← Cloudflare One / cloudflare-one / traffic-policies

Zásady DNS

DNS zásady vám umožňují řídit, ke kterým webům a službám se uživatelé mohou dostat, a to na základě kontroly jejich DNS dotazů, tedy vyhledávání, která překládají doménová jména na IP adresy. Protože DNS zásady působí už ve fázi vyhledávání, fungují napříč všemi protokoly a aplikacemi, nejen ve webových prohlížečích.

Když uživatel odešle požadavek DNS, Gateway porovnává požadavek se zásadami DNS, které jste pro svou organizaci nastavili. Pokud doména nepatří do žádné blokované kategorie nebo pokud odpovídá zásadě Allow či Override, klient uživatele obdrží adresu na základě rozlišení DNS z veřejného DNS resolveru Cloudflare (1.1.1.1). Můžete také použít zásada resolveru a přesměrovat DNS požadavky na vlastní server.

Zásada DNS se skládá z Akce a také logický výraz, který určuje rozsah akce. Chcete-li výraz sestavit, musíte zvolit Selektor a Operátor, a zadejte hodnotu nebo rozsah hodnot do Hodnota pole. Můžete použít And a Nebo logické operátory k vyhodnocení více podmínek.

• Akce
• Selektory
• Porovnávací operátory
• Hodnota
• Logické operátory

Při vytváření zásady DNS můžete vybrat libovolný počet kategorií bezpečnostních rizik a kategorií obsahu potřebných k úplnému zabezpečení sítě. Pokud v zásadě není nakonfigurován specifičtější selektor (například User Email nebo Zdrojová IP), pak se zásada vyhodnotí vůči všem DNS dotazům, které z vaší organizace dorazí do Gateway.

Pokud podmínka ve výrazu spojuje atribut dotazu (například Zdrojová IP) a atribut odpovědi (například Vyřešená IP), pak se podmínka vyhodnotí při přijetí odpovědi.

Akce určuje, co Gateway provede, když DNS dotaz odpovídá podmínkám vaší zásady. Ke každé zásadě můžete přiřadit jednu akci.

Toto jsou typy akcí, ze kterých můžete vybírat:

• Allow
• Block
• Přepsání
• Safe Search
• YouTube Restricted Mode

Hodnota API: allow

Zásady s akcí Allow výslovně povolují překlad DNS dotazů. Gateway používá princip první shody, což znamená, že pokud zásada Allow odpovídá dotazu s vyšší prioritou než zásada Block, dotaz bude povoleno přeložit. Následující konfigurace například umožňuje, aby DNS dotazy dosáhly domén zařazených do kategorie obsahu Education:

DNSSEC (Domain Name System Security Extensions) ověřuje, že DNS odpovědi nebyly změněny, a to kontrolou kryptografického podpisu připojeného k záznamu. Když vyberete Zakázat ověřování DNSSEC, Gateway přeloží DNS dotazy, i když podpis nelze ověřit. Ověřování DNSSEC nedoporučujeme vypínat, pokud si nejste jisti, že selhání ověření způsobují problémy s konfigurací DNSSEC, a ne škodlivé útoky.

Hodnota API: block

Zásady s akcí Block brání překladu DNS dotazů pro cíle zadané v polích Selector a Value. Následující konfigurace například blokuje DNS dotazy směřující na domény zařazené do obsahové kategorie Adult Themes:

Při volbě akce Block zapněte Úprava chování blokování v Gateway a odpovídat na dotazy blokovací stránkou, která se zobrazí uživatelům přecházejícím na blokované weby. Volitelně můžete globální nastavení blokovací stránky pro konkrétní zásadu DNS přepsat přesměrováním URL. Další informace najdete v Blokovací stránka.

Pokud je bloková stránka pro danou zásadu vypnutá, Gateway bude na blokované dotazy reagovat A záznam (IPv4) pro 0.0.0.0 nebo AAAA záznam (IPv6) pro ::. Protože na těchto adresách neodpovídá žádný server, zobrazí prohlížeč svou výchozí chybovou stránku připojení.

Chcete-li zablokovat překlad dotazů pro záznamy DNS jiných typů než A nebo AAAA, Gateway odpoví REFUSED (RCODE:5) Návratový kód DNS. Gateway požadavek zablokuje, ale nezobrazí blokovací stránku.

