Oplossen Waarschuwing VA " bevindt zich in een staat van aandacht & quot;

Inleiding

In dit document wordt beschreven hoe u de VA-waarschuwing kunt oplossen waarin staat dat uw VA "zich in een staat van aandacht bevindt" met betrekking tot het inschakelen van DNSCrypt.

Overzicht

Virtual Appliance (VA) ondersteunt DNSCrypt-codering tussen zichzelf en OpenDNS-resolvers (Public Domain Name System). DNSCrypt versleutelt DNS-pakketten die de VA doorsturen, waardoor het onderscheppen van gevoelige informatie wordt voorkomen. DNSCrypt is standaard ingeschakeld voor optimale bescherming, maar u kunt problemen ondervinden als een firewall het gecodeerde verkeer tussen uw VA en de openbare DNS-resolvers blokkeert.

Niet-versleuteld DNS-verkeer is een beveiligingsrisico dat u moet aanpakken. Wanneer er geen codering kan worden vastgesteld tussen uw VA en OpenDNS, geeft uw Umbrella-dashboard een waarschuwing weer dat het getroffen virtuele apparaat "in een staat van aandacht" is om ervoor te zorgen dat u de best mogelijke bescherming behoudt.

Als u op Details weergeven klikt, ziet u een bericht dat aangeeft dat DNS-query's die door deze VA naar OpenDNS worden doorgestuurd, niet zijn gecodeerd.

Opmerking: DNSCrypt is alleen beschikbaar in Virtual Appliances met versie 1.5.x of hoger. Als u slechts één VA hebt en deze niet is bijgewerkt, wordt dit bericht ook weergegeven.

De DNSCrypt-waarschuwing oplossen

Om de waarschuwing op te lossen en DNSCrypt-beveiliging te herstellen:

1. Controleer de configuratie van uw firewall of het Intrusion Prevention System (IPS)/Intrusion Detection System (IDS).
2. Zorg ervoor dat uw firewall of IPS/IDS gecodeerd DNSCrypt-verkeer voor de VA toestaat.
3. Sta uitgaande en inkomende verkeer toe op poort 53 (UDP/TCP) naar deze OpenDNS IP-adressen:
   • 208.67.220.220
   • 208.67.222.222
   • 208.67.222.220
   • 208.67.220.222
4. Als u een firewall of IPS/IDS met diepe pakketinspectie gebruikt, controleert u of deze gecodeerde DNSCrypt-pakketten niet blokkeert of verstoort. Sommige apparaten kunnen deze pakketten blokkeren als ze alleen standaard DNS-verkeer op poort 53 verwachten.
5. Bevestig dat versleuteld verkeer zowel uitgaande als inkomende kan stromen tussen uw netwerk en OpenDNS-resolvers op alle apparaten in het pad.

Opmerking: als uw firewall of IPS/IDS DNSCrypt-verkeer blokkeert, kan de DNS-resolutie mislukken voor gebruikers achter de VA.

Als u denkt dat uw firewall dit verkeer al toestaat, maar de waarschuwing blijft bestaan, opent u een ondersteuningscase voor verdere hulp.

Zie voor meer informatie over het gedrag van de Cisco ASA-firewall en mogelijke foutmeldingen met betrekking tot deep packet inspection en DNSCrypt: Waarom blokkeert Cisco ASA Firewall de DNSCrypt-functionaliteit van de Umbrella Virtual Appliance?