DNS 过滤故障开放与故障关闭：当过滤器断开时会发生什么

DNS 过滤故障打开（fail open）与故障关闭（fail closed）之间的选择，决定了当网络的过滤解析器停止响应时网络会采取什么行动。故障打开会退回到未过滤的解析器，因此浏览仍可继续但失去保护。故障关闭则不会将查询发送到其他任何地方，符合 NIST SP 800-53 控制 SC-24（在已知状态下失效），因此任何内容都不会在未过滤的情况下被解析。

什么是 DNS 过滤故障打开与故障关闭？

DNS 过滤处于每次连接的第一步。手机在建立任何会话之前，会要求解析器将域名转换为 IP 地址（RFC 1035）。防护型 DNS 解析器会根据威胁情报和您的内容策略对该名称进行检查。随后，它会返回真实地址、拦截页面地址或拒绝信息。

正是这一位置决定了 DNS 过滤的效果。检查发生在单个数据包到达目的地之前。它可以阻止防火墙仅将其视为端口 443 上允许流量的网络钓鱼链接或恶意软件回调。英国国家网络安全中心基于相同的原理为公共部门运行着一项 防护型 DNS 服务。

然而，该位置也是薄弱点所在。如果每次查找都依赖于过滤解析器，您就需要制定一个当无法访问解析器时的应对计划。应对计划只有两种：

• 故障打开。 网络或设备将查询发送到另一个未应用任何策略的解析器。浏览可以继续，但保护、日志记录和内容规则将暂停，直到过滤器恢复。
• 故障关闭。 不存在未过滤的路径。新的查找需等待过滤解析器作出响应，在没有策略决定的情况下，任何内容都不会被解析。

这种选择是在可用性与安全保障之间的权衡。故障打开有利于希望立即加载页面的访客。故障关闭有利于您的安全团队、合规负责人和审计员，他们需要证明网络在一年的每一分钟都处于过滤状态。

NIST SP 800-53 Rev. 5 在两个控制项中表述了相同的理念。SC-24 为“在已知状态下失效”，SC-7(18) 为“故障安全”（NIST SP 800-53 Rev. 5）。

过滤器故障行为在解析器端是如何工作的？

决定过滤器故障行为的是您的配置，而不是过滤器本身。有三个位置可以对其进行设置：DHCP、任何本地 DNS 转发器以及设备本身。

DHCP DNS 字段

DHCP 是在设备加入时为其分配 IP 地址和网络设置的协议。大多数访客网络和员工网络都使用它为每台设备提供两个或多个 DNS 服务器地址。如果所有地址都指向过滤解析器，则该设计为故障关闭。如果第二个地址指向 ISP 或公共解析器，无论过滤供应商作出什么保证，该设计都是故障打开。

本地转发器

许多防火墙和网关运行 DNS 转发器。设备查询网关，网关再转发给上游解析器。在这种情况下，回退机制存在于转发器的上游列表中。如果转发器在过滤器下方列出了公共解析器，那么即使 DHCP 看起来正常，它也会产生“故障打开”风险。

设备自身的行为

解析器的选择因操作系统而异。某些设备将第二个服务器视为严格的备用服务器。其他设备只要第一个服务器响应缓慢就会查询第二个服务器，或者同时向两者发送查询。因此在“故障打开”设计中，即使过滤器完全正常，未过滤的应答也可能会泄漏出来。

什么是故障关闭

在“故障关闭”设计中，设备或转发器可以使用的每个 DNS 地址都指向具有相同策略的过滤解析器。如果其中一个停止响应，设备会针对下一个解析器进行重试。仅当每个过滤解析器均不可达时，查找才会失败。此时设备会收到超时或 SERVFAIL（标准 DNS“服务器失败”响应），而不是未过滤的应答。

处理得当时，故障关闭（fail closed）并不脆弱。它的弹性来自于冗余过滤解析器，而不是未过滤的安全出口。

故障开启、故障关闭、故障安全：哪些术语容易混淆？

供应商文档、审计结果和变更工单中经常出现四个相近的术语。它们描述的是不同的事物，混淆它们会导致错误的设计。

故障闭锁并非默认拒绝

默认拒绝是一种针对未分类域名的策略选择。它在过滤器正常工作时运行。故障闭锁则是指当过滤器不可用时会发生什么。您可以在使用宽松策略的同时运行故障闭锁，也可以在使用严格策略的同时运行故障放行。

过期的响应服务介于两者之间

RFC 8767 允许解析器在无法连接上游服务器时从已过期的缓存中获取答案并进行响应。这使得热门域名在短暂的故障期间仍能维持正常工作。由于它只是重放上一次的决定，因此在此期间变恶意的域名将无法被拦截。

