學校與圖書館的 DNS 過濾機制

學校與圖書館的 DNS 過濾會在 DNS 查詢階段，也就是任何連線建立之前，封鎖有害和惡意網站。無論任何裝置使用您的 WiFi，都不需要安裝代理程式或新硬體即可獲得完整防護。為了經得起審查，它還必須能阻止加密 DNS 規避行為、強制鎖定 Google、Bing 與 YouTube 的 Safe Search，並生成供您的安全防護負責人作為佐證的報告。

什麼是學校與圖書館的 DNS 過濾？

每一次的網路連線都是從 DNS 查詢開始。裝置會要求解析器將功能變數名稱轉換為 IP 地址。DNS 過濾則是在該回覆中加入策略檢查。如果該網域屬於被封鎖的類別或帶有威脅訊號，解析器就不會提供真實地址。瀏覽器永遠無法建立連線，因此相關內容、惡意軟體或廣告也就永遠不會載入。

具備此功能的解析器稱為防護型 DNS。在學校或圖書館的網絡中，它能同時執行三項任務：

• 強制執行您的內容策略。
• 封鎖網路釣魚與惡意軟體網域。
• 將搜尋引擎鎖定在安全模式。

過濾發生在哪裡？防火牆會遺漏什麼？

過濾發生在查詢階段，也就是裝置取得連線地址之前。防火牆則是在連線建立後的較後階段發揮作用。若沒有進行解密，它只能看到 IP 地址、連接埠，其他資訊幾乎一無所知。

目前大多數的網路流量都是透過連接埠 443 上的 HTTPS 運作。其中許多流量會前往內容分發網路 (CDN)，這些網路在共享的地址背後託管著數千個無關的網站。如果您封鎖了其中一個 IP，就會一併封鎖合法的網站；如果您允許它通過，有害的網站就會趁虛而入。

防火牆可以檢查 HTTPS，但前提是您必須在每台裝置上安裝受信任的憑證。您可以在學校擁有的筆記型電腦上執行此操作，但無法在圖書館訪客的手機，或是中學生使用 WiFi 的個人平板電腦上安裝。DNS 過濾不需要在裝置上安裝任何軟體，任何從您的網路取得 DNS 設定的裝置都能適用。

為什麼學校的 DNS 內容過濾對您的網路至關重要？

學校：KCSIE 與 DfE 標準

在英格蘭，《在教育中保護兒童安全》(KCSIE) 是教育部 (DfE) 的法定安全防護指引。它要求管理機構與所有人必須落實適當的過濾與監控機制，並審查其運作成效。指引中指定安全防護負責人 (DSL) 對網路安全負主要責任，包括瞭解過濾與監控系統。

DfE 針對學校與學院訂定的過濾與監控標準，具體說明了實際執行方式：

• 指派明確的角色職責。
• 每年至少審查一次您的防護機制。
• 封鎖有害與不當內容，且不對教學與學習造成不合理的影響。

KCSIE 指引學校參考 UK Safer Internet Centre 對適當過濾機制的定義。該定義要求您的提供者必須是 Internet Watch Foundation (IWF) 的會員，並封鎖 IWF 名單中的兒童性虐待內容。它同時要求提供者封鎖反恐網路舉報小組 (CTIRU) 所評估的違法恐怖主義內容警政名單。請務必將這兩個問題提出給您候選名單上的任何廠商。

美國學校則需遵循《兒童網路保護法》(CIPA)。我們在另一篇符合 CIPA 規範的 WiFi 過濾指南中說明了認證步驟。關於政策層面，請參閱 學校網路過濾：有效的政策。

圖書館需要內容過濾嗎？

實務上是的。法律責任取決於您的營運地點與資金來源。

在美國，CIPA 適用於申請 E-rate 網路存取折扣的公共圖書館。這些圖書館必須執行技術保護措施，封鎖猥褻、兒童性虐待物或對未成年人有害的影像。美國聯邦通信委員會 (FCC) 允許圖書館為進行正當研究或其他合法用途的成年人關閉過濾器。

在英國，沒有法律強制要求公共圖書館進行過濾。許多圖書館服務依然會進行過濾，且許多圖書館會尋求 Friendly WiFi 認證。Friendly WiFi 是政府倡議的公共 WiFi 認證計畫。其最低標準要求您在可能有兒童出現的地方過濾色情內容及 IWF 列出的兒童性虐待內容。