Zapněte Zobrazit oznámení o blokování pro Cloudflare One Client zobrazovat oznámení o událostech blokování Gateway. Blokovaní uživatelé obdrží oznámení operačního systému od Cloudflare One Client s vlastní zprávou, kterou nastavíte. Pokud vlastní zprávu nenastavíte, zobrazí Cloudflare One Client výchozí zprávu. Vlastní zprávy musí mít nejvýše 100 znaků. Cloudflare One Client zobrazí maximálně jedno oznámení za minutu.

Po výběru oznámení Cloudflare One Client přesměruje uživatele na Blokovací stránka Gateway jste nakonfigurovali. Volitelně můžete uživatele nasměrovat na vlastní adresu URL, například na interní formulář podpory.

Když zapnete Odesílat kontext zásady, Gateway připojí podrobnosti o odpovídajícím požadavku k přesměrované adrese URL jako řetězec dotazu. Nebudou zahrnuta všechna pole kontextu. Mezi možná pole kontextu zásady patří:

Ujistěte se, že váš operační systém povoluje oznámení pro Cloudflare One Client. Pokud máte zapnutý režim soustředění, nerušit nebo sdílení obrazovky, zařízení nemusí oznámení zobrazovat. Chcete-li na zařízeních macOS se softwarem DisplayLink zapnout oznámení klienta, může být nutné povolit systémová oznámení při zrcadlení displeje. Další informace najdete v dokumentace k systému macOS ↗.

Hodnota API: override

Zásady s akcí Override nahrazují skutečnou DNS odpověď cílem, který zadáte. Když uživatel zadá dotaz na doménu odpovídající zásadě, Gateway vrátí vaši vlastní IP adresu nebo hostname místo skutečného DNS záznamu. Můžete například zadat vlastní odpověď s IP adresou 1.2.3.4 pro všechny dotazy na www.example.com s následující zásadou:

Hodnota API: safesearch

SafeSearch je funkce vyhledávačů, která pomáhá filtrovat explicitní nebo urážlivý obsah. Když funkci SafeSearch zapnete, vyhledávač odfiltruje explicitní nebo urážlivý obsah a vrátí výsledky vyhledávání vhodné pro děti nebo pro pracovní prostředí.

Pomocí Cloudflare Gateway můžete zapnout SafeSearch u vyhledávačů jako Google, Bing, Yandex, YouTube nebo DuckDuckGo. Pro zapnutí SafeSearch u Google můžete například vytvořit následující zásadu:

Hodnota API: ytrestricted

Podobně můžete vynutit YouTube Restricted mode výběrem YouTube Restricted akci. YouTube Restricted Mode je automatický filtr obsahu pro dospělé a urážlivého obsahu vestavěný přímo do YouTube. Pokud chcete YouTube Restricted Mode povolit, můžete nastavit zásadu, jako je tato:

Toto nastavení zajišťuje, že uživatelům bude pomocí DNS blokován přístup k urážlivým webům.

Gateway porovnává dotazy DNS s následujícími selektory neboli kritérii.

Každý selektor se vyhodnocuje v konkrétní fázi procesu překladu DNS:

• Před překladem DNS : Gateway zkoumá vlastnosti příchozího dotazu (například doménové jméno nebo zdrojovou IP adresu) ještě před vyhledáním odpovědi.
• Během překladu DNS : Gateway zkoumá informace zjištěné při překladu dotazu (například IP adresu autoritativního serveru jmen).
• Po překladu DNS : Gateway zkoumá odpověď DNS (například přeloženou IP adresu nebo záznam CNAME) až po dokončení překladu.

Akci Override nelze použít se selektory vyhodnocovanými během překladu DNS nebo po něm, protože k přepsání musí dojít dříve, než je vrácena odpověď. Další informace o tom, jak fáze vyhodnocení souvisí s prioritou, najdete v pořadí vynucování.

Zásady DNS můžete použít na rostoucí seznam oblíbených webových aplikací. Viz Aplikace a typy aplikací s dalšími informacemi.

Tento selektor použijte k porovnání s IP adresou autoritativního nameserveru.

Tento selektor použijte k filtrování domén patřících ke konkrétním kategorie obsahu.

