ComparisonDNS filtering limits

DNS filtering बनाम secure web gateway: जब आपको भारी टूल की आवश्यकता होती है

यह तय करें कि आपके नेटवर्क को DNS filtering, secure web gateway या दोनों की आवश्यकता है, प्लेसमेंट से लेकर गोपनीयता पदचिह्न तक आठ मानदंडों का उपयोग करते हुए। आप अतिथि WiFi सहित प्रत्येक नेटवर्क पर सुरक्षात्मक DNS रखने में सक्षम होंगे, और उस गेटवे को प्रबंधित डिवाइसों के लिए तैयार कर सकेंगे जहां आपको URL, फ़ाइलों या...

13 min readUpdated 1 नवंबर 2026

Key points

यदि आपके पास डिवाइस का स्वामित्व नहीं है, तो DNS फ़िल्टरिंग का उपयोग करें, क्योंकि एक गेटवे विश्वसनीय रूट प्रमाणपत्र के बिना गेस्ट ट्रैफिक को डिक्रिप्ट नहीं कर सकता है।
सुरक्षित वेब गेटवे केवल उन प्रबंधित डिवाइसों पर जोड़ें जहाँ आपको URL-पाथ नियमों को लागू करना आवश्यक है, फ़ाइलों को स्कैन करना है या डेटा हानि रोकथाम के लिए अपलोड का निरीक्षण करना है।
प्रत्येक नेटवर्क के DHCP-जारी किए गए DNS सर्वर को Purple Shield जैसे प्रोटेक्टिव रिज़ॉल्वर की ओर इंगित करें, और प्रति नेटवर्क व VLAN एक नीति सेट करें।
प्रॉक्सी को रिटायर करने से पहले फ़ायरवॉल पर पोर्ट 853 पर DNS ओवर TLS और ज्ञात DNS ओवर HTTPS रिज़ॉल्वर को ब्लॉक करें।
प्रत्येक विक्रेता से उसके विफलता व्यवहार (failure behaviour) को लिखित रूप में देने के लिए कहें, और गो-लाइव से पहले इसका परीक्षण करें; Shield फेल क्लोज्ड होता है।
एक GDPR डेटा सुरक्षा प्रभाव आकलन पूरा करें और किसी भी TLS निरीक्षण शुरू होने से पहले कर्मचारियों को स्पष्ट सूचना दें।
मिश्रित साइटों पर, गेटवे के तहत Shield को परत दर परत रखें और दोनों श्रेणी नीतियों को संरेखित करें ताकि कोई भी डोमेन एक परत पर अवरुद्ध और दूसरी पर अनुमति प्राप्त न हो।

90 से अधिक देशों में 80,000+ स्थलों पर बिना कोई हार्डवेयर इंस्टॉल किए अनप्रबंधित WiFi डिवाइसों की सुरक्षा करते समय RFC 1035 के तहत रिज़ॉल्यूशन पर DNS फ़िल्टरिंग चुनें। Microsoft Entra ID जैसे प्लेटफॉर्म का उपयोग करके प्रबंधित डिवाइसों पर पूर्ण URL, डाउनलोड या अपलोड का निरीक्षण करते समय एक सुरक्षित वेब गेटवे चुनें। DNS फ़िल्टरिंग कनेक्शन खुलने से पहले ही दुर्भावनापूर्ण गंतव्यों को रोक देती है, जबकि गेटवे ट्रैफ़िक को प्रॉक्सी और डिक्रिप्ट करते हैं।

DNS फ़िल्टरिंग बनाम सुरक्षित वेब गेटवे: संक्षेप में उत्तर

उत्तर एक प्रश्न पर निर्भर करता है: क्या आपको कनेक्शन के अंदर देखने की आवश्यकता है, या केवल यह देखने की कि यह कहाँ जा रहा है?

DNS फ़िल्टरिंग डोमेन नाम के स्तर पर निर्णय लेती है। यह किसी दुर्भावनापूर्ण या अवांछित गंतव्य को रिज़ॉल्व करने से इंकार कर देती है, जिससे डिवाइस कभी कनेक्ट ही नहीं होता है। एक सुरक्षित वेब गेटवे (SWG) एक प्रॉक्सी है जो ट्रैफ़िक पथ के बीच में बैठता है। यह पूर्ण URL, फ़ाइल और पेज को पढ़ सकता है, लेकिन TLS को डिक्रिप्ट करने के बाद ही।

गेस्ट WiFi पर, प्रश्न अपने आप हल हो जाता है। आप किसी गेस्ट के फ़ोन पर रूट सर्टिफ़िकेट इंस्टॉल नहीं कर सकते। उस सर्टिफ़िकेट के बिना, गेटवे सर्टिफ़िकेट त्रुटियों के बिना ट्रैफ़िक को डिक्रिप्ट नहीं कर सकता। DNS फ़िल्टरिंग बिना कुछ इंस्टॉल किए नेटवर्क के हर डिवाइस की सुरक्षा करती है। यही कारण है कि यह हॉस्पिटैलिटी, रिटेल, ट्रैवल हब और इवेंट्स के लिए डिफ़ॉल्ट विकल्प है।

विनियमित डेटा को संभालने वाले प्रबंधित स्टाफ लैपटॉप पर, गेटवे अपनी लागत को सार्थक बनाता है। आपको अपलोड का निरीक्षण करने, URL पथों पर नियम लागू करने या डेटा हानि रोकथाम (DLP) को लागू करने के लिए इसकी आवश्यकता होती है। DLP संवेदनशील डेटा को आपके नेटवर्क से बाहर जाने से रोकता है।

अधिकांश स्थलों को हर नेटवर्क पर सुरक्षात्मक DNS की आवश्यकता होती है और प्रबंधित डिवाइसों के एक छोटे हिस्से पर गेटवे की आवश्यकता होती है, यदि उन्हें इसकी आवश्यकता है भी तो। Purple Shield पहला भाग प्रदान करता है। यह किसी भी WiFi पर या Purple Access के साथ स्टैंडअलोन के रूप में चलता है, जिसमें प्रति नेटवर्क और VLAN एक पॉलिसी होती है। DNS दृष्टिकोण की व्यापक सीमाओं के लिए, हमारा DNS फ़िल्टरिंग सीमाएं अवलोकन देखें।

हमने किसकी तुलना की, और ये मानदंड निर्णय क्यों तय करते हैं

हमने आठ मानदंडों पर दोनों दृष्टिकोणों को स्कोर किया। प्रत्येक मानदंड IT सुरक्षा प्रबंधक या स्थल संचालन प्रबंधक द्वारा फ़िल्टरिंग का दायरा तय करते समय लिए जाने वाले निर्णय से संबंधित है। हमने प्रत्येक विकल्प की क्षमताओं को उसकी अपनी सार्वजनिक सामग्री और दोनों को तैनात करने के अनुभव से प्राप्त किया है।

प्लेसमेंट सबसे पहले आता है क्योंकि यह अन्य सात मानदंडों को आकार देता है। DNS फ़िल्टरिंग नाम रिज़ॉल्यूशन पर स्थित होती है, जो लुकअप RFC 1035 में परिभाषित है। प्रत्येक डिवाइस कनेक्ट होने से पहले रिज़ॉल्वर से एड्रेस मांगता है। एक सुरक्षात्मक DNS रिज़ॉल्वर थ्रेट इंटेलिजेंस और श्रेणी पॉलिसी के विरुद्ध डोमेन की जांच करता है, फिर उत्तर देता है या अस्वीकार कर देता है।

चूंकि वह जांच किसी भी कनेक्शन से पहले होती है, इसलिए यह उस खतरे को पकड़ लेती है जो फ़ायरवॉल से छूट जाता है। फ़ायरवॉल नियम IP एड्रेस और पोर्ट पर आधारित होते हैं। दुर्भावनापूर्ण डोमेन साझा किए गए क्लाउड एड्रेस पर चले जाते हैं जिन्हें एक फ़ायरवॉल सुरक्षित रूप से ब्लॉक नहीं कर सकता।

