Vai al contenuto
Avanet

Configurare manualmente Sophos DNS Protection su Windows

Sophos DNS Protection

Un dispositivo Windows può utilizzare Sophos DNS Protection manualmente in due modi: Traditional DNS invia richieste DNS non crittografate agli indirizzi IP di protezione DNS, Secure DNS le crittografa tramite DNS su HTTPS (DoH). Per i singoli client non gestiti centralmente è adatta la configurazione manuale. Per gli endpoint Windows gestiti con Workspace Protection, Sophos consiglia invece la Endpoint DNS Protection Policy. Il requisito del pacchetto software vale solo per questa alternativa gestita: prima del rollout, selezionare e verificare Windows > Recommended in Update Management, quindi seguire la guida Endpoint collegata.

L’approccio sicuro consiste nel registrare le impostazioni precedenti dell’adattatore, copiare i valori per il proprio tenant da Sophos Central, modificare solo un adattatore attivo su un dispositivo pilota, testare i nomi pubblici e interni e solo successivamente configurare adattatori aggiuntivi. Non utilizzare mai indirizzi IP o un modello DoH di un altro tenant.

Scegli DNS tradizionale o DNS sicuro

Traditional DNS è adatto se il dispositivo attualmente utilizza direttamente un risolutore di cloud pubblico come Google Public DNS o Cloudflare DNS e non è richiesta la DoH. Le query utilizzano la porta UDP o TCP 53 e non sono crittografate durante il transito. La posizione deve essere in grado di identificare l’IP pubblico in uscita del dispositivo tramite Traditional DNS over IPv4.

Secure DNS è solitamente l’opzione manuale migliore per dispositivi mobili o reti non affidabili. Windows invia richieste tramite HTTPS e utilizza DNS over HTTPS URL specifico del tenant e della posizione. La posizione deve essere configurata per Secure DNS. Il DNS sicuro non è la stessa cosa di un servizio DoH del browser arbitrario: i browser e le applicazioni con il proprio risolutore possono comunque utilizzare un percorso DNS diverso.

Le impostazioni manuali dell’adattatore si applicano solo all’adattatore configurato. Gli adattatori Wi-Fi, Ethernet, VPN e virtuali possono avere valori DNS diversi. Per i dispositivi associati a dominio, zone interne o DNS divisi, chiarire innanzitutto in che modo i nomi interni rimangono accessibili. Una conversione manuale diretta a Sophos può bypassare il server DNS interno. In tali ambienti, un percorso di risoluzione centrale è solitamente più adatto tramite Sophos DNS Protection con Sophos Firewall o la policy dell’endpoint gestito.

Preparare i valori e il piano di rollback

  1. Sul dispositivo pilota documentare i server DNS attualmente in uso e se ciascun adattatore interessato è impostato su Automatic (DHCP) o Manual.
  2. Apri My Products > DNS Protection > Installers in Sophos Central e copia i due indirizzi IP di protezione DNS del tuo tenant insieme a IP addresses con Copy.
  3. Per Secure DNS, utilizzare una posizione configurata per Secure DNS in My Products > DNS Protection > Locations e copiare il DNS over HTTPS URL generato al momento della creazione della posizione.
  4. Controlla quale politica di filtraggio è assegnata alla posizione e quale dominio di prova innocuo può essere bloccato deliberatamente.
  5. Imposta una finestra di manutenzione e un modo per ripristinare i valori DHCP o statici registrati.

I valori vengono visualizzati come <DNS-IP-1>, <DNS-IP-2> e <DOH-TEMPLATE>. Sostituire sempre questi segnaposto con i valori del proprio tenant di Sophos Central. Non derivare il modello DoH da una configurazione di esempio.

Prima di apportare la modifica, utilizza una sessione di PowerShell con privilegi elevati per visualizzare lo stato DoH noto:

Get-DnsClientDohServerAddress

Il comando non cambia nulla. Tuttavia, non mostra la configurazione completa dell’adattatore, quindi registrarla separatamente in Windows.

Configura manualmente i DNS tradizionali

Sophos documenta il classico dialogo dell’adattatore:

  1. Apri Run, inserisci il seguente comando e seleziona OK:
control.exe /name Microsoft.NetworkAndSharingCenter
  1. Nello Network and Sharing Center a sinistra, seleziona Change adapter settings.
  2. Aprire l’adattatore attivo, ad esempio Wi-Fi, con il tasto destro del mouse e selezionare Properties.
  3. Nella scheda Networking, contrassegnare Internet Protocol Version 4 (TCP/IPv4) e selezionare Properties.
  4. Attiva su General Use the following DNS server addresses.
  5. Inserisci Preferred DNS server <DNS-IP-1> e Alternate DNS server <DNS-IP-2>.
  6. Confermare con OK.
  7. Verificare prima questo adattatore. Configurare nello stesso modo gli altri adattatori attivi solo dopo aver completato i test con esito positivo.

