम से लुकअप भेजता है	अपने फ़ायरवॉल पर आउटबाउंड पोर्ट 853 को ब्लॉक करें; स्वचालित मोड वापस आपके हलकर्ता पर आ जाता है
हार्ड-कोडेड सार्वजनिक रिज़ॉल्वर	डिवाइस या ऐप DHCP को नज़रअंदाज़ करता है और पोर्ट 53 पर एक सार्वजनिक रिज़ॉल्वर को क्वेरी करता है	अपने प्रोटेक्टिव रिज़ॉल्वर के अलावा किसी भी चीज़ के लिए आउटबाउंड पोर्ट 53 को ब्लॉक करें
VPN और प्रॉक्सी ऐप	आपके नेटवर्क से बाहर सभी ट्रैफ़िक को टनल करते हैं	प्रॉक्सी और एनोनिमाइज़र श्रेणी को ब्लॉक करें, और प्रबंधित डिवाइसों पर MDM नीति द्वारा VPN ऐप्स को ब्लॉक करें

यह समाधान DNS नियमों, फ़ायरवॉल नियमों और डिवाइस नीति को जोड़ता है, क्योंकि कोई भी एकल लेयर हर मार्ग को बंद नहीं करती है। एन्क्रिप्टेड DNS और DoH बायपास को ब्लॉक करने के लिए हमारी अलग गाइड प्रत्येक नियंत्रण को विस्तार से कवर करती है।

स्कूलों और पुस्तकालयों को साक्ष्य के रूप में किस रिपोर्टिंग की आवश्यकता है?

फ़िल्टरिंग जिसका आप प्रमाण नहीं दे सकते, वह किसी गवर्निंग बॉडी, Ofsted निरीक्षण या CIPA ऑडिट को संतुष्ट नहीं करेगी। DfE मानक एक दस्तावेज वार्षिक समीक्षा की उम्मीद करते हैं। अमेरिका में, CIPA को सार्वजनिक सूचना और सार्वजनिक सुनवाई के बाद अपनाई गई एक इंटरनेट सुरक्षा नीति की आवश्यकता होती है। दोनों रिकॉर्ड पर निर्भर करते हैं।

किसी भी प्रदाता से पूछें कि क्या वह निम्नलिखित को निर्यात कर सकता है:

• श्रेणी के आधार पर ब्लॉक की गई खोजें, ताकि DSL देख सके कि फ़िल्टर ने वास्तव में किन नुकसानों को रोका है।
• साइट और नेटवर्क के आधार पर परिणाम, ताकि कोई ट्रस्ट स्कूलों की तुलना कर सके और एक पुस्तकालय सेवा शाखाओं की तुलना कर सके।
• समय के साथ रुझान, समीक्षाओं के बीच नीति परिवर्तनों के प्रभाव को दर्शाने के लिए।
• बायपास संकेत, जैसे DoH रिज़ॉल्वर डोमेन, फ़ायरफ़ॉक्स केनेरी डोमेन या Private Relay डोमेन के लिए खोजें।
• Safe Search स्थिति, इस प्रमाण के साथ कि लॉक हर नेटवर्क पर लागू हुआ।
• एक नीति परिवर्तन लॉग, यह रिकॉर्ड करते हुए कि किसने कौन सी सेटिंग कब बदली।
• ओवरब्लॉकिंग का एक रिकॉर्ड, यह लॉग करते हुए कि कर्मचारियों ने आपसे किन वैध साइटों को अनब्लॉक करने के लिए कहा और आपने कितनी जल्दी कार्रवाई की।

ओवरब्लॉकिंग रिकॉर्ड अधिकांश टीमों की अपेक्षा से अधिक मायने रखता है। DfE मानक स्पष्ट रूप से ऐसी फ़िल्टरिंग के खिलाफ चेतावनी देते हैं जो शिक्षण को अनुचित रूप से प्रभावित करती है। अनब्लॉक अनुरोधों और प्रतिक्रिया समय का एक लॉग दिखाता है कि आपने सीखने के साथ सुरक्षा को संतुलित किया है।