एक सुरक्षित वेब गेटवे बाद में, कनेक्शन के भीतर बैठता है। ट्रैफिक एंडपॉइंट एजेंट, प्रॉक्सी ऑटो-कॉन्फिग (PAC) फ़ाइल या इनलाइन एप्लायंस के माध्यम से इस तक पहुँचता है। HTTPS को पढ़ने के लिए, गेटवे TLS को टर्मिनेट करता है, कंटेंट का निरीक्षण करता है और इसे फिर से एन्क्रिप्ट करता है। उस गहराई के लिए प्रत्येक डिवाइस पर एक विश्वसनीय रूट प्रमाणपत्र की आवश्यकता होती है जिसका वह निरीक्षण करता है।

आठ मानदंड:

प्लेसमेंट: कनेक्शन में फ़िल्टर अपना निर्णय कहाँ लेता है।
विजिबिलिटी: फ़िल्टर डोमेन नाम से लेकर पेज कंटेंट तक क्या देख सकता है।
अनमैनेज्ड डिवाइस: क्या अतिथि (guest) और BYOD (अपना डिवाइस लाएं) ट्रैफिक कवर है।
डिप्लॉयमेंट फुटप्रिंट: आवश्यक हार्डवेयर, एजेंट और प्रमाणपत्र।
प्रदर्शन: फ़िल्टर द्वारा जोड़ी जाने वाली लेटेंसी और बैंडविड्थ।
विफलता का व्यवहार: जब सेवा तक पहुँचा न जा सके तो क्या होता है।
बाईपास प्रतिरोध: उदाहरण के लिए DNS over TLS (DoT) या DNS over HTTPS (DoH) के माध्यम से कोई डिवाइस कितनी आसानी से फ़िल्टर के आसपास रूट करता है।
गोपनीयता फुटप्रिंट: फ़िल्टर कितना व्यक्तिगत डेटा प्रोसेस करता है।

बाज़ार में, सीमा हमेशा स्पष्ट नहीं होती है। DNSFilter एक सुरक्षात्मक DNS सेवा है, जो Purple Shield की ही श्रेणी है। Cisco Umbrella DNS-लेयर सुरक्षा बेचता है और अपने उच्च पैकेज में एक पूर्ण सुरक्षित वेब गेटवे बेचता है, इसलिए यह इस तुलना के दोनों पक्षों में फैला हुआ है। जब आप किसी विक्रेता का आकलन करते हैं, तो उत्पाद के नाम पर भरोसा करने के बजाय यह जांचें कि प्रत्येक पैकेज किस लेयर को डिलीवर करता है।

DNS filtering decides before a connection opens; a secure web gateway decides inside it.

Two lanes compare a DNS filtering path that blocks at the lookup with a gateway path that decrypts and inspects traffic.

Connections

Device looks up a domain to Shield checks policy
Shield checks policy to Blocked: no connection made (threat or blocked category)
Shield checks policy to Allowed: device connects directly (allowed)
Device sends traffic to proxy to Proxy decrypts TLS
Proxy decrypts TLS to Inspects URL, files and content
Inspects URL, files and content to Re-encrypts, forwards or blocks

DNS फ़िल्टरिंग और Secure Web Gateway की तुलना कैसे की जाती है?

आठ मानदंडों पर DNS फ़िल्टरिंग बनाम Secure Web Gateway Data as of 2026-06-10
मानदंड	Purple Shield (DNS फ़िल्टरिंग)	Secure Web Gateway
प्लेसमेंट	DNS रिज़ॉल्यूशन के समय, कोई भी कनेक्शन खुलने से पहले	ट्रैफ़िक पाथ में, कनेक्शन खुलने के बाद
दृश्यता (Visibility)	डोमेन नाम, जिन्हें थ्रेट और श्रेणी नीति के विरुद्ध जांचा जाता है	TLS डिक्रिप्ट होने के बाद पूर्ण URL, फ़ाइलें और पृष्ठ सामग्री
अनमैनेज्ड और गेस्ट डिवाइस	बिना कुछ इंस्टॉल किए कवर किया गया	डिवाइस पर विश्वसनीय प्रमाणपत्र के बिना कोई TLS निरीक्षण नहीं
डिप्लॉयमेंट पदचिह्न	कोई नया हार्डवेयर नहीं: प्रति नेटवर्क केवल DNS सर्वर बदलें	एजेंट, PAC फ़ाइल या एप्लायंस, साथ ही प्रति डिवाइस एक रूट प्रमाणपत्र
प्रदर्शन (Performance)	प्रत्येक नए डोमेन के लिए एक लुकअप; विज्ञापन ब्लॉकिंग कुल बैंडविड्थ उपयोग को कम करती है	प्रत्येक वेब अनुरोध प्रॉक्सी के माध्यम से गुजरता है
विफलता व्यवहार (Failure behaviour)	फ़ेल क्लोज्ड होता है, इसलिए कोई भी नेटवर्क बिना फ़िल्टर किए नहीं चलता	फ़ेल ओपन या फ़ेल क्लोज्ड, प्रति डिप्लॉयमेंट सेट और परीक्षण किया गया
बाईपास प्रतिरोध	फ़ायरवॉल पर पोर्ट 853 पर DoT और ज्ञात DoH रिज़ॉल्वर को ब्लॉक करें	डायरेक्ट आउटबाउंड वेब ट्रैफ़िक को ब्लॉक करें जो प्रॉक्सी को छोड़ देता है
गोपनीयता पदचिह्न	डोमेन नामों को प्रोसेस करता है, सामग्री को नहीं	सामग्री को डिक्रिप्ट करता है, इसलिए कर्मचारियों के निरीक्षण के लिए GDPR DPIA की आवश्यकता होती है

Shield के मान Purple के अपने उत्पाद डेटा से आते हैं। गेटवे के मान विक्रेता दस्तावेज़ों से प्रॉक्सी श्रेणी का वर्णन करते हैं; प्रत्येक पैकेज की जांच करें।

दो पंक्तियां बारीकी से पढ़ने योग्य हैं। दृश्यता पर, गेटवे पूरी तरह से जीतता है। एक DNS फ़िल्टर example.com को देखता है लेकिन उस साइट पर फ़ाइल के पाथ को कभी नहीं देखता। हम बताते हैं कि ऐसा क्यों है DNS फ़िल्टरिंग पूर्ण URL क्यों नहीं देख सकती में। अनमैनेज्ड डिवाइसों पर, DNS फ़िल्टरिंग पूरी तरह से जीतती है, क्योंकि गेस्ट कवरेज के लिए किसी प्रमाणपत्र और किसी एजेंट की आवश्यकता नहीं होती है।

शेष पंक्तियां ऐसे समझौते हैं जिन्हें आप प्रबंधित कर सकते हैं। आप फ़ायरवॉल नियमों के साथ एनक्रिप्टेड DNS बाईपास को बंद कर सकते हैं। एक अच्छे आकार की क्लाउड सेवा पर गेटवे लेटेंसी सहनीय है। विफलता का व्यवहार उत्पाद पर निर्भर करता है, यही कारण है कि हम Shield का व्यवहार स्पष्ट रूप से बताते हैं: यह फ़ेल क्लोज्ड होता है।

DNS फ़िल्टरिंग कहाँ जीतती है

गेस्ट WiFi और अनमैनेज्ड डिवाइस

WiFi नेटवर्क पर प्रत्येक डिवाइस उस DNS सर्वर का उपयोग करता है जो DHCP उसे सौंपता है। उस सर्वर को एक सुरक्षात्मक रिज़ॉल्वर पर पॉइंट करें और प्रत्येक फ़ोन, लैपटॉप, गेम कंसोल और स्मार्ट TV कवर हो जाता है। कोई भी कुछ भी इंस्टॉल नहीं करता है। Captive Portal, यानी नेटवर्क एक्सेस से पहले दिखाया गया साइन-इन पेज, वैसा ही रहता है। बड़े पैमाने पर, गेस्ट, निवासियों, यात्रियों और प्रशंसकों को फ़िल्टर करने का यह एकमात्र व्यावहारिक तरीका है।

