DNS 過濾與安全 Web 閘道：何時需要更高階的工具

為 90 個國家/地區中超過 80,000 個場地的非託管 WiFi 裝置提供保護時，無須安裝任何硬體，即可選擇符合 RFC 1035 解析層級的 DNS 過濾。若要在使用 Microsoft Entra ID 等平台的託管裝置上檢查完整 URL、下載或上傳內容，請選擇安全 Web 閘道。DNS 過濾可在連線建立前攔截惡意目的地，而閘道則會代理並解密流量。

DNS 過濾與安全 Web 閘道：簡短解答

解答取決於一個問題：您需要查看連線內部的內容，還是只需要知道連線的方向？

DNS 過濾在功能上由功能變數名稱決定。它會拒絕解析惡意或不受歡迎的目的地，因此裝置永遠不會建立連線。安全 Web 閘道 (SWG) 是位於流量路徑中的代理伺服器。它可以讀取完整的 URL、檔案和頁面，但前提是必須先解密 TLS。

在訪客 WiFi 上，問題迎刃而解。您無法在訪客的手機上安裝根證書。如果沒有該證書，閘道就無法在不引發證書錯誤的情況下解密流量。DNS 過濾無需安裝任何軟體，即可保護網路上的每台裝置。這就是為什麼它成為餐旅業、零售業、交通樞紐和活動場地的首選預設方案。

在處理受管制資料的託管員工筆記型電腦上，閘道物有所值。您需要用它來檢查上傳內容、強制執行 URL 路徑規則，或應用資料遺失防護 (DLP)。DLP 可防止敏感資料離開您的網路。

大多數場地都需要在每個網路上配備保護性 DNS，並在少數託管裝置上配備閘道（如果確實需要的話）。Purple Shield 提供第一部分的功能。它可以獨立執行於任何 WiFi 上，也可以與 Purple Access 搭配使用，並為每個網路和 VLAN 設定策略。如需了解 DNS 方法的更廣泛界限，請參閱我們的 DNS 過濾限制 概覽。

我們比較的內容，以及這些標準如何決定選擇

我們根據八項標準對這兩種方法進行了評分。每項標準都對應 IT 安全經理或場地營運經理在評估過濾範圍時所做的決策。我們從各自的公開資料以及兩種方法的實際部署經驗中提取了每種選項的功能。

部署位置居於首位，因為它決定了其他七個要素。DNS 過濾部位於名稱解析，即 RFC 1035 中定義的尋找作業。每台裝置在連線前都會向解析程式查詢地址。保護性 DNS 解析程式會根據威脅情報和類別策略檢查功能變數名稱，然後回應或拒絕。

由於該檢查發生在任何連線建立之前，因此它可以捕捉防火牆遺漏的內容。防火牆規則關鍵在於 IP 地址和連接埠。惡意功能變數名稱會跨越共享的雲端地址移動，而防火牆無法安全地封鎖這些地址。 安全 Web 閘道則地位於連線內部的較後階段。流量透過端點代理程式、Proxy 自動設定 (PAC) 檔案或內嵌式設備到達閘道。為了讀取 HTTPS，閘道會終止 TLS、檢查內容並重新加密。這種深度需要在其檢查的每台裝置上安裝受信任的根憑證。

八項標準：

• 位置： 過濾器在連線中的何處做出決定。
• 能見度： 過濾器可以看到什麼，從功能變數名稱到頁面內容。
• 未管理裝置： 是否涵蓋訪客與 BYOD (攜帶個人裝置) 流量。
• 部署腳印： 所需的硬體、代理程式與憑證。
• 效能： 過濾器增加的延遲與頻寬。
• 失效行為： 當服務無法連線時會發生什麼情況。
• 抗繞過能力： 裝置繞過過濾器的難易程度，例如透過 DNS over TLS (DoT) 或 DNS over HTTPS (DoH)。
• 隱私腳印： 過濾器處理多少個人資料。

在市場上，這兩者的界線並不總是那麼清晰。DNSFilter 是一項保護性 DNS 服務，與 Shield 屬於同一類別。Cisco Umbrella 銷售 DNS 層級安全性，並在其較高階的套件中提供完整的安全 Web 閘道，因此它涵蓋了此比較領域的兩端。在評估任何廠商時，請確認每個套件所提供的層級，而不是僅依賴產品名稱。

