Cloudflare 1.1.1.1, 1.1.1.2 i 1.1.1.3 bez tajemnic
Poznaj różnice między DNS-ami Cloudflare, ich ograniczenia i sposób kontroli działania. Wybierz wariant dla swojej firmy.
Adresy 1.1.1.1, 1.1.1.2 i 1.1.1.3 nie oznaczają trzech technologii DNS (ang. domain name system). To publiczne resolvery Cloudflare, które różnią się polityką filtrowania domen.
Różnica ujawnia się, gdy pracownik kliknie link z fałszywej wiadomości. Filtr DNS może zatrzymać połączenie z częścią znanych szkodliwych domen, zanim otworzy się strona. Nie zastąpi ochrony poczty, aktualizacji urządzeń ani poprawnie skonfigurowanej sieci.
Ten sam DNS, inne zasady odpowiedzi
DNS tłumaczy nazwę domeny na adres IP. Gdy przeglądarka pyta o adres www.google.com, resolver DNS wskazuje, dokąd ma zostać skierowany dalszy ruch.
Cloudflare udostępnia kilka publicznych resolverów. Mechanizm pozostaje ten sam: urządzenie wysyła zapytanie o domenę, a resolver zwraca odpowiedź. Zmienia się tylko polityka dotycząca wybranych domen.
Adres 1.1.1.1 działa bez filtrowania treści. Adresy 1.1.1.2 i 1.1.1.3 należą do usługi „1.1.1.1 for Families” i filtrują zapytania o domeny związane z rozpoznanym malware, phishingiem lub, w wariancie 1.1.1.3, także treściami dla dorosłych.
Resolver podejmuje więc dodatkową decyzję: „Czy domena należy do kategorii, którą ma blokować?”.
Co blokuje każdy adres
Cloudflare publikuje po dwa adresy dla każdego wariantu , co umożliwia skonfigurowanie resolvera głównego i zapasowego. W sieci obsługującej IPv6 samo wpisanie adresów IPv4 nie zablokuje zapytań dotyczących stron korzystających z IPv6. Może jednak spowodować, że system operacyjny zacznie wysyłać zapytania DNS do domyślnych serwerów IPv6 operatora. Aby temu zapobiec, dopisz także parę adresów IPv6 Cloudflare.
Filtr nie analizuje całej zawartości strony. Podejmuje decyzję na poziomie domeny. Gdy domena zostanie sklasyfikowana jako szkodliwa, resolver nie zwraca jej prawidłowego adresu, więc urządzenie nie może połączyć się z blokowaną stroną.
Fałszywy link może zatrzymać się wcześniej
Pracownik dostaje wiadomość podszywającą się pod kuriera. Kliknięty link prowadzi do domeny używanej w kampanii phishingowej.
Przeglądarka pyta DNS o adres tej domeny. Gdy urządzenie korzysta z 1.1.1.2, a domena została już sklasyfikowana jako phishing lub malware, resolver blokuje odpowiedź. Połączenie zostaje przerwane przed załadowaniem strony.
Filtr DNS odcina część znanych szkodliwych domen na etapie rozwiązywania nazw. Nie wykrywa oszustwa w treści e-maila, nie sprawdza, czy pracownik podał hasło na fałszywej stronie, i nie cofnie szkody, gdy domena nie trafiła jeszcze do klasyfikacji.
Filtr DNS nie widzi wszystkiego
Firma ustawia 1.1.1.2 na routerze i uznaje temat za zamknięty. Tymczasem część urządzeń pracuje poza biurem, a jedna z przeglądarek korzysta z własnego DNS-over-HTTPS (DoH) od innego dostawcy.
W obu sytuacjach zapytanie DNS może ominąć resolver ustawiony na routerze. Filtr na routerze działa wyłącznie dla ruchu, który rzeczywiście przez niego przechodzi.
Legalna domena może też zostać wykorzystana do oszustwa, na przykład przez przejęte konto, plik udostępniony w popularnej usłudze albo stronę zainfekowaną po włamaniu. Filtr DNS nie wykryje każdego zagrożenia, ponieważ nie zastępuje ochrony poczty, przeglądarki ani urządzenia.
1.1.1.2 i 1.1.1.3 to dodatkowa, prosta warstwa ochrony, ale tylko jedna z kilku potrzebnych.
Router, komputer i przeglądarka działają osobno
DNS można ustawić na routerze albo na konkretnym urządzeniu. Te miejsca konfiguracji mają inny zasięg.
