Gestire in sicurezza le Location di Sophos DNS Protection

Una Location indica a Sophos DNS Protection a quale sede, rete o gruppo di dispositivi appartiene una query DNS. Questa associazione consente di applicare Filtering policies specifiche per sede e di ottenere report significativi. Per un funzionamento affidabile, una Location deve rappresentare l’uscita verso Internet, non ogni singola VLAN interna.

La procedura completa prevede di scegliere un metodo di connessione, creare la Location, verificare l’assegnazione delle policy, testare il percorso DNS effettivo e solo dopo rimuovere i vecchi indirizzi IP o le vecchie Locations. La Default location è un punto di partenza Secure DNS non modificabile; le Locations personalizzate rappresentano sedi, aree geografiche o gruppi di policy distinti.

Scegliere tra Default e una Location personalizzata

La Default location predefinita utilizza Secure DNS e non richiede un indirizzo pubblico della sede. Può essere assegnata sia a una Endpoint policy sia a una Filtering policy. I dettagli sono disponibili in My Products > DNS Protection > Locations > Default, ma non è possibile modificarla o eliminarla.

Creare una Location personalizzata se si verifica almeno una delle seguenti condizioni:

• Un firewall, un router o un resolver DNS locale invia query DNS tradizionali.
• Sedi o gruppi di dispositivi richiedono Filtering policies diverse.
• I report devono distinguere le query DNS per area geografica o uscita Internet.
• I dispositivi Endpoint richiedono un’assegnazione Secure DNS dedicata anziché Default.

DNS Protection supporta fino a 50 Locations. Una Location personalizzata può utilizzare Secure DNS, Traditional DNS over IPv4 o entrambi i metodi. Ogni Location può contenere fino a 100 indirizzi IPv4 pubblici o FQDN.

Scegliere il metodo di connessione appropriato

Secure DNS

Secure DNS trasporta il traffico DNS su HTTPS. È adatto ai dispositivi compatibili ed è obbligatorio quando si usa Sophos Endpoint con DNS Protection. Al salvataggio, Central genera una DNS over HTTPS URL specifica. Sophos Endpoint configura automaticamente i dispositivi gestiti; per la configurazione manuale di un dispositivo è necessario l’URL.

Per questa distribuzione, utilizzare e copiare esattamente i due indirizzi IPv4 di DNS Protection mostrati da Central.

Traditional DNS over IPv4

Traditional DNS over IPv4 invia traffico DNS non cifrato ai resolver DNS Protection. È pensato per firewall, router e server DNS locali. DNS Protection identifica la Location tramite l’IP sorgente pubblico. Inserire l’indirizzo WAN pubblico, un intervallo pubblico o un FQDN che risolva a tale indirizzo, mai un indirizzo interno RFC 1918.

Per la configurazione completa del firewall, inclusi forwarder, zone interne e DHCP, vedere Configurare Sophos DNS Protection con Sophos Firewall. La sola creazione di una Location non modifica il percorso DNS della rete.

Entrambi i metodi

Entrambe le opzioni possono essere attive nella stessa Location personalizzata. È utile quando un unico contesto di policy comprende endpoint gestiti tramite DoH e un resolver di sede tramite DNS tradizionale. Prima verificare che entrambi i percorsi debbano effettivamente condividere lo stesso filtraggio e la stessa reportistica.

Prerequisiti e piano di indirizzamento

Prima di creare la Location, annotare:

• un nome univoco, una breve descrizione e il responsabile tecnico,
• il metodo di connessione richiesto,
• tutti gli indirizzi di uscita pubblici utilizzati da multi-WAN, SD-WAN e failover,
• un FQDN DDNS correttamente gestito per un indirizzo pubblico dinamico,
• la Filtering policy prevista e, se necessario, la Endpoint policy,
• un client di test diretto per ogni percorso DNS.

Default è un nome riservato. ZH-HQ-Egress è un esempio adatto; la descrizione può indicare il provider, i collegamenti WAN e il responsabile. Mantenere stabile il nome della sede anche in caso di cambio del provider.

Creare una Location personalizzata

1. Aprire My Products > DNS Protection > Locations.
2. Selezionare Add.
3. Inserire un Name univoco e descrivere lo scopo in Description.
4. In Connection method, attivare Secure DNS, Traditional DNS over IPv4 o entrambi.
5. Per Secure DNS, annotare gli indirizzi IPv4 visualizzati. La DNS over HTTPS URL viene generata solo selezionando Save.
6. Per Traditional DNS over IPv4, aggiungere i valori pubblici in IPv4 addresses or FQDNs. Confermare ogni voce con Enter o Tab. Se si incollano più valori, inserirne uno per riga.
7. Selezionare Save.
8. Per Secure DNS, copiare e conservare in modo sicuro la DNS over HTTPS URL generata prima di selezionare Close.