डेटा सुरक्षा को ध्यान में रखें। UK GDPR के तहत, DNS लॉग जिन्हें किसी पहचाने जाने योग्य व्यक्ति से जोड़ा जा सकता है, वे व्यक्तिगत डेटा हैं। एक प्रतिधारण अवधि निर्धारित करें, नामित कर्मचारियों तक पहुंच प्रतिबंधित करें, और अपने गोपनीयता नोटिस में कानूनी आधार दर्ज करें। Purple के पास ISO 27001, GDPR, CCPA और Cyber Essentials प्रमाणन हैं, जिन्हें आप अपने डेटा सुरक्षा प्रभाव मूल्यांकन में उद्धृत कर सकते हैं।

आपके द्वारा पहले से चलाए जा रहे सिस्टम के साथ DNS फ़िल्टरिंग कहाँ स्थित है?

सुरक्षात्मक DNS आपके मौजूदा नेटवर्क के ऊपर एक परत है, उसका प्रतिस्थापन नहीं। Purple हार्डवेयर-अज्ञेयवादी है। Purple Shield Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet से WiFi पर चलता है, क्योंकि यह आपके नेटवर्क द्वारा दिए जाने वाले DNS को बदलता है, एक्सेस पॉइंट को नहीं।

सामान्य स्टैक इस तरह दिखता है:

• फ़ायरवॉल: अनधिकृत रिज़ॉल्वर के लिए आउटबाउंड पोर्ट 53 और 853 को ब्लॉक करता है, और पेरिमीटर के वे काम करना जारी रखता है जो DNS नहीं कर सकता।
• नेटवर्क विभाजन: कर्मचारियों, छात्रों, आगंतुकों और बच्चों के क्षेत्रों के लिए अलग नेटवर्क या VLAN (वर्चुअल LAN, जो एक भौतिक नेटवर्क को अलग तार्किक नेटवर्क में विभाजित करते हैं), प्रत्येक की अपनी नीति के साथ।
• मोबाइल डिवाइस मैनेजमेंट (MDM): ब्राउज़र पॉलिसी लागू करता है और स्कूल के स्वामित्व वाले उपकरणों पर VPN ऐप्स को ब्लॉक करता है, जिसमें ऑफ-साइट भी शामिल हैं।
• Captive portal: वह साइन-इन पेज जो विज़िटर्स को ऑनलाइन होने से पहले दिखाई देता है। Guest WiFi पर यह वह जगह है जहाँ आप अपनी स्वीकार्य उपयोग नीति प्रस्तुत करते हैं और सहमति प्राप्त करते हैं।

Shield, DNSFilter और Cisco Umbrella की तुलना

तीनों DNS लेयर पर फ़िल्टर करते हैं, और तीनों Safe Search लागू कर सकते हैं। वे इस बात में भिन्न हैं कि उन्हें किस उद्देश्य से बनाया गया था।

	Purple Shield	DNSFilter	Cisco Umbrella
फ़िल्टरिंग कहाँ होती है	DNS लुकअप	DNS लुकअप	DNS लुकअप, वैकल्पिक सुरक्षित वेब गेटवे के साथ
नए हार्डवेयर की आवश्यकता	कोई नहीं: आपका WiFi जो DNS प्रदान करता है उसे बदलें	कोई नहीं: DNS फ़ॉरवर्डिंग या रोमिंग एजेंट	DNS लेयर के लिए कोई नहीं; आंतरिक IP एट्रिब्यूशन के लिए वैकल्पिक वर्चुअल एप्लायंस
Safe Search प्रवर्तन	Google, Bing और YouTube	Google, Bing और YouTube	Google, Bing और YouTube
ऑफ-नेटवर्क उपकरण	आपके वेन्यू WiFi पर मौजूद उपकरणों को कवर करता है; घर ले जाने वाले उपकरणों के लिए MDM का उपयोग करें	रोमिंग क्लाइंट एजेंट	Cisco Secure Client में रोमिंग मॉड्यूल
प्रबंधित करने का स्थान	Purple प्लेटफ़ॉर्म, Guest WiFi और Staff WiFi के साथ	DNSFilter डैशबोर्ड	Cisco Umbrella डैशबोर्ड, Cisco Secure Access के भीतर
सबसे उपयुक्त	वे वेन्यू जो पहले से Purple WiFi चला रहे हैं, या उस पर शिफ्ट हो रहे हैं	MSPs और एजेंट-आधारित एंडपॉइंट फ़्लीट	Cisco सुरक्षा मानकों का उपयोग करने वाले संगठन