DNS 過濾與安全 Web 閘道器有何比較？

有兩行值得仔細研讀。在可視性方面，閘道器完全勝出。DNS 過濾器看得見 example.com，但永遠看不見該網站上的檔案路徑。我們在 為什麼 DNS 過濾無法看見完整 URL 中解釋了原因。在未受控裝置方面，DNS 過濾完全勝出，因為訪客防護覆蓋不需要任何憑證，也不需要代理程式。

其餘各行則是您可以管理的權衡取捨。您可以透過防火牆規則阻擋加密 DNS 的繞過行為。在規格適當的雲端服務上，閘道器延遲是可以接受的。故障防護機制取決於產品本身，這也是為什麼我們明確說明 Shield 的機制：它會失敗即關閉 (Fail-closed)。

DNS 過濾的勝出情境

訪客 WiFi 與未受控裝置

WiFi 網路上的每台裝置都會使用 DHCP 所指派的 DNS 伺服器。將該伺服器指向防護解析器，每一部手機、筆記型電腦、遊戲主機和智慧電視就能獲得防護。完全不需要安裝任何東西。Captive Portal (網路連線前顯示的登入頁面) 保持原樣。在大規模應用中，這是過濾訪客、住戶、乘客與球迷唯一切實可行的方法。

多個據點，無須新增硬體

切換至 DNS 過濾是一項設定變更，而不是一項大型專案。Shield 可在您現有的 WiFi 架構上運作，包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 以及 Fortinet。

您可以針對每個網路與每個 VLAN 設定原則。因此，同一個場域中適合家庭使用的訪客網路與員工網路可以執行不同的規則。您的員工網路可以透過基於連接埠的網路驗證標準 IEEE 802.1X 按角色分配 VLAN。如果是這樣，角色專屬的 DNS 原則即可直接適用，無需代理伺服器。

更早攔截威脅

DNS 在任何流量傳輸前就能識別意圖。受釣魚攻擊的裝置在連線前必須先查詢功能變數名稱；感染惡意軟體並回傳資料至指揮控制伺服器的裝置亦然。Shield 能在威脅生命週期的更早階段、也就是建立 Web 連線之前予以標記。這段預先反應的時間，決定了釣魚功能變數名稱是在第一次點擊之前還是點擊之後被封鎖。

更輕量的網路

廣告封鎖發生在同一個層級。啟用廣告封鎖功能時，能減少頻寬使用量並降低 DNS 查詢量。在後傳網路頻寬有限且擁擠的場域網路中，無需增加新支出即可找回可用容量。

確保安全的失敗機制

Shield 採用 failure-closed 機制，因此突發故障絕不會讓網路失去過濾保護。這對訪客網路至關重要，因為您必須承擔任何載入內容所帶來的商譽風險。我們在 DNS 過濾失敗開放與失敗關閉比較 中說明了權衡取捨。

更小的隱私足跡

DNS 過濾器處理的是功能變數名稱而非頁面內容。根據 GDPR，這比解密的瀏覽會話屬於更窄範圍的個人資料。您的處理記錄也因此保持更簡潔。

安全 Web 閘道展現優勢之處

請務必精準瞭解閘道的優勢。如果您假設 DNS 過濾能涵蓋這些功能，您的安全性計畫將會出現真正的漏洞。

完整的 URL 與路徑控制

部分原則存在於功能變數名稱之下。您可能希望允許某個雲端儲存服務，但封鎖其中一個共享資料夾；或者希望允許新聞網站，但封鎖其留言頁面。只有看得見完整 URL 的代理伺服器才能執行這類規則。共享平台是最棘手的情況，因為 DNS 過濾器必須對整個功能變數名稱進行允許或封鎖。

檔案與內容檢查

閘道可以掃描下載內容中的惡意軟體、封鎖檔案類型並沙盒化未知的可執行檔。DNS 過濾能阻止連線至已知的惡意功能變數名稱；但 hosted 在信任功能變數名稱上的惡意檔案仍會通過。

