安全 Web 网关与 DNS 保护：如何选择
对比针对访客和公共 WiFi 的安全 Web 网关与 DNS 层保护。了解各项功能、性能权衡以及各自适合的网络架构位置。
Published 2026年10月19日
如果访客使用受感染的笔记本电脑连接您的 WiFi，什么能阻止其对命令服务器的回呼，事后您又能证明什么？应该由这个问题，而非功能清单，来决定您需要 secure web gateway、DNS 层保护，还是两者都需要。
目录
为什么选择合适的 Web 防护层至关重要
一名访客入住酒店，打开笔记本电脑并连接至 SSID。设备看起来毫无异常。它完成认证、获取地址，并开始解析域名，其中一个域名正属于该设备上的恶意软件数天来一直试图连接的 C2 指令与控制服务。
在那个时刻，您无法控制终端设备。您无法检查其杀毒软件是否为最新版本、无法推送 Agent 代理，也无法安装用于 TLS 检查的证书。您必须通过网络路径开展工作，而您执行策略所处的层级决定了您可以拦截什么，以及日后能保留什么证据。
采购背后的核心问题
运营人员常问哪款产品更好，但这种提问方式并不妥当。安全 Web 网关与 DNS 层服务在不同的节点执行策略、感知不同的数据，并以不同的方式发生故障。因此，更有价值的问题是：哪种执行节点最契合您的设备组合、场所分布以及关怀职责（duty of care）。
设想同一场所内的三种常见场景：学生的平板电脑需要类别过滤和安全搜索（Safe Search）；承包商的手机需要钓鱼防护且无需触碰终端；受管的工作人员笔记本电脑可能需要对上传至未授权存储空间的行为进行全面检查。单一层级很难以同样的效率完美兼顾这三种需求。
实用准则： 从设备所有权入手。你对终端的控制力越弱，你的执行措施就越需要处于更早期且更偏向网络原生层。
搞错这一点会有显而易见的后果。在无法管理证书的地方部署深度检测，会导致应用崩溃或绕过您本想检测的流量。在需要载荷可见性的地方仅依赖查询，则会遗漏在允许会话内部传输的威胁。无论哪种错误，都会留下只有在安全事件发生时（而非采购期间）才会发现的漏洞。
用户体验同样至关重要。访客在几秒钟内就会对您的网络做出评价。如果控制措施带来明显的延迟、强制采用复杂的 Captive Portal 变通方案、或在没有明确说明的情况下拦截合法服务，就会引发大量 IT 支持呼叫，并迫使您放宽安全策略。在连接建立阶段即生效的控制措施更容易在实际场所中稳定运行。
选择也不是非此即彼的。许多企业资产需要覆盖每台设备的广泛基线，同时对在技术和法律上可行的少数托管端点进行更深度的检测。这里的深度防御并不是一句口号。它意味着承认每一个层级证明的内容都不同，您应该在签署合同前明确知道具体证明的是什么。
安全 Web 网关的实际作用
将安全 Web 网关理解为出站 Web 流量的策略实施和检查点最为贴切，而不是将其看作一个更大的黑名单。NIST 将该功能描述为通过 HTTP 和 HTTPS 检查来保护出站用户流量，同时集中对总部、分公司、家庭办公室和远程地点的控制、可见性和报告，您可以在 NIST 关于安全 Web 网关功能的指南 中查阅相关内容。
在实际应用中，流量会通过显式代理设置、来自分支机构的隧道或受管设备上的 Agent 代理被引导至网关。网关根据策略评估请求，检查返回的内容，并记录决策。如果您对这种代理模式不太熟悉，在比较不同厂商的架构之前，先了解相关的转发概念（包括 反向代理的工作原理）会有所帮助。
值得评估的核心功能
- URL 和类别过滤：根据声誉和内容类别来阻止或允许访问目标，而非仅凭域名。
- 恶意软件和钓鱼检测：扫描下载内容和页面，包括已启用检查的允许会话中的内容。
- 应用控制：区分共享同一底层基础设施的受认可服务和未受认可服务。
- TLS 检查：在可部署信任的环境中对流量进行解密和重新加密，这在托管设备群上非常简单，但在访客设备上则充满挑战。
- 审计日志和策略范围：记录谁或什么设备请求了资源、应用了哪条规则以及随后采取了什么操作。
最后一点将网关与阻止列表区分开来。你购买的是跨不同场所统一应用一致策略和证据的能力，而不仅仅是一个恶意域名数据源。
市场与部署背景
