保护性 DNS 解析：工作原理及其重要性
Published
酒店大堂里的访客点击了一个链接，页面开始加载。在浏览器能够连接到该网站之前，访客的设备需要确定该网站在互联网上的位置。这次悄无声息的查询恰恰提供了一个检查是否允许访问该目标的契机。
防护性 DNS 在这一常规步骤中加入了安全决策。它可以帮助企业保护共享网络上的用户和设备，但前提是流量必须使用该托管解析器。理解这一区别有助于更轻松地规划性能、例外情况、绕过路径和隐私保护。
目录
- 为什么每次网站访问都始于 DNS 查找
- 保护性 DNS 在域名解析阶段的作用
- 策略执行如何在整个网络中发挥作用
- 性能影响与可衡量的页面加载提升
- 大型场馆与企业中的真实应用场景
- 为您的网络选择合适的方法
- 评估保护性 DNS 的价值：超越单纯的拦截计数
- 规划保护性 DNS 部署的下一步行动
为什么每次网站访问都始于 DNS 查询
网站名称便于人们记忆。而计算机需要网络地址才能建立连接。域名系统 (DNS) 负责提供这种转换，就像电话簿将人的姓名转换为可以拨打的电话号码一样。
当访客点击链接时，浏览器会向 DNS 解析器请求与该网站名称关联的地址。解析器查找答案并将其返回。随后，浏览器便可尝试连接到目标地址。DNS 本身不传输页面内容，但它能帮助设备找到向何处请求页面。
这一序列创建了一个有用的安全检查点。如果解析器将请求的域名识别为已知威胁，它可以在浏览器建立连接之前拒绝提供可用的解答。防护性 DNS 服务会在这一查询阶段应用安全策略，而不是等待已下载的文件或端点上的可疑行为。
实际区别： DNS 帮助设备查找目标。防护性 DNS 增加了关于查找是否应该成功的决策判断。
这在许多人和设备共享网络基础设施的场所尤为重要。一家酒店可能有客人的手机、员工的笔记本电脑、支付终端和已连接的楼宇设备，它们使用的是同一整体网络的不同部分。办公室、住宅区或公共场所也面临着类似的挑战，只是用户和设备类型有所不同。
防护型 DNS 能够为此类查询提供统一的检查点，但它并非一套完整的安全方案。它无法保护规避受管解析器的设备，也无法替代终端防护、访问控制或严谨的网络设计。真正有价值的问题在于：解析器如何做出决策、企业如何确保设备处于预期的路径上，以及有哪些证据可以证明该服务在不造成业务中断的前提下发挥作用。
防护型 DNS 在名称解析阶段的作用
防护性 DNS 是一种执行策略的递归解析器。递归解析器代表设备处理请求，而防护性 DNS 则应用规则来决定所请求的目标是否应当收到正常的 DNS 应答。它不仅仅是速度更快或经过加密的 DNS。
从头到尾跟踪一次查询：
- 设备请求域名。 浏览器、应用或其他进程在尝试连接到命名目标之前需要获取地址。
- 解析器检查请求。 它会将域名与已配置的策略和威胁情报进行比对。更强大的实现方式还可以检查解析后的 IP 地址，从而有助于评估名称背后的基础设施。
- 解析器返回结果。 如果策略允许该请求，解析器将提供答案。如果不允许，服务可以阻止解析、返回空响应或将客户端重定向到警告页面。具体行为取决于产品和策略。
部分实现方案会检测基于算法生成的域名 (DGA)，恶意软件常利用这些域名来寻找命令与控制 (C2) 基础设施。域名字符中的异常模式（包括高熵值）可作为进一步评估策略的信号。此类分析能够补充威胁情报数据，但企业仍需验证所选服务如何处理检测与例外情况。
加密和真实性并不等同于安全决策
DNSSEC 有助于验证已签名 DNS 数据的完整性和真实性。DNS over HTTPS (DoH) 和 DNS over TLS (DoT) 在传输过程中保护 DNS 查询。这些特性固然重要，但它们本身并不能判定某个存在的域名是否为恶意域名。防护性 DNS 恰恰是在解析器端做出这一策略决策。
