ExplainerDNS filtering limits
DNS फिल्टरिंग फेअल ओपन विरुद्ध फेअल क्लोज्ड: फिल्टर बंद पडल्यावर काय होते
DNS फिल्टरने प्रतिसाद देणे बंद केल्यावर तुमचे गेस्ट आणि स्टाफ WiFi ने कसे कार्य केले पाहिजे हे तुम्ही ठरवू शकाल आणि तुमचे नेटवर्क खरोखरच फेअल क्लोज्ड होते की नाही ते तपासू शकाल. DHCP, फॉरवर्डर्स आणि डिव्हाइसेसमध्ये फॉलबॅक कसा लपलेला असतो आणि आउटेजद्वारे चाचणी होण्यापूर्वी रेडन्डन्सीची चाचणी कशी करावी हे तुम्हाला समजेल.
DNS फ़िल्टरिंग फेल्ड ओपन विरुद्ध फेल्ड क्लोज्ड म्हणजे जेव्हा नेटवर्कचे फ़िल्टरिंग रिझॉल्व्हर उत्तर देणे थांबवते, तेव्हा नेटवर्क काय करते याची निवड करणे होय. फेल्ड ओपन अनफ़िल्टर केलेल्या रिझॉल्व्हरवर परत जाते, त्यामुळे संरक्षणाशिवाय ब्राऊझिंग सुरू राहते. फेल्ड क्लोज्ड इतर कुठेही क्वेरी पाठवत नाही, जे NIST SP 800-53 कंट्रोल SC-24 (फेल्ड इन नोअन स्टेट) च्या सुसंगत आहे, त्यामुळे अनफ़िल्टर केलेले काहीही रिझॉल्व्ह होत नाही.
DNS फ़िल्टरिंग फेल्ड ओपन विरुद्ध फेल्ड क्लोज्ड म्हणजे काय?
DNS फ़िल्टरिंग हे प्रत्येक कनेक्शनच्या पहिल्या पायरीवर कार्यरत असते. कोणताही सेशन सुरू करण्यापूर्वी फोन एखाद्या रिझॉल्व्हरला डोमेन नाव IP ॲड्रेसमध्ये बदलण्यासाठी विनंती करतो (RFC 1035). प्रोटेक्टिव्ह DNS रिझॉल्व्हर थ्रेट इंटेलिजेंस आणि तुमच्या कंटेंट पॉलिसीनुसार त्या नावाची तपासणी करतो. त्यानंतर ते खरे ॲड्रेस, ब्लॉक पेज ॲड्रेस किंवा रिफ्युझल परत पाठवते.
हे स्थान म्हणजे DNS फ़िल्टरिंग कार्य करण्याचे मुख्य कारण आहे. सिंगल पॅकेट गंतव्यस्थानावर पोहोचण्यापूर्वी ही तपासणी केली जाते. हे फिशिंग लिंक किंवा मालवेअर कॉलबॅक थांबवू शकते जे फायरवॉल केवळ पोर्ट 443 वर अनुमती दिलेला ट्रॅफिक म्हणून पाहू शकते. UK नॅशनल सायबर सिक्युरिटी सेंटर सार्वजनिक क्षेत्रासाठी याच तत्त्वावर प्रोटेक्टिव्ह DNS सर्व्हिस चालवते.
हे स्थान हाच त्याचा कमकुवत मुद्दा देखील आहे. जर प्रत्येक लुकअप फ़िल्टरिंग रिझॉल्व्हरवर अवलंबून असेल, तर जेव्हा त्याच्यापर्यंत पोहोचता येत नाही अशा वेळेसाठी तुमच्याकडे योजना असणे आवश्यक आहे. यासाठी केवळ दोनच योजना आहेत.
- फेल्ड ओपन. नेटवर्क किंवा डिव्हाइस अशा दुसऱ्या रिझॉल्व्हरला क्वेरी पाठवते जे कोणतीही पॉलिसी लागू करत नाही. ब्राऊझिंग चालू राहते, परंतु फ़िल्टर परत येईपर्यंत संरक्षण, लॉगिंग आणि कंटेंट नियम थांबतात.
- फेल्ड क्लोज्ड. कोणताही अनफ़िल्टर केलेला मार्ग अस्तित्वात नसतो. नवीन लुकअप फ़िल्टरिंग रिझॉल्व्हरच्या उत्तराची वाट पाहतात आणि पॉलिसी निर्णयाशिवाय काहीही रिझॉल्व्ह होत नाही.
ही निवड उपलब्धता आणि आश्वासन यामधील एक तडजोड आहे. फेल्ड ओपन अशा व्हिजिटरला प्राधान्य देते ज्याला आत्ता पेज लोड करायचे आहे. फेल्ड क्लोज्ड तुमच्या सिक्युरिटी टीम, सेफगार्डिंग लीड आणि ऑडिटरला प्राधान्य देते, ज्यांना वर्षातील प्रत्येक मिनिटाला नेटवर्क फ़िल्टर केले गेले होते हे दाखवणे आवश्यक असते.
NIST SP 800-53 Rev. 5 दोन कंट्रोल्समध्ये याच कल्पनेचा संदर्भ देते. SC-24 हे "फेल्ड इन नोअन स्टेट" आहे आणि SC-7(18) हे "फेल्ड सिक्युअर" आहे (NIST SP 800-53 Rev. 5).
रिझॉल्व्हरवर फ़िल्टर फेल्युअर वर्तणूक कशी कार्य करते?
तुमचे कॉन्फिगरेशन फ़िल्टर फेल्युअर वर्तणूक ठरवते, स्वतः फ़िल्टर नाही. तीन ठिकाणे ते सेट करतात: DHCP, कोणतेही लोकल DNS फॉरवर्डर आणि डिव्हाइस.
DHCP DNS फील्ड्स
DHCP हा तो प्रोटोकॉल आहे जो प्रत्येक डिव्हाइस कनेक्ट झाल्यावर त्याला IP ॲड्रेस आणि नेटवर्क सेटिंग्ज देतो. बहुतेक गेस्ट आणि स्टाफ नेटवर्क्स प्रत्येक डिव्हाइसला दोन किंवा अधिक DNS सर्व्हर ॲड्रेसेस देण्यासाठी याचा वापर करतात. जर ते सर्व फ़िल्टरिंग रिझॉल्व्हर्सकडे निर्देशित करत असतील, तर डिझाइन फेल्ड क्लोज्ड होते. जर दुसरे ISP किंवा पब्लिक रिझॉल्व्हरकडे निर्देशित करत असेल, तर फ़िल्टरिंग व्हेंडर काहीही आश्वासन देत असले तरी डिझाइन फेल्ड ओपन होते.