该领域现已成为一个主要的安全投资方向。根据 Grand View Research 关于安全 Web 网关的市场预测数据，安全 Web 网关市场规模在 2024 年估值为 147.5 亿美元，预计到 2033 年将达到 755.4 亿美元，复合年增长率为 20.6%，北美地区在 2024 年占全球收入的 37.4%。请将这些数据视为分析师的估算而非审计后的最终总额，因为厂商和研究人员划定的产品边界存在差异。
交付方式已明确向云端转移。根据 Mordor Intelligence 对 SWG 部署模式的分析，基于云的部署占 2025 年 SWG 收入的 76.32%，预计到 2031 年云部署将以 22.05% 的复合年增长率（CAGR）增长。这在运营层面非常重要。云网关无需在每个站点部署硬件即可实施策略，非常适合分布式资产，不过这也带来了对路由和检查点靠近程度的依赖。
权衡是显而易见的。你获得了深度、有效载荷可见性和细粒度应用控制。但付出的代价是部署复杂性、证书管理以及持续引导流量进行检查的维运工作。
DNS 层防护的工作原理
每一个连接都始于一个问题。在浏览器、应用程序或恶意软件能够访问服务之前，它通常需要解析一个名称，而保护性 DNS 会在任何连接建立前根据策略回答该查询。
如果该域名因网络钓鱼、恶意软件分发或命令与控制而闻名，解析器将拒绝或重定向该查询。设备永远无法获取可用的目标地址，因此回连会在最早的可能节点失败。相比有效载荷检查，这是一种更精准的干预方式，但它同样无需接触端点即可发挥作用。
查询阶段的具体过程
类别策略的工作方式相同。在家庭 SSID 上对成人或赌博域名的请求可能会被拦截，而在员工网络上的相同查询则遵循不同的规则。可通过解析行为强制实施 Google、Bing 和 YouTube 上的 Safe Search，并可拦截广告和追踪器域名，从而减少页面包含的第三方内容。
策略的细粒度控制是其在整个企业网络中发挥作用的关键。您可以按 SSID、VLAN、场所和时间表灵活定制规则，例如：学校可以在上课时间应用更严格的过滤，酒店可以分隔访客流量和后台办公流量，连锁酒吧集团可以在保持统一基线的同时允许单店级别的例外规则。报表将清晰展示被请求的域名、匹配的策略以及对应的网络划分。
DNS 阻断仅证明在记录的时间根据指定的策略阻止了查询。这并不能证明该域名背后的内容经过了审查，如实的报告不应假装如此。
为什么它适合未管理设备
部署是决定性的优势。无需购买硬件、无需更改防火墙，也无需在客户端设备上安装任何内容，因此覆盖范围扩展到了手机、游戏设备、智能电视以及代理软件永远无法触及的各种终端。连接 20 分钟的访客与入住一学期的住宿者享有相同的安全基线。
这种简便性也有明确的局限性。DNS 只能看到正在解析的域名，而无法看到完整的 URL 路径或通过已允许连接返回的载荷内容。托管在已允许且信誉良好服务上的恶意文件，无法仅凭域名查询被拦截。此外，绕过您的解析器使用加密 DNS、硬编码解析或 VPN 的客户端也会降低网络可见性，除非网络层面主动对这些路径进行了处理。
因此，DNS 层防护能以最小的摩擦为你提供广泛、早期且有据可查的控制。但它无法进行深度检查。明确自己到底需要哪一种，是做出决策的关键。
功能与性能对比
比较这些层级最直观的方法是看各自能够观测到什么。位于流量路径中的网关可以检查请求和响应，包括在合法部署 TLS 检查时的完整 HTTPS 载荷。而 DNS 保护则观测连接建立之前的域名查询。其他所有特性都是由这一根本差异决定的。
这意味着隐藏在允许的 HTTPS 会话内部的威胁、恶意上传以及通过看似合规服务导致的数据泄露，都需要网关或端点控制。这也意味着，无论网关引擎有多强大，如果无法将其置于访客设备的网络路径中，它就什么也检查不到。您可以强制执行的覆盖范围胜过您无法施加的能力。
SWG 与 DNS 层防护对比一览
| 评估标准 | 安全 Web 网关 (SWG) | DNS 层防护 |
|---|---|---|
| 检测深度 | 位于路径中时的完整请求和响应检测 | 建立连接前的域名解析查找 |
| 设备覆盖范围 | 在托管设备上效果最强 | 使用该解析器的所有设备 |
| 性能影响 | 取决于检测深度以及与 PoP 点的距离 | 影响极小，仅限于解析阶段 |
| 部署复杂度 | 流量引导、隧道、客户端代理或证书部署 | 按网络配置解析器即可 |
| 证据质量 | URL、用户、操作及内容判定 | 域名、策略、网络分段、时间戳及操作 |