对于正在评估 Web 访问和云服务控制措施的团队来说，这种区别可以与关于 保护 Microsoft 365 业务环境 的更广泛指导相结合。核心要点在于，避免将加密传输或已认证的数据视为替代目的地风险决策的手段。
策略实施如何在整个网络中运行
如果设备可以通过路由将 DNS 绕过解析器，那么即便解析器对单个请求做出了明智的决策，也依然无法保护整个网络。因此，全网范围的部署涉及两个相关的要素：一致的策略和通往解析器的可靠路径。
集中化设计可将来自多个站点的 DNS 请求发送至一个托管服务。这使得跨场所应用共享规则和审查活动变得更加容易。同时，这也将可用性转变为一项安全要求。如果解析器无法连接，即使网络的其余部分工作正常，普通的 Web 访问和依赖 DNS 的服务也会失灵。
美国政府的防护型 DNS 服务于 2022 年 9 月面向联邦文职行政部门机构开放。到 2024 年 8 月，已有超过 104 家机构入驻，每天产生平均 16 亿次安全 DNS 查询；该项目报告称解析器正常运行时间达到了 99.999%（CISA 防护型 DNS 事实清单）。运营方面的经验表明，过滤质量和服务可用性需要放在一起评估。
应用身份识别，无需倍增策略
员工、访客、居民和连接设备并不一定需要相同的规则。网络可以根据身份或网络分段分配不同的策略，例如员工网络、访客 WiFi 以及用于建筑物设备的隔离网络。其目标是在保持管理便捷的同时，使策略契合用户或设备的需求。
访问控制工具有助于建立这种隔离，而网络流量监控则可以帮助团队 调查异常的网络活动。有关网络访问控制如何融入受管环境的相关视角，请参阅这些 网络访问控制解决方案。
有意识地关闭绕过路径
如果设备可以直接将普通 DNS 发送到外部解析器，防护性服务可能永远无法接收到该请求。DoH 和 DoT 带来了另一个挑战：加密虽然可以保护传输中的查询，但未管理的解析器也可能会使其脱离组织策略和可见性的监管。
在需要强制执行的场景中，团队应明确直接 DNS 路径及未经授权的加密 DNS 目的地，然后决定网络、终端和浏览器控制措施将如何对其进行处理。同时也要测试例外情况。Captive Portal、移动设备、IPv6 以及自带解析器设置的应用，其行为方式可能与企业网络中受管理的笔记本电脑大相径庭。安全策略仅在企业能够管理的路径上生效。
性能影响与可衡量的页面加载提升
防护性 DNS 服务并不一定会明显减慢浏览速度。其影响更多取决于实际的设计选择，而非过滤本身：解析器的位置、缓存应答的方式、保持连接的方式，以及设备是否会绕过它。
当连接需要在发送查询之前建立 TCP、TLS 或 HTTP 时，加密 DNS 会增加设置时间。复用持久会话可以避免重复进行大部分设置。根据 对加密 DNS 性能的独立测量，TLS 1.3、0-RTT、HTTP/2 多路复用和 QUIC 也可以减少连接开销。在良好的网络条件下，原始查询延迟可以忽略不计，但这并不能保证适用于每个客户端或网络路径。
测试查询，而不仅仅是展示
就近的高可用解析器和符合标准的缓存有助于保持日常查询的高响应性。但单一的平均延迟数值可能会掩盖部分用户的缓慢体验，或掩盖解析器必须获取未缓存答案时的延迟情况。
分别针对冷缓存和热缓存测量 p50、p90 和 p99 查询延迟。中位数反映典型查询情况；较高的百分位数则揭示可能会对用户造成更严重影响的较慢案例。请将查询速度与完整页面加载时间区分开来，因为 DNS 只是浏览器访问过程中的一部分。
包含可能暴露异常情况的测试条件
从人们使用的各种网络和设备进行测试，包括移动客户端、IPv6 和 Captive Portal。检查可能选择其自身的 DoH 或 DoT 服务的应用和浏览器，因为它们会改变 DNS 请求的路径和可见性。