Utilizzare gli indirizzi rilevati

Add known IPs mostra alcuni suggerimenti:

• Your Current Location è l’indirizzo da cui ha origine la sessione Central corrente. Durante una sessione VPN corrisponde all’indirizzo pubblico del server VPN e potrebbe non essere quello della sede desiderata.
• Your Firewalls mostra l’indirizzo utilizzato da un Sophos Firewall con licenza per raggiungere Central. Il rilevamento automatico è disponibile solo per firewall con Xstream Protection.

Un valore rilevato è soltanto un suggerimento. DNS Protection non lo aggiorna automaticamente dopo una successiva modifica dell’indirizzo. Aggiungere manualmente gli indirizzi di uscita multi-WAN non rilevati.

IP, FQDN, multi-WAN e DDNS

Per una connessione statica, l’indirizzo IPv4 pubblico è in genere la scelta più chiara. In un ambiente multi-WAN, aggiungere tutti gli indirizzi attraverso i quali possono effettivamente uscire le query DNS oppure utilizzare un intervallo pubblico appropriato. Se manca l’indirizzo di failover, dopo il cambio di collegamento DNS Protection non funzionerà per questa Location.

Per un indirizzo dinamico, inserire un FQDN fornito da un servizio DDNS di terze parti. Il client DDNS deve aggiornare il record in modo affidabile. DNS Protection verifica i cambiamenti di indirizzo ogni minuto e impiega poi otto secondi per aggiornare la cache. La risoluzione dei nomi può interrompersi brevemente durante l’aggiornamento del provider, del record DDNS e della cache.

I servizi supportati sono DynDNS, DynAccess, EasyDNS, ZoneEdit, Google DDNS, Namecheap, DNS-O-Matic, No-IP, FreeDNS e Cloudflare. Con Cloudflare, impostare Proxy status su DNS only; un record con proxy restituisce indirizzi Cloudflare anziché l’IP pubblico di uscita.

CGNAT e conflitti di indirizzo

Traditional DNS richiede un IP sorgente pubblico univoco. Con CGNAT e indirizzi di uscita condivisi del provider, di un proxy o di una VPN, lo stesso IP può comparire in più account cliente. DNS Protection dà la precedenza all’utente che ha creato per primo la Location. Un FQDN diverso non risolve il problema se punta allo stesso IP condiviso.

La soluzione affidabile è ottenere dal provider un indirizzo pubblico univoco oppure utilizzare Secure DNS per i dispositivi compatibili. Gli indirizzi privati come 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16 non identificano l’uscita Internet e non devono essere aggiunti alla Location.

Completare l’assegnazione delle policy

Una Location consente di identificare le query DNS in ingresso, ma non definisce da sola il filtraggio richiesto.

• In My Products > DNS Protection > Policies > Filtering policies, spostare la Location da Available a Assigned to this policy. Una Location può essere associata a una sola Filtering policy.
• In una Endpoint policy, assegnare una Location ai dispositivi Windows selezionati. Deve utilizzare Secure DNS; anche Default location è valida.

Per il percorso endpoint, le Domain exclusions interne e il componente agent, vedere DNS Protection per gli endpoint. Un’assegnazione Endpoint non sostituisce una Filtering policy: la prima determina quali dispositivi utilizzano la Location, la seconda stabilisce il trattamento di domini e categorie.

Modificare una Location

Prima di apportare modifiche, annotare il nome, i metodi, l’elenco IP/FQDN, l’uso di DoH ed entrambe le assegnazioni delle policy. Aprire quindi la Location personalizzata in My Products > DNS Protection > Locations, modificare i valori e selezionare Save.

Per migrare in sicurezza un’uscita Internet, procedere come segue:

1. Aggiungere il nuovo indirizzo pubblico mantenendo anche quello precedente.
2. Attendere che il nuovo percorso Internet sia attivo.
3. Verificare la risoluzione DNS e l’applicazione della policy attraverso il nuovo percorso.
4. Solo a questo punto rimuovere il vecchio indirizzo.

Quando si passa da Traditional DNS a Secure DNS, configurare e convalidare prima il percorso DoH su un gruppo pilota. Mantenere attivo Traditional DNS finché il test non ha esito positivo. In questo modo si evita una migrazione alla cieca e si conserva una rapida possibilità di ripristino.

