英國公共 WiFi 網路的 IWF 合規指南

主持人：您好，歡迎收聽 Purple 企業 IT 簡報。我是您的主持人，今天我們要探討一個英國每位 IT 總監、CTO 和網路架構師都必須熟練掌握的主題：公共 WiFi 網路的 IWF 合規性。 如果您正在管理零售連鎖店、餐飲旅宿場所、體育場館或公共部門建築的基礎設施，提供訪客 WiFi 已不再僅僅關乎頻寬和覆蓋範圍，而是關乎風險緩解。在沒有強大且經認證的過濾機制的情況下，向網際網路提供開放管道會讓您的組織面臨嚴重的法律和聲譽損害。今天，我們將撥開迷霧 - 沒有學術理論，只有與廠商無關的實用指南，教您如何架構一個合規且高效能的網路。 讓我們直接進入背景脈絡。 網際網路觀察基金會（Internet Watch Foundation，簡稱 IWF）維護著英國包含兒童性虐待內容（CSAM）的權威 URL 清單。對於任何提供公共 WiFi 的場所，整合此封鎖清單是負責任營運的絕對基準。 但這裡有一個關鍵點：您不能只是每個月下載一次靜態清單，然後將其上傳到防火牆。IWF 清單是高度動態的。URL 隨時都在新增和刪除。您的網頁過濾引擎必須即時或近乎即時地取用此資料來源。如果您使用的廠商不是積極取用其動態資料來源的 IWF 正式會員，您就是不合規。就這麼簡單。 那麼，我們實際上如何在網路邊緣架構這一點呢？讓我們深入探討技術細節。 實作 IWF 合規性需要採用多層次的方法。您不能依賴單一瓶頸點。 第一層是 DNS 過濾。這是您的第一道防線。當訪客裝置請求已知的 CSAM 網域時，您的安全 DNS 會攔截該請求並將其解析為封鎖頁面。這非常高效，且幾乎不會引入任何延遲。 然而，對於現代合規性而言，僅靠 DNS 過濾在根本上是有缺陷的。為什麼？因為 DNS 是在網域層級運作的。IWF 清單通常會指定精確的 URL - 即網站深處的特定頁面。如果您只使用 DNS，您會面臨兩個巨大的問題。要麼您過濾不足，允許透過直接 IP 進行存取；要麼您過濾過度，僅僅因為一個違規的 URL 就封鎖了整個合法的網域。過度封鎖會導致使用者感到沮喪，並使支援票證激增。 這就帶我們來到了第二層：HTTP 和 HTTPS 深層封包檢測，特別是 SNI 檢測。 由於絕大多數網頁流量都是透過 HTTPS 加密的，因此在不解密流量的情況下，您無法輕易看見完整的 URL 路徑。現在，有些網路工程師可能會建議進行完整的 SSL 解密 - 即 SSL 檢測。讓我明確說明：請勿在公共訪客網路上這樣做。這需要在訪客裝置上安裝自訂根憑證，這在實務上無法強制執行，會破壞瀏覽器信任，而且是嚴重的隱私侵犯。業界標準是 SNI - 伺服器名稱指示（Server Name Indication） - 檢測。SNI 允許您的防火牆在建立加密通道之前，先查看初始 TLS 交握並確認用戶端要求的端點主機名稱。透過將強大的 DNS 過濾與進階 SNI 檢測及動態 IP 分類相結合，您可以在不破壞端對端加密的情況下，精確地執行 IWF 清單。 讓我們來談談實作建議以及您需要避免的陷阱。 首先是繞過問題。如果使用者只需將其 DNS 設定更改為 8.8.8.8 就能繞過您的控制，那麼您的過濾就毫無用處。您必須設定邊緣路由器或防火牆，以封鎖 UDP 和 TCP 連接埠 53 以及 DNS over TLS 連接埠 853 的連外流量。強制所有 DNS 請求都必須通過您合規的基礎架構。 此外，還要留意 DNS over HTTPS（簡稱 DoH）。現代瀏覽器越來越常使用 DoH，它將 DNS 查詢封裝在標準 HTTPS 流量中。您需要確保您的防火牆已設定為封鎖已知的 DoH 解析器端點，以強制瀏覽器恢復使用您的本地安全 DNS。 其次是 Captive Portal。Captive Portal 不僅僅是放置品牌標誌的地方，它更是一個法律控制關卡。您的可接受使用政策（AUP）必須明確指出內容過濾功能已啟用，且將對非法內容的存取進行監控與封鎖。使用者在獲得網路存取權限之前，必須主動接受此 AUP。這能為您提供法律保障。 第三是記錄。您需要設定系統，將遭封鎖存取嘗試的記錄（與裝置 MAC 位址和工作階段資料綁定）保留至少 12 個月。這符合 GDPR 規範，並在發生事件時支援執法部門的調查。 最後是網路隔離。絕不要將訪客流量與營運流量混在一起。您的訪客 VLAN 必須與您的銷售點（POS）系統或企業基礎架構嚴格隔離。對訪客網路套用嚴格的網頁過濾，但對您的 POS 網路使用嚴格的允許清單，以確保交易達到零延遲。 好的，現在針對我們在實務中常見的情境進行快速問答。 問題 1：「我們可以使用實際的 IWF URL 來測試我們的新防火牆設定嗎？」 解答：絕對不行。存取這些 URL 是違法的。IWF 提供了專門且安全的測試 URL，旨在驗證您的過濾引擎是否正常運作。請使用這些安全 URL。 問題 2：「我們的行銷團隊想要一個無摩擦力、沒有 Captive Portal 的開放式 WiFi 網路。這合規嗎？」 解答：不合規。沒有 Captive Portal，您就無法強制執行可接受使用政策，這意味著您與使用者之間沒有法律協議。這會使該場所面臨重大的法律責任風險。 問題 3：「對於使用 VPN 的訪客，我們該怎麼辦？」 答：在飯店等環境中，商務旅客需要使用 VPN，您無法完全封鎖它們。然而，您應該監控過度、持續且繞過標準連接埠的加密通道，因為這可能表示存在濫用行為，而非合法的企業存取。 讓我們總結接下來的步驟。 合規性並非成本中心，而是品牌保護。您的場所若與非法內容產生關聯，其造成的商譽損害將遠超過部署成本。 若要做好這點： 1. 驗證您的網頁過濾廠商是否為 active IWF 成員。 2. 使用安全 DNS 和 SNI 檢測來實作雙層過濾。 3. 鎖定輸出 DNS 連接埠以防止繞過。 4. 透過 Captive Portal 強制執行 AUP。 5. 將您的日誌保留 12 個月。 如果您遵循這些步驟，您將能建立一個不僅高效能，而且從根本上安全且合規的網路。 感謝您參加本次 Purple Enterprise IT 簡報。如需更詳細的架構圖和實作清單，請參閱完整的技術指南。保持安全，我們下次見。