DNS フィルタリングは、ウェブサイトやオンラインコンテンツへのアクセスをブロックする手法です。Cloudflare Gateway などの専用 DNS リゾルバーで実装し、ドメインやコンテンツカテゴリのブロックリストを定義できます。DNS リゾルバーはフィルターとして働き、ブロックリスト上のドメインに対するクエリの名前解決を拒否します。これにより、ユーザーはそのウェブサイトを読み込めません。
DNS フィルタリングは、次の用途でよく使われます。
- フィッシング、ランサムウェア、マルウェアから学校のデータを保護する。
- アダルトコンテンツ、ギャンブル、海賊版など、学校の利用ポリシーに反するウェブサイトをブロックする。
- ゲーム、ソーシャルメディア、動画配信など、生徒の生産性に影響するウェブサイトへのアクセスを制限する。
DNS フィルタリングでは、ブラウザー、デバイス、またはルーターを設定し、すべての DNS リクエストを DNS フィルタリングサービスへ送信します。サービスはドメインまたは IP を DNS ポリシーと照合します。ブロックポリシーに一致すると、別の IP アドレスへリダイレクトするか、完全にブロックできます。次の図は、Cloudflare Gateway の DNS フィルタリングサービスのロジックです。
flowchart LR
accTitle: DNS フィルタリング
A[ブラウザー] -- www.example.com の IP アドレスは何ですか？ --> B
subgraph ide1 [Cloudflare Gateway]
direction TB
B(DNS ポリシー)-.->C((DNS リゾルバー))
end
C --> D[(ネームサーバー)]
flowchart TD accTitle: DNS フィルタリングのロジック A[DNS ポリシーでブロック？] --はい --> B[ブロックページが設定済み？] --はい--> C[ブロックページの IP を返す] B--いいえ-->E[0.0.0.0 を返す] A --いいえ --> D[www.example.com の IP を返す]
URL の形式は次のとおりです。protocol://subdomain.domain.tld:port/path?query
DNS フィルタリングが対象にするのはホスト名（subdomain.domain.tld）だけです。特定のプロトコル、ポート、パス、クエリ種別はブロックできません。また、ユーザーがウェブサイトの IP アドレスをすでに知っている場合や、VPN（Virtual Private Network）またはプロキシサーバー経由で接続する場合は、DNS ポリシーを回避できます。
Secure Web Gateway（SWG）は、次のような幅広い機能を提供します。
- 特定のパスとクエリをブロックする URL フィルタリング ↗
- ポートとプロトコルをブロックする L4 ファイアウォール
- ウイルス対策スキャン
- データ損失防止 ↗
- ブラウザー分離 ↗
一方で、SWG の導入はより複雑になります。そのため、多くの組織はインターネット上の脅威に対する最初の防御層として、DNS フィルタリングから始めます。
- DNS フィルタリングの背景については、Learning Center ↗ を参照してください。
残りのモジュールでは、Cloudflare Gateway を使ってデバイスに DNS フィルタリングを設定する方法を学びます。