Flow diagram showing a guest device query timing out at the filtering resolver, falling back to an unfiltered secondary resolver and connecting to a domain with no policy check.
Connections
- Guest device to Filtering resolver (1. Query on port 53)
- Filtering resolver to Guest device (2. Timeout, no reply)
- Guest device to Unfiltered fallback resolver (3. Retry to secondary)
- Unfiltered fallback resolver to Answer with no policy check (4. Resolves any domain)
- Answer with no policy check to Connection opens (5. Device connects)
लोकल फॉरवर्डर
अनेक फायरवॉल आणि गेटवे DNS फॉरवर्डर चालवतात. डिव्हाइसेस गेटवेला क्वेरी करतात आणि गेटवे अपस्ट्रीम रिझॉल्व्हर्सकडे फॉरवर्ड करतो. येथे फॉलबॅक फॉरवर्डरच्या अपस्ट्रीम सूचीमध्ये असतो. फिल्टरच्या खाली सार्वजनिक रिझॉल्व्हर सूचीबद्ध करणारा फॉरवर्डर DHCP स्वच्छ दिसत असले तरीही फेइल ओपन होतो.
डिव्हाइसचे स्वतःचे वर्तन
रिझॉल्व्हरची निवड ऑपरेटिंग सिस्टमनुसार बदलते. काही डिव्हाइसेस दुसऱ्या सर्व्हरला कडक स्टँडबाय मानतात. इतर जेव्हा पहिला मंद असतो तेव्हा त्याला क्वेरी करतात किंवा दोन्हीकडे क्वेरी पाठवतात. फेइल ओपन डिझाइनवर, फिल्टर पूर्णपणे कार्यक्षम असतानाही विना-फिल्टर केलेली उत्तरे लीक होऊ शकतात.
फेइल क्लोज्ड कसे दिसते
फेइल क्लोज्ड डिझाइनमध्ये, डिव्हाइस किंवा फॉरवर्डर वापरू शकत असलेला प्रत्येक DNS पत्ता एकाच धोरणासह फिल्टरिंग रिझॉल्व्हरकडे निर्देशित करतो. जर एकाने उत्तर देणे थांबवले, तर डिव्हाइस पुढच्या विरुद्ध पुन्हा प्रयत्न करते. जेव्हा प्रत्येक फिल्टरिंग रिझॉल्व्हर पोहोचण्यायोग्य नसतो तेव्हाच लुकअप अपयशी ठरतो. त्यानंतर डिव्हाइसला विना-फिल्टर केलेल्या उत्तराऐवजी टाइमआउट किंवा SERVFAIL, मानक DNS "सर्व्हर अपयश" प्रतिसाद मिळतो.
पहिला अयशस्वी झाल्यानंतर डिव्हाइस दुसऱ्या फिल्टरिंग रिसॉल्व्हरचा पुन्हा प्रयत्न करत असल्याचे, पॉलिसी डोमेनला अनुमती देत असल्याचे किंवा ब्लॉक करत असल्याचे, आणि एक डॅश केलेला पाथ जिथे सर्व रिसॉल्व्हर्स अयशस्वी होतात आणि कोणतेही कनेक्शन उघडत नाही हे दर्शवणारा फ्लो डायग्राम.
Connections
- डिव्हाइस to फिल्टरिंग रिसॉल्व्हर 1 (1. क्वेरी)
- डिव्हाइस to फिल्टरिंग रिसॉल्व्हर 2 (2. पुढील फिल्टरवर पुन्हा प्रयत्न करा)
- फिल्टरिंग रिसॉल्व्हर 2 to पॉलिसी तपासणी (3. नेटवर्क पॉलिसी लागू करा)
- पॉलिसी तपासणी to क्लीन उत्तर (4a. डोमेनला अनुमती दिली)
- पॉलिसी तपासणी to ब्लॉक प्रतिसाद (4b. धोका किंवा ब्लॉक केलेली कॅटेगिरी)
- डिव्हाइस to उत्तर नाही (सर्व फिल्टर्स अयशस्वी झाल्यास)
योग्यरीतीने केल्यास, फेअल क्लोज्ड नाजूक नसते. रेझिलियन्स हे रेडंडंट फिल्टरिंग रिसॉल्व्हर्सकडून येते, फिल्टर न केलेल्या एस्केप हॅचमधून नाही.
फेअल ओपन, फेअल क्लोज्ड, फेअल सिक्युअर: कोणत्या संज्ञांमध्ये गोंधळ होतो?
व्हेंडर दस्तऐवज, ऑडिट निष्कर्ष आणि चेंज तिकिटांमध्ये चार जवळच्या संज्ञा दिसतात. त्या वेगवेगळ्या गोष्टींचे वर्णन करतात आणि त्यांचे मिश्रण केल्यास चुकीचे डिझाइन तयार होते.
| शब्द | हे कशाचे वर्णन करते | फिल्टर आउटेज दरम्यान | यामध्ये असलेला धोका |
|---|---|---|---|
| Fail open | फिल्टर पोहोचण्यायोग्य नसताना क्विरीज अनफिल्टर केलेल्या रिसॉल्व्हरवर परत जातात | ब्राउझिंग अनफिल्टर राहून सुरू राहते | धोके आणि ब्लॉक केलेल्या कॅटेगरी कोणत्याही पॉलिसीशिवाय आणि सहसा कोणत्याही लॉगशिवाय रिसॉल्व्ह होतात |
| Fail closed | फक्त फिल्टरिंग रिसॉल्व्हर्स कॉन्फिगर केलेले असतात, कोणत्याही अनफिल्टर फॉलबॅकशिवाय | फिल्टरिंग रिसॉल्व्हर उत्तर देईपर्यंत नवीन लुकअप्स अपयशी ठरतात | उपलब्धता ही फिल्टर रिडंडन्सीवर अवलंबून असते |
| Fail secure (NIST SC-7(18)) | कंट्रोल फ्रेमवर्क शब्द: अपयशी ठरल्यावर बाउंड्री डिव्हाइस असुरक्षित स्थितीत जाता कामा नये | Fail closed सारखाच व्यावहारिक परिणाम | ऑडिएटर्स तुम्हाला याचे पुरावे मागू शकतात |
| Serve-stale (RFC 8767) | अपस्ट्रीम सर्व्हर्स पोहोचण्यायोग्य नसताना रिसॉल्व्हर एक्स्पायर झालेल्या कॅशेमधून उत्तर देतो | अलीकडेच भेट दिलेल्या डोमेन्सचे रिसॉल्व्हिंग सुरू राहते | उत्तरे ही ताज्या पॉलिसी तपासणीऐवजी शेवटच्या निर्णयाचे प्रतिनिधित्व करतात |
| Default deny | डोमेन्ससाठी पॉलिसी जी फिल्टरने अजून कॅटेगराइज केलेली नाही | हा अपयशी मोड नाही; फिल्टर निरोगी असताना लागू होतो | खूप कडक सेट केल्यास जास्त ब्लॉक केले जाते |
| Bypass | डिव्हाइस हार्ड कोड केलेल्या DNS, DoH किंवा DoT द्वारे नेटवर्क रिसॉल्व्हरकडे दुर्लक्ष करते | अप्रभावित, कारण ते सर्व वेळ अनफिल्टर असते | याला इग्रेस नियंत्रणांची आवश्यकता आहे, अपयशी सेटिंगची नाही |
Fail closed म्हणजे default deny नाही
Default deny हा अनकॅटेगराइज्ड डोमेन्सबद्दलचा एक पॉलिसी पर्याय आहे. फिल्टर निरोगी असताना हे चालते. फिल्टर अनुपस्थित असताना काय होते याबद्दल Fail closed आहे. तुम्ही परवानगी देणाऱ्या पॉलिसीसह fail closed किंवा कडक पॉलिसीसह fail open चालवू शकता.
