← Referenční architektury / reference-architecture / diagrams / sase

Řešení pro filtrování DNS pro poskytovatele internetových služeb

Úvod

Poskytovatelé internetových služeb neustále hledají nové způsoby, jak rozšířit své podnikání, a mnozí z nich nyní ke svým konektivitním službám přidávají zabezpečení jako doplňkovou službu. Integrace zabezpečení s konektivitou byla tradičně náročná, protože vyžadovala starší řešení závislá na nákladném hardwaru provozovaném on-premise. To ztěžuje nasazení a správu a po nasazení přináší potíže se škálovatelností a dostupností.

Tato omezení lze dnes řešit pomocí cloudových řešení, jako je Cloudflare Gateway, naší služby Secure Web Gateway. Funkce filtrování DNS ve službě Cloudflare Gateway umožňují poskytovatelům služeb nabídnout vylepšené zabezpečení jako doplňkovou službu pro rezidenční a mobilní zákazníky nebo klienty B2B. Díky snadno vytvořitelným zásadám podporovaným rozsáhlé zpravodajství o hrozbách ↗, poskytovatelé služeb mohou účinně chránit své zákazníky před přístupem k potenciálně škodlivé domény.

Cloudflare Gateway navíc odstraňuje obavy ohledně dostupnosti, výkonu a škálovatelnosti, protože je postaven na veřejný DNS resolver Cloudflare 1.1.1.1, jeden z nejrychlejší ↗ a nejrozšířenějších DNS resolverů na světě.

Toto řešení navíc otevírá možnosti pro vývoj dalších služeb nad rámec zabezpečení, například rodičovské kontroly nebo filtrovacích profilů na míru pro klienty B2B.

Řešení

Zajištění zabezpečení DNS pro koncové zákazníky poskytovatelů služeb je s Cloudflare jednoduché. Poskytovatelé služeb jednoduše přeposílají své veřejné dotazy DNS do svého tenantu Cloudflare a Cloudflare je následně filtruje podle nakonfigurovaných zásad filtrování DNS.

Obrázek 1: Odběratelé poskytovatele služeb odesílají DNS dotazy na jeho DNS server, který je přeposílá do Cloudflare Gateway za účelem uplatnění zásad DNS filtrování.

Cloudflare Gateway, stejně jako všechny služby Cloudflare, využívá technologie anycast ↗, čímž zajišťuje, že všechny dotazy DNS poskytovatele služby směřují do nejbližšího přítomnostního bodu (PoP) Cloudflare.

Aby administrátoři odlišili dotazy pocházející od poskytovatele služby od dotazů ostatních zákazníků, nastaví umístění ve svém dashboardu tenanta Cloudflare. Při vytvoření lokality DNS Gateway pro tuto lokalitu přiřadí adresy IPv4/IPv6 a hostitelské názvy DoT/DoH. Tyto přiřazené IP adresy a hostitelské názvy pak poskytovatel služby používá k odesílání dotazů DNS k překladu. Poskytovatel služby zase konfiguruje objekt lokality veřejnými IP adresami svých lokálních DNS serverů, což Cloudflare umožňuje dotazy přesně přiřadit k odpovídající lokalitě.

Filtrování DNS se pak vynucuje pomocí zásad DNS nastavených poskytovatelem služby, které slouží k rozpoznání domén spojených s bezpečnostní rizika. Cloudflare průběžně aktualizuje seznam rizikových domén pomocí jeho rozsáhlé informace o hrozbách ↗. Když DNS dotaz odpovídá označené doméně, provede se akce uvedená v zásadě DNS. Touto akcí může být „Block,' kde Gateway odpovídá 0.0.0.0 pro dotazy IPv4 nebo :: pro dotazy IPv6, nebo zobrazí vlastní blokovací stránka hostovaná Cloudflare. Alternativně [Override](/cloudflare-one/traffic-policies/dns-policies/#override) akci nebo přesměrování URL na blokovací stránku může přesměrovat dotaz DNS na blokovací stránku hostovanou poskytovatelem služby.

Obrázek 2: Zásada DNS bránící uživatelům v přechodu na škodlivé domény. Akcí je přesměrování DNS dotazu na blokovací stránku hostovanou poskytovatelem služeb.

Pro přesnější řízení toho, které domény jsou povolené nebo blokované, může poskytovatel služby nakonfigurovat další zásady Allowed Domain a Blocked Domains. Nastavením těchto zásad s nižší priorita než politika Security Risks, může poskytovatel služby politiku Security Risks pro konkrétní domény přepsat.

Pro zjednodušení správy povolených a blokovaných domén použijte seznamy. Seznamy lze snadno aktualizovat přes dashboard nebo pomocí API, díky čemuž je úprava zásad efektivnější.

Obrázek 3: Zásady DNS se uplatňují podle pořadí priority. V tomto příkladu budou zásady „Allow List Policy“ a „Block List Policy“ zohledněny dříve než zásada „Security List“.

Všechny DNS dotazy přeposílané do Cloudflare Gateway se navíc zaznamenávají a lze je exportovat do externích systémů pomocí Logpush.

Další nabídky založené na možnostech filtrování DNS

Poskytovatelé služeb mohou vylepšit svou nabídku pomocí zásad Cloudflare Gateway DNS a poskytovat tak doplňkové služby s přidanou hodnotou nad rámec základní služby zabezpečení DNS. Díky stejnému řešení mohou poskytovatelé služeb vyvíjet vlastní služby filtrování obsahu podle kategorií. Tyto služby lze snadno vytvořit pomocí vestavěných kategorie obsahu a typy aplikací, a také vlastními seznamy povolených a blokovaných položek daného poskytovatele služby.

Mezi potenciální využití patří:

Služby rodičovské kontroly: Tato služba dokáže blokovat kategorie jako obsah pro dospělé, zneužívání dětí, násilí a závadný obsah, a vytvořit tak pro děti bezpečnější online prostředí.
Vzdělávací služby: Určeno pro školy a vzdělávací instituce, tato služba jde nad rámec rodičovské kontroly a blokuje i další kategorie, například CIPA, hazardní hry a zábavu, čímž podporuje soustředěné prostředí pro výuku.
Enterprise služby: Tato služba firmám umožňuje snadno omezit přístup k doménám nesouvisejícím s prací, včetně kategorií jako zábava, sociální sítě, hazardní hry, nákupy a aukce, společnost a životní styl nebo sport.

Aby bylo možné tyto doplňkové služby odlišit od základní nabídky zabezpečení DNS, vytvořil by poskytovatel služby pro každou z nich samostatnou lokalitu DNS. Cloudflare pak dokáže rozlišit dotazy DNS pro jednotlivé služby, pokud je poskytovatel odešle na jeden z jedinečných identifikátorů dané lokality. Každá lokalita má jedinečný DoH a DoT hostitelský název a jedinečný cílová IPv6 adresa. Cloudflare také dokáže zajistit vyhrazené cílové IPv4 adresy na jednu lokalitu.