在分布式测量中，已被观察到 DoQ (DNS over QUIC) 的性能接近明文，并且相比 DoH 改善了某些页面加载情况。应将这些发现视为在您自己的环境中测试传输选择的理由，而不是对特定结果的保证。实际的目标是使用就近的解析器、有效的缓存、可复用的加密会话，以及避免留下未受管路径的设计。
场馆与企业中的真实应用场景
全国范围的部署展示了当众多组织共享一个托管安全层时，防护型 DNS 所能发挥的作用。在英国，使用防护型域名系统服务的组织数量在 2022 年从 944 家增加到 1,173 家，增幅达 24%。在这一年里，该服务处理了约 5500 亿次 DNS 查询，并拦截了 110 亿次与恶意目的地相关的请求，约占所有查询的 2%（英国 NCSC PDNS 摘要）。
这一规模说明了在尝试建立连接之前做出决定的价值。这并不意味着每个被拦截的请求都会演变成安全事件，也不意味着仅凭 DNS 就能阻断通往威胁的每一条路径。对于多分支机构运营者而言，有价值的比较在于服务是否能够一致地应用策略、生成可操作的电信测量数据，并处理该环境下的流量和异常情况。
请考量同一个检查点如何适应不同的场馆：
- 酒店和住宅物业： 将访客或住户访问与员工及建筑物设备隔离。Captive Portal、旧设备或住户偏好的加密解析器都可能产生需要提前规划的例外情况。
- 机场和体育场馆： 在高流动性的公共访问网络中应用统一基线，同时保持运维网络和员工网络的独立性。注意未管理设备以及需要有记录的例外情况的连接需求。
- 医疗与教育机构： 限制对有害目标的访问，同时不封堵用于护理、教学或管理的合法服务。当策略拦截了工作所需的内容时，提供明确的复核途径。
- 零售与购物中心： 将访客流量与收银机、员工设备和其他运维设备区分开来。规划访客访问的零售团队在思考访问与策略如何结合时，可能会发现这些 零售 WiFi 解决方案 很有帮助。
针对该主题的简要介绍也可以帮助团队在 DNS 层的作用和局限性上达成一致：
在每种场景下，DNS 过滤都只是一种局部控制措施，并不保证能够拦截每一个威胁。用户可以通过其他解析器或直接访问 IP 地址来连接基础设施，应用也可以使用不依赖企业 DNS 路径的协议。因此，部署时除了策略本身，还需要异常处理和监控机制。
为您的网络选择合适的方案
防护性 DNS 在解析器端发挥作用。终端代理、浏览器设置和网络控制分别作用于不同的节点，因此团队通常会选择组合方案，而非单一的替代品。具体的组合取决于谁负责管理设备、网络可以识别哪些流量，以及如何处理例外情况。
| 控制手段 | 最佳适用场景 | 可见性 | 常见局限性 |
|---|---|---|---|
| 防护性 DNS | 共享网络、托管资产以及 DNS 策略强制执行 | 通过解析器的 DNS 请求 | 未托管的解析器和非 DNS 路径可绕过该控制 |
| 终端 Agent | 需要在网络外提供保护的托管笔记本电脑和移动设备 | 已安装 Agent 可见的活动 | 覆盖范围取决于 Agent 的安装、健康状态和管理情况 |
| 浏览器策略 | 可管理解析器和浏览设置的托管浏览器 | 浏览器配置和选定的浏览器活动 | 无法管理所有应用或未托管的浏览器 |
| 网络层级控制 | 分段网络以及通过托管基础设施的流量 | 控制覆盖范围内的网络流量 | 加密流量或网络外流量可能会限制深度检测 |
| 身份与访问控制 | 具有不同访问需求员工、访客、居民和设备组 | 与身份或网段关联的连接和访问决策 | 允许连接本身并不对每个目标做出安全评估 |
对于受管笔记本电脑，终端和浏览器控制可以补充解析器策略，特别是当员工在办公室外工作时。访客 WiFi 和 BYOD 更难通过 Agent 进行管理，因此网络端控制更为实用，前提是企业能够将 DNS 引导至其选择的服务。IoT 和住宅设备通常需要进行网络切分，并制定考虑到设备管理手段有限的策略。
