Filtrowanie treści kojarzy się zwykle z zaporą sieciową albo wtyczką w przeglądarce. Ale jedna z najczęściej stosowanych i najtańszych metod działa znacznie wcześniej, jeszcze zanim w ogóle nawiąże się połączenie z serwerem. To filtrowanie na poziomie DNS. Jeśli uczysz się o sieciach albo bezpieczeństwie, warto rozumieć zarówno mechanizm, jak i ograniczenia tej metody.
Co robi DNS
Za każdym razem, gdy wpisujesz adres strony, Twoje urządzenie musi najpierw zmienić nazwę domeny na adres IP. Robi to system DNS: klient wysyła zapytanie do resolvera rekurencyjnego; ten odpytuje kolejne serwery (root, TLD, autorytatywny) i zwraca adres IP, z którym przeglądarka nawiązuje właściwe połączenie. DNS pełni rolę książki telefonicznej internetu i właśnie dlatego jest tak wygodnym punktem kontroli.
Na czym polega filtrowanie DNS?
Filtrowanie DNS działa u źródła – przechwytuje zapytanie o adres IP jeszcze zanim Twoja przeglądarka dowie się, dokąd ma wysłać dane.
Zamiast zwykłego resolvera używasz takiego, który przed odpowiedzią sprawdza domenę na liście reguł. Jeśli domena jest dozwolona, dostajesz prawdziwy adres IP i wszystko działa normalnie. Jeśli jest zablokowana, resolver nie zwraca właściwego adresu – zamiast tego odpowiada NXDOMAIN (domena nie istnieje), adresem sinkhole (np. 0.0.0.0) albo adresem IP strony z komunikatem o blokadzie.
Kluczowe jest to, że połączenie z docelowym serwerem w ogóle się nie zaczyna. Klient nie zna adresu, więc nie ma dokąd wysłać pakietów. To łatwe i tanie: nie trzeba analizować ruchu, wystarczy podmienić odpowiedź na jedno zapytanie.
Narzędzia: Pi-hole, NextDNS, Cloudflare Gateway
W praktyce spotkasz kilka popularnych rozwiązań:
- Pi-hole to lokalny serwer DNS, zazwyczaj instalowany na niewielkim komputerze Raspberry Pi, który filtruje ruch dla całej sieci domowej. Ustawiasz go jako resolver na routerze, ładujesz listy blokujące domeny reklam i trackerów, a on zwraca dla nich odpowiedź blokującą.
- NextDNS przenosi ten sam pomysł do chmury – daje konfigurowalne kategorie, profile per urządzenie, statystyki i obsługę szyfrowanego DNS (DoH/DoT), bez fizycznego sprzętu.
- Cloudflare Gateway to z kolei rozwiązanie klasy korporacyjnej: oferuje polityki filtrowania oparte na kategoriach domen, logowanie i egzekwowanie reguł w modelu Zero Trust, typowe dla większych organizacji.
W praktyce wszystkie te narzędzia wykorzystują podobny schemat: listy domen, kategorie, allowlisty, a w bardziej zaawansowanych wdrożeniach strefy polityk odpowiedzi (Response Policy Zones). Różni je głównie skala, miejsce działania i możliwości raportowania.
Gdzie filtrowanie DNS napotyka ograniczenia
Tu zaczyna się najciekawsza część, bo metoda ma poważne ograniczenia.
Po pierwsze, filtrowanie DNS działa na poziomie domeny, nie treści. Możesz zablokować całą domenę, ale nie pojedynczy film czy podstronę w obrębie serwisu, który jest dozwolony. Granularność jest zgrubna: albo cały serwis, albo nic.
Po drugie, filtrowanie DNS da się stosunkowo łatwo ominąć. Użytkownik może ręcznie ustawić własny resolver, a przeglądarki potrafią korzystać z DNS-over-HTTPS, wysyłając zapytania szyfrowane po porcie 443, nieodróżnialne od zwykłego ruchu webowego. Jeśli sieć nie wymusza swojego DNS i nie blokuje zewnętrznych resolverów, filtr da się ominąć w kilka kliknięć. Do tego aplikacje z zaszytym na sztywno adresem IP albo własnym DoH w ogóle pomijają lokalny DNS.