यदि आपका ट्रस्ट या काउंसिल पहले से ही Cisco Secure Access चलाता है और एक एकल सुरक्षा वेंडर चाहता है, तो Cisco Umbrella चुनें। यदि आपको प्रत्येक टेक-होम लैपटॉप पर एक एजेंट की आवश्यकता है और एक MSP के रूप में कई किरायेदारों का प्रबंधन करते हैं, तो DNSFilter चुनें। यदि आपकी प्राथमिकता स्वयं वेन्यू WiFi है: आपके छात्रों और आगंतुकों द्वारा उपयोग किए जाने वाले नेटवर्क पर फ़िल्टरिंग, खतरा सुरक्षा और एड ब्लॉकिंग, जिसे आपके WiFi के साथ प्रबंधित किया जाता है, तो Shield चुनें। व्यापक बाज़ार परिदृश्य के लिए, गेस्ट और पब्लिक WiFi के लिए सर्वश्रेष्ठ सुरक्षात्मक DNS पढ़ें।

यह व्यावहारिक रूप से कैसे काम करता है?

नीचे दी गई दो स्थितियां उदाहरणात्मक संयोजन हैं, जो ऊपर वर्णित परिनियोजन पैटर्न से बनाई गई हैं।

फ्रेंडली WiFi की दिशा में काम करने वाली एक काउंटी लाइब्रेरी सेवा

स्थिति। एक लाइब्रेरी सेवा एक साझा नेटवर्क पर शाखाओं में सार्वजनिक WiFi चलाती है। बच्चों के होमवर्क क्लब और वयस्क आगंतुक एक ही SSID का उपयोग करते हैं। इसका पुराना फ़िल्टर प्रत्येक शाखा में फ़ायरवॉल पर चलता था, और अधिकांश शाखाओं ने स्पष्ट Google छवि परिणामों की अनुमति दी थी।

क्या किया गया था। IT लीड ने प्रत्येक शाखा को दो नेटवर्क में विभाजित किया: सख्त नीति वाला बच्चों का नेटवर्क, और हल्की नीति वाला वयस्कों का नेटवर्क। दोनों ने अश्लील सामग्री और IWF-सूचीबद्ध सामग्री को ब्लॉक करने वाले सुरक्षात्मक DNS हलकर्ता की ओर इशारा किया, जो Friendly WiFi की न्यूनतम आवश्यकताओं को पूरा करता है। दोनों नेटवर्क के लिए Google और Bing पर Safe Search लॉक कर दिया गया था। YouTube Restricted Mode बच्चों के लिए सख्त और वयस्कों के लिए मध्यम पर सेट किया गया था। फ़ायरवॉल ने सुरक्षात्मक हलकर्ता को छोड़कर प्रत्येक हलकर्ता के लिए आउटबाउंड DNS को ब्लॉक कर दिया।

मापने योग्य परिणाम। टीम ने हर शाखा में दोनों नेटवर्क पर श्रेणियों और खोज शब्दों की एक निश्चित सूची का परीक्षण किया। प्रत्येक शाखा सफल रही, और परिणाम Friendly WiFi आवेदन में साक्ष्य के रूप में दर्ज किए गए। शाखा कर्मचारी अब एक लिखित अनुमति-सूची प्रक्रिया से वयस्क अनब्लॉक अनुरोधों को संभालते हैं, और सेवा प्रत्येक अनुरोध और समाधान समय को लॉग करती है।