Serve-stale हे या दोघांच्या मध्यभागी आहे
RFC 8767 अपस्ट्रीम सर्व्हर्सपर्यंत पोहोचू शकत नसल्यावर रिसॉल्व्हरला एक्स्पायर झालेल्या कॅशेमधून उत्तर देऊ देते. हे लहान आउटेज दरम्यान लोकप्रिय नावे कार्यरत ठेवते. हे शेवटच्या निर्णयाची पुनरावृत्ती करते, त्यामुळे त्या वेळेपासून मलिशिअस झालेला डोमेन पकडला जात नाही.
Bypass म्हणजे अपयश नाही
पब्लिक रिसॉल्व्हरवर DNS over HTTPS (DoH, RFC 8484) किंवा DNS over TLS (DoT, RFC 7858) वापरणारे डिव्हाइस तुमच्या फिल्टरला कधीही स्पर्श करत नाही. Fail closed सेटिंग्ज त्यावर काहीही करत नाहीत. तुम्ही इग्रेस नियमांसह bypass हाताळता.
प्रत्यक्षात तुम्हाला DNS फिल्टरिंग आउटेजचा सामना कुठे करावा लागतो?
DNS फिल्टरिंग आउटेज फक्त तेव्हाच महत्त्वाचे असते जेव्हा इंटरनेट लिंक चालू असते परंतु फिल्टर पोहोचण्यायोग्य नसतो. संपूर्ण अपलिंक डाउन झाल्यास, दोन्ही मोड समान दिसतात. प्रत्यक्षात, सामान्य ऑपरेशनल इव्हेंटद्वारे हे अंतर निर्माण होते:
- फायरावॉल बदल जे फिल्टरच्या ॲड्रेसेसवर आउटबाउंड पोर्ट 53 ब्लॉक करतात;
- स्थानिक फॉरवर्डर जो क्रॅश होतो किंवा अपस्ट्रीम फॉरवर्ड करणे थांबवतो;
- ब्रँच WAN वर राउटिंग बदल जे DNS ला चुकीच्या मार्गाने पाठवतात;
- DHCP स्कोप संपादित करणारा आणि "लवचिकतेसाठी" सार्वजनिक रिव्हॉल्व्हर जोडणारा कंत्राटदार;
- स्वतः फिल्टरिंग प्रदात्यावर झालेली एक घटना.
फेल क्लोज्ड नेटवर्कवर यातील प्रत्येक गोष्ट निरुपद्रवी दिसते. सायलेंटपणे फेल ओपन नेटवर्कवर प्रत्येक गोष्ट संरक्षण काढून टाकते.
हॉस्पिटॅलिटी गेस्ट नेटवर्क
हॉटेल्स आणि पब ग्रुप्स गेस्ट WiFi कुटुंबांसाठी उपयुक्त आणि मालवेअरपासून सुरक्षित ठेवण्यासाठी सामग्री धोरण लागू करतात. फेल ओपन गेस्ट नेटवर्क कोणालाही न सांगता ते धोरण काढून टाकते. मोठ्या हॉस्पिटॅलिटी ऑपरेटर्ससाठी, सार्वजनिक WiFi वरील धोरणातील त्रुटी ब्रँड जोखमीसह सुरक्षिततेची जोखीम देखील आणते.
आरोग्य सेवा
St George's Healthcare NHS Trust मध्ये Shield दरमहा सुमारे 241,000 धमक्या ब्लॉक करते. आमच्या गणितीय हिशोबाने, हे सरासरी दरमहा सुमारे 1,400 आहे. एक तासाची फेल ओपन विंडो त्या लुकअप्सना रुग्ण, अभ्यागत आणि कर्मचाऱ्यांच्या उपकरणांवर न तपासता रिझॉल्व्ह करू देईल.
वाहतूक हब
विमानतळ सार्वजनिक नेटवर्कवर हजारो प्रवासी उपकरणे हाताळतात, ज्यापैकी बरेच व्यवस्थापित नसतात. टर्मिनलमध्ये, फेल ओपन गॅप म्हणजे पीक व्हॉल्यूमवर अनफिल्टर केलेले सार्वजनिक नेटवर्क.
कर्मचारी आणि कॉर्पोरेट नेटवर्क
कर्मचारी नेटवर्क उपलब्धतेची शक्यता वाढवतात. व्यावसायिक ॲप्स कार्य करत राहणे आवश्यक आहे, त्यामुळे फेल क्लोज्डला त्यामागे खऱ्या संरेखनाची (redundancy) गरज असते. अंतर्गत नावे सहसा अंतर्गत DNS सर्व्हरवर रिझॉल्व्ह होतात, जी नंतर बाह्य क्वेरी फिल्टरकडे फॉरवर्ड करतात. त्या फॉरवर्डिंग टियरमध्ये कोणताही अनफिल्टर केलेला अपस्ट्रीम नाही याची खात्री करा.
फेल क्लोज्ड DNS च्या मर्यादा आणि एज केसेस काय आहेत?
बहुतेक गेस्ट आणि स्टाफ WiFi साठी फेल क्लोज्ड हे योग्य डीफॉल्ट आहे. तरीही त्याला मर्यादा आहेत आणि आपण त्याभोवती डिझाइन करण्यापूर्वी ते जाणून घेतले पाहिजे.
