英國公共 WiFi 網路的 IWF 合規指南

主持人：您好，歡迎收聽 Purple 企業 IT 簡報。我是您的主持人，今天我們要探討一個每位英國 IT 總監、CTO 和網路架構師都必須徹底掌握的主題：公共 WiFi 網路的 IWF 合規性。 如果您正在管理零售連鎖店、餐飲旅宿場所、體育場館或公共部門建築的基礎設施，提供訪客 WiFi 已不再僅僅是關於頻寬和覆蓋範圍，而是關於風險緩釋。在沒有強大、經認證的過濾機制下提供開放的網際網路管道，會使您的組織面臨嚴重的法律和聲譽損害。今天，我們將撥雲見日。不談學術理論——只提供具體可行、不綁定特定廠商的指南，教您如何建構一個合規且高效能的網路。 讓我們直接進入背景脈絡。 Internet Watch Foundation（簡稱 IWF）維護著英國關於兒童性虐待內容（CSAM）的權威 URL 清單。對於任何提供公共 WiFi 的場所，整合此阻擋清單是負責任營運的絕對底線。 但這裡有一個關鍵點：您不能只是每個月下載一次靜態清單並將其上傳到防火牆。IWF 清單是高度動態的，URL 會不斷被新增和移除。您的網頁過濾引擎必須即時或近乎即時地讀取此資料來源。如果您使用的廠商不是積極讀取其動態資料來源的 IWF 正式成員，您就是不合規。毫無懸念。 那麼，我們實際上要在網路邊緣如何建構這個架構？讓我們深入探討技術細節。 實施 IWF 合規性需要多層次的方法。您不能依賴單一瓶頸點。 第一層是 DNS 過濾。這是您的第一道防線。當訪客裝置請求已知的 CSAM 網域時，您的安全 DNS 會攔截它並將其解析為阻擋頁面。這非常高效，且幾乎不會引入任何延遲。 然而，單靠 DNS 過濾在現代合規性中存在根本性的缺陷。為什麼？因為 DNS 是在網域層級運作。IWF 清單通常會指定精確的 URL——即網站深處的特定頁面。如果您只使用 DNS，您將面臨兩個巨大問題：要麼阻擋不足（允許透過直接 IP 進行存取），要麼過度阻擋（僅因一個違規 URL 就將整個合法的網域封鎖）。過度阻擋會導致使用者感到沮喪，並使支援工單激增。 這帶領我們進入第二層：HTTP 和 HTTPS 深層封包檢測，特別是 SNI 檢測。 由於絕大多數網頁流量都是透過 HTTPS 加密的，因此在不解密流量的情況下，您無法輕易看到完整的 URL 路徑。現在，某些網路工程師可能會建議進行完整的 SSL 解密——即 SSL 檢測。讓我明確說明：千萬不要在公共訪客網路上這樣做。這需要在訪客裝置上安裝自訂的根憑證，這不僅無法強制執行，還會破壞瀏覽器信任，並且是嚴重的隱私侵犯。業界標準是 SNI（伺服器名稱指示）檢查。SNI 允許您的防火牆在建立加密通道之前，先查看初始 TLS 交握並確認用戶端要求的端點主機名稱。透過將強大的 DNS 過濾與先進的 SNI 檢查及動態 IP 分類相結合，您可以在不破壞端對端加密的情況下，精確地執行 IWF 清單。 接下來，我們來談談實作建議以及您需要避免的陷阱。 首先是繞過問題。如果使用者只需將其 DNS 設定變更為 8.8.8.8 就能繞過您的控制，那麼您的過濾功能將形同虛設。您必須設定邊緣路由器或防火牆，以阻擋 UDP 和 TCP 連接埠 53 以及 DNS over TLS 的連接埠 853 的外連流量。強制所有 DNS 要求都必須通過您符合規範的基礎設施。 此外，請密切注意 DNS over HTTPS（簡稱 DoH）。現代瀏覽器越來越常使用 DoH，它將 DNS 查詢封裝在標準的 HTTPS 流量中。您需要確保您的防火牆已設定為阻擋已知的 DoH 解析器端點，以強制瀏覽器回復使用您本地的安全 DNS。 第二是 Captive Portal。Captive Portal 不僅僅是放置您品牌標誌的地方，它更是一個法律控制關卡。您的「可接受使用政策」（AUP）必須明確聲明內容過濾功能已啟用，且對非法內容的存取將受到監控與阻擋。使用者在獲得存取權限之前，必須主動接受此 AUP。這能為您提供法律保障。 第三是記錄保存。您需要設定您的系統，將阻擋存取嘗試的記錄（與裝置 MAC 位址和工作階段資料綁定）保留至少 12 個月。這符合 GDPR 規範，並在發生事件時支援執法部門的調查。 最後是網路分割。切勿將訪客流量與營運流量混在一起。您的訪客 VLAN 必須與您的銷售點（POS）系統或企業基礎設施嚴格隔離。對訪客網路套用嚴格的網頁過濾，但對您的 POS 網路使用嚴格的允許清單，以確保交易達到零延遲。 好了，現在針對我們在實務中常見的情境進行快速問答。 問題 1：「我們可以使用實際的 IWF URL 來測試我們的新防火牆設定嗎？」 回答：絕對不行。存取這些 URL 是違法的。IWF 提供了專門且安全的測試 URL，僅用於驗證您的過濾引擎是否正常運作。請使用這些測試網址。 問題 2：「我們的行銷團隊想要一個『無摩擦』且沒有 Captive Portal 的開放式 WiFi 網路。這符合規範嗎？」 回答：不符合。如果沒有 Captive Portal，您就無法強制執行「可接受使用政策」，這意味著您與使用者之間沒有法律協議。這會使場所面臨重大的法律責任風險。 問題 3：「對於使用 VPN 的訪客，我們該怎麼處理？」 答：在飯店等環境中，商務旅客需要使用 VPN。您無法完全封鎖它們。然而，您應該監控繞過標準連接埠、過度且持續的加密通道，因為這可能代表濫用，而非合法的企業存取。 讓我們總結接下來的步驟。 合規性並非成本中心，而是品牌保護。您的場所若與非法內容產生關聯，其商譽受損的代價遠高於部署成本。 若要正確執行此操作： 1. 驗證您的網頁過濾廠商是否為活躍的 IWF 成員。 2. 使用安全 DNS 和 SNI 檢查實施雙層過濾。 3. 鎖定輸出 DNS 連接埠以防止繞過。 4. 透過 Captive Portal 強制執行 AUP。 5. 將您的記錄保留 12 個月。 如果您遵循這些步驟，您將建立一個不僅高效能，而且從根本上安全且合規的網路。 感謝您參加本次 Purple 企業 IT 簡報。如需更詳細的架構圖和實施檢核表，請參閱完整的技術指南。保持安全，我們下次見。