圖書館面臨的工作比學校更艱巨。同一個網路既要服務在作業社團的兒童，也要服務研究醫療狀況的成年人。您的政策必須保護兒童，又不能對成年人過度封鎖。將這些受眾拆分到不同的網路，通常是最乾淨俐落的解答。如何為訪客和員工建置網路分割 詳細說明了這個方法。

學校和圖書館的 DNS 過濾是如何運作的？

您只需要更改一項設定：DHCP 作用域發放給裝置的 DNS 伺服器。基地台、控制器和交換器都維持原樣。接著，每個裝置都會將尋找請求傳送到保護性解析器，解析器便會套用您的政策。

內容分類與威脅防護

解析器會根據兩組訊號檢查每個網域：

• 內容分類：例如成人內容、賭博、武器或代理伺服器與匿名工具。您可以針對不同的受眾選擇要封鎖哪些項目。
• 威脅情報：涵蓋網路釣魚、惡意軟體、命令與控制 (C2) 以及攻擊中使用的最新註冊網域。

速度對威脅防禦至關重要，因為攻擊者註冊網域後會在數小時內使用。Purple Shield 會在識別出惡意網域的第一時間標記這些威脅。對學校而言，這能防止教職員工點擊釣魚連結並讓解析器拒絕回應。

廣告攔截對繁忙的共享 WiFi 有何影響

圖書館和學校通常在有限的骨幹網路頻寬上運作高密度的 WiFi。在 DNS 層級封鎖廣告和分析網域，可在流量到達您的連線之前清除不必要的流量。過濾掉這些請求有助於：

• 為使用者提供更快速的網頁載入速度
• 減少整體數據使用量
• 減少進入網路的 DNS 查詢次數
• 降低整體網路流量

在公共電腦和訪客手機共享的圖書館連線中，節省下來的頻寬能重新投入於完成作業、求職申請和線上影片課程。

如何在學校網路中強制執行安全搜尋？

類別封鎖可以阻擋整個網站。但搜尋引擎處理起來比較困難，因為 Google、Bing 和 YouTube 對於學習至關重要，但其預設模式可能會傳回不宜所有人觀看的結果。各個廠商都提供了透過 DNS 在全網路強制啟用安全模式的方法：

• Google 發布了 forcesafesearch.google.com。當您的解析器以該位址回應 Google 搜尋查詢時，安全搜尋將會被鎖定，且搜尋者無法將其關閉。
• Bing 發布了 strict.bing.com，以相同方式強制執行嚴格的安全搜尋。
• YouTube 發布了 restrict.youtube.com 與 restrictmoderate.youtube.com，分別以嚴格或中等等級強制啟用受限模式。

防護型 DNS 服務會為您處理這些對映，因此您只需要選擇相應設定，無需手動編輯紀錄。中等的 YouTube 限制通常適合中學，因為嚴格模式會隱藏許多正當的教學影片。在推廣到每個校區之前，請先使用實際教學內容進行測試。

學生如何透過 DoH 繞過學校 WiFi 過濾？

加密 DNS 是繞過 DNS 過濾器最常見的方式。DNS over HTTPS (DoH，定義於 RFC 8484) 會將查詢隱藏在一般的 HTTPS 流量中傳送。DNS over TLS (DoT，RFC 7858) 則會在連接埠 853 上對查詢進行加密。這兩種方式都能將裝置的查詢越過您的解析器，傳送到未套用任何原則的公共解析器。

學生很少需要自己設定這個，因為瀏覽器和作業系統都內建了加密 DNS 選項。下表整理了各種繞過途徑以及官方說明的阻擋方式。

繞過途徑	如何繞過您的過濾器	如何阻擋
Firefox 預設 DoH	Firefox 可以將查詢傳送到公共 DoH 解析器	對 Mozilla 的金絲雀網域 use-application-dns.net 不傳回任何回應，這會指示 Firefox 繼續使用您網路的解析器
Chrome 與 Edge 安全 DNS	當設定的解析器有知名的 DoH 對應項時升級為 DoH	在受管理裝置上將 DnsOverHttpsMode 原則設定為關閉；在非受管理裝置上，升級僅針對您自己的解析器提供者運作
iCloud 私密轉送	透過 Apple 伺服器轉送 Safari 流量與 DNS	按照 Apple 官方說明，對 mask.icloud.com 和 mask-h2.icloud.com 傳回否定回應，裝置即會顯示私密轉送不可用
Android 私密 DNS (DoT)	在連接埠 853 上透過 TLS 傳送查詢	在防火牆上封鎖出站連接埠 853；自動模式會自動退回使用您的解析器
硬編碼的公共解析器	裝置或應用程式忽略 DHCP 並向通訊埠 53 上的公共解析器進行查詢	阻擋發往保護性解析器以外任何目標的外傳通訊埠 53
VPN 與代理應用程式	將所有流量透過隧道傳輸至網路外部	阻擋代理與匿名化工具類別，並透過受控裝置上的 MDM 原則阻擋 VPN 應用程式