| 主要盲区 | 绕过代理路径的流量 | 已允许会话内部的载荷内容 |
数据源质量是该表格中两行的基础。类别准确性、新鲜度和重新分类速度决定了这两种控制措施是否拦截了正确的对象，因此在比较供应商的声明之前，了解 威胁情报源如何影响过滤决策 非常值得。
可衡量的性能指标
请勿将数据手册上的吞吐量数字与访客页面加载速度进行比较。独立的 SWG 指南指出，当用户靠近云端接入点时，增加的延迟约为 40 - 80 ms；当距离较远时，增加的延迟约为 150 - 400 ms。而已发布的硬件数据手册显示，在实验室条件下，防火墙吞吐量最高可达 110 Gbps，IPS 吞吐量超过 25 Gbps，这些数据详见 Check Point 硬件数据手册和 SWG 性能指南。这些数字描述的是不同的指标。实验室吞吐量几乎无法反映偏远地区拥堵站点在入驻高峰期的 TLS 握手时间。
应直接测量访客的真实感受。在繁忙时段对代表性场所进行对比测试（开启与绕过安全功能），报告 DNS 解析、TLS 建立和加载有意义内容时间的平均值以及 p95 和 p99 延迟。平均值会掩盖体验最差的场所，而这恰恰是引发投诉的根源。
QUIC 与加密 DNS 的防护盲区
如 支持 QUIC 的代理与流量转发研究 中所述，QUIC 基于 UDP 运行，强制要求 TLS 1.3 加密，并支持 WiFi 与蜂窝网络之间的连接迁移，这给传统网关带来了执行漏洞。在端口 443 上阻断 UDP 可以强制退回到可检查的 TCP，但这可能会降低性能或导致现代应用程序出现故障。允许 QUIC 能保持良好的用户体验，但会减少传统网关可以查看到的内容。
如果客户端使用您的解析器，DNS 策略仍会在查询时生效，这就是为什么这两种控制解决的是不同的问题。请要求供应商准确定义“已阻断”。是阻止了查询，阻止了连接，还是实际审查了内容？这是三种不同的概念。
每种方法在技术栈中的适用位置
场所类型比组织规模更能预测所需答案。一个有用的起点是查看每个 SSID 上的设备所有权，然后将检查需求映射到该实际情况中，这种构想也体现在 Nerds 2 You Edmonton 为评估分层控制的小型网络提供的安全建议 中。
酒店、机场、图书馆和家庭景点运营的网络中，几乎所有设备都是非托管且临时连接的。DNS 层防护非常契合，因为它能立即覆盖访客，通过针对每个 SSID 的策略支持免费与付费层级，并在不检测个人内容的情况下提供过滤证据。如果您无法合规地引导或解密访客流量，网关在这些场景下的作用微乎其微。
学校、校园和学生宿舍介于两者之间。安全保护责任要求对每台设备（包括个人手机和游戏机）进行一致的类别过滤和 Safe Search。然而，受管理的教学设备可能需要进行网关检查以实现应用控制和下载扫描，这就是为什么许多机构会叠加使用这两种技术并将其应用于不同的网络段。
这种分立背后的操作模式值得在实践中予以验证。
医院和医疗场所面临着类似的划分。患者和访客 WiFi 需要覆盖广泛、低阻力的过滤。临床和行政系统则置于更严格、独立管理的控制之下，将这些人群混在一个审查模型下通常两头讨好。
网关物有所值的场景
带有受管设备群的企业办公室和多分支机构企业是网关的主要应用场景。您可以部署 Agent 代理或隧道、管理证书、将策略与身份关联，并检查上传至未授权服务的流量。但这些办公室中的自携设备（BYOD）网络划分仍需要单独考虑，因为个人设备天然抵抗那些让网关发挥作用的控制措施，这一冲突在 混合设备环境下的 BYOD 安全指南 中有详细探讨。
- 访客与公共 SSID：基于 DNS 层的基线保护、透明的拦截页面、按场所输出报告。
- 学生与住宿网络：全面实施 DNS 过滤，并在受管设备上施加网关控制。
- 员工与企业网络划分：将网关检查与身份绑定，并将 DNS 作为早期拦截手段。
- 运营技术（OT）与展示设备：针对无法运行 Agent 代理的设备应用 DNS 策略，并设置严密的允许列表。
混合部署模式并非犹豫不决的表现。而是将每个防护层分配给能确保其有效执行的最适人群。
如何选择合适的方法
三个问题即可决定大部分评估。设备归谁所有？您的风险或合规立场需要什么级别的审查？您具备什么运维能力来妥善运行该控制？请按网络网段回答这些问题，而不是针对整个组织。
