Как блокировать вредоносные и нежелательные сайты через DNS-фильтрацию
Практика4 минРедакция Innovialabs
Коротко
DNS-фильтр не отдаёт адреса опасных и запрещённых доменов, поэтому сайт просто не открывается; настройте облачный фильтрующий DNS или свой Pi-hole/AdGuard Home на роутере и закройте обходные пути — сторонние DNS, DoH и VPN.
Короткий ответ
Перед тем как открыть сайт, устройство спрашивает у DNS-сервера, какой IP-адрес у домена. DNS-фильтр проверяет домен по спискам: если он в категории «вредоносное», «фишинг», «реклама» или в вашем чёрном списке, сервер не возвращает настоящий адрес. Сайт не открывается, и вредоносная страница даже не начинает загружаться.
Это дешёвый и простой слой защиты для всего офиса: настраивается один раз на роутере и действует на все устройства в сети.
Что DNS-фильтрация умеет и чего не умеет
Умеет:
- блокировать известные вредоносные и фишинговые домены;
- закрывать категории сайтов: азартные игры, контент для взрослых, соцсети в рабочее время;
- убирать рекламу и трекеры на уровне сети;
- показывать журнал запросов — какие устройства куда обращаются.
Не умеет:
- блокировать отдельную страницу на домене — только домен целиком;
- проверять содержимое загружаемых файлов;
- защитить от сайта, которого ещё нет в списках;
- работать, если устройство использует другой DNS или VPN.
Поэтому DNS-фильтр — дополнение к антивирусу, обновлениям и обучению сотрудников, а не замена.
Облачный DNS или свой сервер
| Критерий | Облачный DNS с фильтрацией | Pi-hole / AdGuard Home |
|---|---|---|
| Где работает | У провайдера сервиса | На вашем мини-ПК, NAS или сервере |
| Настройка | Прописать адреса DNS в роутере | Установить, настроить списки, указать в роутере |
| Категории сайтов | Обычно готовые, обновляются сервисом | Зависят от подключённых списков |
| Логи | В кабинете сервиса | У вас локально |
| Защита вне офиса | Часто есть агенты для ноутбуков | Только в офисной сети или через VPN |
| Обслуживание | Минимальное | Обновления, резервная копия настроек |
| Если сервер упал | Решает сервис | В офисе пропадает интернет, если нет запасного DNS |
Облачный вариант подходит, если нет человека, который будет поддерживать сервер. Есть бесплатные фильтрующие резолверы с готовыми профилями (например, только защита от вредоносных сайтов) и платные сервисы с кабинетом, категориями и отчётами по устройствам.
Pi-hole и AdGuard Home — популярные self-hosted решения. AdGuard Home из коробки поддерживает шифрованные DNS-протоколы и родительский контроль, Pi-hole славится гибкостью списков. Оба дают полный контроль и локальные логи, но требуют обслуживания.
Как внедрить
- Выберите решение и создайте политику: что блокируем (безопасность — обязательно, остальное — по согласованию с руководством).
- Пропишите фильтрующий DNS в настройках DHCP роутера, чтобы все устройства получали его автоматически.
- Если ставите свой сервер — назначьте ему статический IP и продумайте, что будет при его отключении. Надёжнее держать два экземпляра.
- Проверьте на тестовом домене, что блокировка срабатывает.
- Заведите белый список для ложных срабатываний и понятный способ сообщить о них.
Как не дать обойти фильтр
Любой пользователь может вручную прописать другой DNS. Чтобы фильтр был не формальностью:
- запретите исходящий DNS (порт 53, TCP и UDP) на роутере всем, кроме вашего DNS-сервера, или перенаправляйте такие запросы на него;
- заблокируйте DNS-over-TLS (порт 853);
- DNS-over-HTTPS сложнее: он идёт через обычный порт 443. Используйте списки известных DoH-провайдеров для блокировки и отключайте «безопасный DNS» в браузерах через групповые политики;
- ограничьте VPN и прокси — многие фильтрующие сервисы имеют категорию для них;
- отнимите у сотрудников права администратора на рабочих компьютерах, чтобы они не меняли сетевые настройки.
Пример проверки, что запрос к заблокированному домену не возвращает реальный адрес:
nslookup example-blocked-domain.com 192.168.1.2
Вместо настоящего IP вы увидите 0.0.0.0 или адрес страницы блокировки — в зависимости от настроек.
Частые ошибки
- Один локальный DNS-сервер без резерва: он перезагрузился — офис без интернета.
- Слишком агрессивные списки, ломающие рабочие сервисы, и отсутствие белого списка.
- Фильтр есть, но порт 53 наружу открыт, и обход занимает минуту.
- Забытые устройства со статическими настройками DNS — их нужно перенастроить вручную.