資料遺失防護

您的員工可能會處理屬於 PCI DSS 範圍內的支付卡資料或病患紀錄。若是如此，您可能需要檢查上傳內容中是否包含敏感內容。這需要解密的流量，以及網關或專用的 DLP 工具。

網路之外的個人化策略

網關 Agent 會透過從 Microsoft Entra ID、Okta 或 Google Workspace 同步的具名身分來套用策略。該策略會跟隨受控取的筆記型電腦延伸至居家寬頻或飯店 WiFi。Shield 的策略是針對每個網路與 VLAN 設定，這非常適合場館與固定據點。在受控裝置上的遠端工作團隊，可能需要無論員工在何處連線都能執行的個人化強制存取策略。

應用程式控制

許多網關可以解碼具名應用程式的流量。例如，它們可以允許員工讀取檔案分享服務，但阻止上傳檔案至該服務。DNS 過濾可以允許或封鎖應用程式的網域，但無法控制應用程式內部的單一操作。

如果您正在根據風險登記表衡量這些缺點，請參閱 DNS 過濾是否足夠？，瞭解與保護性 DNS 搭配使用的控制措施。

每種方式的營運成本是多少？

這兩種方法的定價方式不同，因此請比較它們的成本結構，而非只看標價。我們不提供競爭對手的報價。請向各廠商確認最新的條款。

閘道器（gateway）的隱性成本在於憑證與例外狀況管理。固定憑證（pin certificates）的應用程式在 TLS 檢查下會無法運作，因此每個應用程式都需要設定例外。基於隱私考量，大多數部署都會將金融與醫療網站列入豁免。每一項豁免都會變成必須有人維護的規則。代理程式（agent）也需要在整個裝置陣列中進行更新。這並非系統缺陷，而是能夠檢視內部流量所付出的代價。

DNS 過濾的營運成本在於策略維護與旁路控制。您需要審查類別決策、處理允許請求，並在新的公開解析程式出現時，隨時更新加密 DNS 的防火牆規則。

從 DNS 過濾轉移至閘道器（或反之）包含哪些步驟？

從代理伺服器轉移至訪客網路上的 DNS 過濾

這是最常見的轉移方式。團隊經常發現訪客 WiFi 上的代理伺服器除了主機名稱之外幾乎無法過濾其他內容，因為它無法解密訪客流量。具體步驟如下：

1. 匯出您目前的代理伺服器類別以及允許和封鎖清單。
2. 將其對映至 DNS 類別。URL 路徑規則沒有對應的 DNS 規則，因此請針對每條規則決定要允許還是封鎖整個網域。
3. 將每個網路 DHCP 範圍中的 DNS 伺服器指向防護解析程式。
4. 封鎖對其他解析程式的外部 DNS、連接埠 853 上的 DoT 以及已知的 DoH 端點。
5. 從真實的訪客裝置進行測試，然後停用該網路的代理伺服器規則集。

Shield 的設定步驟已包含在 Shield 運作方式 中。加密 DNS 標準為 DoT 的 RFC 7858 和 DoH 的 RFC 8484。

為受管理裝置新增閘道器

這項轉移工作較為繁重，應僅限於有此需求的裝置。請透過您的行動裝置管理（MDM）平台部署根憑證。推播代理程式或 PAC 檔案，然後為固定憑證的應用程式與隱私敏感類別建立例外。在開始檢查之前，請完成資料保護影響評估（DPIA）。同時請維持底層的 Shield 運作，因為它仍能覆蓋閘道器未涵蓋的每台裝置。

同時運行兩者

分層使用兩者是混合場域中最穩健的設計。Shield 能在解析階段封鎖已知的惡意網域，涵蓋訪客與員工網路。接著閘道器會深入檢查受管理的流量。由於 DNS 已預先過濾惡意目標，到達代理伺服器的有害流量就會減少。請對齊這兩種類別策略，確保在某個分層被封鎖的網域不會在另一個分層被允許。

如何在 DNS 過濾與安全 Web 閘道器之間做出選擇

請參考以下決策原則：如果您未擁有該設備，請使用 DNS 過濾。如果您擁有該設備且必須檢查流量內部細節，請僅在這些設備上新增閘道。在其餘所有情況下，保護型 DNS 都是大小最適切的工具。

