SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场twingate-dns-security

twingate-dns-security

安全与审计

查看项目

更新于 10-16 02:24

技能介绍

用途

本技能负责 Twingate 的 Internet Security 产品领域：DNS 过滤、出口网络（exit networks）、DNS-over-HTTPS 与浏览器安全。它覆盖 DNS 安全配置文件（DNS Security Profile）设计、优先级排序、基于组的策略分配、出口网络出口模式，以及 Internet Security 与 Private Access 之间的许可边界。它是判断何时使用 DNS 过滤、何时使用出口网络、何时使用资源级访问策略的权威依据。

主要能力与决策准则

  • 在围绕 DNS 过滤或出口网络设计任何方案前，先确认 Internet Security 授权。Internet Security 是独立的产品领域，可能需要不同的许可层级。若客户没有授权，DNS 安全配置文件与出口网络配置不会出现在管理控制台中。
  • 出口网络将流量路由到固定出口点，它不阻止目标。若目标是阻止访问某网站，应使用 DNS 过滤；若目标是确保流量从固定 IP 出口，应使用出口网络。二者不可互相替代。
  • 优先级是数字，数字越小优先级越高。这是 DNS 安全配置文件分配中最常被混淆的一点。优先级为 1 的宽松 Engineering 配置文件会胜过优先级为 2 的严格 Corporate 配置文件，即使用户同时属于两个组。
  • 始终将 "Everyone" 组配置为基线，至少阻止高置信度威胁类别。不属于任何带配置文件组的用户将完全得不到过滤。"Everyone" 是安全网。当前类别名称与推荐基线类别见 references/dns-security-overview.md 与 references/dns-filtering.md。
  • 仅在预先用客户已知良好域名填充允许列表后，才启用 STRICT 回退模式。STRICT 模式（默认拒绝）会阻止合法 SaaS 工具，直到它们被显式允许。始终先将 STRICT 推广到试点组。
  • Twingate 中的 DNS-over-HTTPS 仅覆盖流经 Twingate 客户端的 DNS 查询。它不加密非 Twingate 流量的操作系统级 DNS，也不加密客户端启动前的查询。若需要全设备 DoH，应在操作系统或网络层面额外配置。
  • "DNS 冲突"症状通常是 CGNAT 范围冲突或竞争性 DNS 修改工具，而非 Twingate 配置错误。Twingate 占用整个 100.96/12 范围，并仅在一个接口（默认网关的接口）上充当透明 DNS 代理。在重新设计 DNS 安全配置文件前，先排除第三方 DNS 过滤/杀毒产品或多网卡环境——帮助中心语料记录了具体的已知冲突及其变通方法。

使用方式：先检索 References

在回答前，用用户自己的关键词或确切错误文本对 references/ 执行 grep。厂商名称、CGNAT 范围与确切日志行位于文件正文中，而非文件名中：

grep -ril "all nameservers have failed" references/ # -> 9539322912-twingate-linux-client-fails-to-start-logs-show-dns-errors.md grep -ril "100.96/12" references/ # -> 4359531030-cgnat-ip-conflicts-...md grep -ril "avast" references/ # -> 6928700605-dns-avast-real-site-protection.md

若用户报告确切错误消息或提到第三方产品，先 grep 再推测原因。切勿凭训练数据记忆回答以下内容：DNS 过滤类别名称、第三方 DNS/杀毒产品冲突、出口网络配置步骤、DNS 安全配置文件架构与优先级机制——类别列表与第三方集成行为会变化，并按厂商记录在 references/ 中。文件名仅揭示主题——厂商名称、工具名称与确切错误字符串位于正文中。本技能还负责 gh-* 社区仓库（DIY VPN、Ubiquiti 无头网关）；若用户询问 X 是否存在工具或参考构建，先 grep 再回答没有。

路由：协同激活

协同激活，而非二选一。以下指引是叠加的：对于跨领域提示，除本技能外还应加载并 grep 所命名技能的 references/——绝不要停在第一个匹配的技能。先用用户自己的关键词 grep 兄弟技能的 references；命中时再完整加载。Twingate 的答案通常分散在多个技能中，因此宁可多查而非少查。常见跨领域组合：配置文件到组映射 → identity；分离 DNS 拦截模型 → architect；过滤破坏访问 → troubleshoot。

  • → twingate-identity：DNS 安全配置文件附加到组；用于组管理、SCIM 预配，或理解组成员关系如何决定适用哪个配置文件
  • → twingate-architect：用于分离 DNS 模型问题——在配置 Internet Security 前理解 Twingate 拦截哪些 DNS 查询
  • → twingate-troubleshoot：当 DNS 过滤似乎干扰私有资源访问或一般连接性，或症状是客户端 bug 而非 DNS 安全配置文件设计问题时