DoH अंतर को समाप्त करने वाला एक मल्टी-अकादमी ट्रस्ट

स्थिति। एक ट्रस्ट माध्यमिक विद्यालय चलाता है, जिसमें छठी कक्षा के छात्रों के लिए व्यक्तिगत-उपकरण WiFi की सुविधा है। एक DSL ने देखा कि छात्र अपने स्वयं के फोन पर ब्लॉक की गई सोशल और गेमिंग साइटों तक पहुँच रहे हैं। स्कूल के स्वामित्व वाले लैपटॉप में ऐसी कोई समस्या नहीं देखी गई।

क्या किया गया। नेटवर्क मैनेजर ने ऊपर दी गई तालिका में बायपास मार्गों की समीक्षा की। रिज़ॉल्वर अब Firefox कैनरी डोमेन और iCloud Private Relay डोमेन के लिए कोई उत्तर नहीं देता है। प्रत्येक स्कूल में फ़ायरवॉल आउटबाउंड पोर्ट 853 और सार्वजनिक रिज़ॉल्वर के लिए आउटबाउंड पोर्ट 53 को ब्लॉक करता है। स्कूल के स्वामित्व वाले लैपटॉप पर, MDM Chrome और Edge सुरक्षित DNS को बंद पर सेट करता है। छठी कक्षा के नेटवर्क पर प्रॉक्सी और एनोनिमाइज़र श्रेणी को ब्लॉक किया गया है।

मापने योग्य परिणाम। Firefox, Private Relay के साथ Safari और Android Private DNS चलाने वाले परीक्षण फोन सभी स्कूल रिज़ॉल्वर पर वापस आ गए। इसके बाद ब्लॉक की गई श्रेणियां इच्छानुसार लागू की गईं। बायपास-सिग्नल लुकअप अब उस मासिक रिपोर्ट में दिखाई देते हैं जिसकी समीक्षा DSL करता है, जो DfE मानकों के तहत ट्रस्ट की वार्षिक फ़िल्टरिंग समीक्षा को फ़ीड करता है। इस आकार की संपत्तियों के लिए, MSPs और मल्टी-साइट संपत्तियों के लिए DNS फ़िल्टरिंग साइटों के बीच केंद्रीय नीति प्रबंधन को कवर करता है।

DNS फ़िल्टरिंग की वे कौन सी सीमाएँ हैं जिनके बारे में आपको जानना चाहिए?

अपने गवर्नरों के साथ स्पष्ट रहें कि DNS फ़िल्टरिंग क्या नहीं कर सकती है।

• यह डोमेन पर काम करती है, पृष्ठों पर नहीं। यह अन्यथा अनुमति दिए गए डोमेन पर एक हानिकारक पृष्ठ को ब्लॉक नहीं कर सकती है। YouTube Restricted Mode और Safe Search उस अंतर को कम करते हैं लेकिन इसे पूरी तरह समाप्त नहीं करते हैं।
• यह फ़िल्टरिंग है, मॉनिटरिंग नहीं। DfE मानक मॉनिटरिंग को एक अलग कर्तव्य के रूप में मानते हैं। एक साझा नेटवर्क पर, DNS लॉग एक डिवाइस दिखाते हैं, नामांकित छात्र को नहीं। प्रति-व्यक्ति एट्रिब्यूशन के लिए प्रति-व्यक्ति प्रमाणीकरण की आवश्यकता होती है, जैसे IEEE 802.1X (व्यक्तिगत क्रेडेंशियल्स का उपयोग करके पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल) या iPSK (प्रति व्यक्ति एक अनूठी प्री-शेयर की)। Purple के Identity-Based Networks दोनों प्रदान करते हैं।
• यह आपके नेटवर्क की सीमा पर रुकती है। होम ब्रॉडबैंड पर ले जाने वाले उपकरणों के लिए MDM या एजेंट की आवश्यकता होती है।
• दृढ़ बायपास के लिए कई परतों की आवश्यकता होती है। एक VPN जो अभी तक वर्गीकृत नहीं है, तब तक बाहर टनल बना सकता है जब तक कि आपका फ़ायरवॉल या MDM इसे पकड़ न ले।

इनमें से कोई भी DNS फ़िल्टरिंग को छोड़ने का कारण नहीं है। प्रत्येक इसे सही नियंत्रणों के साथ जोड़ने और आपकी वार्षिक समीक्षा में उस पेयरिंग को दस्तावेजीकरण करने का एक कारण है।

आपको आगे क्या करना चाहिए?

