面向学校和图书馆的 DNS 过滤

面向学校和图书馆的 DNS 过滤可在建立任何连接之前，在 DNS 查询环节拦截有害和恶意网站。它无需安装代理或新硬件，即可覆盖您 WiFi 网络上的每台设备。为了经受住严格的审查，它还必须能够阻止加密 DNS 绕过、强制锁定 Google、Bing 和 YouTube 的 Safe Search，并生成可供您的儿童保护负责人作为凭证的报告。

什么是面向学校和图书馆的 DNS 过滤？

每一次网络连接都始于 DNS 查询。设备请求解析器将域名转换为 IP 地址。DNS 过滤在此响应中增加了策略检查。如果该域名属于被封锁的类别或带有威胁信号，解析器就会隐瞒真实地址。浏览器永远不会建立连接，因此相关内容、恶意软件或广告绝不会加载。

具备此功能的解析器被称为保护性 DNS。在学校或图书馆网络中，它可同时完成三项任务：

• 强制执行您的内容策略。
• 拦截网络钓鱼和恶意软件域名。
• 将搜索引擎锁定在安全模式。

过滤发生在何处，防火墙会遗漏什么？

过滤发生在查询阶段，此时设备尚未获取可连接的地址。而防火墙是在后续的连接阶段发挥作用。在没有解密的情况下，防火墙只能看到 IP 地址、端口，几乎看不到其他信息。

如今的大多数网络流量都在 443 端口上通过 HTTPS 运行。其中大部分流量流向内容分发网络，这些网络在共享地址后托管着数以千计无关的网站。如果您封锁其中一个 IP，就会连同合规网站一起封锁。如果您放行它，有害网站就会趁虚而入。

防火墙可以检查 HTTPS，但前提是您必须在每台设备上安装受信任的证书。您可以在学校拥有的笔记本电脑上这样做。但您无法在图书馆访客的手机上、或高中部 WiFi 上学生自己的平板电脑上这样做。DNS 过滤无需在设备上安装任何内容。它适用于任何从您的网络获取 DNS 设置的设备。

为什么学校 DNS 内容过滤器对您的网络至关重要？

学校：KCSIE 与 DfE 标准

在英格兰，《在教育中保护儿童安全》(KCSIE) 是英国教育部 (DfE) 出台的法定儿童保护指导方针。它要求管理机构和所有者具备适当的过滤与监控措施，并定期审查其运行效果。它赋予指定儿童保护负责人 (DSL) 对网络安全负主要责任，包括理解过滤和监控系统。

DfE 针对学校和学院的过滤与监控标准明确了实际应用中的具体要求：

• 分配明确的职责。
• 每年至少审查一次您的防护措施。
• 在不合理影响教学和学习的前提下，拦截有害和不当内容。

KCSIE 建议学校参考英国网络安全中心（UK Safer Internet Centre）关于适当过滤的定义。该定义要求您的服务提供商必须是网络监察会（IWF）成员，并封锁 IWF 清单中的儿童性虐待内容。同时，还要求提供商封锁反恐网络举报组（CTIRU）经警方评估的非法恐怖主义内容清单。请务必将这两个问题提给您候选名单上的所有供应商。

美国学校则面临《儿童网络保护法案》（CIPA）。我们在独立发布的 CIPA 合规 WiFi 过滤指南中介绍了认证步骤。有关策略方面的内容，请参阅 学校网页过滤：切实有效的策略。

图书馆需要内容过滤吗？

在实践中，是的。法律义务取决于您的运营地点和资金来源。

在美国，CIPA 适用于接受 E-rate 互联网接入折扣的公共图书馆。这些图书馆必须采取技术保护措施，封锁淫秽、儿童性虐待材料或对未成年人有害的图像。美国联邦通信委员会（FCC）允许图书馆为从事正当研究或出于其他合法目的的成年人禁用过滤器。

在英国，没有法律强制要求公共图书馆进行过滤。但许多图书馆服务部门仍然会进行过滤，并且许多图书馆正在寻求 Friendly WiFi 认证。Friendly WiFi 是政府发起的公共 WiFi 认证计划。其最低标准要求您在可能存在儿童的任何地方，过滤色情内容和 IWF 列出的儿童性虐待内容。