Při použití akce Allow nebo Block můžete volitelně blokovat IP adresy nebo kategorie filtrů pro CNAME záznamy.

Tento selektor použijte k filtrování odpovědí DNS podle jejich CNAME záznamy.

Tento selektor použijte k filtrování odpovědí DNS podle jejich MX záznamy.

Tento selektor použijte k filtrování odpovědí DNS podle jejich PTR záznamy.

Tento selektor použijte k uplatnění zásad na dotazy DNS, které dorazily na IP adresu vašeho Gateway Resolveru přiřazenou k registrovanému umístění DNS. Pro většinu zákazníků Gateway jde o anycast adresu IPv4, přičemž zásady vytvořené pomocí této adresy IPv4 se použijí na všechna umístění DNS. Každé umístění DNS však má vyhrazenou adresu IPv6 a některým zákazníkům Gateway byla přidělena i vyhrazená adresa IPv4: obě lze použít k uplatnění zásad na konkrétní registrovaná umístění DNS.

Tento selektor použijte k filtrování odpovědí DNS podle jejich TXT záznamy.

Tento selektor použijte k porovnání s dotazy DNS, které přicházejí přes DNS-over-HTTPS (DoH) na DoH endpoint nakonfigurovaný pro dané umístění DNS. Můžete například použít umístění DNS s DoH endpointem abcdefg.cloudflare-gateway.com výběrem selektoru DoH Subdomain a zadáním hodnoty abcdefg.

Tento selektor použijte k porovnání s doménou a všemi subdoménami. Můžete například porovnávat s example.com a jejích subdomén, například www.example.com.

Zásady Gateway přímo nepodporují domény se znaky mimo latinku. Chcete-li použít doménu se znaky mimo latinku, přidejte ji do seznam.

Tento selektor použijte k porovnání pouze se zadaným hostname. Můžete například porovnávat s test.example.com ale ne example.com nebo www.test.example.com.

Zásady Gateway přímo nepodporují hostname se znaky mimo latinku. Chcete-li použít hostname se znaky mimo latinku, přidejte jej do seznam.

Tento selektor použijte k porovnání s vlastními kanály indikátorů.

Můžete použít veřejně dostupný kanál indikátorů nebo vlastní kanál indikátorů přiřazený k vašemu účtu určeným dodavatelem třetí strany. Další informace o kanálech indikátorů najdete v Custom Indicator Feeds.

Při použití akce Allow nebo Block můžete volitelně blokovat IP adresy nebo kategorie filtrů pro CNAME záznamy.

Tento selektor použijte k uplatnění zásad na konkrétní Umístění DNS Gateway nebo sadu lokalit.

Tento selektor použijte k výběru typu záznamu DNS, na který chcete uplatnit zásady. Můžete například porovnávat s A záznamy pro doménu, ale ne MX záznamy.

Tento selektor použijte k filtrování na základě kontinentu, na který se dotaz přeloží. Geolokace se určuje z IP adresy v odpovědi. Chcete-li zadat kontinent, zadejte jeho dvoupísmenný kód do Hodnota pole:

• AF: Afrika
• AN: Antarktida
• AS: Asie
• EU: Evropa
• NA - Severní Amerika
• OC - Oceánie
• SA - Jižní Amerika

Tento selektor použijte k filtrování na základě země, na kterou se dotaz přeloží. Geolokace se určuje z IP adresy v odpovědi. Chcete-li zadat zemi, zadejte její kód ISO 3166-1 Alpha 2 ↗ v Hodnota .

Tento selektor použijte k filtrování na základě IP adres, na které se dotaz přeloží.

Tento selektor použijte k porovnání s dynamickým seznamem ID kategorií odesláno v EDNS (Extension Mechanisms for DNS) ↗ části DNS dotazu. EDNS umožňuje připojit k DNS dotazu další metadata nad rámec standardních polí. Gateway čte ID kategorií z kódu EDNS OPT 65050.

Tento selektor použijte k porovnání domén (a volitelně IP adresy) patřících konkrétním kategorie zabezpečení.

Při použití akce Allow nebo Block můžete volitelně blokovat IP adresy nebo kategorie filtrů pro CNAME záznamy.

Tento selektor použijte k filtrování na základě kontinentu, ze kterého dotaz přišel do Gateway.