Ustawienie na routerze obejmuje urządzenia korzystające z firmowej sieci: komputery, telefony podłączone do Wi‑Fi i część sprzętu biurowego. Nie obejmuje automatycznie laptopa pracownika po przejściu na domowe Wi‑Fi ani telefonu korzystającego z internetu komórkowego.
Ustawienie DNS w systemie dotyczy jednego komputera lub telefonu. Obejmuje ten sprzęt niezależnie od aktualnej sieci, o ile system lub aplikacja nie używa własnego resolvera.
Do tego dochodzi DoH. Przeglądarka może wysyłać zapytania DNS jako szyfrowane żądania HTTPS do wybranego dostawcy. Chroni to zapytania przed podglądaniem i zmianą po drodze, ale może też ominąć resolver wskazany na routerze.
Jeśli przeglądarka używa innego dostawcy DoH niż określony w firmowej polityce DNS, filtr ustawiony na routerze nie obejmie jej zapytań.
WARP to osobna usługa
Publiczny resolver 1.1.1.1 odpowiada na pytania DNS. Ustawienie adresu 1.1.1.1, 1.1.1.2 albo 1.1.1.3 nie tuneluje całego ruchu urządzenia przez Cloudflare.
Aplikacja WARP może działać w trybie obsługującym tylko DNS albo w trybie obejmującym ruch urządzenia i DNS. Ma więc inny zakres działania i rozwiązuje inny problem.
Nie ma powodu instalować WARP wyłącznie po to, aby zmienić publiczny DNS. Nie należy też nazywać ustawienia 1.1.1.1 „WARP-em”. To różne mechanizmy, mimo że dostawca pozostaje ten sam.
Filtr dla firmy nie zawsze oznacza to samo
W małej firmie są zwykle trzy grupy urządzeń:
- sprzęt stale podłączony do biurowej sieci,
- laptopy zabierane do domu,
- telefony korzystające częściowo z Wi‑Fi, a częściowo z internetu komórkowego.
Router z 1.1.1.2 obejmuje pierwszą grupę. Nie obejmie jednak konsekwentnie dwóch pozostałych, ponieważ urządzenia te regularnie opuszczają firmową sieć. Wynika to z miejsca konfiguracji DNS.
Dla części firm 1.1.1.2 ustawione na routerze będzie sensowną warstwą ochrony biura. W firmie z zespołem pracującym głównie zdalnie będzie chronić lokalizację, a nie pracowników.
Jak wybrać wariant
Wariant 1.1.1.1 pasuje do sytuacji, w której potrzebny jest publiczny resolver bez filtrowania treści. To wybór techniczny, a nie zabezpieczenie.
Wariant 1.1.1.2 ma sens, gdy chcesz dodać filtr znanych domen związanych z malware i phishingiem do urządzeń lub sieci. Jest rozsądnym uzupełnieniem ochrony biura, w którym pracownicy obsługują pocztę, linki od klientów i dokumenty z zewnętrznych źródeł.
Wariant 1.1.1.3 dodaje filtr treści dla dorosłych. Pasuje do środowiska, w którym taki zakaz jest częścią firmowych zasad korzystania z internetu. Nie zapewnia silniejszej ochrony przed atakami niż 1.1.1.2. Dodatkowa różnica dotyczy kategorii treści, a nie odporności urządzenia.
Sprawdź, czy filtr działa
Po zmianie DNS-u nie zakładaj, że konfiguracja działa tylko dlatego, że panel routera pokazuje nowe adresy. Sprawdź ją na urządzeniu, które faktycznie ma zostać objęte filtrem.
- Otwórz na tym urządzeniu malware.testcategory.com . Cloudflare wskazuje ten adres jako test blokowania domen związanych z malware.
- Jeśli używasz 1.1.1.3, otwórz również nudity.testcategory.com . Ten adres służy do testowania blokady treści dla dorosłych.
- Powtórz test na sprzęcie podłączonym do firmowego Wi‑Fi, na laptopie poza biurem i na telefonie z wyłączonym Wi‑Fi. Różne wyniki pokażą faktyczny zasięg konfiguracji.
- Sprawdź ustawienia DoH w używanych przeglądarkach. Jeśli przeglądarka korzysta z innego dostawcy, test wykonany w niej nie potwierdza działania filtra ustawionego na routerze.
