微软推出基于零信任技术的ZTDNS 未来将在Win11及后续版本中默认使用
内容提要
微软推出基于开放标准的零信任技术ZTDNS，将在Windows 11及后续版本中使用。ZTDNS集成Windows DNS客户端和WFP过滤平台，实现基于域名的锁定。IT管理员可以配置白名单，ZTDNS会检查要加载的域名或IP是否在匹配列表中。需要手动配置，配置信息和测试需充分，以免影响协议的正常使用。
延伸解读
ZTDNS 如何在不破坏加密的前提下实现管控
传统企业防火墙为了识别和过滤流量，往往需要破坏 DNS 加密或使用非加密 DNS，这反而弱化了安全性。ZTDNS 通过集成 Windows DNS 客户端和 WFP 过滤平台，在加密 DNS 的基础上实现基于域名的锁定。IT 管理员配置白名单后，ZTDNS 会检查要访问的域名或 IP 是否在匹配列表中，匹配则允许解析和访问，否则阻断。这样从解析到握手全程加密，既实现了管控，又避免了破坏加密带来的风险。
默认启用但需手动配置，对普通用户影响有限
微软已透露 ZTDNS 将在 Windows 11 及后续版本中默认使用，但现阶段仍处于私人预览阶段，只有受邀客户才能使用。ZTDNS 需要手动配置，不配置就不会有任何访问限制，因此对普通消费者影响不大。唯一的要求是 ZTDNS 不再支持纯文本 DNS，必须使用 DNS over HTTPS 或 DNS over TLS，不过这个要求应该也可以禁用。
IT 管理员部署前需充分测试，避免影响协议兼容性
ZTDNS 从原理上能大幅提高安全性并增强内部网络管控，但 IT 管理员在改造时可能会比较麻烦。需要配置大量信息，例如白名单域名、端口、IP 地址等，而且部分协议如 RDNSS 可能不会支持。因此，IT 管理员可能需要经过充分测试后再考虑是否部署，以免影响某些协议的正常使用。
Q&A
ZTDNS是什么技术，它的主要功能是什么？
ZTDNS是基于开放标准的零信任技术，主要功能是集成Windows DNS客户端和WFP过滤平台，实现基于域名的锁定和安全访问控制。
ZTDNS如何提高企业的网络安全性？
ZTDNS通过使用加密的DNS服务器和白名单机制，确保用户访问的流量在解析和握手过程中保持加密，从而提高网络安全性。
IT管理员在配置ZTDNS时需要注意什么？
IT管理员需要手动配置白名单、域名、IP地址等信息，并进行充分测试，以免影响协议的正常使用。
ZTDNS在Windows 11中的使用有什么特别之处？
ZTDNS将在Windows 11及后续版本中默认使用，但需要手动配置，且不再支持纯文本DNS，必须使用DNS over HTTPS或DNS over TLS。
ZTDNS与传统DNS技术相比有哪些优势？
ZTDNS相较于传统DNS技术，能够在不破坏DNS加密的情况下实现流量识别和过滤，从而增强企业的网络安全性。
ZTDNS的实施对IT管理员有哪些挑战？
实施ZTDNS对IT管理员的挑战包括需要配置大量信息、进行充分测试，以及部分协议可能不被支持。