1. आपके द्वारा चलाए जा रहे प्रत्येक नेटवर्क और प्रत्येक पर दर्शकों का मानचित्रण करें: कर्मचारी, छात्र, आगंतुक और बच्चे।
2. प्रत्येक दर्शक के लिए एक नीति लिखें, जिसमें DSL श्रेणियों को मंज़ूरी दे।
3. पायलट साइट के DHCP DNS को एक सुरक्षात्मक रिज़ॉल्वर की ओर इंगित करें और Safe Search को लॉक करें।
4. ऊपर दी गई तालिका में बायपास मार्गों को बंद करें और वास्तविक उपकरणों के साथ परीक्षण करें।
5. रोल आउट करने से पहले अपने रिपोर्टिंग पैक और रिटेंशन अवधि पर सहमति बनाएं।
6. वार्षिक समीक्षा अभी से शेड्यूल करें, ताकि यह समय पर हो सके।

यह देखने के लिए कि Purple आपके मौजूदा WiFi पर फ़िल्टरिंग, थ्रेट प्रोटेक्शन और ऐड ब्लॉकिंग को कैसे संभालता है, Shield से शुरुआत करें। संबंधित विषयों के लिए, सभी गाइड ब्राउज़ करें।

अक्सर पूछे जाने वाले प्रश्न

क्या स्कूल WiFi में DNS फ़िल्टरिंग जोड़ने के लिए हमें नए हार्डवेयर की आवश्यकता है?

नहीं। Shield आपके नेटवर्क द्वारा डिवाइस को दिए जाने वाले DNS सर्वर को बदलकर काम करता है, इसलिए आपके एक्सेस पॉइंट, कंट्रोलर और स्विच अपनी जगह पर ही रहते हैं। यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet पर चलता है। आप अन्य रिज़ॉल्वर के लिए आउटबाउंड DNS और पोर्ट 853 को ब्लॉक करने के लिए फ़ायरवॉल नियम जोड़ सकते हैं, लेकिन वह आपके पहले से स्वामित्व वाले उपकरणों पर ही कॉन्फ़िगरेशन है।

क्या DNS फ़िल्टरिंग अपने आप में KCSIE आवश्यकताओं को पूरा करती है?

नहीं। DNS फ़िल्टरिंग KCSIE के फ़िल्टरिंग वाले हिस्से को कवर करती है, लेकिन DfE मानक निगरानी को एक अलग कर्तव्य के रूप में देखते हैं। आपको असाइन की गई भूमिकाओं, एक वार्षिक समीक्षा और एक मॉनिटरिंग दृष्टिकोण की भी आवश्यकता है। जांचें कि आपका फ़िल्टरिंग प्रदाता एक IWF सदस्य है और CTIRU आतंकवादी सामग्री सूची को ब्लॉक करता है, जैसा कि UK Safer Internet Centre की उपयुक्त फ़िल्टरिंग की परिभाषा में अपेक्षित है। फिर दस्तावेज़ तैयार करें कि फ़िल्टर, मॉनिटरिंग और आपकी सेफगार्डिंग प्रक्रियाएं एक साथ कैसे काम करती हैं।

Cisco Umbrella या DNSFilter से माइग्रेट करना कितना कठिन है?

माइग्रेशन स्वयं हार्डवेयर प्रोजेक्ट के बजाय एक DNS बदलाव है। सबसे पहले, नई सेवा में अपनी श्रेणी और Safe Search नीति को फिर से बनाएं। इसे एक पायलट साइट पर समानांतर रूप से चलाएं और वास्तविक डिवाइस के साथ ब्लॉक की गई श्रेणियों, Safe Search और बायपास नियंत्रणों का परीक्षण करें। फिर साइट दर साइट अपने DHCP स्कोप में DNS सर्वर को अपडेट करें। पहले अपनी पुरानी रिपोर्ट एक्सपोर्ट करें, ताकि आपकी वार्षिक समीक्षा में इसका इतिहास बना रहे।

Shield का लाइसेंस कैसे दिया जाता है?

