Integrar DNS Protection y ZTNA con Sophos Protected Browser

Sophos Protected Browser integra DNS Protection y ZTNA mediante dos rutas operativas separadas. DNS Protection Direct permite al navegador resolver mediante DNS over HTTPS con independencia del DNS de endpoint y de red. La integración DNS de endpoint existente sigue disponible para dispositivos compatibles. Para aplicaciones privadas o locales, en cambio, Protected Browser se conecta al gateway ZTNA previamente preparado.

El proceso resumido es el siguiente:

En My Products > Protected Browser, comprobar el tenant y, en Settings > DNS Protection, la ruta DNS directa del navegador. DNS y ZTNA siguen siendo configuraciones separadas.
Seleccionar la ruta DNS deseada: resolución directa del navegador o integración DNS de endpoint existente. Realizar un piloto separado de cada una; sus políticas de filtrado pueden producir resultados diferentes.
Configura por completo ZTNA con identidad, gateway, recursos y políticas.
Para aplicaciones y recursos sin agente distintos de RDP y SSH, activa Aplicar Protected Browser.
Prueba por separado, tanto positiva como negativamente, la resolución DNS y el acceso ZTNA. Que la prueba DNS funcione no demuestra que el acceso ZTNA funcione, ni al contrario.

Requisitos, licencia y roles

Para esta integración hay que comprobar la licencia de Workspace Protection. DNS Protection Direct no requiere activar la integración DNS de endpoint. Solo la ruta DNS de endpoint, descrita por separado más abajo, requiere un agente de Sophos Endpoint instalado y endpoints Windows compatibles. Actualmente no es posible añadir Windows Server ni macOS a la política de endpoint documentada para este fin. Los límites detallados de la licencia no forman parte de esta integración; antes del piloto, Workspace Protection debe estar disponible en el tenant. La instalación de Endpoint solo es un requisito para la ruta DNS de endpoint.

Para la ruta ZTNA, deben funcionar previamente usuarios y grupos, proveedor de identidad, gateway, recursos, políticas, DNS y certificados. Protected Browser complementa esta ruta de acceso ya preparada, pero no sustituye ninguno de sus fundamentos. Configurar Sophos ZTNA describe el orden y la validación.

Sophos no especifica un rol de administrador concreto para esta página de integración. Por tanto, quien realice el trabajo debe tener acceso comprobado a los objetos necesarios de DNS Protection, ZTNA y Protected Browser y, para la ruta DNS de endpoint, también a sus objetos de endpoint, sin recibir preventivamente permisos de Super Admin. Si falta un producto o un control, primero se aclaran el tenant, la licencia y los permisos asignados.

Antes del piloto también se registran:

un pequeño grupo de usuarios y dispositivos;
un dominio público de prueba permitido y otro bloqueado deliberadamente;
un nombre interno que deba seguir resolviéndose mediante el servicio DNS local;
un recurso de prueba ZTNA permitido y un usuario de prueba no autorizado;
la ruta anterior de resolución y acceso como vía de reversión;
la hora, la persona responsable y el resultado esperado de cada cambio.

Proporcionar DNS Protection para Protected Browser

Resolución DNS directa en el navegador

Estado de la revisión al 21 de octubre de 2026: Sophos anuncia la disponibilidad completa de DNS Protection Direct. En Protected Browser > Settings > DNS Protection se puede activar su conexión DoH propia. Puede utilizar una política de filtrado distinta de la de endpoint o de red. Por tanto, hay que contrastar con el concepto de seguridad qué destinos bloqueados hasta ahora deberían ser accesibles en el navegador. El efecto se limita al navegador y no demuestra la protección DNS de otras aplicaciones.

Antes de activar la función, guardar el estado anterior y definir el comportamiento predeterminado o la política de filtrado DNS deseada. El comportamiento predeterminado permite las solicitudes salvo a dominios de alto riesgo y deja las demás decisiones a las políticas del navegador. Si es necesario, configurar los dominios internos como Domain exclusions para que se resuelvan mediante el servicio DNS local. El navegador puede confiar en la CA de DNS Protection para mostrar correctamente las páginas de bloqueo. Después, comprobar en el navegador los dominios permitidos y bloqueados, los nombres internos y las páginas de bloqueo; una prueba comparativa fuera del navegador permite distinguir esta ruta de la de DNS de endpoint. Para revertir, restaurar únicamente el ajuste del navegador modificado a su estado inicial documentado y repetir las mismas pruebas.