कई साइटें, कोई नया हार्डवेयर नहीं

DNS फ़िल्टरिंग पर स्विच करना एक कॉन्फ़िगरेशन परिवर्तन है, न कि कोई बड़ा प्रोजेक्ट। Shield आपके द्वारा पहले से चलाए जा रहे WiFi पर काम करता है, जिसमें Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet शामिल हैं।आप प्रति नेटवर्क और प्रति VLAN एक नीति निर्धारित करते हैं। इसलिए एक ही साइट पर एक परिवार-अनुकूल अतिथि नेटवर्क और एक कर्मचारी नेटवर्क अलग-अलग नियमों को चला सकते हैं। आपका कर्मचारी नेटवर्क पोर्ट-आधारित नेटवर्क प्रमाणीकरण मानक IEEE 802.1X के माध्यम से भूमिका के अनुसार VLAN निर्दिष्ट कर सकता है। यदि ऐसा है, तो भूमिका-विशिष्ट DNS नीति बिना किसी प्रोक्सी के लागू होती है।

पहले ही खतरों को रोकना

कोई भी ट्रैफ़िक प्रवाहित होने से पहले DNS मंशा को देख लेता है। फ़िशिंग का शिकार हुआ उपकरण कनेक्ट होने से पहले एक डोमेन की खोज करता है। कमान-और-नियंत्रण (command-and-control) सर्वर से संपर्क करने वाले संक्रमित उपकरण को भी ऐसा ही करना पड़ता है। Shield खतरों को उनके जीवनचक्र में पहले ही, वेब कनेक्शन स्थापित होने से पहले चिन्हित कर लेता है। यह बढ़त यह तय कर सकती है कि फ़िशिंग डोमेन पहले क्लिक से पहले ब्लॉक होता है या उसके बाद।

हल्के नेटवर्क

विज्ञापन ब्लॉकिंग भी उसी परत पर होती है। चालू होने पर विज्ञापन ब्लॉकिंग बैंडविड्थ उपयोग को कम करती है और DNS क्वेरी वॉल्यूम को घटाती है। सीमित बैकहॉल वाले किसी व्यस्त स्थान के नेटवर्क पर, वह क्षमता बिना किसी नए खर्च के वापस मिल जाती है।

ऐसी विफलता जो सुरक्षित रहे

Shield फ़ेल क्लोज्ड (fail closed) होता है, जिससे आउटेज होने पर भी नेटवर्क कभी बिना फ़िल्टर के नहीं रहता। यह अतिथि नेटवर्क पर महत्वपूर्ण है, जहाँ आप लोड होने वाली किसी भी सामग्री के प्रतिष्ठा संबंधी जोखिम को उठाते हैं। हम DNS फ़िल्टरिंग फ़ेल ओपन बनाम फ़ेल क्लोज्ड में इसके लाभ-हानि को स्पष्ट करते हैं।

छोटा निजता फ़ुटप्रिंट

एक DNS फ़िल्टर डोमेन नामों को प्रोसेस करता है, पृष्ठ की सामग्री को नहीं। GDPR के तहत, यह डिक्रिप्ट किए गए ब्राउज़िंग सत्रों की तुलना में व्यक्तिगत डेटा का एक संकीर्ण सेट है। परिणामस्वरूप आपके प्रोसेसिंग के रिकॉर्ड सरल रहते हैं।

241,000प्रति सप्ताह रोके गए खतरेSt George's Healthcare NHS Trust
500Mप्रति वर्ष उपयोगकर्ता और लॉगिनPurple डेटा
99.999%सेवा अपटाइम SLAPurple डेटा
80,000+90 देशों में लाइव स्थानPurple डेटा

जहाँ एक सुरक्षित वेब गेटवे जीतता है

गेटवे की ताकतों के बारे में सटीक रहें। यदि आप मान लेते हैं कि DNS फ़िल्टरिंग उन्हें कवर करती है, तो आपके सुरक्षा कार्यक्रम में वास्तविक कमियां होंगी।

पूर्ण URL और पथ नियंत्रण

कुछ नीतियां डोमेन के नीचे रहती हैं। आप क्लाउड स्टोरेज सेवा को अनुमति देना चाहते हैं लेकिन एक साझा फ़ोल्डर को ब्लॉक करना चाहते हैं। आप किसी समाचार साइट को अनुमति देना चाहते हैं लेकिन उसके टिप्पणी पृष्ठों को ब्लॉक करना चाहते हैं। केवल एक प्रोक्सी जो पूर्ण URL देखती है, वह इस तरह के नियमों को लागू कर सकती है। साझा प्लेटफ़ॉर्म कठिन मामले हैं, क्योंकि DNS फ़िल्टर को पूरे डोमेन को अनुमति देनी होगी या ब्लॉक करना होगा।

फ़ाइल और सामग्री निरीक्षण

एक गेटवे मैलवेयर के लिए डाउनलोड को स्कैन कर सकता है, फ़ाइल प्रकारों को ब्लॉक कर सकता है और अज्ञात निष्पादन योग्य (executable) फ़ाइलों को सैंडबॉक्स कर सकता है। DNS फ़िल्टरिंग ज्ञात-खराब डोमेन से कनेक्शन रोकती है। किसी विश्वसनीय डोमेन पर होस्ट की गई दुर्भावनापूर्ण फ़ाइल अभी भी पास हो जाती है।

डेटा हानि की रोकथाम

आपके कर्मचारी PCI-DSS के दायरे में आने वाले भुगतान कार्ड डेटा या मरीज के रिकॉर्ड का संचालन कर सकते हैं। यदि ऐसा है, तो आपको संवेदनशील सामग्री के लिए अपलोड का निरीक्षण करने की आवश्यकता हो सकती है। इसके लिए डिक्रीप्टेड ट्रैफ़िक और एक गेटवे या एक समर्पित DLP टूल की आवश्यकता होती है।

नेटवर्क से बाहर प्रति-व्यक्ति नीति

एक गेटवे एजेंट Microsoft Entra ID, Okta या Google Workspace से सिंक की गई नामित पहचान द्वारा नीति लागू करता है। वह नीति किसी प्रबंधित लैपटॉप के साथ घरेलू ब्रॉडबैंड या होटल WiFi तक जाती है। Shield की नीति प्रति नेटवर्क और VLAN निर्धारित की जाती है, जो स्थलों और निश्चित स्थानों के अनुकूल है। प्रबंधित उपकरणों पर काम करने वाले दूरस्थ कार्यबल को लोग जहाँ भी कनेक्ट होते हैं, वहाँ प्रति-व्यक्ति प्रवर्तन की आवश्यकता हो सकती है।

एप्लिकेशन नियंत्रण

कई गेटवे नामित एप्लिकेशनों के लिए ट्रैफ़िक को डिकोड करते हैं। उदाहरण के लिए, वे कर्मचारियों को फ़ाइल साझाकरण सेवा पढ़ने की अनुमति दे सकते हैं लेकिन उस पर अपलोड को ब्लॉक कर सकते हैं। DNS फ़िल्टरिंग किसी एप्लिकेशन के डोमेन को अनुमति या ब्लॉक कर सकती है, लेकिन एप्लिकेशन के भीतर व्यक्तिगत कार्रवाइयों को नहीं।

यदि आप अपने जोखिम रजिस्टर के विरुद्ध इन कमियों का मूल्यांकन कर रहे हैं, तो सुरक्षात्मक DNS के साथ मिलने वाले नियंत्रणों के लिए क्या DNS फ़िल्टरिंग पर्याप्त है? पढ़ें।

प्रत्येक को चलाने में कितनी लागत आती है?

