DNS‑filtrering
Højtydende, hukommelsesbaseret
DNS‑filtreringsmotor
Deterministisk inspektion af navneopslag direkte på Layer 2‑datastien.
Yazata har en dedikeret, hændelsesdrevet DNS‑inspektionsmotor indbygget, som kører lokalt på enheden – den parser, validerer og evaluerer DNS‑transaktioner mod millioner af trusselsindikatorer med en forespørgselslatens under ét millisekund.
Den hukommelsesbaserede filtreringsmotor
En dedikeret, hændelsesdrevet DNS‑inspektionsmotor, der arbejder udelukkende i flygtig hukommelse (RAM).
Deterministisk inspektion af navneopslag direkte på Layer 2‑datastien.
Motoren arbejder udelukkende i flygtig hukommelse og parser, validerer og evaluerer DNS‑transaktioner mod millioner af trusselsindikatorer med en forespørgselslatens under ét millisekund – transparent placeret mellem klienten og resolveren, før der overhovedet oprettes socket‑forbindelser.
Livscyklus for forespørgselsbehandling
Hver udgående DNS‑forespørgsel passerer fem deterministiske trin.
1. Inline opfangning af trafik
Den transparente Layer 2‑bro opfanger almindelige udgående DNS‑forespørgsler (UDP/TCP port 53) til enhver destinations‑IP og omdirigerer dem internt til den lokale resolver‑daemon uden at ændre IP‑pakkernes headere.
2. Evaluering i lokal cache
Forespørgsler kontrolleres øjeblikkeligt mod en intern, hurtig LRU‑cache (Least Recently Used) med optimistisk caching‑logik, der minimerer svartiden opstrøms for gentagne forespørgsler.
3. Optimeret regelmotor & trie‑matchning
Opslag uden cache‑træffer evalueres mod de aktive blokeringslister ved hjælp af kompilerede radix‑træer (trie) og hash‑map‑strukturer. Wildcard‑regler, eksakte domænematch og regulære udtryk behandles med tidskompleksiteten O(k) (hvor k er domænets længde) – uafhængigt af listernes samlede størrelse.
4. Deterministisk sinkholing
Udløses et match på et ondsindet domæne, et sporingsdomæne eller et reklamedomæne, standser motoren den udgående trafik og syntetiserer et øjeblikkeligt svar (konfigurerbart som 0.0.0.0, :: eller NXDOMAIN) med en aggressiv TTL, så endepunktet ikke oversvømmer netværket med gentagne forsøg.
5. Multiplekset opslag opstrøms
Legitime forespørgsler videresendes via krypteret transport (DoH, DoT eller DoQ) til prioriterede opstrøms‑resolvere. Motoren forespørger de hurtigst svarende noder parallelt, så netværksbelastningen holdes minimal.
Centrale funktioner
Regler i flere formater, krypteret transport opstrøms og forebyggelse af omgåelse – kompileret direkte ind i hukommelsen.
Avanceret mønstergenkendelse
Understøtter blokeringslister i flere formater: hosts‑filer, Adblock‑syntaks, domæne‑wildcards (*.example.com) og komplekse RegEx‑regler, der kompileres direkte ind i hukommelsesstrukturer.
Krypterede opstrømsprotokoller
Kommunikationen opstrøms går uden om den ukrypterede port 53. Indbygget understøttelse af DNS‑over‑HTTPS (DoH), DNS‑over‑TLS (DoT) og DNS‑over‑QUIC (DoQ) forhindrer manipulation og aflytning på internetudbyderniveau.
Forebyggelse af omgåelse & DoH‑blokering
Registrerer og dropper uautoriserede udgående DoH/DoT‑forbindelser til tredjeparts offentlige resolvere, så hverken afvigende endepunkter eller browseres standardindstillinger kan omgå de centrale sikkerhedspolitikker.
EDNS0 & fjernelse af Client Subnet
Fjerner EDNS Client Subnet‑metadata (ECS) fra udgående forespørgsler, så interne private IP‑strukturer og geografiske oplysninger aldrig lækkes til eksterne navneservere.
Officiel pipeline for forespørgselsbehandling:
[ DNS‑forespørgsel fra klientendepunkt (UDP/TCP port 53) ] ──► (Transparent Layer 2‑bro — opfangning med bevarede headere)
│ (Lokal resolver‑daemon)
▼
[ EVALUERING I LOKAL LRU‑CACHE ] ──► Optimistisk caching, minimal svartid
│ (Cache‑miss → regelmotor)
▼
[ REGELMOTOR: TRIE + HASH‑MAP‑MATCHNING ] ──► Wildcards, eksakt match & RegEx — O(k)‑kompleksitet
│
▼
[ MATCH ] ──► [ SINKHOLE: 0.0.0.0 / :: / NXDOMAIN ]
[ INTET MATCH ] ──► [ KRYPTERET OPSTRØMS: DoH / DoT / DoQ ]
│
▼
[ SVAR RETURNERET TIL KLIENTENDEPUNKTET — Ingen mærkbar latens, intet klientaftryk ]
Fra opfangning til opløsning evalueres hver forespørgsel i hukommelsen ved den fysiske netværksgrænse – ingen softwareagenter, ingen browserudvidelser og ingen forstyrrelse af endepunktet.
Specifikationer for ydelse
Konstrueret til ikke‑blokerende gennemløb i linjehastighed på dedikeret appliance‑hardware.
Behandlingslatens
Under 0,8 ms gennemsnitlig intern regelevalueringstid.
Gennemløbskapacitet
Flertrådet, ikke‑blokerende I/O, der håndterer mange tusinde forespørgsler i sekundet (QPS) på dedikeret appliance‑hardware.
Hukommelsesforbrug
Nativt kompileret binær med optimeret memory pooling; holder millioner af aktive regeldefinitioner på under 512 MB RAM.
Intet klientaftryk
Fordi motoren udelukkende arbejder ved Layer 2‑transportgrænsen, installeres der hverken softwareagenter, drivere eller certifikatmyndigheder (CA'er) på de administrerede endepunkter.
DNS‑filtrering for hele netværket.
Intet klientaftryk.
Indfør transparent Layer 2‑forsvar af navneopslag uden at omkonfigurere jeres subnet, installere softwareagenter eller administrere endepunktspolitikker.