← Справочные архитектуры / reference-architecture / diagrams / sase
Решение для фильтрации DNS для интернет-провайдеров
Введение
Провайдеры интернета постоянно ищут новые источники дохода для расширения бизнеса, и многие из них теперь предлагают безопасность как дополнительную услугу к своим услугам подключения. Раньше интеграция безопасности с подключением была сопряжена со значительными трудностями из-за зависимости от устаревших решений, требующих дорогостоящего локального оборудования. Из-за этого их сложно разворачивать и обслуживать, а после развёртывания возникают проблемы с масштабируемостью и доступностью.
Сегодня эти ограничения можно устранить с помощью облачных решений, таких как Cloudflare Gateway, наш сервис Secure Web Gateway. Возможности фильтрации DNS в Cloudflare Gateway позволяют поставщикам услуг предлагать усиленную безопасность как дополнительную услугу для домашних и мобильных абонентов или B2B-клиентов. Благодаря простым в создании политикам на основе обширная аналитика угроз ↗, поставщики услуг могут эффективно защищать своих клиентов от доступа к потенциально вредоносные домены.
Кроме того, Cloudflare Gateway снимает опасения по поводу доступности, производительности и масштабируемости, поскольку работает на основе публичный DNS-резолвер Cloudflare 1.1.1.1, один из самый быстрый ↗ и самых широко используемых DNS-резолверов в мире.
Кроме того, это решение открывает возможности для разработки дополнительных сервисов, не связанных напрямую с безопасностью, например родительского контроля или индивидуальных профилей фильтрации для B2B-клиентов.
Решение
Обеспечить безопасность DNS для конечных клиентов сервис-провайдера с помощью Cloudflare несложно. Сервис-провайдеру достаточно перенаправлять публичные DNS-запросы в свой тенант Cloudflare, после чего Cloudflare будет фильтровать DNS-запросы в соответствии с настроенными политиками фильтрации DNS.
Cloudflare Gateway, как и все сервисы Cloudflare, использует технология anycast ↗, гарантируя, что все DNS-запросы поставщика услуг направляются на ближайший узел присутствия Cloudflare.
Чтобы отличать запросы, поступающие от поставщика услуг, от запросов других клиентов, администраторы настраивают расположение в дашборде своего тенанта Cloudflare. При создании местоположения DNS Gateway назначает ему адреса IPv4/IPv6 и имена хостов DoT/DoH. Назначенные IP-адреса и имена хостов затем используются провайдером услуг для отправки DNS-запросов на разрешение. В свою очередь провайдер услуг настраивает объект местоположения с публичными IP-адресами своих локальных DNS-серверов, что позволяет Cloudflare точно сопоставлять запросы с соответствующим местоположением.
Фильтрация DNS затем применяется с помощью DNS-политик, настроенных поставщиком услуг для выявления доменов, связанных с риски безопасности. Cloudflare постоянно обновляет список рискованных доменов, используя его обширная аналитика угроз ↗. Когда DNS-запрос соответствует помеченному домену, выполняется действие, указанное в DNS-политике. Таким действием может быть 'Block,' где Gateway отвечает 0.0.0.0 для запросов IPv4 или :: для запросов IPv6, либо отображает пользовательская страница блокировки, размещённая на Cloudflare. В качестве альтернативы [Override](/cloudflare-one/traffic-policies/dns-policies/#override) действие или перенаправление на URL страницы блокировки может перенаправлять DNS-запрос на страницу блокировки, размещённую поставщиком услуг.
Чтобы точнее контролировать, какие домены разрешены, а какие заблокированы, поставщик услуг может настроить дополнительные политики Allowed Domain и Blocked Domains. Задав эти политики с более низкий приоритет чем политика Security Risks, поставщик услуг может переопределить политику Security Risks для конкретных доменов.
Чтобы упростить управление разрешёнными и блокируемыми доменами, используйте lists. Списки легко обновляются через Dashboard или с помощью API, делая корректировку политик более эффективной.
Кроме того, все DNS-запросы, направляемые в Cloudflare Gateway, логируются и могут экспортироваться во внешние системы с помощью Logpush.
Дополнительные предложения на основе возможностей фильтрации DNS
Поставщики услуг могут расширить своё предложение с помощью политик Cloudflare Gateway DNS, добавив к базовой услуге защиты DNS дополнительные сервисы с добавленной ценностью. Используя то же решение, поставщики услуг могут создавать собственные службы фильтрации контента по категориям. Такие службы легко настраиваются с помощью встроенных в Cloudflare категории контента и типы приложений, а также собственные пользовательские списки разрешений и блокировок поставщика услуг.
Среди возможных сценариев применения:
- Услуги родительского контроля: Эта служба может блокировать такие категории, как материалы для взрослых, насилие над детьми, насилие и сомнительный контент, обеспечивая более безопасную онлайн-среду для детей.
- Образовательные услуги: Этот сервис создан для школ и образовательных организаций и выходит за рамки обычного родительского контроля, блокируя дополнительные категории, такие как CIPA, азартные игры и развлечения, что помогает поддерживать атмосферу, располагающую к обучению.
- Корпоративные услуги: Это решение позволяет компаниям легко ограничивать доступ к доменам, не связанным с работой, включая такие категории, как развлечения, социальные сети, азартные игры, покупки и аукционы, общество и образ жизни, а также спорт.
Чтобы отделить эти дополнительные сервисы от основного предложения по защите DNS, поставщик услуг создаёт для каждого сервиса отдельную DNS-локацию. Cloudflare сможет различать DNS-запросы этих сервисов, если поставщик отправляет их на один из уникальных идентификаторов локации. У каждой локации есть уникальный DoH и DoT имя хоста и уникальный IPv6-адрес назначения. Cloudflare также может выделять выделенные IPv4-адреса назначения на локацию.