दोनों दृष्टिकोणों की कीमत अलग-अलग तरीके से तय की जाती है, इसलिए प्रमुख आंकड़ों के बजाय उनके लागत ढांचे की तुलना करें। हम प्रतिस्पर्धियों की कीमतों का उल्लेख नहीं करते हैं। प्रत्येक विक्रेता के साथ वर्तमान शर्तों की पुष्टि करें।

लागत ढांचा संचालन, राशि नहीं Data as of 2026-06-10
लागत घटक	Purple Shield (DNS फ़िल्टरिंग)	सुरक्षित वेब गेटवे
लाइसेंसिंग आधार	श्रेणी आमतौर पर प्रति नेटवर्क, प्रति साइट या प्रति सीट कीमत तय करती है	श्रेणी आमतौर पर प्रति सीट, प्रति डिवाइस या थ्रूपुट के आधार पर कीमत तय करती है
हार्डवेयर	कुछ नहीं: आपके द्वारा पहले से चलाए जा रहे WiFi पर काम करता है	क्लाउड सेवाओं के लिए कुछ नहीं; ऑन-प्रीमिस प्रॉक्सी के लिए उपकरण
एंडपॉइंट एजेंट	नेटवर्क पर कोई नहीं	नेटवर्क से बाहर के उपकरणों और पूर्ण निरीक्षण के लिए आवश्यक
प्रमाणपत्र	कुछ नहीं	प्रत्येक प्रबंधित डिवाइस पर रूट प्रमाणपत्र तैनात और नवीनीकृत किया गया
नीति रखरखाव	प्रति नेटवर्क और VLAN श्रेणी, अनुमति और ब्लॉक सूचियां	URL, फ़ाइल, एप्लिकेशन और अपवाद नियम
बैंडविड्थ	विज्ञापन ब्लॉकिंग सक्षम होने पर कम डेटा उपयोग	सभी निरीक्षण किया गया ट्रैफ़िक प्रॉक्सी के माध्यम से रूट किया गया
सहायता लोड	अनुरोधों और श्रेणी समीक्षाओं की अनुमति दें	प्रमाणपत्र त्रुटियां, टूटे हुए पिन किए गए ऐप और अपवाद अनुरोध
अनुपालन कार्य	GDPR के तहत डोमेन लॉग प्रतिधारण	डिक्रीप्ट की गई सामग्री के लिए DPIA और कर्मचारी नोटिस

मूल्य निर्धारण ढांचे सार्वजनिक विक्रेता सामग्री से सामान्यीकृत हैं। हम प्रतिस्पर्धी कीमतों का उल्लेख नहीं करते हैं; प्रत्येक विक्रेता के साथ वर्तमान शर्तों की पुष्टि करें।

गेटवे की छिपी हुई लागत प्रमाणपत्र (certificate) और अपवाद (exception) प्रबंधन है। जो ऐप अपने प्रमाणपत्रों को पिन करते हैं, वे TLS निरीक्षण के तहत काम करना बंद कर देते हैं, इसलिए प्रत्येक के लिए एक अपवाद की आवश्यकता होती है। गोपनीयता के कारणों से अधिकांश परिनियोजन बैंकिंग और स्वास्थ्य साइटों को छूट देते हैं। प्रत्येक छूट एक नियम बन जाती है जिसे किसी को बनाए रखना होता है। डिवाइस फ़्लीट में एजेंटों को भी अपडेट करने की आवश्यकता होती है। इनमें से कुछ भी कोई खामी नहीं है। यह ट्रैफ़िक के अंदर देखने की कीमत है।

DNS फ़िल्टरिंग की चल रही लागत नीति रखरखाव और बायपास नियंत्रण में निहित है। आप श्रेणी के निर्णयों की समीक्षा करते हैं और अनुमति अनुरोधों को संभालते हैं। नए सार्वजनिक रिज़ॉल्वर दिखाई देने पर आप एन्क्रिप्टेड DNS के लिए फ़ायरवॉल नियमों को भी अद्यतन रखते हैं।

DNS फ़िल्टरिंग और गेटवे के बीच स्थानांतरण में क्या शामिल है?

अतिथियों (guest) के नेटवर्क पर प्रॉक्सी से DNS फ़िल्टरिंग तक

यह सबसे आम बदलाव है। टीमों को अक्सर गेस्ट WiFi पर एक प्रॉक्सी होस्टनाम के अलावा बहुत कम फ़िल्टरिंग करती हुई मिलती है, क्योंकि यह गेस्ट ट्रैफ़िक को डिक्रिप्ट नहीं कर सकती है। चरण इस प्रकार हैं:

अपनी वर्तमान प्रॉक्सी श्रेणियों और अपनी अनुमति तथा ब्लॉक सूचियों को निर्यात (export) करें।
उन्हें DNS श्रेणियों से मैप करें। URL-पाथ नियमों का कोई DNS समकक्ष नहीं है, इसलिए प्रति नियम यह तय करें कि पूरे डोमेन को अनुमति देनी है या ब्लॉक करना है।
प्रत्येक नेटवर्क के DHCP स्कोप में DNS सर्वर को सुरक्षात्मक रिज़ॉल्वर की ओर इंगित करें।
अन्य रिज़ॉल्वर के लिए आउटबाउंड DNS, पोर्ट 853 पर DoT और ज्ञात DoH एंडपॉइंट्स को ब्लॉक करें।
एक वास्तविक गेस्ट डिवाइस से परीक्षण करें, फिर उस नेटवर्क के लिए प्रॉक्सी नियम सेट को हटा दें।

Shield के सेटअप चरण Shield कैसे काम करता है पर कवर किए गए हैं। एन्क्रिप्टेड DNS मानक DoT के लिए RFC 7858 और DoH के लिए RFC 8484 हैं।

प्रबंधित उपकरणों (managed devices) के लिए एक गेटवे जोड़ना

यह कदम अधिक जटिल है, और इसे उन उपकरणों तक सीमित किया जाना चाहिए जिन्हें इसकी आवश्यकता है। अपने मोबाइल डिवाइस प्रबंधन (MDM) प्लेटफ़ॉर्म के माध्यम से रूट प्रमाणपत्र तैनात करें। एजेंट या PAC फ़ाइल रोल आउट करें, फिर पिन किए गए ऐप्स और गोपनीयता-संवेदनशील श्रेणियों के लिए अपवाद बनाएं। निरीक्षण शुरू होने से पहले एक डेटा सुरक्षा प्रभाव मूल्यांकन (DPIA) पूरा करें। नीचे Shield को बनाए रखें, क्योंकि यह अभी भी उन सभी उपकरणों को कवर करता है जिन्हें गेटवे कवर नहीं करता है।

दोनों को चलाना

मिश्रित साइटों पर दोनों की लेयरिंग सबसे मजबूत डिज़ाइन है। Shield रिज़ॉल्यूशन के समय, गेस्ट और स्टाफ नेटवर्क दोनों में ज्ञात-खराब डोमेन को ब्लॉक करता है। इसके बाद गेटवे प्रबंधित ट्रैफ़िक का गहराई से निरीक्षण करता है। चूंकि DNS पहले दुर्भावनापूर्ण गंतव्यों को हटा देता है, इसलिए कम हानिकारक ट्रैफ़िक प्रॉक्सी तक पहुंच पाता है। दो श्रेणी नीतियों को संरेखित करें ताकि एक लेयर पर ब्लॉक किया गया डोमेन दूसरी लेयर पर अनुमत न हो।

DNS फ़िल्टरिंग और एक सुरक्षित वेब गेटवे के बीच निर्णय कैसे लें

इस निर्णय नियम का उपयोग करें। यदि आप उपकरणों के स्वामी नहीं हैं, तो DNS filtering का उपयोग करें। यदि आप उपकरणों के स्वामी हैं और ट्रैफ़िक के भीतर देखना अनिवार्य है, तो केवल उन उपकरणों पर गेटवे जोड़ें। अन्य सभी स्थानों पर, सुरक्षात्मक DNS ही सही आकार का उपकरण है।

कौन सा उपकरण आपके नेटवर्क के लिए सही है?