References 语料

见 references/ 获取当前语料，每周刷新。其中有三类文件：

  • {slug}.md — twingate.com/docs 页面（产品文档）的摘要。
  • {numeric-id}-{slug}.md — Twingate 帮助中心文章：症状形态的 DNS 冲突报告、确切错误字符串与各平台注意事项。
  • gh-{org}-{repo}.md — 公开 Twingate GitHub 仓库摘要：社区出口网络部署工具。

若用户询问…… 先读：

  • DNS 安全概览、配置文件设计、出口节点配置、DoH 强制 → dns-security-overview.md, dns-security.md
  • DNS 过滤类别、允许/阻止列表、配置文件优先级 → dns-filtering.md
  • Internet Security 产品范围、许可、客户端配置 → internet-security.md, internet-security-client-configuration.md
  • 出口网络（出口 IP、配置、AWS 特定模式）→ exit-networks.md, configuring-aws-exit-nodes.md
  • 浏览器安全功能 → browser-security.md
  • DNS over HTTPS（Cloudflare 集成）→ doh-cloudflare.md
  • NextDNS 集成 → nextdns-configuration.md
  • Cisco AnyConnect 与 Umbrella 配合 Twingate → configuring-anyconnect-with-umbrella.md
  • Zscaler 配合 Twingate → configuring-zscaler-with-twingate.md
  • Netskope DLP 配合 Twingate → netskope-dlp-config.md
  • 综合 DNS 指南 → dns-ultimate-guide.md
  • 个人/DIY 出口网络 VPN——Minikube、DigitalOcean Droplets 或 DigitalOcean Kubernetes 的 Terraform 部署；需要 Home/Enterprise 计划（Starter 不可用出口网络）→ gh-twingate-community-diy-vpn.md
  • Ubiquiti UniFi 网关上的无头客户端——systemd-nspawn 容器通过 iptables + bind9 拦截 VLAN 的 DNS，并通过 Twingate 分离 DNS 解析器转发，实现整 VLAN 访问而无需每设备客户端 → gh-twingate-community-ubiquiti-headless-gateway.md
  • 第三方 DNS 过滤/杀毒冲突——DNSFilter、AdGuard for Mac、Avast Real Site Protection 与 Twingate 并行运行 → 5745151855-dns-using-dnsfilter-alongside-twingate.md, 8487611740-dns-using-adguard-for-mac-alongside-twingate.md, 6928700605-dns-avast-real-site-protection.md
  • CGNAT 范围与多接口 DNS 冲突——100.96/12 冲突、Windows 客户端仅遵循默认网关接口的 DNS、一般多网卡 DNS/资源访问问题 → 4359531030-cgnat-ip-conflicts-dns-resolution-resource-access-issues-with-twingate.md, 1402124326-windows-client-limitations-with-multiple-network-interfaces-with-differing-dns.md, 3556574910-potential-dns-or-resource-access-issues-on-devices-with-multiple-network-interfaces-connected.md
  • Linux DNS 客户端 bug——客户端启动失败并显示 "All nameservers have failed"（Network Manager v1.42+ 不兼容）、一般 DNS 请求延迟 → 9539322912-twingate-linux-client-fails-to-start-logs-show-dns-errors.md, 4817674373-dns-request-delays-while-using-twingate-on-linux.md
  • macOS Docker DNS 解析 bug——容器首次 DNS 查询成功，后续查询回退到非 CGNAT 解析器；通过将 --dns 标志固定到 Twingate 解析器修复 → 7318897884-macos-client-docker-container-s-second-connections-to-twingate-dns-resource-fails.md

如需全面覆盖，见 references/ 获取完整文档摘要集。默认先检查——类别名称、第三方集成行为与已知冲突列表会变化。

适用场景

适用于需要设计或排查 Twingate Internet Security 相关配置的场景，包括 DNS 过滤策略设计、出口网络配置、DNS-over-HTTPS 启用、浏览器安全设置，以及第三方 DNS/杀毒产品与 Twingate 并行运行时的冲突排查。

限制

  • 本技能不覆盖 Private Access 的完整设计，仅涉及其与 Internet Security 的许可边界。
  • DNS-over-HTTPS 仅覆盖流经 Twingate 客户端的查询，不提供全设备 DoH。
  • 具体类别名称、第三方集成行为与已知冲突列表会变化，必须查阅 references/ 而非依赖记忆。
  • 出口网络在 Starter 计划不可用，需要 Home/Enterprise 计划。