- Jeżeli sieć korzysta z IPv6, sprawdź, czy wpisano także adresy IPv6 dla wybranego wariantu. Sam IPv4 nie obsłuży zapytań wysyłanych przez IPv6.
Ten test nie jest audytem bezpieczeństwa. Pokazuje jedynie, czy urządzenie korzysta z filtra DNS, który miał zostać ustawiony.
Gdy filtr blokuje legalną stronę
Filtr opiera się na klasyfikacji domen, która może być błędna albo nieaktualna. Legalna strona dostawcy, system płatności lub narzędzie używane przez pracownika może zostać zablokowane.
Wyłączenie filtra dla całej firmy po jednym zgłoszeniu jest najgorszą reakcją. Usuwa problem tak samo, jak wyjęcie bezpiecznika usuwa problem z przepalającym się bezpiecznikiem.
Najpierw ustal, czy blokada występuje na każdym urządzeniu, czy tylko na jednym. Potem sprawdź, który wariant DNS-u jest używany, czy przeglądarka nie korzysta z własnego DoH oraz czy problem dotyczy samej domeny, a nie konkretnej strony lub konta.
Jeśli blokada rzeczywiście wynika z klasyfikacji Cloudflare, zgłoś ją do weryfikacji zamiast rezygnować z filtra. Gdy praca wymaga natychmiastowego dostępu, tymczasowe obejście powinno dotyczyć konkretnego urządzenia lub odizolowanej sieci, a nie wszystkich urządzeń firmy.
Trzy błędy, które zostawiają dziury
- Filtr DNS jako zamiennik całej ochrony. Zablokowanie części szkodliwych domen nie chroni skrzynki e-mail, nie wymusza silnych haseł ani nie aktualizuje systemu. To filtr na jednym etapie, a nie pakiet ratunkowy dla zaniedbanej firmy.
- Ustawienie adresu na jednym komputerze. Gdy DNS zostaje zmieniony tylko na laptopie właściciela, reszta zespołu nadal korzysta z poprzedniej konfiguracji. Firma nie ma wtedy polityki DNS, lecz pojedynczy eksperyment.
- Brak sprawdzenia faktycznej trasy zapytań. Własne DoH w przeglądarce, aplikacja z wpisanym resolverem albo urządzenie poza firmowym Wi‑Fi mogą ominąć konfigurację routera. Wpisanie adresów bez testu działania przypomina zamknięcie drzwi bez sprawdzenia, czy zamek się zatrzasnął.
FAQ
Czy 1.1.1.2 to inny DNS niż 1.1.1.1?
To ten sam typ publicznego resolvera DNS Cloudflare. Różnica polega na tym, że 1.1.1.2 filtruje domeny związane z malware i phishingiem.
Czy 1.1.1.3 blokuje tylko treści dla dorosłych?
Nie. 1.1.1.3 blokuje również domeny związane z malware i phishingiem. Filtr treści dla dorosłych jest dodatkową kategorią względem 1.1.1.2.
Po co są adresy 1.0.0.1, 1.0.0.2 i 1.0.0.3?
To zapasowe adresy IPv4 dla odpowiednich wariantów resolvera. Każda konfiguracja używa pary adresów, aby urządzenie miało drugi resolver w razie niedostępności pierwszego.
Czy ustawienie 1.1.1.1 na routerze obejmie całą firmę?
Obejmie urządzenia korzystające z tej sieci, o ile nie używają własnego resolvera lub niezależnego DoH. Nie obejmie automatycznie sprzętu poza biurem ani urządzeń działających na danych komórkowych.
Czy DoH może ominąć DNS ustawiony na routerze?
Tak. Przeglądarka lub inna aplikacja może kierować zapytania DNS do wskazanego przez siebie dostawcy DoH. Przy firmowej polityce DNS liczą się ustawienia routera, urządzeń i przeglądarek.
Czy do 1.1.1.2 i 1.1.1.3 potrzebuję IPv6?
Nie, jeżeli sieć korzysta wyłącznie z IPv4. Jeżeli IPv6 jest aktywne, konfiguracja powinna zawierać także adresy IPv6 odpowiadające wybranemu wariantowi. W przeciwnym razie część zapytań może ominąć filtr.
Czy WARP zastępuje 1.1.1.2?
Nie. WARP i publiczny resolver DNS rozwiązują inne problemy. WARP może obsługiwać DNS lub ruch urządzenia, zależnie od trybu. Adres 1.1.1.2 jest resolverem z filtrem malware i phishingu.