Non aggiungere l’indirizzo IP di un resolver pubblico estraneo come terzo server di fallback. Windows non garantisce che un server DNS alternativo venga utilizzato solo in caso di emergenza; un resolver estraneo può bypassare il filtraggio e il reporting.

Configura manualmente il DNS sicuro tramite DoH

L’attuale flusso Sophos utilizza le impostazioni di Windows e un modello manuale:

  1. Apri Settings > Network & internet > Wi-Fi e seleziona le proprietà della rete Wi-Fi connessa. Per Ethernet aprire l’adattatore attivo corrispondente sotto Network & internet.
  2. In DNS server assignment, seleziona Edit.
  3. Seleziona Manual e attiva IPv4.
  4. Inserisci Preferred DNS <DNS-IP-1>.
  5. In DNS over HTTPS, seleziona On (manual template).
  6. In DNS over HTTPS template, incollare il <DOH-TEMPLATE> completo specifico del tenant.
  7. Selezionare Save.

In questa procedura manuale per Secure DNS, Sophos mostra un solo valore DNS preferito. Non associare arbitrariamente lo stesso template ad altri indirizzi IP, a meno che il tenant non fornisca o confermi tale associazione. Se si utilizza un secondo resolver, anche la relativa associazione tra IP e template deve essere verificata esplicitamente.

Se Windows non accetta il modello tramite l’interfaccia, è possibile registrare l’associazione documentata da Microsoft in una sessione PowerShell con privilegi amministrativi:

Add-DnsClientDohServerAddress -ServerAddress '<DNS-IP-1>' -DohTemplate '<DOH-TEMPLATE>' -AllowFallbackToUdp $False -AutoUpgrade $True

-AllowFallbackToUdp $False impedisce un fallback silenzioso su DNS non crittografato. La risoluzione del nome pertanto fallisce se DoH non è disponibile. Eseguire questo comando solo dopo un pre-controllo documentato e prima su un dispositivo pilota. È comunque necessario configurare l’indirizzo IP come server DNS sull’adattatore. Utilizzare Get-DnsClientDohServerAddress per verificare che l’indirizzo IP e il modello corrispondano esattamente.

Non combinare con la policy dell’endpoint gestito

La configurazione manuale e la protezione DNS dell’endpoint sono due modelli operativi diversi. Nella versione gestita, l’agente Sophos Endpoint intercetta le richieste DNS e le invia tramite HTTPS alla Location Secure DNS selezionata. Le richieste per i domini esclusi e, facoltativamente, i nuovi tentativi dopo una risposta NXDOMAIN vengono invece inviati al servizio DNS configurato dal sistema o dall’applicazione.

Non distribuire valori DNS Sophos manuali come presunto fallback abilitando allo stesso tempo Use Sophos DNS Protection. Ciò complica la risoluzione dei problemi e può rinviare le esclusioni interne a Sophos. Prima di passare alla policy dell’endpoint, reimpostare i valori dell’adattatore manuale in modo controllato sul risolutore aziendale o DHCP previsto. Quindi testare su un gruppo pilota il componente agent, l’assegnazione della policy, le esclusioni dei domini e la distribuzione del certificato come descritto nella guida Endpoint.

Convalidare la configurazione

Per prima cosa controlla la visualizzazione di Windows:

ipconfig /all
Resolve-DnsName example.com
Get-DnsClientDohServerAddress

ipconfig /all deve mostrare gli indirizzi IP DNS previsti sull’adattatore effettivamente utilizzato. Resolve-DnsName example.com conferma solo che la risoluzione dei nomi funziona; il comando da solo non dimostra né la politica di filtraggio applicata né una trasmissione crittografata.

Quindi completare i seguenti controlli di accettazione:

  • un dominio pubblico noto e consentito si risolve;
  • viene bloccato un dominio innocuo deliberatamente bloccato nella politica pilota;
  • FQDN interni, nomi brevi, nomi VPN e applicazioni mission-critical funzionano come previsto;
  • in DNS Protection > Logs & Reports, la richiesta compare nella Location prevista dopo il consueto ritardo di reporting;
  • per Secure DNS, la configurazione di Windows mostra On (manual template) e non è consentito il fallback UDP;
  • I browser o le applicazioni con il proprio DNS sicuro sono stati testati separatamente.