由於沒有單一圖層能封堵所有路徑，修正方法結合了 DNS 規則、防火牆規則與裝置原則。我們關於阻擋加密 DNS 與 DoH 繞過的獨立指南會詳細介紹每項控制措施。

學校與圖書館需要哪些報告作為證據？

無法提供證據的過濾機制將無法滿足管理機構、Ofsted 審查或 CIPA 稽核的要求。DfE 標準期望提供記錄在案的年度審查。在美國，CIPA 要求在公開通知與公聽會後採行網際網路安全原則。兩者皆依賴記錄。

詢問任何供應商是否能匯出以下內容：

• 按類別分類的已阻擋查詢，以便 DSL 了解過濾器實際阻止了哪些危害。
• 按站點與按網路分類的結果，以便信託基金比較不同學校，以及圖書館服務系統比較不同分館。
• 隨時間變化的趨勢，以展示審查之間原則變更的效果。
• 繞過訊號，例如對 DoH 解析器網域、Firefox 金絲雀網域或 Private Relay 網域的查詢。
• 安全搜尋狀態，並附有已在每個網路上實施強制的證據。
• 原則變更記錄，記錄誰在何時變更了哪項設定。
• 過度阻擋的記錄，記錄教職員要求您解除阻擋哪些合法網站，以及您的處理速度有多快。

過度阻擋記錄的重要性往往超出大多數團隊的預期。DfE 標準明確警告不要採取不合理影響教學的過濾措施。解除阻擋請求與回應時間的記錄，能證明您在保護與學習之間取得了平衡。

請重視資料保護。在 UK GDPR 規範下，可連結至特定個人的 DNS 記錄屬於個人資料。請設定保留期限、限制指定教職員的存取權限，並在您的隱私權通知中記錄合法依據。Purple 擁有 ISO 27001、GDPR、CCPA 與 Cyber Essentials 認證，您可以在資料保護影響評估中引用這些認證。

DNS 過濾在您現有運行的架構中扮演什麼角色？

保護性 DNS 是建構在您現有網路之上的防護層，而非替代品。Purple 與硬體無關。Shield 可以在來自 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 的 WiFi 上運行，因為它改變的是您網路派發的 DNS，而不是基地台本身。

常見的架構堆疊如下：

• 防火牆：阻擋向未核准解析器發送的外傳通訊埠 53 與 853，並繼續執行 DNS 無法完成的邊界工作。
• 網路分割：為教職員、學生、訪客與兒童區域劃分獨立網路或 VLAN（虛擬區域網路，將一個實體網路分割為多個隔離的邏輯網路），且各具備獨立的原則。
• 行動裝置管理 (MDM): 在學校擁有的裝置上強制執行瀏覽器策略並封鎖 VPN 應用程式，包括在校外時。
• Captive portal: 訪客連線前看到的登入頁面。在 Guest WiFi 上，這是您展示可接受使用策略並取得同意的地方。

Shield、DNSFilter 與 Cisco Umbrella 比較

這三者都在 DNS 層級進行過濾，且三者都能強制執行 Safe Search。它們的差異在於其核心設計目的。

	Purple Shield	DNSFilter	Cisco Umbrella
過濾發生的位置	DNS 查詢	DNS 查詢	DNS 查詢，可選配安全 Web 閘道
是否需要新硬體	不需要：只需變更 WiFi 發放的 DNS	不需要：DNS 轉發或漫遊 Agent	DNS 層級不需要；內部 IP 歸因可選配虛擬裝置
強制執行 Safe Search	Google、Bing 與 YouTube	Google、Bing 與 YouTube	Google、Bing 與 YouTube
網路外裝置	涵蓋您場地 WiFi 上的裝置；帶回家的裝置請使用 MDM	漫遊用戶端 Agent	Cisco Secure Client 中的漫遊模組
管理平台	Purple 平台，與 Guest WiFi 及 Staff WiFi 一同管理	DNSFilter 儀表板	Cisco Umbrella 儀表板，位於 Cisco Secure Access 內
最適合的場景	已在使用或準備轉用 Purple WiFi 的場地	MSP 及基於 Agent 的端點設備群	已標準化採用 Cisco 安全性方案的組織