Ruta DNS de endpoint existente

La ayuda de integración anterior sigue describiendo DNS Protection con Sophos Endpoint. Los puntos de preparación siguientes se aplican a esa ruta separada y no son requisitos para DNS Protection Direct. Por ello, la instalación, la versión del paquete, la política de endpoint completa, las ubicaciones, el filtrado, las excepciones de dominio, las páginas de bloqueo, el diagnóstico y la reversión se describen de forma centralizada en Configurar Sophos DNS Protection para endpoints.

Para la ruta DNS de endpoint, antes del piloto se comprueba lo siguiente:

El componente DNS está instalado en los dispositivos piloto; según la licencia, puede llamarse DNS y ZTNA.
La política de endpoint asignada a los dispositivos o grupos piloto está activa y Usar Sophos DNS Protection está habilitado.
La Ubicación predeterminada seleccionada, o una ubicación propia, utiliza el método de conexión DNS seguro. Una ubicación recién creada no debe usar otro método de conexión para esta ruta de endpoint.
La política de filtrado esperada está asignada a la ubicación. Una política de filtrado puede asignarse a varias ubicaciones o firewalls, pero cada ubicación solo puede estar asociada a una política. Si hay que revisar el filtrado, se aplican además estos límites: DNS Protection admite un máximo de 50 políticas de filtrado; Permitir permite todas las categorías de un grupo, Bloquear las bloquea y Especificar define la acción por categoría. Las políticas se crean y modifican conforme a la guía enlazada.
El nombre interno de prueba figura allí como excepción para que siga resolviéndolo el servicio DNS local previsto.

A continuación, Sophos Endpoint intercepta el tráfico DNS salvo el de los dominios excluidos y lo reenvía por HTTPS a DNS Protection. Las respuestas llegan directamente a la aplicación. Sin la integración activada, el servicio DNS local procesa las solicitudes como antes. Las listas de dominios, los reintentos NXDOMAIN y la distribución de certificados no se configuran de nuevo aquí, sino que se planifican y revisan conforme a la guía enlazada.

Proporcionar ZTNA para Protected Browser

ZTNA debe estar completamente configurado antes de integrar el navegador. Protected Browser se conecta al gateway ZTNA y permite así el acceso controlado a aplicaciones internas y entornos de nube privada. La configuración ZTNA común permanece en el runbook enlazado; aquí no se repite como un segundo proceso potencialmente divergente.

Para el acceso sin agente a aplicaciones y recursos distintos de RDP y SSH, activa después Aplicar Protected Browser. Sophos no documenta para ello una ruta de menú fiable ni más campos de formulario. Utiliza, por tanto, el interruptor únicamente en la configuración ZTNA visible en tu propio tenant. Si no aparece, detente aquí en lugar de adivinar una ruta tomada de otra vista del producto.

RDP y SSH constituyen una variante independiente. Sophos exige una configuración ZTNA específica para recursos RDP o SSH sin agente. Una prueba general de aplicación web o la mera activación de Aplicar Protected Browser no valida esta ruta.

Validar el piloto

La validación separa deliberadamente DNS y ZTNA. Primero se prueba exactamente un dispositivo piloto con un usuario autorizado.

Comprobar el resultado DNS

Se espera lo siguiente:

El dominio público de prueba permitido se resuelve y es accesible.
El dominio de prueba bloqueado se bloquea conforme a la política de filtrado asignada.
El nombre interno de prueba utiliza el servicio DNS local previsto y sigue accesible.
En la ruta DNS de endpoint, las solicitudes aparecen en la ubicación esperada o en sus informes DNS asociados. Para DNS Protection Direct, se comprueban por separado el ajuste del navegador y la política de filtrado seleccionada.
Una aplicación con su propio comportamiento de DNS seguro o DNS sobre HTTPS se prueba por separado, sin extrapolar a todas las aplicaciones una prueba realizada solo en el navegador.

Si falta un evento esperado, no flexibilices de inmediato el filtrado. En la ruta directa del navegador, comprueba primero su ajuste y su política de filtrado. En la ruta de endpoint, comprueba el componente instalado, la política de endpoint realmente activa, Usar Sophos DNS Protection, la ubicación de DNS seguro y el resolver utilizado. La guía enlazada incluye el diagnóstico DNS adicional.