图书馆的工作比学校更具挑战性。同一个网络既要服务于在作业俱乐部写作业的孩子，又要服务于查阅医疗状况的成年人。您的策略必须在保护儿童的同时，不过度阻拦成年人的正常访问。将这些用户群体划分到独立的网络中通常是最彻底的解决方案。如何为访客和员工设置网络分段 详细介绍了这种方法。

针对学校和图书馆的 DNS 过滤是如何工作的？

您只需更改一项设置：即 DHCP 作用域分发给设备的 DNS 服务器。接入点、控制器和交换机均保持原样。然后，每台设备都会将其查询发送给保护性解析器，由解析器应用您的策略。

内容分类与威胁防护

解析器会根据两组信号检查每个域名。

• 内容分类，例如成人内容、赌博、武器或代理和匿名工具。您可以针对不同的受众群体选择要阻拦的内容。
• 威胁情报，涵盖钓鱼网站、恶意软件、指令与控制（C2）以及攻击中运用的新注册域名。

速度对于威胁防护至关重要，因为攻击者注册域名并在几小时内就会使用它们。Purple Shield 会在识别出恶意域名的第一时间对其进行标记。对学校而言，这就是教职工点击钓鱼链接与解析器拒绝响应之间的关键防线。

广告拦截对繁忙的共享 WiFi 有何影响

图书馆和学校通常在有限的回传带宽上运行高密度的 WiFi。在 DNS 层级拦截广告和分析域名，可以在流量到达网络连接前清除不必要的消耗。过滤这些请求可以带来：

• 为用户提供更快的页面加载速度
• 减少整体数据用量
• 降低网络中的 DNS 查询数量
• 降低整体网页流量体积

在由公共电脑和访客手机共享的图书馆网络连接中，节省出来的带宽可以重新投入到作业、求职申请和视频课程中。

如何在学校网络中强制实施安全搜索？

类别拦截可以阻断整个网站。搜索引擎的处理则更为困难，因为 Google、Bing 和 YouTube 对学习至关重要，但其默认模式可能会返回不良结果。每个供应商都记录了一种强制在全网实施安全模式的 DNS 方法：

• Google 发布了 forcesafesearch.google.com。当您的解析器使用该地址响应 Google 搜索查询时，SafeSearch（安全搜索）将被锁定，搜索者无法将其关闭。
• Bing 发布了 strict.bing.com，以相同的方式强制执行严格的 SafeSearch。
• YouTube 发布了 restrict.youtube.com 和 restrictmoderate.youtube.com，可在严格或中等水平上强制开启受限模式。

防护型 DNS 服务可以为您处理这种映射，因此您只需选择一项设置，而无需手动编辑记录。中等水平的 YouTube 限制通常适合中学，因为严格模式会隐藏许多合规教学视频。在推广到所有场所之前，请先使用真实的课程内容进行测试。

学生如何利用 DoH 绕过学校 WiFi 过滤？

加密 DNS 是绕过 DNS 过滤最常见的方式。DNS over HTTPS（DoH，在 RFC 8484 中定义）将查询封装在普通的 HTTPS 流量中传输。DNS over TLS（DoT，RFC 7858）则在端口 853 上对其进行加密。这两种方式都可以将设备的查询绕过您的解析器，发送到不应用任何策略的公共解析器。

学生很少需要自己设置，因为浏览器和操作系统本身就集成了加密 DNS 选项。下表对应列出了每条绕道路径以及官方记录的阻断方法。

绕道路径	它是如何绕过过滤的	如何阻断它
Firefox 默认 DoH	Firefox 可以将查询发送到公共 DoH 解析器	对 Mozilla 的金丝雀域名 use-application-dns.net 返回无应答，这会告知 Firefox 继续使用您网络的解析器
Chrome 和 Edge 安全 DNS	当配置的解析器具有已知相对应的 DoH 时升级为 DoH	在受管理设备上将 DnsOverHttpsMode 策略设置为 off；在不受管理的设备上，升级仅针对您自己的解析器提供商运行
iCloud Private Relay	通过 Apple 服务器转发 Safari 流量和 DNS	按照 Apple 的官方说明，对 mask.icloud.com 和 mask-h2.icloud.com 返回否定应答，设备将显示 Private Relay 不可用
Android 私人 DNS (DoT)	在端口 853 上通过 TLS 发送查询	在防火墙上阻断出站端口 853；自动模式将回退使用您的解析器
硬编码公共解析器	设备或应用忽略 DHCP 并通过 53 端口查询公共解析器	阻断发往除保护性解析器之外任何目标的 53 出站端口
VPN 和代理应用	将所有流量建立隧道传输至网络外部	阻断代理和匿名工具类别，并通过托管设备上的 MDM 策略阻断 VPN 应用

