twingate-dns-security

角色

此技能负责 Twingate 的 Internet Security 产品领域：DNS 过滤、出口网络、DNS-over-HTTPS 和浏览器安全。内容涵盖 DNS Security Profile 设计、优先级排序、基于组的策略分配、出口网络流量模式，以及 Internet Security 与 Private Access 之间的许可边界。它是判断何时使用 DNS 过滤、出口网络或资源级访问策略的权威依据。

决策与指南

• 在围绕 DNS 过滤或出口网络设计任何解决方案之前，先确认客户拥有 Internet Security 使用权限。 Internet Security 是一个独立的产品领域，可能需要不同的许可证层级。如果客户没有使用权限，管理控制台中将不会显示 DNS Security Profiles 和出口网络配置。
• 出口网络会将流量路由到固定的出口点——不会阻止目标地址。 如果目标是阻止访问某个网站，请使用 DNS 过滤。如果目标是确保流量从固定 IP 发出，请使用出口网络。这两者不能互相替代。
• 优先级使用数字表示，数字越小，优先级越高。 这是分配 DNS Security Profile 时最容易引起混淆的一点。即使用户同时属于两个组，优先级为 1 的宽松 Engineering 配置文件也会胜过优先级为 2 的限制性 Corporate 配置文件。
• 始终将“Everyone”组配置为基线，至少屏蔽高置信度威胁类别。 不属于任何配置了配置文件的组的用户，不会受到任何过滤。“Everyone”组是安全网。当前类别名称和建议的基线类别见 references/dns-security-overview.md 和 references/dns-filtering.md。
• 只有在预先将客户已知的可信域名添加到允许列表后，才启用 STRICT 回退模式。 STRICT 模式（默认拒绝）会屏蔽尚未明确允许的合法 SaaS 工具。始终先向试点组推出 STRICT 模式。
• Twingate 中的 DNS-over-HTTPS 仅涵盖经 Twingate Client 传输的 DNS 查询。 它不会加密非 Twingate 流量的操作系统级 DNS，也不会加密 Client 启动前发出的查询。如果需要完整设备的 DoH，除了 Twingate 之外，还要在操作系统或网络层进行配置。
• “DNS 冲突”通常是 CGNAT 范围冲突或其他会修改 DNS 的工具导致的，而非 Twingate 配置错误。 Twingate 会占用整个 100.96/12 范围，并且仅在一个接口（默认网关的接口）上充当透明 DNS 代理。在重新设计 DNS Security Profile 之前，请先排查第三方 DNS 过滤器／AV 产品或多网卡环境——帮助中心资料记录了已知冲突及其解决方法。

先搜索参考资料

回答前，先用用户自己的关键词或确切错误文本搜索 references/。 供应商名称、CGNAT 范围和确切日志行都在文件正文中，而不是文件名中：

grep -ril "all nameservers have failed" references/   # -> 9539322912-twingate-linux-client-fails-to-start-logs-show-dns-errors.md
grep -ril "100.96/12" references/                     # -> 4359531030-cgnat-ip-conflicts-...md
grep -ril "avast" references/                         # -> 6928700605-dns-avast-real-site-protection.md

如果用户报告确切的错误消息或提到第三方产品，先搜索再推测原因。 对于以下内容，切勿依据训练数据记忆作答：DNS 过滤类别名称、第三方 DNS／AV 产品冲突、出口网络配置步骤，或 DNS Security Profile 架构和优先级机制——类别列表和第三方集成行为会发生变化，并且按供应商记录在 references/ 中。文件名只能显示主题；供应商名称、工具名称和确切错误文本都在正文中。此技能还负责 gh-* 社区代码库（DIY VPN、Ubiquiti 无头网关）；如果用户询问 X 是否有相关工具或参考构建，请先搜索，不要直接回答没有。

路由

协同激活，不要非此即彼。 以下指引是累加式的：对于跨领域提示词，除了本技能外，还要加载并检索所提技能的 references/，不要在找到第一个匹配技能后就停止。先用用户自己的关键词检索相关技能的 references/；如果检索到匹配项，再完整加载该技能。Twingate 问题的答案通常分散在多个技能中，因此宁可多查一些，也不要少查。此处常见的跨领域组合：配置文件到群组的映射 → identity；拆分 DNS 拦截模型 → architect；过滤导致访问中断 → troubleshoot。