绕过并非故障

如果设备通过 DNS over HTTPS (DoH, RFC 8484) 或 DNS over TLS (DoT, RFC 7858) 连接到公共解析器，它将完全绕过您的过滤器。故障闭锁设置对此毫无作用。您需要通过出口规则来处理绕过行为。

在实际应用中，您会在何处遇到 DNS 过滤中断？

仅当互联网连接正常但无法连接过滤器时，DNS 过滤中断才具有实际影响。如果整个上行链路中断，两种模式的效果看起来是一样的。在实践中，这种差异往往是由日常运维事件引起的：

• 防火墙变更封堵了发往过滤器地址的出站端口 53；
• 本地转发器崩溃或停止向上游转发；
• 分支机构 WAN 上的路由变更导致 DNS 发送方向错误；
• 承包商修改 DHCP 作用域并出于“抗灾能力”考虑添加了公共解析器；
• 过滤提供商本身发生了故障。

在故障关闭（fail closed）网络上，上述每种情况看起来都是无害的。但在故障开放（fail open）网络上，每种情况都会在静默状态下使保护失效。

酒店与餐饮访客网络

酒店和酒吧集团应用内容策略，以确保访客 WiFi 适合家庭使用并免受恶意软件侵扰。故障开放的访客网络会在不通知任何人的情况下放弃该策略。对于大型酒店与餐饮运营商而言，公共 WiFi 上的策略失效不仅带来安全风险，还会带来品牌风险。

医疗保健

Shield 在圣乔治医疗保健 NHS 信托基金会（St George's Healthcare NHS Trust）每周拦截约 241,000 个威胁。根据我们的计算，平均每小时约 1,400 个。一小时的故障开放窗口将允许这些域名解析在患者、访客和员工设备上不受检查地通过。

交通枢纽

机场的公共网络承载着数以千计的旅客设备，其中许多设备未经管理。在航站楼中，故障开放漏洞意味着在高峰流量期间存在未经过滤的公共网络。

员工与企业网络

员工网络提高了对可用性的要求。业务应用必须保持正常运行，因此故障关闭机制背后需要真正的冗余支持。内部名称通常在内部 DNS 服务器上解析，然后这些服务器将外部查询转发到过滤器。请确保该转发层同样没有未经过滤的上游。

故障关闭 DNS 的局限性和边缘情况是什么？

对于大多数访客和员工 WiFi 来说，故障关闭是正确的默认设置。但它仍然存在局限性，您在围绕它进行设计之前应该有所了解。

单解析器的故障关闭只是一套中断预案

如果网络仅列出一个过滤地址，故障关闭意味着该地址的每一次中断都会导致 DNS 瘫痪。跨多个过滤解析器的冗余才是使故障关闭可行的关键。请向您的提供商询问您可以配置多少个解析器地址，并对每一个进行测试。

缓存保留部分域名响应

每个 DNS 应答都包含一个 TTL（生存时间），即设备或解析器可以缓存它的秒数。在短暂的中断期间，缓存的域名继续有效，而新的域名解析会失败。访客会将其感知为“某些网站可以打开，有些不能”，这可能会误导您的服务台。

Captive Portal 需要在登录前获得 DNS

Captive Portal 是访客在上网前看到的登录页面。设备必须在认证前解析 Portal 页面和任何围墙花园（walled garden）域名。如果登录前网络使用的是未经过滤的解析器，Portal 就会成为安全漏洞。如果它在没有冗余的情况下故障关闭，访客将完全无法登录。

故障不同于拦截

被拦截的域名应返回拦截页面或明确拒绝。失败的查询则会返回超时或 SERVFAIL。RFC 8914 扩展 DNS 错误添加了区分它们的代码，例如“Blocked (15)”和“Filtered (17)”与“No Reachable Authority (22)”。请向您的服务台简报这两者，以便他们区分策略拦截和网络中断。

DNS 无法读取名称之外的内容

故障关闭能保证对每次查询做出策略决定，但不能保证完全覆盖。连接到原始 IP 地址会完全绕过 DNS。在网络中断前已经建立的连接将继续进行。DNS 也只能看到域名，无法看到路径，这在 为什么 DNS 过滤无法看到完整 URL 中进行了说明。

有关这些限制在更广泛的技术栈中的位置，请参阅 DNS 过滤是否足够？ 和 DNS 过滤限制 概览。

故障关闭 DNS 与 Purple Shield 有何关系？

Purple Shield 是适用于每个网络的保护性 DNS 和内容过滤。Shield 采用故障关闭机制，因此网络中断绝不会导致网络处于无过滤状态。每次查询要么获得策略决定，要么得不到响应，绝不会收到未经检查的响应。