由于没有单一图层可以封闭所有路径，因此解决方案结合了 DNS 规则、防火墙规则和设备策略。我们关于阻断加密 DNS 和 DoH 绕过的独立指南详细介绍了各项控制措施。

学校和图书馆需要提供哪些报告作为证据？

无法提供证据的过滤无法满足管理机构、Ofsted 检查或 CIPA 审计的要求。DfE 标准要求提供记录在案的年度审查。在美國，CIPA 要求在公开通知和公开听证会后采纳网络安全策略。两者都依赖于记录。

询问任何提供商是否可以导出以下内容：

• 按类别阻断的查询，以便 DSL 查看过滤器实际阻止了哪些危害。
• 按站点和网络划分的结果，以便信托基金可以比较学校，图书馆服务机构可以比较分馆。
• 随时间变化的趋势，以展示两次审查之间策略变更的效果。
• 绕过信号，例如对 DoH 解析器域名、Firefox canary 域名或 Private Relay 域名的查询。
• Safe Search 状态，并附带锁已应用于每个网络的证据。
• 策略变更日志，记录谁在何时更改了哪项设置。
• 过度阻断的记录，记录教职员工要求您解除阻断的合法网站以及您的响应速度。

过度阻断记录的重要性超出了大多数团队的预期。DfE 标准明确警告不要进行不合理影响教学的过滤。解除阻断请求和响应时间的日志表明您在保护与学习之间取得了平衡。

保持关注数据保护。根据 UK GDPR，可关联到可识别个人的 DNS 日志属于个人数据。请设置留存期，限制指定人员的访问权限，并在您的隐私声明中记录合法依据。Purple 拥有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证，您可以在数据保护影响评估中引用这些认证。

DNS 过滤与您现有的运行设施如何配合？

保护性 DNS 是现有网络之上的一个层级，而不是替代品。Purple 与硬件无关。Shield 可以在来自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet 的 WiFi 上运行，因为它改变的是网络分发的 DNS，而不是无线接入点。

通常的技术栈如下所示：

• 防火墙：阻断发送至未批准解析器的 53 和 853 出站端口，并继续执行 DNS 无法完成的边界工作。
• 网络分段：为教职员工、学生、访客和儿童区域设置独立的网络或 VLAN（虚拟局域网，将一个物理网络分割为隔离的逻辑网络），每个网络都有自己的策略。
• 移动设备管理 (MDM)：在学校拥有的设备上（包括校外）强制执行浏览器策略并拦截 VPN 应用程序。
• Captive Portal：访客上网前看到的登录页面。在 Guest WiFi 上，这是您展示可接受使用策略并收集同意声明的地方。

Purple Shield、DNSFilter 和 Cisco Umbrella 对比

这三者都在 DNS 层进行过滤，并且都能强制执行 Safe Search。它们的不同之处在于构建核心的不同。

	Purple Shield	DNSFilter	Cisco Umbrella
过滤发生的位置	DNS 查询	DNS 查询	DNS 查询，可选配安全 Web 网关
所需的新硬件	无：只需更改 WiFi 分配的 DNS	无：DNS 转发或漫游代理	DNS 层无需硬件；内部 IP 归因可选配虚拟设备
强制执行 Safe Search	Google、Bing 和 YouTube	Google、Bing 和 YouTube	Google、Bing 和 YouTube
网络外设备	覆盖您场所 WiFi 上的设备；带 home 设备请使用 MDM	漫游客户端代理	Cisco Secure Client 中的漫游模块
管理平台	Purple 平台，与 Guest WiFi 和 Staff WiFi 一起管理	DNSFilter 控制台	Cisco Umbrella 控制台，位于 Cisco Secure Access 内
最适合的场景	已在使用或准备迁移至 Purple WiFi 的场所	MSP 和基于代理的端点设备群	标准化采用 Cisco 安全方案的组织

