英国公共 WiFi 网络的 IWF 合规性

主持人：您好，欢迎收看 Purple 企业级 IT 简报。我是您的主持人，今天我们将探讨一个每位英国 IT 总监、CTO 和网络架构师都需要彻底掌握的主题：公共 WiFi 网络的 IWF 合规性。 如果您正在为零售连锁店、酒店场所、体育场馆或公共部门建筑管理基础设施，那么提供访客 WiFi 已不再仅仅关乎带宽和覆盖范围，而是关乎风险规避。提供不带鲁棒性、未经认证的过滤的开放互联网通道，会让您的组织面临严重的法律和声誉损害。今天，我们将排除一切杂音。没有学术理论 - 只有针对如何构建合规、高性能网络的可操作、厂商中立的指导。 让我们直接进入背景介绍。 Internet Watch Foundation（简称 IWF）维护着英国关于含有儿童性虐待材料（CSAM）URL 的权威清单。对于任何提供公共 WiFi 的场所，整合该阻止列表是负责任运营的绝对底线。 但这里有一个关键点：您不能只是每月下载一次静态列表并将其上传到防火墙。IWF 列表是高度动态的。URL 会不断地被添加和删除。您的网页过滤引擎必须实时或近乎实时地使用该数据源。如果您使用的厂商不是积极使用其动态数据源的官方 IWF 成员，您就不合规。毋庸置疑。 那么，我们到底该如何在网络边缘构建此架构？让我们深入探讨技术细节。 实现 IWF 合规性需要多层方法。您不能仅依赖单一瓶颈点。 第一层是 DNS 过滤。这是您的第一道防线。当访客设备请求已知的 CSAM 域名时，您的安全 DNS 会拦截该请求并将其解析到拦截页面。这非常高效，且几乎引入零延迟。 然而，仅靠 DNS 过滤对于现代合规性来说存在根本性的缺陷。为什么？因为 DNS 在域名级别运行。IWF 列表通常指定确切的 URL - 即网站深处的特定页面。如果您只使用 DNS，您会面临两个巨大的问题：要么拦截不足，允许通过直接 IP 进行访问；要么过度拦截，仅因为一个违规 URL 就将整个合法的域名拉入黑名单。过度拦截会导致用户受挫，并导致支持工单激增。 这就将我们带到了第二层：HTTP 和 HTTPS 深度包检测，特别是 SNI 检测。 由于绝大多数网页流量都是通过 HTTPS 加密的，因此在不解密流量的情况下，您无法轻松查看完整的 URL 路径。现在，一些网络工程师可能会建议进行完整的 SSL 解密 - 即 SSL 检测。让我明确一点：切勿在公共访客网络上这样做。这需要在访客设备上安装自定义根证书，这在实际上是无法强制执行的，会破坏浏览器信任，并且是极大的隐私侵犯。行业标准是 SNI - 服务器名称指示 - 深度检测。SNI 允许您的防火墙在建立加密通道之前查看初始 TLS 握手并识别客户端请求的主机名。通过将强大的 DNS 过滤与先进的 SNI 检测以及动态 IP 分类相结合，您可以在不破坏端到端加密的情况下准确执行 IWF 列表。 让我们来谈谈实施建议和您需要避免的陷阱。 第一，绕过问题。如果用户可以直接将 DNS 设置更改为 8.8.8.8 并绕过您的控制，那么您的过滤将毫无用处。您必须配置边缘路由器或防火墙以阻止 UDP 和 TCP 端口 53 上的出站流量，以及用于 DNS over TLS 的端口 853。强制所有 DNS 请求通过您合规的基础设施。 此外，还要注意 DNS over HTTPS（即 DoH）。现代浏览器越来越多地使用 DoH，它将 DNS 查询封装在标准 HTTPS 流量中。您需要确保防火墙配置为阻止已知的 DoH 解析器端点，以强制浏览器回退到您的本地安全 DNS。 第二，Captive Portal。Captive Portal 不仅仅是放置品牌标志的地方，它还是一个法律控制网关。您的可接受使用政策（即 AUP）必须明确指出内容过滤已启用，并且对非法材料的访问将被监控和阻止。用户在获得访问权限之前必须主动接受此 AUP。这为您提供了法律保障。 第三，日志记录。您需要配置系统以保留被阻止访问尝试的日志（与设备 MAC 地址和会话数据关联）至少 12 个月。这符合 GDPR，并在发生事件时支持执法部门的调查。 最后，网络隔离。切勿将访客流量与业务流量混在一起。您的访客 VLAN 必须与销售点系统或企业基础设施严格隔离。对访客网络应用严格的网页过滤，但对 POS 网络使用严格的白名单，以确保交易零延迟。 好了，现在针对我们在实际领域中遇到的常见情况进行快速问答。 问题 1：“我们可以使用真实的 IWF URL 来测试我们的新防火墙配置吗？” 回答：绝对不行。访问这些 URL 是非法的。IWF 提供了特定的安全测试 URL，专门用于验证您的过滤引擎是否正常工作。请使用这些。 问题 2：“我们的营销团队希望建立一个没有 Captive Portal 的‘无摩擦’开放 WiFi 网络。这合规吗？” 回答：不合规。如果没有 Captive Portal，您就无法强制执行可接受使用政策，这意味着您与用户之间没有达成法律协议。这会使场所面临巨大的法律责任。 问题 3：“对于使用 VPN 的访客，我们该怎么办？” 答：在酒店等环境中，商务旅客需要使用 VPN。你无法完全阻止它们。但是，你应该监控绕过标准端口的过度、持续的加密隧道，这可能表明存在滥用，而非合法的企业访问。 让我们总结一下接下来的步骤。 合规并非成本中心，而是品牌保护。你的场所与非法内容关联所带来的声誉损害，远超部署成本。 要做好这一点： 1. 验证你的网页过滤供应商是否为 active IWF 会员。 2. 使用安全 DNS 和 SNI 检测实施双层过滤。 3. 锁定出站 DNS 端口以防止绕过。 4. 通过 Captive Portal 强制执行 AUP。 5. 将你的日志保留 12 个月。 如果你遵循这些步骤，你将构建一个不仅高性能，而且从根本上安全且合规的网络。 感谢您参加本次 Purple 企业 IT 简报。欲获取更详细的架构图和实施清单，请参阅完整的技术指南。保持安全，我们下次再见。