एका रिव्हॉल्व्हरसह फेल क्लोज्ड ही एक आउटेज योजना आहे
नेटवर्क एकल फिल्टरिंग पत्त्याची सूची करत असल्यास, फेल क्लोज्ड म्हणजे त्या पत्त्याचा प्रत्येक आउटेज DNS बंद करतो. अनेक फिल्टरिंग रिव्हॉल्व्हरमधील रिडंडन्सी फेल क्लोज्डला कार्यक्षम बनवते. तुमच्या प्रदात्याला विचारून घ्या की तुम्ही किती रिव्हॉल्व्हर पत्ते कॉन्फिगर करू शकता आणि प्रत्येकाची चाचणी करू शकता.
कॅशे काही नावे जिवंत ठेवते
प्रत्येक DNS उत्तर TTL (टाइम टू लाइव्ह) घेऊन जाते, म्हणजेच डिव्हाइस किंवा रिव्हॉल्व्हर ते जितके सेकंद कॅशे करू शकते ती संख्या. एका लहान आउटेज दरम्यान, कॅश केलेली नावे कार्य करत राहतात आणि नवीन नावे अयशस्वी होतात. अभ्यागतांच्या हे लक्षात येते की "काही साइट्स काम करतात, इतर नाही", जे तुमच्या हेल्पडेस्कची दिशाभूल करू शकते.
Captive Portal ला लॉगिन करण्यापूर्वी DNS ची आवश्यकता असते
Captive Portal हे ऑनलाइन येण्यापूर्वी पाहुण्यांना दिसणारे स्प्लॅश पृष्ठ आहे. डिव्हाइसने ऑथेंटिकेट होण्यापूर्वी पोर्टल आणि कोणतीही वॉल्ड गार्डन डोमेन रिझॉल्व्ह केली पाहिजेत. प्री-लॉगिन नेटवर्क अनफिल्टर केलेला रिव्हॉल्व्हर वापरत असल्यास, पोर्टल ही गॅप बनते. रिडंडन्सीशिवाय फेल क्लोज्ड झाल्यास, अभ्यागत मुळीच लॉगिन करू शकत नाहीत.
अयशस्वी होणे हे ब्लॉकपेक्षा वेगळे दिसते
ब्लॉक केलेल्या डोमेनने ब्लॉक पेज किंवा स्पष्ट नकार दिला पाहिजे. अयशस्वी झालेल्या लुकअपमुळे टाइमआउट किंवा SERVFAIL परत येते. RFC 8914 Extended DNS Errors कोड जोडते जे त्यांना वेगळे ओळखतात, जसे की Blocked (15) आणि Filtered (17) विरुद्ध No Reachable Authority (22). तुमच्या हेल्पडेस्कला दोन्हीबद्दल माहिती द्या, जेणेकरून ते आउटेजपासून धोरण ब्लॉक ओळखू शकतील.
DNS नावाच्या पलीकडे पाहू शकत नाही
फेल क्लोज्ड प्रत्येक लुकअपवर पॉलिसी निर्णयाची हमी देते, संपूर्ण कव्हरेजची नाही. थेट IP ॲड्रेसचे कनेक्शन्स संपूर्णपणे DNS वगळतात. आउटेजपूर्वी आधीपासून उघडे असलेले कनेक्शन्स सुरुच राहतात. DNS ला फक्त डोमेन दिसते, पाथ कधीही दिसत नाही, जे DNS फिल्टरिंग पूर्ण URL का पाहू शकत नाही मध्ये स्पष्ट केले आहे.
मोठ्या स्टॅकमध्ये या मर्यादा कुठे बसतात हे पाहण्यासाठी, DNS फिल्टरिंग पुरेसे आहे का? आणि DNS फिल्टरिंग मर्यादा चे अवलोकन पहा.
फेल क्लोज्ड DNS चा Purple Shield शी कसा संबंध आहे?
Purple Shield हे प्रत्येक नेटवर्कसाठी संरक्षणत्मक DNS आणि सामग्री फिल्टरिंग आहे. Shield फेल क्लोज्ड होते, त्यामुळे आउटेज कधीही नेटवर्कला अनफिल्टर सोडत नाही. प्रत्येक लुकअपला पॉलिसी निर्णय मिळतो किंवा कोणतेही उत्तर मिळत नाही, अनचेक केलेले उत्तर कधीही मिळत नाही.
तुम्ही कोणत्याही WiFi नेटवर्कवर किंवा Purple Access सह Shield स्वतंत्रपणे चालवू शकता. तुम्ही प्रति नेटवर्क आणि प्रति VLAN (व्हर्च्युअल LAN, सामायिक हार्डवेअरवरील लॉजिकली वेगळे नेटवर्क) धोरण सेट करता. एकाच ठिकाणच्या गेस्ट, कर्मचारी आणि बॅक ऑफिस नेटवर्कमध्ये प्रत्येकामध्ये वेगवेगळे नियम असू शकतात. Shield ला कोणत्याही नवीन हार्डवेअरची आवश्यकता नाही आणि ते Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet वर क्लाउड ओव्हरले म्हणून कार्य करते.
- ~२४१,०००आवड्याला ब्लॉक केलेले धोकेSt George's Healthcare NHS Trust
- ८०,०००+लाइव्ह ठिकाणेPurple डेटा
- ९०देशPurple डेटा
DNSFilter आणि Cisco Umbrella देखील DNS रिझोल्यूशनवर फिल्टर करतात, त्यामुळे प्लेसमेंटचा युक्तिवाद या तिन्हींना लागू होतो. प्रत्येक विक्रेत्याला विचारण्याचा प्रश्न असा आहे की फॉलबॅक कुठे आहे. जेव्हा रिझॉल्व्हर्स पोहोचण्यायोग्य नसतात तेव्हा त्यांचे रोमिंग एजंट कसे वागतात आणि तुम्ही किती फिल्टरिंग ॲड्रेस कॉन्फिगर करू शकता हे विचारा. नंतर तपासा की तुमची स्वतःची DHCP आणि फॉरवर्डर सेटिंग्ज अनफिल्टर केलेला पाथ पुन्हा समाविष्ट करत नाहीत.
Shield ९० देशांमधील ८०,०००+ हून अधिक ठिकाणांच्या Purple च्या नेटवर्कवर चालते. उपयोजनाच्या तपशीलासाठी Shield कसे कार्य करते वाचा. एन्टरप्राइज WiFi सुरक्षा मार्गदर्शक दाखवते की ओळख आणि सेगमेंटेशनसह DNS फिल्टरिंग कुठे बसते.