如果您的信托基金或议会已经在运行 Cisco Secure Access 并希望使用单一安全供应商，请选择 Cisco Umbrella。如果您需要在每台带回家使用的笔记本电脑上安装代理，并作为 MSP 管理多个租户，请选择 DNSFilter。如果您的首要任务是场所 WiFi 本身（即在学生和访客加入的网络上进行过滤、威胁防护和广告拦截，并与您的 WiFi 一起管理），请选择 Shield。如需了解更广泛的市场观点，请阅读 针对访客和公共 WiFi 的最佳防护性 DNS。

在实际应用中它是如何工作的？

以下两个场景是根据上述部署模式构建的示范性综合案例。

致力于达到 Friendly WiFi 标准的县图书馆服务

现状。 某图书馆服务机构通过一个共享网络在各个分馆运行公共 WiFi。儿童作业俱乐部和成年访客使用相同的 SSID。其旧的过滤器运行在每个分馆的防火墙上，且大多数分馆允许显示显式的 Google 图片搜索结果。

采取的措施。 IT 负责人将每个分馆的网络拆分为两个：政策严格的儿童网络和政策较宽松的成人网络。两者都指向一个拦截色情和 IWF 列出内容的防护性 DNS 解析器，这达到了 Friendly WiFi 的最低要求。两个网络上的 Google 和 Bing 都强制启用了 Safe Search。YouTube 限制模式在儿童网络上设置为严格，在成人网络上设置为中等。防火墙拦截了除该防护性解析器之外的所有出站 DNS 请求。

可衡量的成果。 团队在每个分店的两套网络上测试了分类和搜索词的固定列表。每个分店均已通过测试，结果已提交至 Friendly WiFi 申请材料中作为证明。分店工作人员现在根据书面允许列表流程处理成年人的解除拦截请求，并且系统会记录每个请求和解决时间。

解决 DoH 漏洞的多学院信托基金（MAT）

背景。 一家信托基金运营多所中学，并为六年级学生提供个人设备 WiFi。一位 DSL（指定防护负责人）注意到学生在自己的手机上访问被拦截的社交和游戏网站。学校拥有的笔记本电脑则没有出现此类问题。

采取的措施。 网络管理员审查了上表中的绕过途径。解析器现在对 Firefox 金丝雀域名和 iCloud Private Relay 域名不返回任何响应。每所学校的防火墙都会拦截针对公共解析器的出站端口 853 和出站端口 53。在学校拥有的笔记本电脑上，MDM 将 Chrome 和 Edge 的安全 DNS 设置为关闭。“代理和匿名工具”分类在六年级网络上被拦截。

可衡量的成果。 运行 Firefox、带有 Private Relay 的 Safari 以及 Android 私有 DNS 的测试手机全部回退到学校解析器。随后被拦截的分类按预期生效。绕过信号查询现在会出现在 DSL 审查的每月报告中，该报告为信托基金在 DfE 标准下的年度过滤审查提供数据支持。对于这种规模的校园资产，针对 MSP 和多站点校园资产的 DNS 过滤 涵盖了跨站点的集中策略管理。

您应该了解的 DNS 过滤局限性是什么？

请向您的管理者明确说明 DNS 过滤无法做到什么。

• 它针对域名工作，而不是页面。 它无法拦截原本允许的域名上的单个有害页面。YouTube 受限模式和安全搜索可以缩小这一差距，但无法完全消除它。
• 它是过滤，而不是监控。 DfE 标准将监控视为一项单独的职责。在共享网络上，DNS 日志显示的是设备，而不是具名的学生。针对个人的归因需要针对个人的身份验证，例如 IEEE 802.1X（使用个人凭据的基于端口的网络访问控制）或 iPSK（每人唯一的预共享密钥）。Purple 的 Identity-Based Networks 可同时提供这两者。
• 它的作用止于您的网络边缘。 在家庭宽带上使用的带回家设备需要 MDM 或 Agent 客户端。
• 防范蓄意绕过需要多层防护。 尚未被分类的 VPN 仍可进行隧道传输，直到您的防火墙或 MDM 捕捉到它。

