Umbrella를 사용하여 HTTPS(DoH)를 통한 DNS 구성

소개

이 문서에서는 Umbrella가 프라이버시를 위해 DNS 쿼리를 암호화하여 HTTPS(DoH)를 통한 DNS를 지원하는 방법에 대해 설명합니다.

개요

Cisco Umbrella는 DoH(DNS over HTTPS)를 지원하므로 DNS 쿼리를 암호화하여 가로채기 또는 수정으로부터 보호할 수 있습니다. 이 DoH 끝점 사용:

Umbrella와 함께 DoH를 사용하는 단계는 브라우저 및 운영 체제에 따라 다릅니다.

Mozilla Firefox

자세한 내용과 지침은 Mozilla에서 확인할 수 있습니다. Umbrella를 HTTPS를 통한 사용자 지정 DNS로 사용하도록 Firefox를 구성할 수 있습니다.

1. Options(옵션) > General(일반) > Network Settings(네트워크 설정)로 이동하고 Enable DNS over HTTPS(HTTPS를 통해 DNS 활성화)를 선택합니다.
2. Use Provider(공급자 사용)에서 Custom(사용자 지정)을 선택하고 URI 템플릿을 입력합니다. 

3. https://umbrella.cisco.com/doh-help

4. OK(확인)를 선택하면 쿼리가 암호화됩니다.
   
   

Preferences.png

Google Chrome

구성에 대한 자세한 내용과 지침은 Chromium 블로그를 참조하십시오. Chrome은 보안 DNS가 활성화된 경우 DoH 사용을 자동으로 활성화하고 운영 체제에서 DNS에 사용하는 Umbrella 애니캐스트 IP 주소를 확인합니다. 

다음 IP 주소를 DNS 서버로 사용하도록 OS를 구성합니다.

1. Chrome 설정에서 Privacy and security > Security로 이동하거나 주소 표시줄에 chrome://settings/security을 입력합니다.
2. Use secure DNS를 활성화합니다.
3. 이제 DNS 쿼리가 암호화됩니다. Umbrella DoH 테스트 페이지를 방문하여 컨피그레이션을 확인할 수 있습니다.

참고: Chrome은 DoH로 업그레이드할지 여부를 결정할 때 특별히 Umbrella IP 주소를 찾습니다. 즉, 로컬 DNS 서버 또는 전달자의 IP 주소를 사용하도록 구성된 경우 해당 서버가 Umbrella로 전달되더라도 Chrome에서 DoH를 사용하도록 업그레이드할 수 없습니다.

컴퓨터가있는 경우 Chrome에 의해 관리 됩니다. 작업 또는 학교에서 제공하는 경우 DoH를 사용하여 자동 업그레이드할 수 없으며 이 설정을 보거나 구성할 수 없습니다.

IP를 기반으로 자동 업그레이드하는 대신 사용자 지정 공급자를 설정하여 직접 Umbrella를 구성할 수 있습니다. Use secure DNS(보안 DNS 사용) 아래에서 With(사용)를 선택하고 드롭다운 메뉴에서 Custom(사용자 지정)을 선택합니다. 사용자 지정 공급자를 입력하라는 메시지가 표시되면 다음과 같은 형식으로 Umbrella URI 템플릿을 추가합니다.

https://doh.umbrella.com/dns-query

경고

DoH와 Umbrella SWG(특히 AnyConnect 모듈) 간에 충돌이 발생할 수 있는 상황이 있습니다.

1. AnyConnect의 External Domains(외부 도메인) 기능을 사용하면 도메인과 IP 주소가 대신 인터넷으로 직접 이동하여 Umbrella SWG를 우회할 수 있습니다. DoH를 사용할 경우 도메인 이름 또는 FQDN(Frequently Qualified Domain Name)으로 구성할 수 없습니다. 이는 AnyConnect가 어떤 요청이 SWG로 이동하고 어떤 요청이 SWG를 우회하는지를 탐지할 때 운영 체제의 DNS 캐시를 사용하여 도메인 이름을 IP 주소에 연결하기 때문입니다. DOH를 사용하면(특히 브라우저에서) 운영 체제의 DNS 스텁 확인자가 우회되므로 DNS 캐시 항목이 생성되지 않습니다. 이로 인해 AnyConnect는 우회할 도메인 이름 또는 FQDN을 현재 표시된 패킷과 상호 연결할 수 없습니다.
   
   

   해결 방법
   

   Umbrella SWG에 AnyConnect를 사용하여 워크스테이션에서 DOH를 비활성화하거나 도메인 또는 FQDN 대신 IP 주소로 외부 도메인(SWG 예외)을 구성합니다.
   
   
2. 내부 DNS 서버가 내부 리소스(예: example.local 또는 example.corp)를 확인하는 데 DoH를 사용하는 경우, 이러한 DOH 요청을 가로채지 않도록 AnyConnect Umbrella SWG를 구성해야 합니다. 이는 DoH가 다른 HTTPS 요청처럼 보이고, SWG 모듈이 이를 가로채서 Umbrella로 리디렉션하기 때문입니다. Umbrella 클라우드에서 DoH 서버에 액세스할 수 없는 경우 쿼리는 대상 내부 DNS 서버에 도달하지 않습니다.