Webbrowser und DNS über HTTPS-Standard konfigurieren

Einleitung

In diesem Dokument wird die Konfiguration von Webbrowsern und DNS über die HTTPS-Standardeinstellung für Cisco Umbrella beschrieben.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Cisco Umbrella.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Überblick

Ab Version 63 von Firefox kann Mozilla DNS-over-HTTPS (DoH) standardmäßig für Firefox-Benutzer aktivieren. Dadurch wird DoH an CloudFlare gesendet, wodurch Ihre Umbrella-Einstellungen umgangen werden können. Um Ihre Umbrella-Einstellungen beizubehalten, führen Sie die Schritte weiter unten in diesem Artikel aus.

Betroffene Firefox-Benutzer sehen dieses Banner, wenn die Funktion "DoH" von Firefox aktiviert wurde:

1.jpg

In den letzten Versionen stellt Chrome DoH auch als manuelle Konfiguration zur Verfügung. Chrome DoH kann nur aktiviert werden, wenn die DNS-Server des Systems auf einem System explizit DoH unterstützen. Daher ist Chrome DoH für Roaming-Client-Benutzer oder Netzwerke mit lokalen DNS-Servern nicht aktiviert.

Standardeinstellung für System-DNS bei Verwendung von Umbrella

Für die meisten Umbrella-Benutzer ist derzeit keine Maßnahme erforderlich. Firefox unterstützt die Verwendung einer speziellen Domäne, use-application-dns.net, um das Vorhandensein einer DNS-Filterlösung, wie Cisco Umbrella, anzuzeigen. Wenn die Umbrella-Resolver vom Client verwendet werden, aktiviert Firefox DoH nicht standardmäßig.

Wenn jedoch ein Benutzer DoH in Firefox manuell konfiguriert hat, akzeptiert Firefox diese Konfiguration und verwendet den definierten DoH-Server. In einer solchen Situation müssen Sie die zusätzlichen Anweisungen später in diesem Artikel ausfüllen, um die Verwendung von DoH durch Benutzer in Ihrem Netzwerk zu verhindern.

Nach der Veröffentlichung von Chrome 83: "Chrome wechselt automatisch zu DNS-over-HTTPS, wenn Ihr aktueller DNS-Provider es unterstützt". 

Zusätzliche Anweisungen zum Sperren von DNS über HTTPS

Zum Schutz Ihrer Umbrella-Bereitstellung hat Umbrella DoH-Anbieter nun in die Proxy/Anonymizer-Inhaltskategorie aufgenommen. Wenn diese Kategorie blockiert wird, kann der Browser den Hostnamen des DoH-Servers nicht auflösen und kehrt zum Standard-System-DNS zurück, bei dem Umbrella Ihren DNS abdeckt. So stellen Sie sicher, dass Ihre Einstellungen DoH-Anbieter blockieren:

1. Navigieren Sie zu Richtlinien > Inhaltskategorien.

2. Wählen Sie die Einstellung für die verwendete Kategorie aus.

3. Stellen Sie sicher, dass Proxy/Anonymizer ausgewählt ist.

1.jpg

4. Speichern Sie Ihre Updates.

Ihre Benutzer können jetzt von Umbrella abgedeckt bleiben, wenn Firefox diese Änderung an Ihre Benutzer einführt.

Anmerkung: Fügen Sie die Mozilla Kill Switch-Domänen nicht zur Sperrliste hinzu. Dies liegt daran, dass Umbrella einen A-Datensatz für unsere Blockseiten zurückgibt, wenn die Domänen blockiert werden. Firefox hält dies für eine gültige Antwort und kann daher automatisch seine DoH aktualisieren.

Weitere Empfehlungen

Firefox kann auch manuell für einen bestimmten DoH-Anbieter konfiguriert werden. Wenn dies über eine Domäne konfiguriert wird, kann es über Umbrella durchgesetzt werden. Konfigurationen nach IP können nicht über Umbrella (DNS) durchgesetzt werden. Zur Durchsetzung von DoH-Richtlinien im Netzwerk können Firewall-Regeln erforderlich sein. Weitere Informationen finden Sie unter Umgehung von Cisco Umbrella mit Firewall-Regeln verhindern.