Zintegruj DNS Protection i ZTNA z Sophos Protected Browser

Sophos Protected Browser integruje DNS Protection i ZTNA poprzez dwie oddzielne ścieżki operacyjne. DNS Protection Direct pozwala przeglądarce rozpoznawać nazwy przez DNS over HTTPS niezależnie od DNS na endpoincie i w sieci. Obok niego nadal dostępna jest dotychczasowa integracja Endpoint-DNS dla obsługiwanych urządzeń. Natomiast do zastosowań prywatnych lub lokalnych Protected Browser łączy się z przygotowaną bramką ZTNA.

Krótki proces to zatem:

1. W My Products > Protected Browser sprawdzić dzierżawę, a w Settings > DNS Protection bezpośrednią ścieżkę DNS przeglądarki. DNS i ZTNA pozostają oddzielnymi konfiguracjami.
2. Wybrać docelową ścieżkę DNS: bezpośrednie rozpoznawanie nazw w przeglądarce albo dotychczasową integrację Endpoint-DNS. Przeprowadzić oddzielny pilotaż obu ścieżek; ich zasady filtrowania mogą dawać różne wyniki.
3. W pełni skonfiguruj ZTNA z tożsamością, bramą, zasobami i zasadami.
4. W przypadku aplikacji i zasobów bez agenta innych niż RDP i SSH, włącz Wymuś Protected Browser.
5. Przetestuj rozpoznawanie nazw DNS i dostęp ZTNA oddzielnie, zarówno z pozytywnymi, jak i negatywnymi testami. Udany test DNS nie dowodzi, że dostęp do ZTNA działa i odwrotnie.

Wymagania wstępne, licencja i role

Dla tej integracji należy sprawdzić licencję Workspace Protection. DNS Protection Direct nie wymaga włączonej integracji Endpoint-DNS. Zainstalowany agent Sophos Endpoint i obsługiwane endpointy Windows są potrzebne wyłącznie dla opisanej dalej oddzielnie ścieżki Endpoint-DNS. Windows Server i macOS nie mogą być obecnie dodane do udokumentowanej polityki Endpoint przeznaczonej do tego celu. Szczegółowy zakres licencji nie jest częścią tej integracji; przed pilotażem Workspace Protection musi być dostępny w dzierżawie. Instalacja Endpoint jest wymagana tylko dla ścieżki Endpoint-DNS.

W przypadku ścieżki ZTNA użytkownicy i grupy, dostawca tożsamości, brama, zasoby, zasady, DNS i certyfikaty muszą już działać. Protected Browser poszerza przygotowaną ścieżkę dostępu; nie zastępuje żadnego z tych fundamentów. Skonfiguruj Sophos ZTNA opisuje sekwencję i testy akceptacyjne.

Sophos nie określa konkretnej roli administratora dla tej strony integracji. Osoba wykonująca pracę musi zatem mieć potwierdzony dostęp do wymaganych obiektów DNS Protection, ZTNA i Protected Browser, a w przypadku ścieżki Endpoint-DNS także do jej obiektów Endpoint, bez przyznawania jej na wszelki wypadek uprawnień Super Admin. Jeśli brakuje produktu lub elementu sterującego, najpierw sprawdź dzierżawę, licencję i przypisane uprawnienia.

Przed pilotem należy również odnotować:

• mała grupa użytkowników i urządzeń;
• jedna dozwolona i jedna celowo zablokowana publiczna domena testowa;
• nazwa wewnętrzna, która musi być nadal rozpoznawana przez lokalną usługę DNS;
• dozwolony zasób testowy ZTNA i nieautoryzowany użytkownik testowy;
• poprzedni resolver i ścieżkę dostępu jako drogę powrotu;
• czas, osobę odpowiedzialną i oczekiwany wynik każdej zmiany.

Zapewnij DNS Protection dla Protected Browser

Bezpośrednie rozpoznawanie nazw DNS w przeglądarce

Stan weryfikacji na 21 października 2026 r.: Sophos informuje, że DNS Protection Direct jest w pełni dostępne. W Protected Browser > Settings > DNS Protection można włączyć własne połączenie DoH przeglądarki. Może ono korzystać z innej polityki filtrowania niż Endpoint lub sieć. Należy zatem uzgodnić z koncepcją bezpieczeństwa, które wcześniej blokowane cele mają być odtąd dostępne w przeglądarce. Działanie dotyczy przeglądarki i nie potwierdza ochrony DNS innych aplikacji.

