Configuración predeterminada de exploradores web y DNS sobre HTTPS

Introducción

Este documento describe cómo configurar los navegadores web y DNS sobre HTTPS predeterminados para Cisco Umbrella.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en Cisco Umbrella.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Overview

A partir de la versión 63 de Firefox, Mozilla puede habilitar DNS sobre HTTPS (DoH) de forma predeterminada para los usuarios de Firefox. Esto envía DoH a CloudFlare, que puede omitir la configuración de Umbrella. Para conservar la configuración de Umbrella, siga los pasos que se indican más adelante en este artículo.

Los usuarios de Firefox afectados ven este banner cuando Firefox habilita DoH:

1.jpg

En las versiones recientes, Chrome también hace que DoH disponible como una configuración manual. Chrome DoH solo se puede activar cuando los servidores DNS del sistema presentes en un sistema admiten explícitamente DoH. Por lo tanto, los usuarios de clientes de roaming o las redes con servidores DNS locales no ven habilitado Chrome DoH.

Configuración predeterminada de DNS del sistema al utilizar Umbrella

Para la mayoría de los usuarios de Umbrella, no es necesario realizar ninguna acción en este momento. Firefox admite el uso de un dominio especial, use-application-dns.net, para indicar la presencia de una solución de filtrado de DNS, como Cisco Umbrella. Si el cliente está utilizando los resolvers de Umbrella, Firefox no habilita DoH de forma predeterminada.

Sin embargo, si un usuario ha configurado manualmente DoH en Firefox, Firefox respeta esa configuración y utiliza el servidor DoH definido. En tal situación, debe completar las instrucciones adicionales más adelante en este artículo para evitar el uso de DoH por parte de los usuarios en su red.

Según la versión de Chrome 83: "Chrome cambiará automáticamente a DNS sobre HTTPS si el proveedor de DNS actual lo admite." 

Instrucciones adicionales para bloquear DNS sobre HTTPS

Para proteger su implementación de Umbrella, Umbrella ha incluido proveedores de DoH en la categoría de contenido Proxy/Anonymizer. Cuando se bloquea esta categoría, el navegador no puede resolver el nombre de host del servidor DoH y vuelve al sistema DNS estándar donde Umbrella cubre su DNS. Para asegurarse de que su configuración bloquee a los proveedores de DoH:

1. Acceda a Políticas > Categorías de Contenido.

2. Seleccione la configuración de categoría en uso.

3. Asegúrese de que la opción Proxy/Anonimizador está seleccionada.

1.jpg

4. Guarde las actualizaciones.

Los usuarios ahora pueden seguir cubiertos por Umbrella cuando Firefox implemente este cambio para sus usuarios.

Nota: No agregue los dominios del conmutador de eliminación de Mozilla a la lista de bloqueo. Esto se debe a que si los dominios están bloqueados, Umbrella devuelve un registro A para nuestras páginas de bloqueo. Firefox considera que esta es una respuesta válida y, por lo tanto, puede actualizar automáticamente su DoH.

Recomendaciones adicionales

Firefox también se puede configurar manualmente para un proveedor de DoH específico. Si está configurado por dominio, Umbrella puede aplicarlo. Las configuraciones por IP no se pueden aplicar mediante Umbrella (DNS). Para la aplicación en la red de DoH, pueden requerirse reglas de firewall. Para obtener más información, consulte Prevención de la elusión de Cisco Umbrella con reglas de firewall.