如果非托管设备占主导地位，请默认从 DNS 层防护开始。它覆盖了使用您的解析器的每一次连接尝试，无需端点部署工作，并为您提供关于何时、何地拦截了什么的无争议审计证据。对于酒店、酒吧、机场和公共 WiFi 来说，这项控制措施在繁忙的周六依然能够正常发挥作用，无需有人专门去排除代理异常。
如果托管设备占主导地位，并且您需要载荷检测、应用控制或数据防泄漏功能，请选择安全 Web 网关并为其所需的运维工作投入预算。这包括流量引导、证书生命周期管理、固定应用（pinned applications）的异常处理以及检测点的容量规划。只购买许可证而不做这些运维工作，只能换来不完整的防护覆盖。
可靠性重于功能列表
对无法验证的检测断言保持审慎态度。评估家长控制工具的独立研究发现，各厂商提供的保护水平参差不齐，没有任何单一工具能够提供全面防护；而 DNS 解析器过滤的表现比多种替代方案更为稳定。此外，根据 关于过滤工具覆盖率和欺诈性链接趋势的独立研究，Cloudflare 报告称欺诈性链接占其 2025 年分析的恶意电子邮件的 52%，高于 2024 年的 43%。
选择测试：询问每家供应商新注册的域名多久能被分类，重新分类的申诉如何运作，以及单次阻断会生成什么证据。含糊不清的回答预示着日后的运维痛点。
对于大多数混合环境，诚恳的建议是两者结合，并按合理的顺序推进。首先部署 DNS 基线，因为它速度快，能覆盖其他手段无法触及的设备，并能立即建立全资产范围的安全证据。然后在设备所有权和风险等级合理的区域补充网关检测。这种顺序会首先填补最大的漏洞，而不是先去完善最容易管理的设备防护。
测试与验证你的防护方案
不要接受仪表板截图作为凭证。在您承诺购买之前，请使用您自己的设备组合在您自己的 SSID 上运行验收测试，并根据流量的实际表现（而非销售图表上声称的表现）来进行构建。关于更广泛的测试设计，请参阅 ThreatExploit AI 关于建立可重复安全测试流程的建议。
具有实际意义的验收测试
分别针对 DNS、HTTP、HTTPS、QUIC、加密 DNS 和 IPv6 测量策略执行情况，然后验证结果在不同 SSID、VLAN、场所和时间表中是否保持一致。如果拦截策略在员工网络有效但在访客 VLAN 失效，或者白天有效但在 night 策略下失效，这是一个严重的安全隐患，绝非小事。
- 已知恶意查找：确认钓鱼网站、恶意软件和命令与控制测试域名已被阻止，并已记录策略和分段信息。
- 类别检查：验证每个 SSID 上的成人、赌博和其他受限类别，以及主要搜索和视频服务上的安全搜索行为。
- 绕过尝试：尝试使用加密 DNS、消费级 VPN、直接 IP 访问和支持 QUIC 的浏览器，然后记录每个控件仍能捕获的内容。
- 新注册域名：测试最近注册的未分类域名，并记录策略默认是允许、阻止还是警告。
- 合法服务：确认支付、会议和场所关键应用仍可正常工作，而无需堆叠手动例外。
故障与性能表现
通过中断服务或隧道，故意测试故障打开与故障关闭。您需要了解服务中断会导致网页浏览被阻断还是形成未受过滤的网络，以及您的关怀义务能够承受其中的哪种情况。请在风险登记册中记录这一行为，因为审计人员会问及此事。同样的证据管理规范也适用于更广泛的保障工作，包括 Cyber Essentials 认证要求指南 中所述的控制措施。
在繁忙时段对代表性场所进行基准测试。记录加载有意义内容的时间、DNS 解析时间、TLS 握手时间以及并发用户下的吞吐量，对比开启与绕过安全功能时的表现，并报告中位数以及 p95 和 p99 指标。包含隧道或接入点（PoP）丢包测试，以便在访客察觉前发现重新连接行为。
最后，检查证据本身。每次拦截都应保留时间戳、策略、网络段、请求的域名、操作和原因。聚合计数器无法满足安全保护负责人、保险公司或您自己的事件审查需求。如果报告无法还原单次决策过程，无论它拦截了什么，该控制措施都不算完善。
Purple Shield 专为访客、场所和公共 WiFi 打造，提供保护性 DNS 和内容过滤功能。它会在连接建立前检查每一次域名解析，并按 SSID、VLAN、场所和时间表应用策略，无需在用户设备上安装 Agent 代理。如果您希望在评估深度网关检查适用场景的同时，为全网提供此类基线防护与存证，请访问 Purple Shield，了解如何在现有网络上快速部署。