Una pagina di blocco Sophos richiede il certificato radice di protezione DNS nell’archivio certificati attendibili. Se manca, potrebbe apparire un avviso di certificato anche se il dominio è stato bloccato correttamente. Verificare quindi anche lo stato del blocco e le segnalazioni.

Ripristina o rimuovi in modo sicuro

Tenere a portata di mano i valori iniziali documentati prima del ripristino. Procedere quindi un adattatore alla volta:

  1. Aprire DNS server assignment > Edit oppure le proprietà IPv4.
  2. Se l’adattatore è stato precedentemente configurato tramite DHCP, selezionare nuovamente Automatic (DHCP) o Obtain DNS server address automatically.
  3. Se sono stati inseriti dei risolutori statici, ripristinare questi valori esatti.
  4. Salvare, ricollegare l’adattatore o rinnovare il lease DHCP e testare i nomi pubblici e interni.
  5. Solo dopo questi controlli, ripetere la procedura sugli altri adattatori.

Questa procedura interrompe l’uso attivo del servizio. Non eliminare un’associazione DoH senza aver verificato se è ancora utilizzata da un altro adattatore o da una policy gestita. Eseguire Get-DnsClientDohServerAddress e controllare i record di gestione del dispositivo. Se confermano che l’associazione è stata creata dal comando PowerShell manuale di questa guida e non appartiene ad altri processi, rimuovere l’indirizzo esatto in una sessione PowerShell con privilegi elevati:

Remove-DnsClientDohServerAddress -ServerAddress '<DNS-IP-1>'
Get-DnsClientDohServerAddress

Il secondo comando non deve più mostrare l’associazione creata manualmente. Se la voce è condivisa o gestita da una policy, non eseguire il comando di rimozione; eliminarla tramite il sistema di gestione che la controlla. Eliminare la Location di Sophos Central solo quando nessun altro dispositivo, rete o criterio dipende da essa.

Risoluzione dei problemi

I nomi pubblici non vengono risolti

Controllare l’indirizzo IP, il gateway e i valori DNS sull’adattatore attivo. Con il DNS tradizionale, UDP/TCP 53 deve essere accessibile agli indirizzi Sophos copiati e l’IP pubblico di output deve corrispondere alla posizione. Per DNS sicuro, HTTPS deve essere accessibile e IP e DNS over HTTPS template devono provenire dalla stessa identica configurazione del tenant. Quindi controlla le eventuali specifiche VPN, proxy o firewall.

I nomi interni smettono di risolversi

La configurazione manuale diretta spesso bypassa il resolver interno. Ripristinare i valori precedenti dell’adattatore. Per le zone interne necessarie in modo permanente, utilizzare un forwarder DNS centrale con inoltro condizionale oppure la policy Endpoint con le Domain exclusions correttamente mantenute. Il fatto che un nome interno non sia risolvibile pubblicamente non giustifica la sua autorizzazione in DNS Protection.

Windows non mostra DoH o passa al DNS non crittografato

Controllare che On (manual template) sia stato salvato e che Get-DnsClientDohServerAddress mostri la corretta associazione tra indirizzo IP e template. Una modalità che consente il fallback non crittografato può passare al DNS in chiaro senza mostrare alcun avviso. Per una configurazione rigorosamente crittografata, questo fallback non deve essere consentito; un’interruzione di DoH causa quindi intenzionalmente il mancato completamento della risoluzione dei nomi.

I report rimangono vuoti o mostrano la posizione sbagliata

Innanzitutto, assicurati che l’adattatore testato sia realmente attivo e che nessun browser, client VPN o agente endpoint utilizzi il proprio percorso DNS. Quindi controlla la posizione, l’IP di origine pubblica o il modello DNS sicuro e l’allocazione dei criteri di filtro. I rapporti centrali non sono in tempo reale; non dare per scontato un errore immediatamente dopo una singola query.

La pagina di blocco mostra un errore di certificato

Controlla se il certificato radice di protezione DNS è attendibile sul dispositivo. Per gli endpoint gestiti centralmente, la policy può distribuirlo automaticamente. I dispositivi manuali richiedono un processo di certificazione gestito consapevolmente. Il certificato radice non equivale a una CA del firewall Sophos per l’ispezione TLS.