ही संकल्पना माहितीपत्रकात नाही, तर बदल प्रक्रियेच्या टप्प्यात प्रभावी ठरते. फायरवॉल नियम, DHCP मधील बदल किंवा "लवचिक" सार्वजनिक दुय्यम पर्याय तुमचा नेटवर्क फिल्टर ठेवेल की नाही हे ठरवतात. या तिमाहीत त्या तीन सेटिंग्जची तपासणी करा. पुढे, DNS ओव्हर TLS आणि फिल्टरिंग: पोर्ट 853 मध्ये काय बदल होतात ते वाचा, कारण फेल-क्लोज्ड रिसॉल्व्हर फक्त प्रत्यक्षात ते वापरणाऱ्या उपकरणांचेच संरक्षण करतो.
वारंवार विचारले जाणारे प्रश्न
फेल-क्लोज्ड DNS मुळे सेवा खंडित झाल्यावर माझे WiFi ऑफलाइन जाते का?
नाही, जेव्हा फिल्टर रेडंडंट रिसॉल्व्हर्सवर चालतो तेव्हा असे होत नाही. जेव्हा प्रत्येक फिल्टरिंग रिसॉल्व्हर एकाच वेळी अ‍ॅक्सेस न होणारा असतो, तेव्हाच फेल-क्लोज्ड नवीन लूकअप थांबवतो. उपकरणे आधी पुढील फिल्टरिंग पत्त्यावर पुन्हा प्रयत्न करतात. कॅश केलेली उत्तरे अल्पकालीन व्यत्ययादरम्यान अलीकडे भेट दिलेल्या साइट्स चालू ठेवतात. तुम्ही लाईव्ह जाण्यापूर्वी रेडंडन्सी डिझाइन करा, नंतर चाचणी VLAN वरून एका वेळी एका रिसॉल्व्हरला ब्लॉक करून त्याची चाचणी घ्या.
Shield माझ्याकडे आधीपासून असलेल्या अ‍ॅक्सेस पॉईंट्स आणि फायरवॉलसोबत काम करेल का?
होय. Shield हे DNS रिसोल्यूशनवर फिल्टर करते, त्यामुळे याला नवीन हार्डवेअरची गरज नसते आणि ते कोणत्याही WiFi नेटवर्कवर स्वतंत्रपणे चालते. Purple हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet सोबत काम करते. तुम्ही प्रत्येक नेटवर्कसाठी किंवा VLAN साठी DNS चा पॉइंट Shield कडे निर्देशित करता, कोणताही अनफिल्टर केलेला फॉलबॅक काढता आणि प्रति नेटवर्क पॉलिसी लागू करता. उत्पादन पृष्ठ या पायऱ्या स्पष्ट करते.
Shield ची किंमत कशी ठरवली जाते?
Purple या मार्गदर्शकामध्ये सूचीबद्ध किंमत प्रकाशित करण्याऐवजी तुमच्या मालमत्तेसाठी Shield चे कोटेशन प्रदान करते. Shield हे एक सुरक्षा अ‍ॅड-ऑन आहे जे तुम्ही कोणत्याही WiFi नेटवर्कवर किंवा Purple Access सोबत स्वतंत्रपणे चालवू शकता. म्हणूनच कोटेशन नवीन हार्डवेअर ऐवजी तुमचे नेटवर्क आणि ठिकाणे दर्शवते. तुमच्या ठिकाणांची संख्या, तुमचे नेटवर्क आणि VLAN संख्या आणि तुम्ही आधीच Purple वापरत आहात की नाही यासह कोटेशनची विनंती करा.
फिल्टरिंगमध्ये कोणताही खंड न पडता मी DNSFilter किंवा Cisco Umbrella वरून कसे स्विच करू?
एका वेळी एक नेटवर्क किंवा VLAN स्विच करा. चाचणी VLAN चे DHCP DNS Shield कडे निर्देशित करा, ब्लॉक्स आणि लॉग्सची पुष्टी करा, नंतर बदल प्रक्रियेदरम्यान लाईव्ह नेटवर्क्स हलवा. जुने रिसॉल्व्हर पत्ते दुय्यम DNS म्हणून ठेवण्याऐवजी ते पूर्णपणे काढून टाका. कर्मचाऱ्यांच्या उपकरणांवरील रोमिंग एजंट्स देखील तपासा, कारण त्यांच्या फॉलबॅक सेटिंग्ज तुमच्या DHCP व्याप्तीच्या बाहेर असतात.
कोणतीही नियमावली फेल-क्लोज्ड DNS फिल्टरिंगची आवश्यकता सांगते का?
कोणतीही नियमावली फेल-क्लोज्ड DNS चे नाव घेत नाही, परंतु नियंत्रण फ्रेमवर्क सुरक्षा नियंत्रणांनी ज्ञात, सुरक्षित स्थितीत अपयशी होण्याची अपेक्षा करतात. NIST SP 800-53 Rev. 5 नियंत्रण SC-24 ज्ञात स्थितीत अपयशी होण्याबद्दल माहिती देते. SC-7(18) बाउंड्री संरक्षणाबद्दल माहिती देते जे सुरक्षिततेमध्ये अपयशी ठरते. फेल-क्लोज्ड फिल्टरिंग तुम्हाला पॉलिसी दर मिनिटाला लागू झाल्याचा पुरावा देते, जे ऑडिटर्स किंवा सेफगार्डिंग प्रमुखांनी विचारल्यावर उपयुक्त ठरते.
मी माझ्या वर्तमान फिल्टरच्या अपयशी होण्याच्या वर्तनाची चाचणी कशी करू?
एकाच चाचणी VLAN वरून तुमच्या फिल्टरिंग रिसॉल्व्हर्सकडे जाणारे आऊटबाउंड DNS ब्लॉक करा आणि उपकरण काय करते ते पहा. जर वेबसाइट्स अजूनही लोड होत असतील आणि फिल्टर काहीही लॉग करत नसेल, तर नेटवर्क फेल-ओपन होते. DHCP DNS फील्ड, फॉरवर्डर अपस्ट्रीम सूची आणि कोणत्याही हार्ड-कोड केलेल्या डिव्हाइस सेटिंग्ज तपासा. रेडंडन्सी कार्य करते याची पुष्टी करण्यासाठी एका वेळी एका फिल्टरिंग रिसॉल्व्हरला ब्लॉक करून पुनरावृत्ती करा.
DNS फिल्टरिंग स्वतःच पुरेसे आहे की मला सिक्युर वेब गेटवेची गरज आहे?