如果您的信託機構或理事會已經運行 Cisco Secure Access，並希望使用單一安全性廠商，請選擇 Cisco Umbrella。如果您需要在每台帶回家的筆記型電腦上安裝 Agent，並以 MSP 身份管理多個租戶，請選擇 DNSFilter。如果您的首要任務是場地 WiFi 本身：在學生和訪客加入的網路上進行過濾、威脅防護與廣告封鎖，並與您的 WiFi 一同管理，請選擇 Shield。如需更廣泛的市場觀點，請閱讀 適用於訪客與公共 WiFi 的最佳防護型 DNS。

實際運作方式為何？

以下兩個情境為示意性的綜合案例，根據上述部署模式建立而成。

正在努力取得 Friendly WiFi 認證的郡立圖書館服務

情境。 圖書館服務在多個分館的單一共享網路上運行公共 WiFi。兒童作業社團和成年訪客使用相同的 SSID。其舊有過濾器運行在每個分館的防火牆上，且大多數分館允許顯示露骨的 Google 圖片搜尋結果。

採取的行動。 IT 負責人將每個分館拆分為兩個網路：採用嚴格策略的兒童網路，以及採用較寬鬆策略的成人網路。兩者都指向可封鎖色情內容和 IWF 列出內容的防護型 DNS 解析器，這符合 Friendly WiFi 的最低要求。兩個網路的 Google 與 Bing Safe Search 都被鎖定。YouTube 受限模式對兒童設定為嚴格，對成人設定為中等。防火牆封鎖了除該防護型解析器以外的所有出站 DNS 流量。

可衡量的成果。 團隊在每個分行的兩個網路上測試了固定的類別和搜尋詞彙清單。每個分行都通過了測試，結果作為證明提交給 Friendly WiFi 申請。分行員工現在根據書面的允許清單程序處理成人的解除封鎖請求，且服務會記錄每個請求和解決時間。

彌補 DoH 漏洞的多學院信託基金（multi-academy trust）

背景情況。 某信託基金營運多所中學，並為高中生（sixth formers）提供個人裝置 WiFi。一位指定保護主管（DSL）注意到學生在自己的手機上造訪被封鎖的社交和遊戲網站。學校擁有的筆記型電腦則沒有出現此類問題。

採取的行動。 網路管理員審查了上表中的繞過途徑。解析器現在對 Firefox canary 網域和 iCloud Private Relay 網域不返回任何回應。每所學校的防火牆均封鎖連外的 853 連接埠以及連往公共解析器的 53 連接埠。在學校擁有的筆記型電腦上，MDM 將 Chrome 和 Edge 的安全 DNS 設定為關閉。代理伺服器和匿名工具類別在高中生網路上被封鎖。

可衡量的成果。 執行 Firefox、開啟 Private Relay 的 Safari 以及 Android Private DNS 的測試手機全部退回使用學校的解析器。封鎖類別隨後按預期生效。繞過訊號查詢現在會出現在 DSL 審查的每月報告中，該報告會納入信託基金根據 DfE 標準進行的年度過濾審查。對於這種規模的資產，針對 MSP 和多站點資產的 DNS 過濾 涵蓋了跨站點的集中策略管理。

您應該瞭解的 DNS 過濾局限性是什麼？

請向您的管理人員明確說明 DNS 過濾無法做到的事情。

• 它作用於網域，而非特定頁面。 它無法封鎖原本允許的網域上的單一有害頁面。YouTube 受限模式和嚴格搜尋（Safe Search）縮小了該差距，但無法完全彌補。
• 這是過濾，而非監控。 DfE 標準將監控視為一項獨立的職責。在共享網路上，DNS 日誌顯示的是裝置，而非具名的學生。個人歸因需要個人身份驗證，例如 IEEE 802.1X（使用個人憑證的基於連接埠的網路存取控制）或 iPSK（每人唯一的預共用金鑰）。Purple 的 Identity-Based Networks 同時提供這兩者。
• 它止於您的網路邊緣。 在家庭寬頻上使用的帶回家裝置需要 MDM 或代理程式（agent）。
• 應對蓄意的繞過行為需要多個防護層。 尚未被分類的 VPN 仍可進行隧道傳輸，直到您的防火牆或 MDM 攔截它為止。

