Resolver Aviso VA "está em um estado de atenção"

Introdução

Este documento descreve como resolver o aviso de VA informando que seu VA "está em um estado de atenção" relacionado à ativação do DNSCrypt.

Overview

O Virtual Appliance (VA) oferece suporte à criptografia DNSCrypt entre ele mesmo e os resolvedores públicos do Sistema de Nome de Domínio (DNS) do OpenDNS. O DNSCrypt criptografa os pacotes DNS que o VA encaminha, impedindo a interceptação de informações confidenciais. O DNSCrypt é ativado por padrão para uma proteção ideal, mas você pode encontrar problemas se um firewall bloquear o tráfego criptografado entre o VA e os resolvedores de DNS públicos.

O tráfego DNS não criptografado é um risco de segurança que você deve abordar. Quando não é possível estabelecer a criptografia entre o VA e o OpenDNS, o painel do Umbrella exibe um aviso de que o Virtual Appliance afetado "está em um estado de atenção" para garantir que você mantenha a melhor proteção possível.

Se você clicar em Exibir detalhes, verá uma mensagem indicando que as consultas DNS encaminhadas por este VA para o OpenDNS não estão criptografadas.

Note: O DNSCrypt está disponível somente nos Virtual Appliances que executam a versão 1.5.x ou superior. Se você tiver apenas um VA e ele não tiver sido atualizado, esta mensagem também será exibida.

Resolver o aviso DNSCrypt

Para resolver o aviso e restaurar a proteção DNSCrypt:

1. Revise seu firewall ou a configuração do Sistema de prevenção de intrusão (IPS)/Sistema de detecção de intrusão (IDS).
2. Certifique-se de que seu firewall ou IPS/IDS permita tráfego DNSCrypt criptografado para o VA.
3. Permitir tráfego de saída e entrada na porta 53 (UDP/TCP) para estes endereços IP do OpenDNS:
   • 208.67.220.220
   • 208.67.222.222
   • 208.67.222.220
   • 208.67.220.222
4. Se você usar um firewall ou IPS/IDS com inspeção profunda de pacotes, verifique se ele não bloqueia ou interfere nos pacotes DNSCrypt criptografados. Alguns dispositivos podem bloquear esses pacotes se esperarem apenas tráfego DNS padrão na porta 53.
5. Confirme se o tráfego criptografado pode fluir tanto para a saída quanto para a entrada entre a rede e os resolvedores do OpenDNS em todos os dispositivos no caminho.

Note: Se o seu firewall ou IPS/IDS bloquear o tráfego DNSCrypt, a resolução DNS poderá falhar para os usuários atrás do VA.

Se você acredita que seu firewall já permite esse tráfego, mas o aviso persistir, abra um caso de suporte para obter assistência adicional.

Para obter mais informações sobre o comportamento do firewall Cisco ASA e possíveis mensagens de erro relacionadas à inspeção profunda de pacotes e ao DNSCrypt, consulte: Por que o firewall Cisco ASA está bloqueando a funcionalidade DNSCrypt no Umbrella Virtual Appliance?