对于正在对比网络身份、过滤以及面向用户的检查的团队，mailX 提供的免费 DNS 与电子邮件检查工具 可以作为全面评估访问控制时的有力补充资源。如果管理范围内包含支付环境，还需考量 WiFi 设计与 PCI 合规要求 如何影响网络隔离与日常管理。
Purple Access 在现有接入点上融合了开放、安全和 xPSK 网络选项，并具备 Captive Portal 入网和身份驱动的网络分配功能。Purple Shield 则增加了防护型 DNS 和包含单项策略控制的内容过滤。这些功能可以与端点和浏览器控制协同工作，但并不能免除定义解析器执行、例外情况和监控的必要性。请根据您需要保护的路径和设备选择工具，然后验证它们的策略是否能够协同发挥作用。
超越拦截数量：评估防护型 DNS 的实际价值
被拦截的查询总数仅说明解析器采取了行动。但它本身并不能说明解析器是否拦截了正确的请求、是否干扰了正常工作，或者是否遗漏了走其他路由的流量。记录决策次数，但更要衡量控制效果。
欧洲互联网行业协会的 DNS 研讨会报告显示，在前六个月中共收到 230 万份滥用报告，涉及 78 万个独立域名，月度报告数量从 22 万份增加到 38 万份（研讨会报告）。这些数字展示了已报告滥用行为的规模。但它们并不能证明解析器阻止了多少起事件、封锁是否正确，或者受影响的流量是否通过 VPN、替代解析器、硬编码 IP 地址或加密应用协议到达了目的地。
围绕结果和异常情况建立记分卡
有效的审查应结合安全性、服务质量和运维响应。跟踪解析器是否检测到了已知恶意域名、团队处理误报申诉的速度有多快，以及策略变更是否及时送达目标场所。将这些指标与解析器可用性以及中位数和尾部查询延迟相结合。
同时衡量绕过尝试。被拦截请求数量偏低可能意味着环境中很少存在恶意活动，但也可能意味着设备未在使用该防护解析器。将相关事件与网络身份（例如 SSID、VLAN、场所或用户组）进行关联，以便调查人员能够明确策略的适用范围以及可能隐蔽的例外项。将 DNS 活动与终端或事件数据进行对比，而不是单方面宣称每次被拦截的查询都代表一次成功阻止的事件。
将 DNS 日志视为敏感的运维数据
DNS 日志可以揭示浏览模式，这要求在医疗保健、教育、酒店和住宅环境中予以特别注意。设置保留期限、按角色限制访问权限，并将安全遥测数据与访客营销数据分开。在大规模收集日志之前，明确谁可以调查安全事件以及他们需要哪些数据。
规划保护性 DNS 上线推广的下一步行动
从路径入手，而不是从仪表板入手。梳理哪些设备在使用托管解析器，识别直接 DNS 或未授权的加密 DNS 可能会在何处绕过解析器，并决定如何针对非企业管理的设备执行策略。同时为策略拦截的合法服务提供例外处理流程。
在全面推广之前，请先就团队将如何评估安全性以及服务质量达成一致：
- 确认解析器使用情况： 检查托管设备、访客网络以及 IoT 等不可预测性较高的设备。
- 测试网络路径： 在需要强制执行的环节，审查直接 DNS 和未经授权的加密 DNS 路由。
- 测量性能： 比较冷缓存和热缓存的查询时延，包括较慢的百分位指标。
- 定义评估记分卡： 跟踪误报处理、可用性、策略分发传播、绕过尝试以及事件处置结果。
- 制定隐私规则： 在开始广泛收集日志之前，确立日志访问权限与保存期限边界。
对于多分支机构部署，应汇聚网络与安全团队，共同梳理身份映射、网络分段、解析器路由以及各个场所所需的例外规则。Purple 提供由网络工程师主导的设计环节，协助制定并验证部署方案。防护型 DNS 能够通过受管查询路径降低访问有害目的地的风险，但它无法替代终端安全、网络隔离或隐私治理。
Purple Access 支持开放、安全和 xPSK WiFi 网络，可在现有接入点上实现基于身份的网络分配以及访客或 BYOD 接入。如需规划如何在您的各个场所中配合防护性 DNS 实施这些访问控制，请访问 Purple Access。