这些都不能成为跳过 DNS 过滤的理由。每一个局限性都是将其与正确的控制措施相匹配并在年度审查中记录该匹配情况的理由。

您下一步应该做什么？

1. 梳理您运营的每个网络及其对应的受众：教职工、学生、访客和儿童。
2. 为每个受众制定策略，并由 DSL 批准相关分类。
3. 将试点星期的 DHCP DNS 指向防护解析器并锁定安全搜索。
4. 封堵上表中的绕过途径，并使用真实设备进行测试。
5. 在正式推行前，确认您的报告包和数据保留期限。
6. 立即安排年度复审计划，确保其按时执行。

如需了解 Purple 如何在您现有的 WiFi 上实现过滤、威胁防护和广告拦截，请从 Shield 开始。如需了解相关主题，请浏览 所有指南。

常见问题解答

为学校 WiFi 添加 DNS 过滤需要新硬件吗？

不需要。Shield 的工作原理是更改网络分配给设备的 DNS 服务器，因此您的接入点、控制器和交换机都可以保留原样。它支持 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 和 Fortinet。您可能会添加防火墙规则来拦截指向其他解析器的出站 DNS 和端口 853，但这只是对您现有设备的配置调整。

仅凭 DNS 过滤是否符合 KCSIE 要求？

不符合。DNS 过滤涵盖了 KCSIE 的过滤要求，但英国教育部（DfE）标准将监控视为一项独立的职责。您还需要指定责任人、进行年度复审并建立监控方法。请确保您的过滤服务提供商是 IWF 成员，并根据英国更安全互联网中心对适当过滤的定义，拦截 CTIRU 恐怖主义内容列表。然后记录过滤、监控和您的安全保障流程如何协同工作。

从 Cisco Umbrella 或 DNSFilter 迁移有多难？

迁移本身是一项 DNS 变更，而不是硬件项目。首先，在新服务中重建您的类别和 Safe Search 策略。在一个试点场所并行运行该服务，并使用真实设备测试拦截类别、Safe Search 和绕过控制。然后逐个场所更新 DHCP 作用域中的 DNS 服务器。请先导出旧报告，以便您的年度复审保留历史数据。

Shield 如何授权许可？

Shield 是 Purple 的 Connect、Capture 和 Engage 方案的安全附加功能，与 SecurePass 及 Verify 并列。您购买的是软件许可而非硬件设备，因此没有硬件成本或更新换代周期。您的报价取决于您运营的场所和网络数量。多学院信托基金或图书馆服务机构可以将每个场所整合到一份协议中，并通过 Purple 平台统一管理。

图书馆能否为成年人取消拦截网站，同时又不削弱对儿童的保护？

可以。最清晰的做法是区分不同的网络：针对儿童所在的区域实行严格策略，针对成年访客实行较宽松的策略。在美国，CIPA 允许图书馆为从事正当研究或其他合法用途的成年人禁用过滤。无论您属于哪个司法管辖区，请记录每次取消拦截的请求及其结果，以便证明成年人获得了访问权限，同时儿童的防护未受影响。

根据 GDPR，DNS 过滤日志属于个人数据吗？

是的，当日志可以关联到可识别的个人时。根据 UK GDPR 的规定，这意味着需要设置保留期限、仅限指定的员工访问，并在您的隐私声明中说明您的合法依据。在共享网络上，日志通常识别的是设备而非个人，这可以降低风险。Purple 拥有 ISO 27001、GDPR、CCPA 和 Cyber Essentials 认证，可为您的数据保护影响评估提供有力支持。

如果我们运行了 DNS 过滤，是否还需要防火墙？

是的。DNS 过滤可以在建立连接之前阻止有害和恶意域名，但它并不能取代边界安全。您的防火墙仍需负责控制入站访问并进行网络隔离。此外，它还能阻止针对未授权解析器的出站 DNS 和端口 853 流量，从而封堵加密 DNS 绕过漏洞。这两个安全层配合使用效果最佳：DNS 决定哪些域名可以解析，而防火墙则确保每一次查询都通过您的解析器进行。