Convalidare una Location nuova o modificata

1. In Locations, verificare il nome, i metodi e il numero di voci IP/FQDN.
2. In Policies, confermare che la Location sia assegnata alla Filtering policy prevista e, se necessario, alla Endpoint policy.
3. In My Products > DNS Protection > Installers, selezionare Copy accanto a URL e aprire l’URL in un browser attraverso il percorso DNS interessato. Il messaggio di benvenuto conferma la configurazione di base di DNS Protection.
4. Risolvere un dominio noto consentito e un dominio di test bloccato intenzionalmente dalla policy assegnata. Tenere conto della cache e del TTL DNS.
5. Controllare nel dashboard o nei report che la query compaia sotto la Location prevista.

La sola pagina di benvenuto non dimostra che la policy o la Location siano corrette. Solo un test consentito, uno bloccato e una voce corrispondente nei report confermano l’intero percorso.

Eliminare in sicurezza una Location personalizzata

La Default location non può essere eliminata. Per una Location personalizzata:

1. Salvare una copia del nome, della descrizione, dei metodi di connessione attivi, dei valori IP/FQDN, delle assegnazioni delle policy e dell’URL DoH esistente. Documentare inoltre tutti i firewall, i resolver e i dispositivi configurati manualmente che utilizzano la Location.
2. Se il percorso DNS è ancora necessario, creare e convalidare completamente una Location sostitutiva prima di procedere.
3. Rimuovere la Location dalle Filtering e Endpoint policies oppure sostituirla con quella nuova. Verificare la policy effettiva sui dispositivi pilota.
4. Spostare firewall, resolver e dispositivi configurati manualmente sul nuovo percorso.
5. In My Products > DNS Protection > Locations, selezionare la vecchia Location e poi Delete.
6. Ripetere i test di risoluzione consentita e bloccata e controllare nuovamente i report.

Per eseguire il rollback, ricreare una Location personalizzata con il nome, la descrizione, i metodi, i valori IP/FQDN e le assegnazioni delle policy salvati. Per Secure DNS, la ricreazione genera una nuova DNS over HTTPS URL, che deve essere ridistribuita a tutti i dispositivi configurati manualmente. Riconnettere firewall e resolver al percorso tradizionale, se applicabile. Ripetere quindi i test di risoluzione consentita e bloccata e verificare i report.

Risolvere i problemi in base al sintomo

La Location non accetta l’indirizzo

Le voci statiche e i nomi host supportano solo IPv4. Un indirizzo privato o IPv6 non è un’uscita di sede valida. Inserire l’indirizzo WAN pubblico o un FQDN che risolva a tale indirizzo e confermare ogni valore con Enter o Tab.

La risoluzione si interrompe o la Location non compare nei report

Confrontare l’uscita Internet effettiva con l’elenco IP/FQDN salvato. Multi-WAN potrebbe utilizzare un indirizzo di failover non registrato. Per un FQDN, verificare innanzitutto che risolva a un indirizzo IPv4 pubblico valido. Central segnala FQDN non validi e conflitti IP in My Environment > Alerts.

Conflitto IP o CGNAT

Se lo stesso IP pubblico appartiene già a un altro cliente, la Location creata per prima mantiene la precedenza. Un alias dello stesso IP non cambia nulla. Richiedere al provider un indirizzo IPv4 pubblico univoco oppure utilizzare Secure DNS per i dispositivi idonei.

Interruzione DDNS dopo un cambio di indirizzo

Verificare che il record DDNS restituisca il nuovo indirizzo pubblico. Attendere quindi l’intervallo di controllo di DNS Protection e l’aggiornamento della cache. Con Cloudflare, verificare DNS only. Non rimuovere il vecchio IP finché il nuovo valore non corrisponde all’uscita effettiva.

La policy non viene applicata

Controllare quale Location riceve effettivamente la query e a quale Filtering policy appartiene. Per ogni Location si applica una sola Filtering policy. Dopo una modifica della policy, un record DNS nella cache può continuare a funzionare fino alla scadenza del TTL; ripetere il test con un nome nuovo o dopo la scadenza della cache.

Altri resolver aggirano DNS Protection

Se i client ricevono server DNS tradizionali o IPv6 aggiuntivi, le query possono aggirare DNS Protection. Distribuire esclusivamente il percorso DNS Protection previsto per la risoluzione pubblica. DNS Protection si basa su IPv4, ma può risolvere record AAAA; non è quindi necessario un resolver IPv6 separato.