Introducción
Este documento describe cómo mantener y deshabilitar DNS sobre HTTPS (DoH) en Firefox y Chrome mediante objetos de política de grupo (GPO) en Cisco Umbrella.
Prerequisites
Requirements
No hay requisitos específicos para este documento.
Componentes Utilizados
La información de este documento se basa en Cisco Umbrella.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Overview
DNS sobre HTTPS (DoH) es una función añadida a varios navegadores web que permite a DNS omitir la pila de DNS del sistema sobre HTTPS. En muchos casos, puede deshabilitar esta funcionalidad para asegurarse de que los exploradores Web no anulen ninguna configuración de Umbrella.
Firefox y Chrome proporcionan la funcionalidad DoH y la capacidad de evitar el uso de DoH en la red y en los equipos gestionados. Sin embargo, las implementaciones de DoH difieren mucho entre los navegadores.
Firefox
Firefox funciona con una configuración DoH predeterminada en la que DNS se envía a CloudFlare de forma predeterminada en 1.1.1.1. Esta configuración no tiene en cuenta la configuración de DNS del sistema.
Para combatir esto, Umbrella configura de forma predeterminada la anulación para desactivar el DoH (consulte nuestro artículo aquí para obtener más información). Sin embargo, esta invalidación sólo puede tener efecto si no hay una configuración DoH establecida explícitamente. Para garantizar que DoH nunca esté habilitado para desviar el DNS de Firefox de la configuración del sistema, se requiere la configuración de GPO.
Para deshabilitarlo, establezca el valor de "network.trr.mode" en 0. Para obtener más información, vea la configuración de Firefox TRR en detalle.
Para obtener más información sobre la administración de políticas empresariales en Firefox, consulte la documentación de Mozilla.
Cromado
Chrome tiene soporte para DoH para varios proveedores, incluyendo Umbrella. A diferencia de Firefox, Chrome DoH solo puede habilitar cuando se observa que el sistema DNS es un proveedor de DNS participante. Por lo tanto, no puede habilitar si el DNS del sistema es un servidor DNS local o el cliente de itinerancia, pero puede habilitar si el DNS local es 208.67.220.220 y 208.67.222.222. Por lo tanto, Chrome no aleja el DNS del sistema del DNS, sino que lo mejora con DoH.
Durante las etapas iniciales del experimento DoH de Chrome, Chrome puede deshabilitar DoH si el dispositivo está administrado, unido a AD o tiene una política empresarial aplicada.
Consulte el sitio web de Chrome para obtener más información.
Para obtener más información sobre la administración de políticas empresariales en Chrome, consulte la documentación de Chrome.
Comentarios