DNS filtrlash orqali zararli va keraksiz saytlarni qanday bloklash
Amaliyot3 daqInnovialabs tahririyati
Qisqacha
DNS filtr xavfli yoki taqiqlangan domenlar manzilini qaytarmaydi, shuning uchun sayt shunchaki ochilmaydi; routerda filtrli bulutli DNS yoki o‘zingizning Pi-hole/AdGuard Home ni sozlang va chetlab o‘tish yo‘llarini — boshqa DNS, DoH va VPN ni yoping.
Qisqa javob
Saytni ochishdan oldin qurilma DNS serverdan domenning IP manzilini so‘raydi. DNS filtr domenni ro‘yxatlar bo‘yicha tekshiradi: agar u «zararli», «fishing», «reklama» toifasida yoki sizning qora ro‘yxatingizda bo‘lsa, server haqiqiy manzilni qaytarmaydi. Sayt ochilmaydi va zararli sahifa yuklanishni ham boshlamaydi.
Bu butun ofis uchun arzon va oddiy himoya qatlami: routerda bir marta sozlanadi va tarmoqdagi barcha qurilmalarga ta’sir qiladi.
DNS filtrlash nimani qila oladi va nimani qila olmaydi
Qila oladi:
- ma’lum zararli va fishing domenlarni bloklash;
- sayt toifalarini yopish: qimor o‘yinlari, kattalar uchun kontent, ish vaqtida ijtimoiy tarmoqlar;
- reklama va trekerlarni tarmoq darajasida olib tashlash;
- so‘rovlar jurnalini ko‘rsatish — qaysi qurilma qayerga murojaat qilayotgani.
Qila olmaydi:
- domendagi alohida sahifani bloklash — faqat butun domenni;
- yuklab olinayotgan fayllar tarkibini tekshirish;
- hali ro‘yxatlarga kirmagan saytdan himoya qilish;
- qurilma boshqa DNS yoki VPN ishlatsa, ishlash.
Shuning uchun DNS filtr antivirus, yangilanishlar va xodimlarni o‘qitishning o‘rnini bosmaydi, balki ularni to‘ldiradi.
Bulutli DNS yoki o‘z serveringiz
| Mezon | Filtrli bulutli DNS | Pi-hole / AdGuard Home |
|---|---|---|
| Qayerda ishlaydi | Xizmat provayderida | Sizning mini-PK, NAS yoki serveringizda |
| Sozlash | Routerda DNS manzillarini kiritish | O‘rnatish, ro‘yxatlarni sozlash, routerda ko‘rsatish |
| Sayt toifalari | Odatda tayyor, xizmat tomonidan yangilanadi | Ulangan ro‘yxatlarga bog‘liq |
| Loglar | Xizmat kabinetida | Sizda, lokal |
| Ofisdan tashqarida himoya | Ko‘pincha noutbuklar uchun agentlar bor | Faqat ofis tarmog‘ida yoki VPN orqali |
| Xizmat ko‘rsatish | Minimal | Yangilanishlar, sozlamalar zaxirasi |
| Server ishdan chiqsa | Xizmat hal qiladi | Zaxira DNS bo‘lmasa, ofisda internet yo‘qoladi |
Bulutli variant serverni qo‘llab-quvvatlaydigan odam bo‘lmasa mos keladi. Tayyor profillarga ega bepul filtrlovchi rezolverlar (masalan, faqat zararli saytlardan himoya) va kabinet, toifalar hamda qurilmalar bo‘yicha hisobotlarga ega pullik xizmatlar mavjud.
Pi-hole va AdGuard Home — mashhur self-hosted yechimlar. AdGuard Home shifrlangan DNS protokollari va ota-ona nazoratini tayyor holda qo‘llab-quvvatlaydi, Pi-hole esa ro‘yxatlar bilan moslashuvchan ishlashi bilan tanilgan. Ikkalasi ham to‘liq nazorat va lokal loglarni beradi, lekin xizmat ko‘rsatishni talab qiladi.
Qanday joriy qilish kerak
- Yechimni tanlang va siyosat tuzing: nimani bloklaymiz (xavfsizlik — majburiy, qolgani rahbariyat bilan kelishiladi).
- Barcha qurilmalar uni avtomatik olishi uchun filtrlovchi DNS ni routerning DHCP sozlamalarida ko‘rsating.
- O‘z serveringizni o‘rnatsangiz — unga statik IP bering va u o‘chib qolsa nima bo‘lishini o‘ylab ko‘ring. Ikki nusxa ishonchliroq.
- Bloklash ishlashini sinov domenida tekshiring.
- Noto‘g‘ri bloklashlar uchun oq ro‘yxat va ular haqida xabar berishning tushunarli usulini yarating.
Chetlab o‘tishning oldini olish
Har qanday foydalanuvchi qo‘lda boshqa DNS ni kiritishi mumkin. Filtr rasmiyatchilik bo‘lib qolmasligi uchun:
- routerda chiquvchi DNS ni (53-port, TCP va UDP) sizning DNS serveringizdan boshqa hammaga taqiqlang yoki bunday so‘rovlarni unga yo‘naltiring;
- DNS-over-TLS ni (853-port) bloklang;
- DNS-over-HTTPS murakkabroq: u oddiy 443-port orqali o‘tadi. Ma’lum DoH provayderlari ro‘yxatlari yordamida ularni bloklang va brauzerlarda «xavfsiz DNS» ni guruh siyosatlari orqali o‘chiring;
- VPN va proksini cheklang — ko‘plab filtrlovchi xizmatlarda ular uchun toifa bor;
- xodimlar tarmoq sozlamalarini o‘zgartira olmasligi uchun ishchi kompyuterlarda ulardan administrator huquqlarini oling.
Bloklangan domenga so‘rov haqiqiy manzilni qaytarmasligini tekshirish misoli:
nslookup example-blocked-domain.com 192.168.1.2
Haqiqiy IP o‘rniga sozlamalarga qarab 0.0.0.0 yoki bloklash sahifasi manzilini ko‘rasiz.
Ko‘p uchraydigan xatolar
- Zaxirasiz bitta lokal DNS server: u qayta yuklandi — ofis internetsiz qoldi.
- Ishchi xizmatlarni buzadigan haddan tashqari qattiq ro‘yxatlar va oq ro‘yxatning yo‘qligi.
- Filtr bor, lekin 53-port tashqariga ochiq va chetlab o‘tish bir daqiqa vaqt oladi.
- Statik DNS sozlamalari bilan unutilgan qurilmalar — ularni qo‘lda qayta sozlash kerak.