DNS फिल्टरिंग बहुतांश गेस्ट आणि व्हेन्यू नेटवर्कसाठी थ्रेट प्रोटेक्शन आणि कंटेंट पॉलिसी समाविष्ट करते, परंतु पूर्ण URL तपासणी किंवा डेटा लॉस प्रिव्हेन्शन समाविष्ट करत नाही. ते डोमेन नावे पाहते, पाथ किंवा फाइल सामग्री नाही. जर तुम्हाला त्या नियंत्रणांची आवश्यकता असेल, तर व्यवस्थापित डिव्हाइसेसवर सिक्युर वेब गेटवे जोडा. ही रेषा कुठे आहे हे पाहण्यासाठी DNS filtering vs secure web gateway पहा.
Key terms
- प्रोटेक्टिव्ह DNS
- एक रिकर्सिव्ह रिझॉल्व्हर जो प्रतिसाद देण्यापूर्वी थ्रेट इंटेलिजन्स आणि कंटेंट पॉलिसीविरुद्ध प्रत्येक क्वेरी केलेल्या डोमेनची तपासणी करतो, खरा ॲड्रेस, ब्लॉक पेज ॲड्रेस किंवा नकार परत करतो. कोणतीही सत्राची सुरुवात होण्यापूर्वी, हे RFC 1035 मध्ये परिभाषित केलेल्या नाव लुकअपवर कार्य करते. UK NCSC या तत्त्वावर सार्वजनिक क्षेत्रासाठी प्रोटेक्टिव्ह DNS सेवा चालवते. हे ते नियंत्रण आहे ज्याच्या फेअल्युअर मोडचे नियमन हा निर्णय करतो.
- फेअल ओपन
- असे डिझाइन ज्यामध्ये फिल्टरिंग रिझॉल्व्हर पोहोचण्यायोग्य नसताना DNS क्वेरी अशा रिझॉल्व्हरकडे फॉलबॅक होतात ज्यावर कोणतीही पॉलिसी लागू होत नाही. रिझोल्यूशन सुरू राहते, परंतु थ्रेट ब्लॉकिंग, कंटेंट रूल्स आणि लॉगिंग थांबते. तुम्हाला हे सहसा DHCP सेकंडरी फील्ड किंवा फॉरवर्डर अपस्ट्रीम लिस्टमध्ये पब्लिक किंवा ISP रिझॉल्व्हर म्हणून आढळते. बदलादरम्यान हे बऱ्याचदा अपघाताने घडते.
- फेअल क्लोज्ड
- असे डिझाइन ज्यामध्ये डिव्हाइस किंवा फॉरवर्डर वापरू शकत असलेला प्रत्येक DNS ॲड्रेस समान पॉलिसी असलेल्या फिल्टरिंग रिझॉल्व्हरकडे पॉइंट करतो. जेव्हा प्रत्येक फिल्टरिंग रिझॉल्व्हर पोहोचण्यायोग्य नसतो तेव्हाच टाइमआउट किंवा SERVFAIL सह लुकअप अयशस्वी होतो. बहुतेक गेस्ट आणि स्टाफ WiFi साठी हे योग्य डीफॉल्ट आहे, अट अशी की रेडन्डंट फिल्टरिंग रिझॉल्व्हर्स त्याच्या मागे असावेत.
- फेअल सिक्युअर (NIST SC-7(18))
- NIST SP 800-53 Rev. 5 बाउंड्री प्रोटेक्शन एन्हांसमेंट SC-7(18), ज्यामध्ये बाउंड्री डिव्हाइस अयशस्वी झाल्यावर असुरक्षित स्थितीत जाणे टाळणे आवश्यक असते. ऑडिटर्स तुम्हाला याचे पुरावे मागू शकतात. फेअल क्लोज्ड DNS फिल्टरिंग समान व्यावहारिक परिणाम देते.
- फेअल इन नोन स्टेट (NIST SC-24)
- NIST SP 800-53 Rev. 5 कंट्रोल SC-24, ज्यामध्ये सिस्टीम्स प्रेडिक्ट करता न येणाऱ्या स्थितीऐवजी परिभाषित, ज्ञात स्थितीतच अयशस्वी होणे आवश्यक असते. कोणताही नियम फेअल क्लोज्ड DNS चे नाव घेत नाही, परंतु ऑडिटर्स किंवा सेफगार्डिंग प्रमुखांकडे याचे समर्थन करताना तुम्ही या फ्रेमवर्क भाषेचा संदर्भ देता.
- सर्व्ह-स्टेल
- RFC 8767 वर्तन जे अपस्ट्रीम सर्व्हर्सपर्यंत पोहोचू शकत नसताना रिझॉल्व्हरला एक्स्पायर झालेल्या कॅशेमधून उत्तर देऊ देते, ज्यामुळे नुकतीच रिझॉल्व्ह झालेली नावे कार्यरत राहतात. हे अल्पकालीन आउटेजची तीव्रता कमी करते, परंतु ते शेवटचा निर्णय पुन्हा प्ले करते, त्यामुळे त्यानंतर मालवेअरयुक्त बनलेले डोमेन पकडले जात नाही.
- SERVFAIL
- RFC 1035 मध्ये परिभाषित केलेल्या DNS मेसेज फॉरमॅटमधील सर्व्हर फेल्युअर रिस्पॉन्स कोड, जो रिसॉल्व्हर लुकअप पूर्ण करू शकत नाही तेव्हा रिटर्न केला जातो. फेअल क्लोज्ड नेटवर्कवर जेव्हा प्रत्येक फिल्टरिंग रिसॉल्व्हर डाऊन असतो, तेव्हा डिव्हाइसला हाच रिस्पॉन्स मिळतो. तुमच्या हेल्पडेस्कला पॉलिसी ब्लॉक आणि यामध्ये फरक ओळखता आला पाहिजे.
- विस्तारित DNS त्रुटी (Extended DNS Errors)
- RFC 8914 कोड जे Blocked (15), Filtered (17) आणि No Reachable Authority (22) यासह DNS रिस्पॉन्समध्ये सविस्तर माहिती जोडतात. साइट्स लोड न होण्याच्या रिपोर्टचे निदान करताना सपोर्ट स्टाफ आणि टूल्सना पॉलिसी ब्लॉक आणि आऊटेज यातील फरक समजून घेण्यास हे मदत करतात.