您可以在任何 WiFi 网络上独立运行 Shield，也可以与 Purple Access 配合使用。您可以为每个网络和每个 VLAN（虚拟局域网，共享硬件上的逻辑隔离网络）设置策略。同一场所的访客网络、员工网络和后勤网络都可以执行不同的规则。Shield 不需要新硬件，可以作为云叠加层部署在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 上。

DNSFilter 和 Cisco Umbrella 也在 DNS 解析层进行过滤，因此部署位置的讨论适用于这三者。需要询问每个供应商的问题是备用方案部署在哪里。询问他们的漫游代理在解析器不可用时的表现，以及您可以配置多少个过滤地址。然后检查您自己的 DHCP 和转发器设置是否会重新引入未过滤的路径。

Shield 运行于 Purple 在 90 个国家/地区的 80,000+ 个场所。阅读 Shield 的工作原理 以获取部署详情。企业 WiFi 安全指南 展示了 DNS 过滤与身份识别和网络分段配合使用的具体位置。

这一概念在变更窗口期才会显现成效，而非宣传册上。防火墙规则、DHCP 编辑或“具弹性的”公共备用服务器决定了您的网络是否能保持过滤状态。请在本季度审计这三项设置。接下来，请阅读 DNS over TLS 与过滤：端口 853 带来的改变，因为故障关闭的解析器只能保护实际使用它的设备。

常见问题解答

故障关闭 DNS 是否意味着中断会导致我的 WiFi 离线？

不会，在冗余解析器上运行过滤时不会出现这种情况。只有当所有过滤解析器同时无法访问时，故障关闭才会停止新的查找。设备会首先尝试下一个过滤地址。在短暂的中断期间，缓存的答案可以保持对近期访问网站的解析。请在上线前设计好冗余，然后在测试 VLAN 上每次阻止一个解析器来进行测试。

Shield 能否与我现有的接入点和防火墙配合使用？

可以。Shield 在 DNS 解析层面进行过滤，因此无需新硬件，可在任何 WiFi 网络上独立运行。Purple 适用于 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您只需将每个网络或 VLAN 的 DNS 指向 Shield，移除任何未过滤的备用地址，并按网络应用策略。产品页面涵盖了具体步骤。

Shield 如何计费？

Purple 会根据您的资产状况为 Shield 提供报价，而非在本指南中公布列表价格。Shield 是一款安全附加组件，您可以在任何 WiFi 网络上独立运行，也可以与 Purple Access 配合运行。因此，报价反映的是您的网络和场所数量，而非新硬件。请提供您的场所数量、网络和 VLAN 数量，以及您是否已运行 Purple 来获取报价。

如何在不中断过滤的情况下从 DNSFilter 或 Cisco Umbrella 迁移？

请一次切换一个网络或 VLAN。将测试 VLAN 的 DHCP DNS 指向 Shield，确认拦截和日志记录，然后在变更窗口期迁移生产网络。请完全移除旧的解析器地址，而非将其保留为备用 DNS。同时检查员工设备上的漫游 Agent，因为它们的备用设置独立于您的 DHCP 作用域之外。

是否有法规要求故障关闭 DNS 过滤？

没有法规明确要求故障关闭 DNS，但控制框架要求安全控制措施在已知、安全的状态下失效。NIST SP 800-53 Rev. 5 控制 SC-24 涵盖了在已知状态下失效的要求。SC-7(18) 涵盖了安全失效的边界保护。故障关闭过滤能为您提供策略每时每刻都在生效的证据，有助于应对审计员或安全负责人的问询。

如何测试我当前的过滤器失效行为？

从单个测试 VLAN 阻止发往过滤解析器的出站 DNS，并观察设备的反应。如果网站仍能加载且过滤器未记录任何日志，则网络为故障开放。请检查 DHCP DNS 字段、转发器上游列表以及任何硬编码的设备设置。每次阻止一个过滤解析器并重复测试，以确认冗余机制正常工作。

仅靠 DNS 过滤就足够了吗？还是我需要一个安全 Web 网关？

DNS 过滤涵盖了大多数访客和场所网络的威胁防护与内容策略，但无法提供完整的 URL 审查或数据泄露防护。它只能识别域名，无法识别路径或文件内容。如果您需要这些控制功能，请在受控设备上添加安全 Web 网关。请参阅 DNS 过滤与安全 Web 网关对比，了解两者的具体界限。