Shield, SecurePass और Verify के साथ-साथ Purple के Connect, Capture और Engage प्लान के लिए एक सुरक्षा ऐड-ऑन है। आप सॉफ्टवेयर का लाइसेंस लेते हैं, उपकरणों का नहीं, इसलिए कोई हार्डवेयर लागत या रिफ्रेश चक्र नहीं है। आपका कोटेशन आपके द्वारा संचालित स्थानों और नेटवर्क की संख्या को दर्शाता है। एक मल्टी-अकादमी ट्रस्ट या लाइब्रेरी सेवा एक समझौते के तहत हर साइट को ला सकती है और इसे Purple प्लेटफॉर्म से प्रबंधित कर सकती है।

क्या कोई लाइब्रेरी बच्चों के लिए सुरक्षा कमजोर किए बिना वयस्कों के लिए साइटों को अनब्लॉक कर सकती है?

हां। सबसे बेहतर तरीका अलग-अलग नेटवर्क है: जहां बच्चे मौजूद हैं वहां एक सख्त नीति और वयस्क आगंतुकों के लिए एक हल्की नीति। अमेरिका में, CIPA एक लाइब्रेरी को प्रामाणिक शोध या किसी अन्य वैध उद्देश्य के लिए काम करने वाले वयस्क के लिए फ़िल्टरिंग अक्षम करने की अनुमति देता है। आपका अधिकार क्षेत्र चाहे जो भी हो, हर अनब्लॉक अनुरोध और उसके परिणाम को लॉग करें, ताकि आप सबूत दे सकें कि बच्चों की सुरक्षा खोए बिना वयस्कों को पहुंच मिली।

क्या GDPR के तहत DNS फ़िल्टरिंग लॉग व्यक्तिगत डेटा हैं?

हाँ, जब किसी लॉग को किसी पहचाने जाने योग्य व्यक्ति से जोड़ा जा सकता है। UK GDPR के तहत इसका मतलब रिटेंशन अवधि निर्धारित करना, केवल नाम निर्दिष्ट कर्मचारियों तक पहुंच को सीमित करना और अपने गोपनीयता नोटिस में अपने कानूनी आधार का उल्लेख करना है। किसी साझा नेटवर्क पर, लॉग आमतौर पर किसी व्यक्ति के बजाय किसी डिवाइस की पहचान करते हैं, जिससे जोखिम कम हो जाता है। Purple ISO 27001, GDPR, CCPA और Cyber Essentials प्रमाणन रखता है, जो आपके डेटा सुरक्षा प्रभाव मूल्यांकन का समर्थन करता है।

यदि हम DNS फ़िल्टरिंग चलाते हैं तो क्या हमें अभी भी फ़ायरवॉल की आवश्यकता है?

हाँ। कनेक्शन खुलने से पहले DNS फ़िल्टरिंग हानिकारक और दुर्भावनापूर्ण डोमेन को रोकती है, लेकिन यह परिधि सुरक्षा का स्थान नहीं लेती है। आपका फ़ायरवॉल अभी भी इनबाउंड एक्सेस को नियंत्रित करता है और नेटवर्क को विभाजित करता है। यह अस्वीकृत रिज़ॉल्वरों के लिए आउटबाउंड DNS और पोर्ट 853 को भी ब्लॉक करता है, जो एन्क्रिप्टेड-DNS बाईपास को बंद कर देता है। दो परतें एक साथ सबसे अच्छा काम करती हैं: DNS तय करता है कि कौन से नाम रिज़ॉल्व होंगे, और फ़ायरवॉल यह सुनिश्चित करता है कि प्रत्येक लुकअप आपके रिज़ॉल्वर के माध्यम से हो।