公司内网最近总有人偷偷刷视频，带宽被占得死死的，开会视频卡成幻灯片。查了一圈才发现，问题出在几个常被忽略的娱乐网站上。这时候，一套合理的基于域名的过滤规则集就能派上大用场。
什么是基于域名的过滤规则集
简单说，就是通过设定一系列规则，控制哪些域名可以访问，哪些直接拦下。这些规则通常用在防火墙、代理服务器或DNS过滤系统里，比如员工想打开 youtube.com，系统一看在黑名单里，立马拒绝。
这种做法不像IP过滤那样容易误伤，毕竟一个IP可能托管几十个网站。而域名更贴近用户行为，管理起来也直观。比如屏蔽 ad.example.com，不影响主站 example.com 的正常使用。
常见应用场景
企业办公网络里，常会屏蔽社交媒体、在线游戏、视频平台这类影响效率的站点。学校机房也会用类似规则，防止学生访问不适宜的内容。甚至家庭宽带路由器现在也支持自定义域名黑名单，家长可以轻松挡住某些网页。
运维人员在部署反爬虫策略时，也会用到域名过滤。比如某个采集器频繁请求 api.shop.com，就可以临时加入拦截规则，缓解服务器压力。
规则写法示例
以常见的 dnsmasq 配置为例，可以通过返回空解析来屏蔽特定域名：
address=/facebook.com/#
address=/www.youtube.com/127.0.0.1如果是用 iptables 配合域名解析结果做限制，可能会先将目标域名解析出的IP加入黑名单：
iptables -A OUTPUT -d $(getent hosts badsite.com | awk '{print $1}') -j DROP现代一些的系统如 Pi-hole 或 AdGuard Home，则提供图形界面直接导入域名列表，维护更方便。比如导入 去广告规则集 中的域名数据，一键启用。
维护技巧与注意事项
规则不是一设了之。有些服务会使用CDN，域名背后对应多个IP，盲目屏蔽可能导致功能异常。比如屏蔽某个云存储域名，可能连累内部系统的文件上传。
建议定期检查日志，看看有没有误杀正常请求。可以先在小范围测试规则，确认无误后再全网推送。同时保留白名单机制，给必要服务开绿灯。
另外，别忘了加密流量的影响。现在很多网站用 HTTPS，单纯靠域名过滤只能阻断连接，没法查看内容。但结合SNI识别技术，依然能在TLS握手阶段判断目标域名并决定是否放行。