這些都不是跳過 DNS 過濾的理由。每一點都是將其與正確控制措施相結合，並在年度審查中記錄該結合情況的理由。

您接下來應該做什麼？

1. 梳理您營運的每個網路以及每個網路的受眾：教職員、學生、訪客和兒童。
2. 針對每個受眾撰寫策略，並由 DSL 核准這些類別。
3. 將試點站點的 DHCP DNS 指向保護性解析器並鎖定嚴格搜尋（Safe Search）。
4. 封閉上表中的繞過途徑，並使用真實裝置進行測試。
5. 在正式上線前，先確認好您的報表套件與資料保留期限。
6. 立即排定年度審查，確保計畫按時執行。

若想了解 Purple 如何在您現有的 WiFi 上處理過濾、威脅防護與廣告攔截，請從 Shield 開始。如需相關主題，請瀏覽 所有指南。

常見問題

我們需要新硬體才能在學校 WiFi 加入 DNS 過濾嗎？

不需要。Shield 的運作方式是變更您的網路提供給裝置的 DNS 伺服器，因此您的基地台、控制器與交換器皆可保留原樣。它可在 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet 上運作。您可以新增防火牆規則來攔截連至其他解析器的出站 DNS 與 Port 853，但這只是在您現有設備上進行的設定。

單靠 DNS 過濾符合 KCSIE 要求嗎？

不符合。DNS 過濾涵蓋了 KCSIE 的過濾部分，但 DfE 標準將監控視為一項獨立的職責。您還需要指定角色、進行年度審查並建立監控方法。請確認您的過濾提供商是 IWF 會員，且能攔截 CTIRU 恐怖主義內容清單，正如 UK Safer Internet Centre 對適當過濾的定義所預期的。然後記錄過濾、監控與您的安全防護流程如何結合在一起。

從 Cisco Umbrella 或 DNSFilter 轉移有多難？

轉移本身是 DNS 的變更，而不是硬體專案。首先，在新服務中重新建立您的類別與 Safe Search 政策。在一個試點站點平行運行，並使用真實裝置測試被攔截的類別、Safe Search 和旁路控制。然後逐一更新各站點 DHCP 範圍內的 DNS 伺服器。請先匯出您的舊報表，以便年度審查能保留歷史紀錄。

Shield 如何計價授權？

Shield 是 Purple 的 Connect、Capture 和 Engage 方案的安全附加功能，與 SecurePass 及 Verify 並列。您購買的是軟體授權而非實體設備，因此沒有硬體成本或更新週期。您的報價會反映您營運的場地與網路數量。多學院信託（MAT）或圖書館服務可以將所有站點納入單一合約，並從 Purple 平台進行管理。

圖書館可以在不削弱對兒童保護的前提下，為成年人解除網站攔截嗎？

可以。最乾淨做法是區分不同網路：兒童所在的區域採用嚴格政策，成年訪客則採用較寬松的政策。在美國，CIPA 允許圖書館為進行正當研究或其他合法目的的成年人停用過濾。無論您屬於哪個管轄區，請記錄每一次的解除攔截請求及其結果，以便證明成年人獲得了存取權限，同時兒童也沒有失去保護。

根據 GDPR，DNS 過濾記錄屬於個人資料嗎？

是的，當日誌可以連結到可識別身份的人員時。在 UK GDPR 規範下，這意味著必須設定保留期限、限制指定員工的存取權限，並在您的隱私聲明中說明您的合法依據。在共用網路上，日誌通常是識別裝置而非人員，這能降低風險。Purple 擁有 ISO 27001、GDPR、CCPA 與 Cyber Essentials 認證，能為您的資料保護影響評估提供支援。

如果我們運行了 DNS 過濾，還需要防火牆嗎？

是的。DNS 過濾會在建立連線前阻擋有害和惡意網域，但它無法取代邊界安全。您的防火牆仍會控制輸入存取並進行網路分割。它還能阻擋向未授權解析器發出的輸出 DNS 和 port 853 要求，從而封堵加密 DNS 規避漏洞。這兩個防護層相互搭配效果最佳：由 DNS 決定解析哪些名稱，並由防火牆確保每一次查詢都透過您的解析器進行。