- TTL (टाइम टू लाइव्ह)
- RFC 1035 मध्ये परिभाषित केलेले प्रत्येक DNS रिसोर्स रेकॉर्डमधील फील्ड, जे एखादे डिव्हाइस किंवा रिसॉल्व्हर जितक्या सेकंदांसाठी आन्सर कॅश करू शकते ती सेकंदांची संख्या दर्शवते. कमी कालावधीच्या आऊटेजदरम्यान कॅश केलेली नावे काम करत राहतात आणि नवीन नावे फेल होतात. व्हिजिटर्स याबद्दल रिपोर्ट करताना काही साइट्स काम करत आहेत आणि इतर काम करत नाहीत असे सांगतात.
- DNS फॉरवर्ड
- फायरवॉल, गेटवे किंवा अंतर्गत सर्व्हरवरील DNS सर्व्हिस जी डिव्हाइसच्या क्वेरीज प्राप्त करते आणि त्या अपस्ट्रीम रिसॉल्व्हर्सच्या कॉन्फिगर केलेल्या लिस्टकडे फॉरवर्ड करते. फॉलबॅक हा त्याच्या अपस्ट्रीम लिस्टमध्ये असतो. तेथील पब्लिक रिसॉल्व्हर DHCP क्लीन असले तरीही फेअल ओपन होतो, ज्यामध्ये स्टाफ नेटवर्कवरील अंतर्गत DNS मागील टियरचा समावेश आहे.
- DoH आणि DoT
- RFC 8484 मध्ये नमूद केलेले DNS over HTTPS, आणि RFC 7858 मध्ये नमूद केलेले DNS over TLS. दोन्ही एका निवडलेल्या रिसॉल्व्हरवर DNS एन्क्रिप्ट करतात आणि नेटवर्क रिसॉल्व्हरच्या आसपास रूट करू शकतात. हे बायपास आहेत, फेल्युअर नाहीत. फेअल क्लोज्ड सेटिंग्ज त्यांच्यावर काहीही करू शकत नाहीत, म्हणून तुम्ही त्यांना ईग्रेस रूल्सद्वारे नियंत्रित करता.
- कॅप्टिव्ह पोर्टल
- ऑनलाइन येण्यापूर्वी गेस्टला दिसणारे स्प्लॅश पेज. डिव्हाइस ऑथेंटिकेट होण्यापूर्वी त्याने पोर्टल आणि वॉल्ड गार्डन डोमेन्स रिसॉल्व्ह करणे आवश्यक आहे. एक अनफिल्टर्ड प्री-लॉगिन रिसॉल्व्हर पोर्टलला गॅप बनवतो. रेडंडन्सी नसलेले फेअल क्लोज्ड कॅप्टिव्ह पोर्टल नेटवर्क गेस्ट्सना लॉगिन करण्यापासून थांबवते.
- डिफॉल्ट डिनाय
- फिल्टरने अद्याप श्रेणीबद्ध न केलेल्या डोमेन्ससाठी फिल्टरिंग पॉलिसी. फिल्टर व्यवस्थित काम करत असताना ही लागू होते आणि हा फेल्युअर मोड नाही. याबाबत अनेकदा फेअल क्लोज्ड समजून गैरसमज होतो. तुम्ही परमिसिव्ह पॉलिसीसह फेअल क्लोज्ड चालवू शकता किंवा स्ट्रिक्ट पॉलिसीसह फेअल ओपन चालवू शकता.
Worked examples
एखादा कंत्राटदार रेझिलियन्ससाठी सेकंडरी DNS म्हणून गेस्ट नेटवर्कच्या DHCP स्कोपमध्ये पब्लिक रिझॉल्व्हर जोडतो. फिल्टरिंग रिझॉल्व्हर प्रायमरी राहतो. नेटवर्क अजूनही सुरक्षित आहे का?
नाही. सेकंडरी फील्डमधील पब्लिक रिझॉल्व्हर डिझाइनला फेअल ओपन बनवतो. काही ऑपरेटिंग सिस्टीम्स पहिला सर्व्हर मंद असतो तेव्हा त्या दुसऱ्या सर्व्हरला क्वेरी पाठवतात, त्यामुळे केवळ आउटेज दरम्यानच नाही तर दररोज अनफिल्टर्ड लुकअप्स लीक होऊ शकतात. याची पुष्टी करण्यासाठी, एकाच चाचणी VLAN वरून फिल्टरिंग रिझॉल्व्हर्सकडे जाणारे आऊटबाउंड DNS ब्लॉक करा. जर साइट्स तरीही लोड होत असतील आणि फिल्टर काहीही लॉग करत नसेल, तर नेटवर्क फेअल ओपन होते. पब्लिक ॲड्रेस ऐवजी समान पॉलिसी असलेला दुसरा फिल्टरिंग रिझॉल्व्हर वापरा. त्यानंतर त्याच त्रुटीसाठी फॉरवर्डर अपस्ट्रीम लिस्ट्स आणि हार्ड-कोडेड डिव्हाइस सेटिंग्ज तपासा. शेवटी, रेडन्डन्सी कार्य करते हे सिद्ध करण्यासाठी एका वेळी एक फिल्टरिंग रिझॉल्व्हर ब्लॉक करा.
तुम्ही गेस्ट आणि स्टाफ नेटवर्क DNSFilter किंवा Cisco Umbrella वरून Purple Shield वर हलवत आहात. कट-ओवर दरम्यान फिल्टरिंगमध्ये गॅप पडणे कसे टाळावे?
एका वेळी एक नेटवर्क किंवा VLAN कट ओव्हर करा. चाचणी VLAN च्या DHCP DNS ला Shield कडे पॉइंट करून सुरुवात करा, नंतर ब्लॉक्स आणि लॉग्स अपेक्षेप्रमाणे दिसतात याची पुष्टी करा. चाचणी यशस्वी झाल्यावर चेंज विंडोमध्ये लाईव्ह नेटवर्क हलवा. जुने रिझॉल्व्हर ॲड्रेसेस सेकंडरी DNS म्हणून सोडण्याऐवजी ते पूर्णपणे काढून टाका. शिल्लक राहिलेला सेकंडरी अनफिल्टर्ड किंवा असंगत पाथ पुन्हा निर्माण करतो. कर्मचाऱ्यांच्या डिव्हाइसेसवरील रोमिंग एजंट्स देखील तपासा, कारण त्यांच्या फॉलबॅक सेटिंग्ज तुमच्या DHCP स्कोपच्या बाहेर असतात. हा दृष्टिकोन या स्थलांतरादरम्यान प्रत्येक लुकअपला पॉलिसी निर्णयाच्या अंतर्गत ठेवतो. जुना व्हेंडर काढून टाकल्यानंतर हे Shield चे फेअल क्लोज्ड वर्तन देखील अबाधित ठेवते.