Purple Shield (DNS filtering)

Fits when

अतिथि, निवासी या यात्री अपने स्वयं के उपकरण लाते हैं
आपको नए हार्डवेयर के बिना कई साइटों पर सुरक्षा की आवश्यकता है
आपको प्रति नेटवर्क और VLAN एक नीति की आवश्यकता है
एक आउटेज के कारण कभी भी नेटवर्क अनफ़िल्टर नहीं रहना चाहिए

Not when

आपको URL पाथ या फ़ाइल प्रकारों पर नियम लागू करने होंगे

सुरक्षित वेब गेटवे

Fits when

आप उपकरणों को प्रबंधित करते हैं और एक रूट प्रमाणपत्र तैनात कर सकते हैं
आपको DLP के लिए अपलोड का निरीक्षण करना होगा या डाउनलोड को स्कैन करना होगा
नीति को किसी भी नेटवर्क पर नामित कर्मचारियों का पालन करना होगा

Not when

अधिकांश ट्रैफ़िक अप्रबंधित अतिथि उपकरणों से आता है

दोनों, परतबद्ध

Fits when

एक साइट अतिथियों को सेवा प्रदान करती है और प्रबंधित कर्मचारी उपकरणों पर विनियमित डेटा संभालती है
आप चाहते हैं कि DNS उस वॉल्यूम को कम करे जिसका गेटवे निरीक्षण करता है

Not when

किसी भी प्रबंधित उपकरण को सामग्री निरीक्षण की आवश्यकता नहीं है

Our recommendation: पहले हर नेटवर्क पर Shield तैनात करें, फिर केवल उन प्रबंधित उपकरणों पर गेटवे जोड़ें जहां आपको ट्रैफ़िक के भीतर देखना अनिवार्य है।

आपका अगला कदम अपने नेटवर्क और VLANs की सूची बनाना है, और यह चिह्नित करना है कि कौन से अप्रबंधित उपकरण ले जाते हैं। उन नेटवर्क को अब सुरक्षात्मक DNS मिलता है। फिर परिनियोजन के लिए देखें कि Shield कैसे काम करता है। पहचान, एन्क्रिप्शन और विभाजन के आसपास व्यापक नियंत्रणों के लिए, हमारी enterprise WiFi security guide पढ़ें।

अक्सर पूछे जाने वाले प्रश्न

क्या DNS filtering को चलाना सुरक्षित वेब गेटवे की तुलना में सस्ता है?

आमतौर पर, हाँ, क्योंकि DNS filtering को किसी हार्डवेयर, किसी एंडपॉइंट एजेंट और किसी प्रमाणपत्र प्रबंधन की आवश्यकता नहीं होती है। गेटवे प्रति सीट या उपकरण लाइसेंसिंग, एजेंट रखरखाव, रूट प्रमाणपत्र नवीनीकरण और निरीक्षण के तहत टूटने वाले ऐप्स के लिए अपवाद नियम जोड़ता है। DNS filtering की परिचालन लागत नीति रखरखाव और एनक्रिप्टेड DNS के लिए फ़ायरवॉल नियम है। लाइसेंस लाइनों के बजाय कुल परिचालन लागत की तुलना करें, और प्रत्येक विक्रेता के साथ वर्तमान शर्तों की पुष्टि करें।

क्या Purple Shield उस WiFi हार्डवेयर के साथ काम करता है जो मेरे पास पहले से है?

हाँ। Shield DNS परत पर काम करता है, इसलिए यह Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet सहित किसी भी WiFi पर चलता है। आप प्रत्येक नेटवर्क के DNS को Shield पर पॉइंट करते हैं और प्रति नेटवर्क और VLAN एक नीति निर्धारित करते हैं। यह बिना किसी नए हार्डवेयर के, अकेले या Purple Access के साथ चलता है।

क्या DNS filtering एक सुरक्षित वेब गेटवे को बदल सकता है?

यह अतिथि और स्थल नेटवर्क पर ऐसा कर सकता है, लेकिन वहाँ नहीं जहाँ आपको ट्रैफ़िक के भीतर देखना अनिवार्य है। DNS filtering किसी भी कनेक्शन खुलने से पहले दुर्भावनापूर्ण और अवांछित डोमेन को ब्लॉक कर देता है, जो आगंतुकों के लिए अधिकांश खतरे और सामग्री आवश्यकताओं को कवर करता है। यह URL पाथ पर नियमों को लागू नहीं कर सकता, विश्वसनीय डोमेन पर फ़ाइलों को स्कैन नहीं कर सकता या डेटा हानि रोकथाम के लिए अपलोड का निरीक्षण नहीं कर सकता। उन प्रबंधित उपकरणों के लिए गेटवे रखें जिन्हें उन नियंत्रणों की आवश्यकता है।

क्या मैं DNS फ़िल्टरिंग और एक सिक्योर वेब गेटवे को एक साथ चला सकता हूँ?

हाँ, और मिश्रित साइटों पर यह सबसे मजबूत डिज़ाइन है। Shield गेटवे निरीक्षण न कर सकने वाले गेस्ट डिवाइसों सहित, DNS रिज़ॉल्यूशन पर हर डिवाइस को फ़िल्टर करता है। इसके बाद गेटवे प्रबंधित स्टाफ डिवाइसों का गहराई से निरीक्षण करता है। क्योंकि DNS पहले ही ज्ञात-खराब डोमेन को ब्लॉक कर देता है, इसलिए कम दुर्भावनापूर्ण ट्रैफ़िक प्रॉक्सी तक पहुँचता है। दोनों श्रेणी नीतियों को संरेखित रखें ताकि एक लेयर पर ब्लॉक किया गया डोमेन दूसरी लेयर पर अनुमति न पाए।

क्या सिक्योर वेब गेटवे गेस्ट WiFi पर काम करता है?

केवल आंशिक रूप से। डिवाइस पर विश्वसनीय रूट प्रमाणपत्र के बिना, गेटवे प्रमाणपत्र त्रुटियों के बिना HTTPS को डिक्रिप्ट नहीं कर सकता है। आप गेस्ट के फ़ोन पर प्रमाणपत्र इंस्टॉल नहीं कर सकते हैं। गेटवे अभी भी TLS हैंडशेक में भेजे गए होस्टनाम पर फ़िल्टर कर सकता है, जो कि कम इंफ्रास्ट्रक्चर के साथ DNS फ़िल्टरिंग द्वारा पहले से किए जाने वाले काम के समान है। गेस्ट WiFi के लिए, प्रोटेक्टिव DNS ही व्यावहारिक विकल्प है।

यदि DNS सेवा बंद हो जाती है तो फ़िल्टरिंग का क्या होता है?

Shield के साथ, फ़िल्टरिंग चालू रहती है। Shield फ़ेल क्लोज्ड होता है, इसलिए आउटेज कभी भी नेटवर्क को बिना फ़िल्टर किए नहीं छोड़ता है। जो सेवाएँ फ़ेल ओपन होती हैं, वे ट्रैफ़िक को चालू रखने के लिए डिवाइसों को एक अनफ़िल्टर्ड रिज़ॉल्वर पर भेजती हैं, जिससे नेटवर्क आउटेज की अवधि के लिए जोखिम में पड़ जाता है। प्रत्येक विक्रेता से उसके फ़ेलियर व्यवहार को लिखित रूप में बताने के लिए कहें, और गो-लाइव से पहले इसका परीक्षण करें।

यह हो सकता है, लेकिन इसे DNS फ़िल्टरिंग की तुलना में अधिक प्रशासन की आवश्यकता होती है। स्टाफ ट्रैफ़िक को डिक्रिप्ट करने से उनके संचार की सामग्री प्रोसेस होती है। इसलिए आपको एक वैध आधार, एक डेटा सुरक्षा प्रभाव आकलन और कर्मचारियों को स्पष्ट सूचना की आवश्यकता होती है। अधिकांश परिनियोजन बैंकिंग और स्वास्थ्य साइटों को भी छूट देते हैं। DNS फ़िल्टरिंग केवल डोमेन नामों को प्रोसेस करती है, जो एक संकीर्ण दायरा है जिसे उचित ठहराना और दस्तावेज करना आसान है।

प्रॉक्सी से DNS फ़िल्टरिंग पर माइग्रेट करने में कितना प्रयास लगता है?