Geolokace se určuje z veřejné IP adresy zařízení (obvykle přidělené poskytovatelem internetu uživatele, tedy ISP). Chcete-li zadat kontinent, zadejte jeho dvoupísmenný kód do Hodnota pole:

Tento selektor použijte k filtrování na základě země, ze které dotaz přišel do Gateway.

Geolokace se určuje z veřejné IP adresy zařízení (obvykle přidělené poskytovatelem internetu uživatele, tedy ISP). Chcete-li zadat zemi, zadejte její kód ISO 3166-1 Alpha-2 ↗ v Hodnota .

Tento selektor použijte k uplatnění zásad na zdrojovou IP adresu dotazů DNS. Může jít například o IP adresu WAN stub resolveru, který vaše organizace používá k odesílání dotazů do Gateway.

Tento selektor použijte k uplatnění zásad na zdrojovou interní IP adresu dotazu DNS. Může jít například o privátní IP adresu hostitelů za Cloudflare WAN (dříve Magic WAN) nebo Cloudflare Mesh kterou vaše organizace používá k odesílání dotazů do Gateway.

Tyto selektory použijte k porovnání s atributy identity.

Porovnávací operátory jsou způsob, jakým Gateway přiřazuje provoz k selektoru. Když zvolíte Selektor v nástroji pro tvorbu zásad v dashboardu, Operátor rozbalovací nabídka zobrazí dostupné možnosti pro daný selektor.

V Hodnota pole můžete zadat jedinou hodnotu, pokud používáte operátor porovnání rovnosti (například je) nebo více hodnot při použití porovnávacího operátoru typu obsahuje (například v). Kromě toho můžete použít regulární výrazy (nebo regulární výraz) pro určení rozsahu hodnot u podporovaných selektorů.

Regulární výrazy se vyhodnocují pomocí Rust. Implementace v Rust se mírně liší od knihoven regulárních výrazů používaných jinde. Další informace najdete v našem návodu pro Zástupné znaky. Chcete-li ověřit, zda váš regulární výraz odpovídá, můžete použít Rustexp ↗.

Pokud chcete přiřadit více hodnot, můžete použít symbol svislé čáry (|) jako operátor OR. Není nutné použít escapovací znak (\) před symbolem svislítka (pipe). Následující výraz se například vyhodnotí jako pravdivý, pokud hostname odpovídá buď .*whispersystems.org nebo .*signal.org:

Kromě regulárních výrazů můžete použít logické operátory tak, aby odpovídalo více hodnotám.

Chcete-li ve výrazu vyhodnotit více podmínek, vyberte And logický operátor. Tyto výrazy lze dále porovnávat pomocí Nebo logický operátor.

Nebo operátor bude fungovat pouze s podmínkami ve stejné skupině výrazů. Nemůžete tedy porovnávat podmínky v Provoz s podmínkami v Identity.

Gateway nebude správně filtrovat provoz odesílaný přes VPN třetích stran nebo jiný software pro filtrování internetu, jako například iCloud Private Relay ↗ nebo Google Chrome IP Protection ↗. Aby se vaše zásady DNS uplatňovaly na váš provoz, Cloudflare doporučuje vypnout software, který by mohl s Gateway kolidovat.

Chcete-li vypnout iCloud Private Relay, podívejte se do uživatelských příruček Apple pro macOS ↗ nebo iOS ↗.

Chcete-li použít zásady DNS na dotazy přeposílané přes Cloudflare WAN, můžete buď nasměrovat DNS resolver vaší organizace na endpoint IPv6, DNS over HTTPS (DoH) nebo DNS over TLS (DoT), nebo požádat o vyhrazenou IPv4 adresu resolveru. Další informace najdete v IP adresy a hostname DNS resolverů.

Některé aplikace (například WhatsApp a Android Studio) mají do svého kódu zabudované záložní DNS servery. Pokud Gateway zablokuje jejich primární DNS dotaz, tyto aplikace automaticky zopakují dotaz vůči svým vestavěným DNS serverům (například Google 8.8.8.8), což zcela obchází vaše zásady. Abyste tomuto chování zabránili, vytvoříte Zásada Gateway Network a zablokujte odchozí provoz DNS na portu TCP/UDP 53 na záložní servery DNS. Pokud chcete například zablokovat záložní servery DNS společnosti Google: