DNSポイゾニングと、ハイブリッドフィルタリング

[児童ポルノ]削除要請など待たず迅速遮断　政府総合対策案
http://news.livedoor.com/article/detail/4794153/?utm_source=blog&utm_medium=Fillin

この件ではDNSポイゾニングを利用したドメイン単位での遮断と、ハイブリッドフィルタリングの2種類が検討されている。

前者はごく簡単に説明するとISPの提供するDNSサーバ上で正規のDNSレコードをわざと間違ったIPアドレスに書き換える事で当該のドメインへのアクセスを禁止する手法である。

一方、後者は当該のドメインに対する通信の経路(ルーティング)を変更し、透過プロキシを通過させるようにしたうえで、プロキシサーバ上でURL単位のフィルタリングを行うというものである。

前者はドメイン単位で通信を止めてしまうため、本来ブロックすべきではないコンテンツへのアクセスを禁止してしまうためユーザに対する被害が大きくなる傾向にある。
しかし、技術的にはそれなりに容易に対応ができコストも小さい。
また、プロキシサーバを経由したり、直接IPアドレスを叩くことで回避もできる。(後者はネームベースのバーチャルホストなどでは使えない場合があるが･･･)

後者は厳密なフィルタリングができる(もちろん、ブラックリストが厳密であることが大前提)が、経路の切り替えのコストやそれによる通信量の増大、透過プロキシの設置などさまざまなコストが発生する。
また、ルータの経路が爆発する問題も予想される。

で、ここからが本題
1.DNSポイゾニングで特定のホストに通信を発生させ特定のサーバに通信をおこなわせる
2.フィルタリング対象外のURLへのアクセスはHTTPの301でIPアドレスを指定してリダイレクト(リライトルールで実現できるはず)
･･･という形にすればネームベースのバーチャルホスト以外は対応できてかつ低コストで対応できるんじゃないかな〜
･･･とふと思った