अधिकांश टीमों की अपेक्षा से कम, क्योंकि कटओवर प्रति नेटवर्क एक DNS परिवर्तन है। काम तीन स्थानों पर होता है। आप प्रॉक्सी श्रेणियों को DNS श्रेणियों में मैप करते हैं, तय करते हैं कि URL-पाथ नियमों के साथ क्या करना है जिनका कोई DNS समकक्ष नहीं है, और फ़ायरवॉल पर एन्क्रिप्टेड DNS को ब्लॉक करते हैं। पुराने नियम सेट को हटाने से पहले किसी वास्तविक डिवाइस से प्रत्येक नेटवर्क का परीक्षण करें।

Key terms

DNS filtering (सुरक्षात्मक DNS): एक हलकर्ता (resolver) जो RFC 1035 में परिभाषित नाम रिज़ॉल्यूशन का उपयोग करके उत्तर देने से पहले खतरे की खुफिया जानकारी और श्रेणी नीति के विरुद्ध प्रत्येक पूछे गए डोमेन की जाँच करता है। यह ब्लॉक किए गए डोमेन को हल करने से मना कर देता है, इसलिए कोई कनेक्शन नहीं खुलता है। आप इससे तब मिलते हैं जब आप प्रत्येक नेटवर्क पर DHCP द्वारा दिए गए DNS सर्वर को बदलते हैं। यह बिना कुछ इंस्टॉल किए गेस्ट और BYOD डिवाइसों को कवर करता है, जो इसे स्थान WiFi पर डिफ़ॉल्ट बनाता है।
Secure web gateway (SWG): ट्रैफ़िक पथ में एक फ़ॉरवर्ड प्रॉक्सी जो TLS को समाप्त करता है, पूर्ण URL, फ़ाइलों और पृष्ठ सामग्री का निरीक्षण करता है, फिर से एन्क्रिप्ट या ब्लॉक करता है। ट्रैफ़िक एक एंडपॉइंट एजेंट, एक PAC फ़ाइल या एक इनलाइन उपकरण के माध्यम से इस तक पहुँचता है। आप प्रबंधित कर्मचारी उपकरणों के लिए फ़िल्टरिंग का दायरा तय करते समय इससे मिलते हैं। यह केवल वहीं अपनी लागत वसूल करता है जहाँ आपको ट्रैफ़िक के अंदर देखना होता है, और इसे प्रत्येक निरीक्षण किए गए डिवाइस पर एक रूट प्रमाणपत्र की आवश्यकता होती है।
TLS inspection: एक प्रॉक्सी प्रमाणपत्र प्रस्तुत करके HTTPS सत्रों को डिक्रिप्ट करना, जैसा कि ट्रांसपोर्ट लेयर सिक्योरिटी प्रोटोकॉल (TLS 1.3 के लिए RFC 8446) द्वारा निर्दिष्ट किया गया है, जिस पर डिवाइस द्वारा भरोसा किए गए रूट द्वारा हस्ताक्षर किए गए हैं, फिर निरीक्षण के बाद फिर से एन्क्रिप्ट करना। यही कारण है कि एक गेटवे गेस्ट फोन का निरीक्षण नहीं कर सकता है, और कर्मचारियों के उपकरणों पर पिन-ऐप टूटने, अपवाद नियमों और GDPR प्रशासन का स्रोत है।
DNS over TLS (DoT): RFC 7858, जो TCP पोर्ट 853 पर TLS सत्र के भीतर DNS प्रश्नों को ले जाता है, डिवाइस और हलकर्ता के बीच लुकअप को एन्क्रिप्ट करता है। किसी अन्य हलकर्ता के लिए DoT का उपयोग करने वाला उपकरण आपके DNS फ़िल्टर को छोड़ देता है। प्रॉक्सी को हटाने से पहले फ़ायरवॉल पर पोर्ट 853 को ब्लॉक करें।
DNS over HTTPS (DoH): RFC 8484, जो DNS प्रश्नों को एक हलकर्ता एंडपॉइंट पर HTTPS अनुरोधों के रूप में भेजता है, जिससे उन्हें साधारण वेब ट्रैफ़िक से अलग करना मुश्किल हो जाता है। हार्ड-कोडेड DoH हलकर्ता एक सामान्य बायपास हैं। जैसे ही नए सार्वजनिक हलकर्ता दिखाई देते हैं, आप ज्ञात DoH एंडपॉइंट्स के लिए फ़ायरवॉल नियमों को अद्यतित रखते हैं।
Proxy auto-config (PAC) फ़ाइल: एक JavaScript फ़ाइल जो ब्राउज़र को बताती है कि प्रत्येक URL के लिए किस प्रॉक्सी का उपयोग करना है, एजेंटों और इनलाइन उपकरणों के साथ-साथ secure web gateway पर ट्रैफ़िक को निर्देशित करने के तीन तरीकों में से एक। आप इसे प्रबंधित उपकरणों पर गेटवे रोल आउट करते समय तैनात करते हैं। यह उन गेस्ट डिवाइसों के लिए कुछ नहीं करता जिन्हें आप नियंत्रित नहीं करते हैं।
Data loss prevention (DLP): ऐसे नियंत्रण जो संवेदनशील डेटा (जैसे PCI DSS के दायरे में आने वाला भुगतान कार्ड डेटा या मरीज रिकॉर्ड) के लिए आउटबाउंड सामग्री, जैसे अपलोड की जांच करते हैं, और उसे नेटवर्क से बाहर जाने से रोकते हैं। DLP को डिक्रिप्टेड ट्रैफिक की आवश्यकता होती है, इसलिए इसे एक गेटवे या एक समर्पित DLP टूल की आवश्यकता होती है। DNS फ़िल्टरिंग यह प्रदान नहीं कर सकती है।
डेटा सुरक्षा प्रभाव आकलन (DPIA): GDPR (विनियमन (EU) 2016/679) के अनुच्छेद 35 के तहत आवश्यक एक मूल्यांकन, जो व्यक्तियों के अधिकारों और स्वतंत्रताओं के लिए उच्च जोखिम की संभावना वाले प्रोसेसिंग कार्य से पहले किया जाता है। कर्मचारियों के ट्रैफिक को डिक्रिप्ट करने से उनके संचार की सामग्री प्रोसेस होती है, इसलिए TLS निरीक्षण शुरू होने से पहले एक DPIA पूरा करें और कर्मचारियों को सूचना दें।
IEEE 802.1X: IEEE पोर्ट-आधारित नेटवर्क एक्सेस कंट्रोल मानक, जो पहुंच प्रदान करने से पहले एक RADIUS (रिमोट प्रमाणीकरण डायल-इन उपयोगकर्ता सेवा) सर्वर के विरुद्ध EAP के माध्यम से एक डिवाइस को प्रमाणित करता है, और प्रति उपयोगकर्ता या भूमिका एक VLAN असाइन कर सकता है। यदि आपका स्टाफ नेटवर्क 802.1X के माध्यम से भूमिका के आधार पर VLAN असाइन करता है, तो प्रति VLAN एक DNS नीति आपको बिना किसी प्रॉक्सी के भूमिका-विशिष्ट फ़िल्टरिंग प्रदान करती है।
VLAN: IEEE 802.1Q द्वारा परिभाषित एक वर्चुअल LAN, जो एक भौतिक नेटवर्क को अलग किए गए तार्किक नेटवर्क में विभाजित करने के लिए इथरनेट फ्रेम को टैग करता है। Shield प्रति नेटवर्क और प्रति VLAN नीति सेट करता है, इसलिए एक ही साइट पर परिवार-अनुकूल अतिथि नेटवर्क और एक स्टाफ नेटवर्क अलग-अलग नियम चला सकते हैं।
फेल क्लोज्ड (Fail closed): एक विफलता स्थिति (फेलियर मोड) जिसमें फ़िल्टरिंग सेवा अनुपलब्ध होने पर रिज़ॉल्यूशन को ब्लॉक कर देती है, न कि ट्रैफिक को चालू रखने के लिए अनफ़िल्टर्ड रिज़ॉल्वर पर फेल ओपन होती है। अतिथि नेटवर्क पर आप जो भी लोड होता है उसके प्रतिष्ठित जोखिम को उठाते हैं। Shield फेल क्लोज्ड होता है, इसलिए आउटेज के दौरान कोई भी नेटवर्क बिना फ़िल्टर किए नहीं चलता है।
कैप्टिव पोर्टल: नेटवर्क एक्सेस दिए जाने से पहले किसी डिवाइस को दिखाया जाने वाला साइन-इन पृष्ठ, जो आमतौर पर शर्तों की स्वीकृति और प्रमाणीकरण के लिए गेस्ट WiFi पर उपयोग किया जाता है। गेस्ट फ़िल्टरिंग को प्रोटेक्टिव DNS पर स्थानांतरित करने से आपका कैप्टिव पोर्टल वैसा ही रहता है, इसलिए गेस्ट साइन-इन अनुभव में कोई बदलाव नहीं होता है।

Worked examples

एक स्थान अपने गेस्ट WiFi पर एक प्रॉक्सी चलाता है, लेकिन क्योंकि यह गेस्ट ट्रैफ़िक को डिक्रिप्ट नहीं कर सकता है, यह होस्टनामों के अलावा बहुत कम फ़िल्टर करता है। आप उस नेटवर्क को DNS filtering में कैसे स्थानांतरित करते हैं?