Po trzecie, niektórzy administratorzy próbują uzupełnić filtrowanie DNS blokowaniem konkretnych adresów IP na firewallu, ale tu pojawia się problem współdzielonych adresów. Wiele domen znajduje się pod tym samym adresem IP w ramach CDN-u, więc filtrowanie „po adresie” prowadziłoby do nadmiernego blokowania. Dochodzą też fałszywe trafienia z list blokujących, które potrafią zepsuć działającą stronę, oraz opóźnienia wynikające z pamięci podręcznej i czasu życia rekordu (TTL).
Najważniejsze jest jednak to, że DNS nie widzi treści, a jedynie domenę, o którą pytasz. Nie ma więc pojęcia, co naprawdę pobierasz. To właśnie dlatego samo filtrowanie DNS nie wystarczy.
Inne warstwy filtrowania treści
Co jeśli filtrowanie DNS nie wystarczy? Wtedy w grę wchodzą kolejne warstwy ochrony. Filtrowanie na poziomie IP i portów blokuje konkretne adresy na firewallu. Filtrowanie URL przez serwer proxy pozwala blokować pojedyncze ścieżki, ale przy HTTPS wymaga inspekcji TLS, czyli podstawienia certyfikatu i rozszyfrowania ruchu.
Głęboka inspekcja pakietów (DPI) analizuje zawartość na jeszcze niższym poziomie. Są też filtry aplikacyjne i przeglądarkowe, działające bezpośrednio na urządzeniu.
Każda z tych metod obejmuje inny fragment stosu sieciowego i wiąże się z innym kompromisem pomiędzy dokładnością, kosztem a prywatnością. Im głębiej filtrujesz, tym więcej widzisz, ale tym drożej i tym bardziej ingerujesz w ruch. W praktyce organizacje układają te techniki warstwowo. DNS odsiewa najwięcej najmniejszym kosztem, a droższą inspekcję URL czy DPI stosuje się tam, gdzie naprawdę potrzeba precyzji. Dla kogoś projektującego taki system sztuką jest nie tyle wybór jednej metody, ile świadome połączenie kilku w taki sposób, aby wzajemnie uzupełniały swoje ograniczenia.
SafeSearch na uczelniach jako przykład
Wymuszony SafeSearch na uczelniach dobrze pokazuje, jak filtrowanie DNS i filtrowanie aplikacyjne mogą działać razem.
SafeSearch to filtr po stronie wyszukiwarki, który usuwa treści dla dorosłych z wyników wyszukiwania. Sama wyszukiwarka wykonuje więc filtrowanie na poziomie aplikacji, ale organizacje egzekwują je często właśnie przez DNS. Uczelniany resolver mapuje domenę wyszukiwarki na jej wersję wymuszającą filtr (na przykład forcesafesearch.google.com przez rekord CNAME), więc każde zapytanie z sieci kampusu automatycznie trafia do trybu bezpiecznego, niezależnie od preferencji użytkownika.
To dobry przykład, jak dwie warstwy mogą współpracować: DNS kieruje ruch, a aplikacja filtruje zawartość wyników. To pouczający przykład na to, jak sieć dominuje nad aplikacją. Nawet jeśli zmodyfikujesz ustawienia filtra SafeSearch u siebie, DNS i tak wymusi połączenie z jego bezpieczną wersją.
Na koniec
Filtrowanie DNS jest popularne, bo jest tanie, szybkie i obejmuje całą sieć bez ingerencji w treść. To świetna pierwsza linia obrony przed reklamami, trackerami i całymi kategoriami domen. Mimo to może być zgrubne i stosunkowo łatwe do obejścia.
Dlatego w profesjonalnych systemach bezpieczeństwa DNS rzadko występuje samodzielnie. Jest raczej elementem szerszej strategii, obok filtrowania URL, inspekcji ruchu i polityk aplikacyjnych. Świadomość tego, co widzi dany filtr, a co pozostaje dla niego ukryte, to podstawa sprawnego poruszania się w świecie sieci.