• → twingate-identity：DNS 安全配置文件会关联到群组；适用于群组管理、SCIM 配置，或了解群组成员身份如何决定应用哪个配置文件
• → twingate-architect：适用于拆分 DNS 模型相关问题，即在配置 Internet Security 之前，了解 Twingate 会拦截哪些 DNS 查询
• → twingate-troubleshoot：当 DNS 过滤似乎影响了对私有资源的访问或一般连接，或者问题症状是客户端错误而非 DNS 安全配置文件设计问题时

参考资料

当前资料库见 references/，每周更新。这里包含三类文件：

• {slug}.md — twingate.com/docs 页面（产品文档）的摘要。
• {numeric-id}-{slug}.md — Twingate 帮助中心文章：描述 DNS 冲突症状、精确错误字符串以及各平台的特殊情况。
• gh-{org}-{repo}.md — Twingate 公开 GitHub 仓库的摘要：社区退出网络部署工具。

如果用户询问……	首先阅读
DNS Security 概览、配置文件设计、退出节点配置、DoH 强制实施	dns-security-overview.md、dns-security.md
DNS 过滤类别、允许/阻止列表、配置文件优先级	dns-filtering.md
Internet Security 产品范围、许可、客户端配置	internet-security.md、internet-security-client-configuration.md
退出网络（出口 IP、配置、AWS 特定模式）	exit-networks.md、configuring-aws-exit-nodes.md
浏览器安全功能	browser-security.md
DNS over HTTPS（Cloudflare 集成）	doh-cloudflare.md
NextDNS 集成	nextdns-configuration.md
Twingate 与 Cisco AnyConnect 和 Umbrella 配合使用	configuring-anyconnect-with-umbrella.md
Twingate 与 Zscaler 配合使用	configuring-zscaler-with-twingate.md
Twingate 与 Netskope DLP 配合使用	netskope-dlp-config.md
全面的 DNS 指南	dns-ultimate-guide.md
个人/DIY 退出网络 VPN — 使用 Terraform 部署到 Minikube、DigitalOcean Droplets 或 DigitalOcean Kubernetes；需要 Home/Enterprise 计划（Starter 不支持退出网络）	gh-twingate-community-diy-vpn.md
Ubiquiti UniFi 网关上的无头客户端 — 通过 systemd-nspawn 容器拦截 VLAN 的 DNS（使用 iptables + bind9），并通过 Twingate 分离 DNS 解析器转发，实现整个 VLAN 的访问，无需逐台设备安装客户端	gh-twingate-community-ubiquiti-headless-gateway.md
第三方 DNS 过滤器/AV 冲突 — 与 Twingate 同时运行的 DNSFilter、AdGuard for Mac、Avast Real Site Protection	5745151855-dns-using-dnsfilter-alongside-twingate.md、8487611740-dns-using-adguard-for-mac-alongside-twingate.md、6928700605-dns-avast-real-site-protection.md
CGNAT 网段和多接口 DNS 冲突 — 100.96/12 冲突、Windows 客户端仅使用默认网关接口的 DNS，以及常见的多网卡 DNS/资源访问问题	4359531030-cgnat-ip-conflicts-dns-resolution-resource-access-issues-with-twingate.md、1402124326-windows-client-limitations-with-multiple-network-interfaces-with-differing-dns.md、3556574910-potential-dns-or-resource-access-issues-on-devices-with-multiple-network-interfaces-connected.md
Linux DNS 客户端问题 — 客户端因“所有名称服务器均不可用”而无法启动（与 Network Manager v1.42+ 不兼容），以及一般的 DNS 请求延迟	9539322912-twingate-linux-client-fails-to-start-logs-show-dns-errors.md、4817674373-dns-request-delays-while-using-twingate-on-linux.md
macOS Docker DNS 解析错误 — 容器的首次 DNS 查询成功，后续查询则回退到非 CGNAT 解析器；可通过将 --dns 标志固定为 Twingate 解析器来修复	7318897884-macos-client-docker-container-s-second-connections-to-twingate-dns-resource-fails.md

如需全面了解，请参阅 references/ 中的完整文档摘要集。默认先查阅资料——类别名称、第三方集成行为和已知冲突列表都可能发生变化。