DNS 过滤与网页过滤：有什么区别？

这两种内容过滤策略本质上都致力于实现相同的网络安全目标：保护用户（及其系统）免受恶意网站或其他不良行为者的有害内容的侵害。每种形式的访问控制以不同的方式构建，以执行相关但独立的功能。

DNS 过滤技术基于域名系统 (DNS)，旨在用户访问之前即可拦截潜在危险网站。网页过滤意味着更丰富、更完善的安全措施，不仅可以检测恶意网站，还可以对此类网站及其方法进行分析检查。

在继续讨论之前，让我们先回顾一下这两种过滤方式都会主动排除哪些类型的网页内容。

过去，“不当内容”通常是指“成人内容”，即带有明确色情性质的内容。近来的趋势表明，这个统称的范围已经扩大，涵盖了更多可能令人反感的内容，包括传播仇恨言论或暴力意识形态的网站。

此外，部分由于手机摄像头使用的激增以及社交媒体平台的空前兴起，如今互联网上出现了大量由用户拍摄的视频内容。这类内容包罗万象，其中一些涉及暴力或非法行为的画面。所有此类内容都可被视为不当内容，尽管这个带有主观性的定义仍然存在一定的解释空间。

现在我们转向更具危害性的内容范畴。这类内容未必包含违规影像，反而往往呈现得如同特洛伊木马般无懈可击。正因其表面与常规内容无异，用户更难察觉潜藏的风险。

然而这种具有误导性的表象之下，可能隐匿着形形色色的网络攻击，包括向系统注入恶意软件以图破坏网络安全的行径。当攻击涉及使用勒索软件时（这类恶意程序会劫持用户系统以勒索赎金），此类威胁便呈现出最高紧急级别。有害内容还可能隐藏网络钓鱼攻击，试图窃取机密数据。

第三类需要过滤的网页内容，并非淫秽或煽动性的，也不会直接危害组织的安全体系。它只是不受欢迎的，而这种“不受欢迎”可能出于多种原因。

尽管“不需要的内容”一词确实可涵盖不良内容与恶意内容，但此处我们特指那些充斥低效信息的网站。社交媒体网站和无人监管的聊天室属于这一类别，具有流媒体视频功能的网站也属于这一类别。这还包括那些使用跳转功能将用户引导至其他网页的特定网站，或是向访问者持续轮播无休止广告信息的站点。

DNS 过滤的工作原理是，在运行潜在危险的 DNS 请求并将其与 IP 地址匹配之前，检测出这些请求。顺序如下：

1. 用户通过请求访问某个网站来启动该过程。
2. 为了响应此类 DNS 查询，用户的系统会发出 DNS 请求，将更广泛的域名（例如：ibm.com）转换为 IP 地址。
3. DNS 过滤服务开始发挥作用。DNS 过滤器根据潜在危险网站的“阻止列表”检查请求的域。
4. 若请求的域名未在检查的阻止列表中被标记，系统将准许该请求并继续访问目标网站。
5. 反之，若请求的网站已被列入阻止清单，DNS 过滤将阻断对该站点的访问，并阻止 DNS 服务器使用其 IP 地址。

值得注意的是，当 DNS 过滤解决方案阻止一个域时，阻止的对象是该域内的所有网页，而不仅仅是某些具有潜在危险性的页面。从安全角度来看，DNS 过滤有助于防止网络钓鱼网站和恶意域的渗透。

网页过滤过程的工作原理与 DNS 过滤略有不同。它是比 DNS 过滤更精确的工具，并且分析深度更深。然而其缺乏 DNS 过滤的预先拦截特性，这构成了两者间的关键差异。网页过滤步骤相对简单：

1. 网页过滤器会检查那些已经传输到系统浏览器、并正在加载过程中的实际网络流量。
2. 网页过滤器允许用户拦截特定 URL、局部网页内容乃至整个网站分类。
3. 网络管理员利用网页过滤提供的精准控制，以此实现访问权限的定制化管理。这种方法涵盖了从何时阻止网页访问，到选择网站中哪些具体部分可以加载的全部过程。

网页过滤流程的关键环节由安全套接层 (SSL) 技术实现，该安全解决方案能在网页服务器与浏览器之间建立加密链接。

DNS 过滤与网页过滤存在若干显著共性：

• 网页过滤方法和 DNS 过滤解决方案都使用防火墙，尽管使用方式有所不同。网页过滤采用下一代防火墙 (NGFW) 来评估应用程序层的网页流量并阻止不当或恶意网站。相比之下，DNS 过滤使用特定类型的 DNS 防火墙，它与在 DNS 级别运行的其他安全措施协同工作。

• 在防病毒保护方面，DNS 过滤中并没有占主导地位的单一防病毒方案。相反，公司往往会选择众多专门的、定制化的 DNS 过滤服务中的任意一种，例如 Cloudflare Gateway、Cisco Umbrella 和 Control D。同样，也有大量专为网页过滤设计的防病毒和终端安全解决方案，如 Microsoft Defender、Norton 和 McAfee。

• DNS 过滤和 Web 过滤都使用称为安全 Web 网关 (SWG) 的安全解决方案。在 DNS 过滤中，SWG 充当保护层。SWG 的一个常见功能是 URL 过滤，它允许管理员检查和评估完整的地址。SWG（安全网关）通过仔细检查所有互联网流量，并在必要时设置网页阻止，从而实现全面的网页过滤。

• 虚拟专用网络 (VPN) 通过与网页过滤系统协同运作，提供可突破本地网络限制的加密连接。DNS 过滤的工作原理通常是在 DNS 级别阻止对特定网站的访问。尽管 VPN 通常会绕过 DNS 过滤，但许多 VPN 提供商都提供自己的 DNS 过滤方案，并将其内置于这些服务中。