Frequently asked questions
फेअल क्लोज्ड DNS म्हणजे आऊटेजमुळे माझे WiFi ऑफलाइन जाते का?
नाही, जेव्हा फिल्टर रेडंडंट रिसॉल्व्हर्सवर चालतो तेव्हा नाही. फेअल क्लोज्ड केवळ तेव्हाच नवीन लुकअप थांबवते जेव्हा प्रत्येक फिल्टरिंग रिसॉल्व्हर एकाच वेळी अनरिचेबल असतो. डिव्हाइसेस प्रथम पुढील फिल्टरिंग ॲड्रेसवर पुन्हा प्रयत्न करतात. कॅश केलेले आन्सर्स कमी कालावधीच्या अडथळ्यांदरम्यान अलीकडे भेट दिलेल्या साइट्स रिसॉल्व्ह करत राहतात. तुम्ही लाइव्ह जाण्यापूर्वी रेडंडन्सी डिझाइन करा, नंतर एका चाचणी VLAN वरून एका वेळी एका रिसॉल्व्हरला ब्लॉक करून त्याची चाचणी घ्या.
Shield मी आधीपासूनच मालकी हक्क असलेल्या ॲक्सेस पॉइंट्स आणि फायरवॉल्ससोबत काम करेल का?
होय. Shield DNS रिझोल्यूशनवर फिल्टर करते, त्यामुळे त्याला नवीन हार्डवेअरची आवश्यकता नसते आणि ते कोणत्याही WiFi नेटवर्कवर स्वतंत्रपणे चालते. Purple हे Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme आणि Fortinet सोबत काम करते. तुम्ही प्रत्येक नेटवर्क किंवा VLAN साठी DNS ला Shield कडे पॉइंट करा, कोणताही अनफिल्टर्ड फॉलबॅक काढून टाका आणि प्रति नेटवर्क पॉलिसी लागू करा. प्रॉडक्ट पेजवर या स्टेप्स समाविष्ट आहेत.
Shield ची किंमत कशी ठरवली जाते?
Purple या मार्गदर्शकामध्ये सूची मूल्य (list price) प्रकाशित करण्याऐवजी तुमच्या इस्टेटसाठी Shield चे कोटेशन देते. Shield हे एक सुरक्षा ॲड-ऑन आहे जे तुम्ही कोणत्याही WiFi नेटवर्कवर स्वतंत्रपणे किंवा Purple Access सोबत चालवू शकता. त्यामुळे कोटेशनमध्ये तुमचे नेटवर्क आणि स्थळे प्रतिबिंबित होतात, नवीन हार्डवेअर नाही. तुमच्या स्थळांची संख्या, तुमचे नेटवर्क आणि VLAN ची संख्या आणि तुम्ही आधीपासूनच Purple चालवत आहात की नाही या माहितीसह कोटेशन मागवा.
मी फिल्टरिंगमध्ये खंड न पडता DNSFilter किंवा Cisco Umbrella वरून कसे बदलू शकतो?
एका वेळी एक नेटवर्क किंवा VLAN कट ओव्हर करा. चाचणी VLAN चे DHCP DNS Shield कडे निर्देशित करा, ब्लॉक्स आणि लॉग्सची पुष्टी करा, नंतर बदल विन्डोमध्ये थेट (live) नेटवर्क हलवा. जुने रिसॉल्व्हर पत्ते दुय्यम DNS म्हणून सोडण्याऐवजी पूर्णपणे काढून टाका. कर्मचाऱ्यांच्या उपकरणांवरील रोमिंग एजंट्स देखील तपासा, कारण त्यांचे फॉलबॅक सेटिंग्ज तुमच्या DHCP व्याप्तीच्या बाहेर असतात.
कोणत्याही नियमावलीसाठी फेअल क्लोझ्ड DNS फिल्टरिंग आवश्यक आहे का?
कोणताही नियम फेअल क्लोझ्ड (fail closed) DNS चे नाव घेत नाही, परंतु सुरक्षा फ्रेमवर्कने सुरक्षा नियंत्रणे ज्ञात, सुरक्षित स्थितीत फेअल होण्याची अपेक्षा केली आहे. NIST SP 800-53 Rev. 5 चे SC-24 हे नियंत्रण एका ज्ञात स्थितीत फेअल होण्याशी संबंधित आहे. SC-7(18) हे सुरक्षित फेअल होणाऱ्या बाउंड्री प्रोटेक्शनशी संबंधित आहे. फेअल क्लोझ्ड फिल्टरिंग तुम्हाला दर मिनिटाला पॉलिसी लागू केल्याचा पुरावा देते, जे ऑडिटर्स किंवा सेफगार्डिंग लीड्स विचारतात तेव्हा उपयुक्त ठरते.
मी माझ्या सद्य फिल्टरच्या फेअल्युअर वर्तनाची चाचणी कशी करू?
एका चाचणी VLAN वरून तुमच्या फिल्टरिंग रिसॉल्व्हर्सवर आउटबाउंड DNS ब्लॉक करा आणि डिव्हाइस काय करते याचे निरीक्षण करा. जर वेबसाइट्स अजूनही लोड होत असतील आणि फिल्टर काहीही लॉग करत नसेल, तर नेटवर्क फेअल ओपन (fail open) होते. DHCP DNS फील्ड, फॉरवर्डर अपस्ट्रीम लिस्ट आणि कोणत्याही हार्ड-कोड केलेल्या डिव्हाइस सेटिंग्ज तपासा. रिडंडंसी कार्य करत असल्याची पुष्टी करण्यासाठी एका वेळी एक फिल्टरिंग रिसॉल्व्हर ब्लॉक करून पुनरावृत्ती करा.
DNS फिल्टरिंग स्वतःहून पुरेसे आहे का, किंवा मला सुरक्षित वेब गेटवेची गरज आहे?
DNS फिल्टरिंग बहुतांश अतिथी आणि ठिकाणांच्या (venue) नेटवर्कसाठी थ्रेट प्रोटेक्शन आणि कंटेंट पॉलिसी समाविष्ट करते, परंतु संपूर्ण URL तपासणी किंवा डेटा लॉस प्रिव्हेंशन नाही. हे डोमेन नावे पाहते, पाथ किंवा फाइल मधील मजकूर नाही. जर तुम्हाला त्या नियंत्रणांची आवश्यकता असेल, तर व्यवस्थापित डिव्हाइसेसवर सुरक्षित वेब गेटवे जोडा. ही सीमा कुठे आहे हे पाहण्यासाठी [DNS फिल्टरिंग विरुद्ध सुरक्षित वेब गेटवे](guide:dns-filtering-vs-secure-web-gateway) पहा.