您的下一步是列出您的網路與 VLAN，並標記哪些網路包含未管理設備。這些網路應立即套用保護型 DNS。接著請參閱 Shield 如何運作 以了解部署方式。若要了解圍繞身分驗證、加密與安全隔離等更廣泛的控制措施，請閱讀我們的 企業 WiFi 安全指南。

常見問題

DNS 過濾的維運成本是否比安全 Web 閘道更低？

通常是的，因為 DNS 過濾不需要硬體、不需要端點代理程式 (Agent)，也不需要憑證管理。閘道會增加按席位或設備計算的授權費用、代理程式維護、根憑證更新，以及針對在檢查下會故障之應用程式的例外規則。請比較總維運成本而非僅比較授權項目，並向各廠商確認最新的條款。

Purple Shield 是否能搭配我現有的 WiFi 硬體運作？

是的。Shield 運作於 DNS 層，因此可在任何 WiFi 上運行，包括 Cisco Meraki、HPE Aruba、Ruckus、Juniper Mist、Ubiquiti UniFi、Cambium、Extreme 與 Fortinet。您只需要將每個網路的 DNS 指向 Shield，並針對每個網路和 VLAN 設定原則即可。它可以獨立運行，也可以與 Purple Access 搭配運行，現場無需安裝新硬體。

DNS 過濾可以取代安全 Web 閘道嗎？

在訪客與場館網路上可以，但無法取代您必須檢查流量內部細節的情境。DNS 過濾會在建立任何連線前封鎖惡意與不良網域，這涵蓋了訪客的大部分威脅與內容防護需求。但它無法針對 URL 路徑強制執行規則、無法掃描受信任網域上的檔案，也無法檢查上傳內容以防止資料外洩。請為需要這些控制措施的受管理設備保留閘道。

我可以同時執行 DNS 過濾與安全 Web 閘道嗎？

是的，在混合型站點中，這是最強大的架構設計。Shield 會在 DNS 解析階段過濾每台裝置，包括閘道無法檢查的訪客裝置。接著，閘道會深入檢查受控的管理員工裝置。由於 DNS 會先封鎖已知的惡意網域，因此到達代理伺服器的惡意流量會大幅減少。請保持兩種類別策略一致，確保在其中一層封鎖的網域不會在另一層獲得允許。

安全 Web 閘道是否適用於訪客 WiFi？

僅能部分發揮作用。如果裝置上沒有受信任的根憑證，閘道就無法在不引發憑證錯誤的情況下解密 HTTPS。您無法在訪客的手機上安裝憑證。閘道仍可根據 TLS 握手過程中傳送的主機名稱進行過濾，這與 DNS 過濾的作用非常相似，但所需的基礎架構更少。針對訪客 WiFi，防護型 DNS 是最切合實際的選擇。

如果 DNS 服務中斷，過濾機制會怎樣？

使用 Shield 時，過濾功能會保持開啟。Shield 採用故障關閉 (fail-closed) 機制，因此服務中斷絕不會讓網路處於未過濾狀態。採用故障開放 (fail-open) 機制的服務則會將裝置傳送至未過濾的解析器以維持流量順暢，但這會使網路在服務中斷期間暴露於風險之中。請要求每家廠商以書面形式說明其故障處理行為，並在上線前進行測試。

TLS 檢查是否相容於 GDPR？

可以相容，但相比 DNS 過濾，它需要更多的治理工作。解密員工流量會處理其通訊的內容。因此，您需要具備合法依據、資料保護影響評估以及對員工的明確通知。大多數部署也會將金融與醫療網站納入豁免。DNS 過濾僅處理網域名稱，其影響範圍較窄，更容易進行合理化說明與記錄。

從代理伺服器轉移到 DNS 過濾需要多少工作量？

比大多數團隊預期的要少，因為切換作業僅需針對每個網路進行 DNS 變更。主要工作分為三個部分：將代理伺服器類別對映至 DNS 類別、決定如何處理沒有 DNS 對應項目的 URL 路徑規則，以及在防火牆上記錄並封鎖加密的 DNS。在廢除舊規則集之前，請務必先從真實裝置測試每個網路。