प्रॉक्सी श्रेणियों और अनुमति तथा ब्लॉक सूचियों को निर्यात करें, फिर उन्हें DNS श्रेणियों में मैप करें। URL-पथ नियमों का कोई DNS समतुल्य नहीं है, इसलिए प्रति नियम तय करें कि संपूर्ण डोमेन को अनुमति देनी है या ब्लॉक करना है। प्रत्येक नेटवर्क के DHCP स्कोप में DNS सर्वर को सुरक्षात्मक हलकर्ता (protective resolver) पर इंगित करें। अन्य हलकर्ताओं के लिए आउटबाउंड DNS, पोर्ट 853 पर DNS over TLS और फ़ायरवॉल पर ज्ञात DNS over HTTPS एंडपॉइंट्स को ब्लॉक करें। एक वास्तविक गेस्ट डिवाइस से परीक्षण करें, फिर उस नेटवर्क के लिए प्रॉक्सी नियम सेट को हटा दें। यह काम करता है क्योंकि कटओवर प्रति नेटवर्क एक DNS परिवर्तन है, और सुरक्षात्मक DNS बिना कुछ इंस्टॉल किए प्रत्येक गेस्ट डिवाइस को कवर करता है।

एक साइट WiFi पर मेहमानों को सेवा प्रदान करती है और उसका कर्मचारी प्रबंधित लैपटॉप पर विनियमित डेटा, जैसे कि PCI-DSS के दायरे में आने वाले भुगतान कार्ड डेटा को संभालता है। कौन सा डिज़ाइन उपयुक्त है?

दोनों को परतबद्ध (layer) करें। पहले हर नेटवर्क पर Purple Shield तैनात करें, ताकि गेस्ट और कर्मचारियों के डिवाइस DNS रिज़ॉल्यूशन पर फ़िल्टर हो जाएं। फिर केवल प्रबंधित लैपटॉप पर एक गेटवे जोड़ें: अपने MDM प्लेटफॉर्म के माध्यम से रूट प्रमाणपत्र तैनात करें, एजेंट या PAC फ़ाइल रोल आउट करें, और पिन किए गए ऐप्स तथा गोपनीयता-संवेदनशील श्रेणियों के लिए अपवाद बनाएं। निरीक्षण शुरू होने से पहले एक DPIA पूरा करें। Purple Shield पहले ज्ञात-खराब डोमेन को हटा देता है, जिससे कम हानिकारक ट्रैफ़िक प्रॉक्सी तक पहुंचता है। दोनों श्रेणी नीतियों को संरेखित करें ताकि एक परत पर ब्लॉक किया गया डोमेन दूसरी परत पर अनुमत न हो।

Frequently asked questions

क्या DNS फ़िल्टरिंग को चलाना सुरक्षित वेब गेटवे की तुलना में सस्ता है?

आमतौर पर, हाँ, क्योंकि DNS फ़िल्टरिंग के लिए किसी हार्डवेयर, एंडपॉइंट एजेंट और प्रमाणपत्र प्रबंधन की आवश्यकता नहीं होती है। एक गेटवे प्रति सीट या डिवाइस लाइसेंसिंग, एजेंट रखरखाव, रूट प्रमाणपत्र नवीनीकरण और निरीक्षण के तहत टूटने वाले ऐप्स के लिए अपवाद नियम जोड़ता है। DNS फ़िल्टरिंग की परिचालन लागत नीति रखरखाव और एन्क्रिप्टेड DNS के लिए फ़ायरवॉल नियम है। लाइसेंस लाइनों के बजाय कुल परिचालन लागत की तुलना करें, और प्रत्येक विक्रेता के साथ वर्तमान शर्तों की पुष्टि करें।

क्या Purple Shield उस WiFi हार्डवेयर के साथ काम करता है जो मेरे पास पहले से है?

हाँ। Shield DNS परत पर काम करता है, इसलिए यह किसी भी WiFi पर चलता है, जिसमें Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme और Fortinet शामिल हैं। आप प्रत्येक नेटवर्क के DNS को Shield पर इंगित करते हैं और प्रति नेटवर्क व VLAN एक नीति सेट करते हैं। यह standalone या Purple Access के साथ चलता है, जिसमें साइट पर कोई नया हार्डवेयर नहीं होता है।

क्या डीएनएस (DNS) फ़िल्टरिंग एक सुरक्षित वेब गेटवे को बदल सकती है?

यह गेस्ट और वेन्यू नेटवर्क पर काम कर सकता है, लेकिन वहां नहीं जहां आपको ट्रैफिक के भीतर देखना होता है। डीएनएस (DNS) फ़िल्टरिंग कोई भी कनेक्शन खुलने से पहले हानिकारक और अवांछित डोमेन को ब्लॉक कर देती है, जो विज़िटर्स के लिए अधिकांश खतरों और कंटेंट संबंधी आवश्यकताओं को कवर करती है। यह यूआरएल (URL) पाथ पर नियम लागू नहीं कर सकती, विश्वसनीय डोमेन पर फ़ाइलों को स्कैन नहीं कर सकती या डेटा हानि की रोकथाम (डीएलपी) के लिए अपलोड का निरीक्षण नहीं कर सकती। उन प्रबंधित डिवाइसों के लिए गेटवे रखें जिन्हें इन नियंत्रणों की आवश्यकता होती है।

क्या मैं डीएनएस (DNS) फ़िल्टरिंग और सुरक्षित वेब गेटवे को एक साथ चला सकता हूँ?

हाँ, और मिश्रित साइटों पर यह सबसे मजबूत डिज़ाइन है। Shield डीएनएस (DNS) रिज़ॉल्यूशन पर प्रत्येक डिवाइस को फ़िल्टर करता है, जिसमें वे गेस्ट डिवाइस भी शामिल हैं जिनका गेटवे निरीक्षण नहीं कर सकता। इसके बाद गेटवे प्रबंधित स्टाफ डिवाइसों का गहराई से निरीक्षण करता है। चूंकि डीएनएस (DNS) पहले ही ज्ञात-खराब डोमेन को ब्लॉक कर देता है, इसलिए प्रॉक्सी तक कम हानिकारक ट्रैफिक पहुँचता है। दोनों श्रेणी की नीतियों को संरेखित रखें ताकि एक लेयर पर ब्लॉक किया गया डोमेन दूसरी लेयर पर स्वीकृत न हो।

क्या एक सुरक्षित वेब गेटवे गेस्ट WiFi पर काम करता है?

केवल आंशिक रूप से। डिवाइस पर विश्वसनीय रूट प्रमाणपत्र के बिना, गेटवे प्रमाणपत्र त्रुटियां उत्पन्न किए बिना एचटीटीपीएस (HTTPS) को डिक्रिप्ट नहीं कर सकता। आप गेस्ट के फोन पर प्रमाणपत्र इंस्टॉल नहीं कर सकते। एक गेटवे अभी भी टीएलएस (TLS) हैंडशेक में भेजे गए होस्टनाम पर फ़िल्टर कर सकता है, जो लगभग वही है जो डीएनएस (DNS) फ़िल्टरिंग कम इंफ्रास्ट्रक्चर के साथ पहले से ही करती है। गेस्ट WiFi के लिए, सुरक्षात्मक डीएनएस (DNS) ही व्यावहारिक विकल्प है।

यदि डीएनएस (DNS) सेवा बंद हो जाती है तो फ़िल्टरिंग का क्या होता है?

