Comprender las prácticas recomendadas para instalar OpenDNS Umbrella con Websense

Introducción

Este documento describe las prácticas recomendadas para instalar OpenDNS Umbrella con Websense.

Overview

Para asegurarse de que ve todo el potencial de OpenDNS durante su evaluación (y después), todo el tráfico DNS no interno debe apuntar a la Red Global de OpenDNS. Tres entornos de Websense hacen que OpenDNS pierda parte del tráfico DNS:

1. El proxy local está resolviendo solicitudes DNS iniciadas por servidores Web (más común)

2. El proxy de nube está resolviendo solicitudes DNS iniciadas por servidores web (para clientes híbridos que utilizan agentes de terminales web)

3. El proxy local resuelve las solicitudes DNS en nombre de los clientes (menos común)

1) El proxy local está resolviendo solicitudes DNS iniciadas por servidores Web

• Websense Content Gateways (implementado en modo de proxy explícito o transparente) puede resolver solicitudes DNS iniciadas después de establecer una conexión con un servidor Web; en función de su configuración.

• Si estas solicitudes DNS se resuelven desde el almacenamiento en caché de proxy DNS integrado de Websense o desde un servicio DNS recursivo diferente, se omite OpenDNS.

• Consulte los materiales de soporte de Websense (enlazados aquí para mayor comodidad) para asegurarse de que Websense está configurado para resolver siempre las solicitudes de DNS no internas mediante OpenDNS.
  Content Gateway Manager Help > DNS Resolver > Variables DNS > Uso de la opción Dividir DNS

2) El proxy de nube está resolviendo solicitudes DNS iniciadas por servidores web

• Por desgracia, Websense no permite a sus clientes cambiar directamente la configuración del servidor DNS.

• No estamos seguros de si puede solicitar a Websense que cambie manualmente la configuración para que apunte a OpenDNS.

3) El proxy local está resolviendo solicitudes DNS en nombre de los clientes

• Sucede si la opción DNS proxy caching está habilitada, pero la configuración de DNS proxy caching solo es posible con un switch L4 o un dispositivo Cisco WCCPv2, por lo que no es un entorno común.

• El proxy DNS solo responde a las solicitudes de entradas DNS A y CNAME. No se puede responder a otros tipos de solicitudes.

• Si la asignación del nombre de host a la dirección IP no está en la caché DNS, Content Gateway contacta con el servidor DNS especificado en el archivo /etc/resolv.conf. (Nota: Sólo se utiliza la primera entrada de resolv.conf, y puede que no sea el mismo servidor DNS para el que se diseñó originalmente la solicitud DNS.)

Nota: La opción "Consultar siempre el destino" reduce el número de búsquedas de DNS, y se puede habilitar si el Content Gateway no se está ejecutando en el modo de proxy explícito y transparente. Configura el proxy para obtener siempre la IP de destino original de las solicitudes entrantes del ARM (módulo de redirección adaptable). Y utilice esa IP para determinar el servidor de origen, en lugar de hacer una búsqueda de DNS en el nombre de host de la solicitud. Dado que el cliente ya ha realizado una búsqueda de DNS, el proxy no tiene que hacerlo.