Compreender as práticas recomendadas para instalar o OpenDNS Umbrella com a Websense

Introdução

Este documento descreve as práticas recomendadas para a instalação do OpenDNS Umbrella com Websense.

Overview

Para garantir que você veja todo o potencial do OpenDNS durante sua avaliação (e depois), todo o tráfego DNS não interno deve apontar para a Rede Global OpenDNS. Três ambientes Websense fazem com que o OpenDNS perca algum tráfego DNS:

1. O proxy local está resolvendo solicitações DNS iniciadas por servidores Web (mais comum)

2. O proxy de nuvem está resolvendo solicitações DNS iniciadas por servidores Web (para clientes híbridos que usam Agentes de Ponto de Extremidade da Web)

3. O proxy local está resolvendo solicitações DNS em nome de clientes (menos comum)

1) O proxy local está resolvendo solicitações DNS iniciadas por servidores Web

• Os gateways de conteúdo Websense, implantados no modo proxy explícito ou transparente, podem resolver solicitações DNS iniciadas após uma conexão ser feita com um servidor Web; dependendo de sua configuração.

• Se essas solicitações de DNS forem resolvidas a partir do cache de proxy DNS interno da Websense ou de um serviço DNS recursivo diferente, o OpenDNS será ignorado.

• Consulte o material de suporte da Websense (vinculado aqui para sua conveniência) para garantir que a Websense esteja configurada para sempre resolver solicitações de DNS não internas usando o OpenDNS.
  Ajuda do Gerenciador de Gateway de Conteúdo > DNS Resolver > Variáveis DNS > Usando a opção Dividir DNS

2) O proxy de nuvem está resolvendo solicitações DNS iniciadas por servidores Web

• Infelizmente, a Websense não permite que seus clientes alterem diretamente as configurações do servidor DNS.

• Não temos certeza se você pode solicitar que a Websense altere manualmente as configurações para apontar para o OpenDNS.

3) O proxy local está resolvendo solicitações DNS em nome de clientes

• Isso acontece se a opção cache de proxy DNS estiver habilitada, mas configurar cache de proxy DNS só é possível com um switch L4 ou um dispositivo Cisco WCCPv2, portanto, não é um ambiente comum.

• O proxy DNS só responde a solicitações de entradas DNS A e CNAME. Outros tipos de solicitações não serão respondidos.

• Se o nome de host para o mapeamento de endereço IP não estiver no cache DNS, o Gateway de Conteúdo entra em contato com o servidor DNS especificado no arquivo /etc/resolv.conf. (Nota: Somente a primeira entrada em resolv.conf é usada e pode não ser o mesmo servidor DNS para o qual a solicitação DNS foi originalmente destinada.)

Note: A opção "Always Query Destination" reduz o número de pesquisas de DNS e pode ser habilitada se o Content Gateway não estiver sendo executado nos modos de proxy explícito e transparente. Ele configura o proxy para sempre obter o IP de destino original das solicitações recebidas do ARM (Adaptive Redirection Module). E use esse IP para determinar o servidor de origem, em vez de fazer uma pesquisa DNS no nome de host da solicitação. Como o cliente já realizou uma pesquisa DNS, o proxy não precisa fazê-lo.