Shield के साथ, फ़िल्टरिंग चालू रहती है। Shield फेल-क्लोज्ड मोड में काम करता है, इसलिए आउटेज की स्थिति में भी नेटवर्क बिना फ़िल्टर के नहीं रहता है। जो सेवाएं फेल-ओपन होती हैं, वे ट्रैफिक का प्रवाह बनाए रखने के लिए डिवाइसों को बिना फ़िल्टर वाले रिज़ॉल्वर पर भेज देती हैं, जिससे आउटेज की पूरी अवधि के दौरान नेटवर्क जोखिम में रहता है। प्रत्येक वेंडर से उनके फेलियर व्यवहार को लिखित रूप में देने के लिए कहें, और गो-लाइव से पहले इसका परीक्षण करें।

क्या टीएलएस (TLS) निरीक्षण GDPR के साथ संगत है?

यह हो सकता है, लेकिन इसे डीएनएस (DNS) फ़िल्टरिंग की तुलना में अधिक प्रशासन की आवश्यकता होती है। स्टाफ के ट्रैफिक को डिक्रिप्ट करने से उनके संचार की सामग्री प्रोसेस होती है। इसलिए आपको एक कानूनी आधार, एक डेटा सुरक्षा प्रभाव मूल्यांकन और कर्मचारियों को स्पष्ट सूचना की आवश्यकता होती है। अधिकांश परिनियोजन बैंकिंग और स्वास्थ्य साइटों को भी छूट देते हैं। डीएनएस (DNS) फ़िल्टरिंग केवल डोमेन नामों को प्रोसेस करती है, जो एक सीमित दायरा है जिसे उचित ठहराना और दस्तावेज़ित करना अधिक सरल है।

प्रॉक्सी से डीएनएस (DNS) फ़िल्टरिंग पर जाने में कितना प्रयास लगता है?

अधिकांश टीमों की अपेक्षा से कम, क्योंकि कटओवर प्रति नेटवर्क एक डीएनएस (DNS) परिवर्तन है। काम तीन स्थानों पर होता है। आप प्रॉक्सी श्रेणियों को डीएनएस (DNS) श्रेणियों में मैप करते हैं, यह तय करते हैं कि यूआरएल-पाथ (URL-path) नियमों का क्या करना है जिनका कोई डीएनएस (DNS) समतुल्य नहीं है, और फ़ायरवॉल पर एन्क्रिप्टेड डीएनएस (DNS) को ब्लॉक करते हैं। पुराने नियम सेट को हटाने से पहले एक वास्तविक डिवाइस से प्रत्येक नेटवर्क का परीक्षण करें।

DNS filtering बनाम secure web gateway: जब आपको भारी टूल की आवश्यकता होती है

DNS फ़िल्टरिंग बनाम सुरक्षित वेब गेटवे: संक्षेप में उत्तर

हमने किसकी तुलना की, और ये मानदंड निर्णय क्यों तय करते हैं

DNS फ़िल्टरिंग और Secure Web Gateway की तुलना कैसे की जाती है?

DNS फ़िल्टरिंग कहाँ जीतती है

गेस्ट WiFi और अनमैनेज्ड डिवाइस

कई साइटें, कोई नया हार्डवेयर नहीं

पहले ही खतरों को रोकना

हल्के नेटवर्क

ऐसी विफलता जो सुरक्षित रहे

छोटा निजता फ़ुटप्रिंट

जहाँ एक सुरक्षित वेब गेटवे जीतता है

पूर्ण URL और पथ नियंत्रण

फ़ाइल और सामग्री निरीक्षण

डेटा हानि की रोकथाम

नेटवर्क से बाहर प्रति-व्यक्ति नीति

एप्लिकेशन नियंत्रण

प्रत्येक को चलाने में कितनी लागत आती है?

DNS फ़िल्टरिंग और गेटवे के बीच स्थानांतरण में क्या शामिल है?

अतिथियों (guest) के नेटवर्क पर प्रॉक्सी से DNS फ़िल्टरिंग तक

प्रबंधित उपकरणों (managed devices) के लिए एक गेटवे जोड़ना

दोनों को चलाना

DNS फ़िल्टरिंग और एक सुरक्षित वेब गेटवे के बीच निर्णय कैसे लें

Purple Shield (DNS filtering)

सुरक्षित वेब गेटवे

दोनों, परतबद्ध

अक्सर पूछे जाने वाले प्रश्न

क्या DNS filtering को चलाना सुरक्षित वेब गेटवे की तुलना में सस्ता है?

क्या Purple Shield उस WiFi हार्डवेयर के साथ काम करता है जो मेरे पास पहले से है?

क्या DNS filtering एक सुरक्षित वेब गेटवे को बदल सकता है?

क्या मैं DNS फ़िल्टरिंग और एक सिक्योर वेब गेटवे को एक साथ चला सकता हूँ?

क्या सिक्योर वेब गेटवे गेस्ट WiFi पर काम करता है?

यदि DNS सेवा बंद हो जाती है तो फ़िल्टरिंग का क्या होता है?

प्रॉक्सी से DNS फ़िल्टरिंग पर माइग्रेट करने में कितना प्रयास लगता है?

Key terms

Worked examples

Frequently asked questions

Sources

Decide what your network reaches, free for 30 days

Tell us your networks. We map a policy to each one.

DNS फ़िल्टरिंग बनाम सुरक्षित वेब गेटवे: संक्षेप में उत्तर

हमने किसकी तुलना की, और ये मानदंड निर्णय क्यों तय करते हैं

DNS फ़िल्टरिंग और Secure Web Gateway की तुलना कैसे की जाती है?

DNS फ़िल्टरिंग कहाँ जीतती है

गेस्ट WiFi और अनमैनेज्ड डिवाइस

कई साइटें, कोई नया हार्डवेयर नहीं

पहले ही खतरों को रोकना

हल्के नेटवर्क

ऐसी विफलता जो सुरक्षित रहे

छोटा निजता फ़ुटप्रिंट

जहाँ एक सुरक्षित वेब गेटवे जीतता है

पूर्ण URL और पथ नियंत्रण

फ़ाइल और सामग्री निरीक्षण

डेटा हानि की रोकथाम

नेटवर्क से बाहर प्रति-व्यक्ति नीति

एप्लिकेशन नियंत्रण

प्रत्येक को चलाने में कितनी लागत आती है?

DNS फ़िल्टरिंग और गेटवे के बीच स्थानांतरण में क्या शामिल है?

अतिथियों (guest) के नेटवर्क पर प्रॉक्सी से DNS फ़िल्टरिंग तक

प्रबंधित उपकरणों (managed devices) के लिए एक गेटवे जोड़ना

दोनों को चलाना

DNS फ़िल्टरिंग और एक सुरक्षित वेब गेटवे के बीच निर्णय कैसे लें

Purple Shield (DNS filtering)

सुरक्षित वेब गेटवे

दोनों, परतबद्ध

अक्सर पूछे जाने वाले प्रश्न

क्या DNS filtering को चलाना सुरक्षित वेब गेटवे की तुलना में सस्ता है?

क्या Purple Shield उस WiFi हार्डवेयर के साथ काम करता है जो मेरे पास पहले से है?

क्या DNS filtering एक सुरक्षित वेब गेटवे को बदल सकता है?

क्या मैं DNS फ़िल्टरिंग और एक सिक्योर वेब गेटवे को एक साथ चला सकता हूँ?

क्या सिक्योर वेब गेटवे गेस्ट WiFi पर काम करता है?

यदि DNS सेवा बंद हो जाती है तो फ़िल्टरिंग का क्या होता है?

क्या TLS निरीक्षण GDPR के साथ संगत है?

प्रॉक्सी से DNS फ़िल्टरिंग पर माइग्रेट करने में कितना प्रयास लगता है?

Key terms

Worked examples

Frequently asked questions

Sources

Related guides

Decide what your network reaches, free for 30 days

Tell us your networks. We map a policy to each one.