Comprobar el resultado ZTNA

Con el usuario autorizado, abre el recurso privado de prueba preparado en Protected Browser. El éxito significa que el inicio de sesión, el gateway ZTNA, la asignación del recurso y la aplicación funcionan conjuntamente. Después, un usuario ajeno al grupo autorizado confirma el caso negativo: el recurso no debe estar disponible ni ser accesible para él.

Registra por separado la hora y el resultado de las pruebas DNS y ZTNA. Así queda claro qué ruta afecta un fallo posterior.

Diagnóstico por síntoma

DNS no funciona en el dispositivo piloto

Determinar primero la ruta DNS afectada. Para DNS Protection Direct, comprobar el ajuste del navegador, la política de filtrado, la conectividad DoH, las excepciones de dominios locales y el certificado de las páginas de bloqueo. La comprobación de Windows que sigue se aplica exclusivamente a DNS de endpoint, no a la función directa del navegador.

Comprueba primero que sea un endpoint Windows compatible, que Sophos Endpoint y el componente DNS estén instalados y que la política de endpoint activa efectiva habilite Usar Sophos DNS Protection. Después, revisa la ubicación de DNS seguro seleccionada y la conectividad HTTPS con DNS Protection. Windows Server y macOS no son pruebas comparativas adecuadas para esta ruta de política de endpoint. Los cambios de política, ubicación, filtrado, dominio o reversión se realizan conforme a la guía enlazada.

Si para acotar el problema se revisa también una ubicación basada en red, esta necesita una dirección IPv4 pública válida o un FQDN de ubicación resoluble. Las direcciones RFC 1918 de 10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16 no son direcciones públicas válidas para ello. Sin embargo, no todas las direcciones que comienzan por 172. o 192. son privadas; por tanto, esa abreviatura no debe usarse como criterio de comprobación.

El inicio de sesión ZTNA funciona, pero la aplicación no

En ese caso, DNS Protection no es el primer sospechoso. Revisa la asignación de usuarios y grupos, el recurso ZTNA, el gateway seleccionado y la accesibilidad de la aplicación desde la perspectiva de ese gateway. Después, confirma que Aplicar Protected Browser esté activo para el acceso sin agente previsto. RDP y SSH no se comparan con la ruta general de aplicaciones web.

Si falta Aplicar Protected Browser o no está claro el proceso visible en el tenant, no modifiques más la configuración en este punto. El equipo ZTNA responsable debe aclarar la licencia, los permisos y la vista actual del producto antes de eludir protecciones o volver a crear recursos.

Reversión y retirada seguras

DNS y ZTNA no se desmontan al mismo tiempo. Antes de cualquier reversión, documenta los dispositivos piloto, la ruta afectada, la persona responsable y el último resultado satisfactorio.

Revierte la ruta DNS de endpoint conforme al procedimiento de la guía enlazada; para DNS Protection Direct se aplica la reversión del navegador descrita arriba. En ambos casos, valida después la resolución de nombres interna y pública. No elimines como medida inmediata el componente compartido denominado DNS y ZTNA, pues también podría afectar a la ruta ZTNA.

Sophos no documenta un proceso completo para eliminar o revertir Aplicar Protected Browser. Por ello, en ZTNA no se eliminan el gateway ni los objetos de identidad, DNS, certificados o políticas compartidas como supuesto rollback inmediato. Si hay que detener el acceso, facilita al equipo ZTNA responsable el recurso y el grupo de usuarios afectados y repite después la prueba negativa. Sin un paso reversible confirmado en el tenant, la reversión termina aquí.

Operación y revisión periódica

Tras el piloto, asigna personas diferentes a las rutas DNS y ZTNA. Repite las pruebas positivas y negativas afectadas después de cambios en el ajuste DNS directo del navegador, en la configuración DNS de endpoint o en los grupos de usuarios, el gateway o el recurso ZTNA. Revisa periódicamente la disponibilidad de Workspace Protection; para la ruta DNS de endpoint, el componente instalado y sus puntos de preparación DNS; para la ruta directa del navegador, su ajuste y su política de filtrado; además del acceso ZTNA y la vía de reversión documentada.

Las decisiones sobre la continuidad operativa deben basarse en la configuración actual visible en el tenant y en la ayuda vigente de cada componente. No deduzcas plazos de migración, fechas de retirada ni fechas EOL de anuncios históricos. Si Sophos cambia un requisito o una vista del producto, vuelve a ejecutar primero el piloto antes de adaptar el despliegue general.