Przed włączeniem zapisać dotychczasowy stan i określić zachowanie domyślne albo docelową politykę filtrowania DNS. Domyślnie dozwolone są żądania poza domenami wysokiego ryzyka, a dalsze decyzje pozostają w gestii zasad przeglądarki. W razie potrzeby dodać domeny wewnętrzne jako Domain exclusions, aby rozpoznawała je lokalna usługa DNS. Aby strony blokowania wyświetlały się prawidłowo, przeglądarka może zaufać urzędowi certyfikacji DNS Protection. Następnie sprawdzić w przeglądarce domeny dozwolone i blokowane, nazwy wewnętrzne oraz strony blokowania; test porównawczy poza przeglądarką pozwala odróżnić tę ścieżkę od Endpoint-DNS. Przy wycofaniu przywrócić tylko zmienione ustawienie przeglądarki do udokumentowanego stanu wyjściowego i powtórzyć te same testy.

Dotychczasowa ścieżka Endpoint-DNS

Starsza pomoc integracyjna nadal opisuje DNS Protection z Sophos Endpoint. Poniższe punkty gotowości dotyczą tej oddzielnej ścieżki i nie stanowią wymagań DNS Protection Direct. Instalacja, wersja pakietu, pełna polityka punktów końcowych, lokalizacje, filtrowanie, wyjątki domen, strony blokowania, rozwiązywanie problemów i przywracanie są zatem opisane centralnie w Konfigurowanie Sophos DNS Protection dla punktów końcowych.

Przed pilotażem ścieżki Endpoint-DNS należy sprawdzić następujące punkty gotowości:

1. Komponent DNS jest zainstalowany na urządzeniach pilotowych; w zależności od licencji może się nazywać DNS i ZTNA.
2. Polityka punktu końcowego przypisana do urządzeń pilotażowych lub grup jest aktywna i Użyj Sophos DNS Protection jest włączona.
3. Wybrana Lokalizacja domyślna lub lokalizacja niestandardowa wykorzystuje metodę połączenia Secure DNS. Nowo utworzona lokalizacja nie może używać innej metody połączenia dla tej ścieżki punktu końcowego.
4. Oczekiwana polityka filtrowania jest przypisana do lokalizacji. Jedną politykę filtrowania można przypisać do wielu lokalizacji lub zapór sieciowych, ale każda indywidualna lokalizacja może mieć tylko jedną politykę filtrowania. Jeśli filtrowanie wymaga sprawdzenia, obowiązują również następujące limity: DNS Protection obsługuje maksymalnie 50 zasad filtrowania; Zezwalaj zezwala na wszystkie kategorie w grupie, Blokuj je blokuje, a Określ ustawia akcję dla każdej kategorii. Twórz i modyfikuj zasady filtrowania, postępując zgodnie z dołączonym przewodnikiem.
5. Wewnętrzna nazwa testowa jest tam zawarta jako wyjątek, aby zamierzona lokalna usługa DNS nadal ją rozwiązywała.

Sophos Endpoint następnie przechwytuje ruch DNS z wyjątkiem wykluczonych domen i przekazuje go do DNS Protection za pośrednictwem HTTPS. Odpowiedzi trafiają bezpośrednio do aplikacji. Bez włączonej integracji lokalna usługa DNS przetwarza żądania jak poprzednio. Listy domen, ponowna próba NXDOMAIN i dystrybucja certyfikatów nie są ponownie konfigurowane w tym artykule; zaplanuj i sprawdź je, postępując zgodnie z linkowanym przewodnikiem.

Zapewnij ZTNA dla Protected Browser

ZTNA musi być w pełni skonfigurowany przed integracją przeglądarki. Protected Browser łączy się z bramką ZTNA, umożliwiając kontrolowany dostęp do aplikacji wewnętrznych i środowisk chmury prywatnej. Wspólna konfiguracja ZTNA pozostaje opisana w podlinkowanym podręczniku ZTNA; nie jest tu powtarzana jako drugi, potencjalnie rozbieżny proces.

Aby uzyskać dostęp bez agenta do aplikacji i zasobów innych niż RDP i SSH, włącz Wymuś Protected Browser. Sophos nie dokumentuje wiarygodnej ścieżki menu ani dodatkowych pól formularza dla tego ustawienia. Dlatego używaj przełącznika tylko w konfiguracji ZTNA widocznej we własnej dzierżawie. Jeśli go nie ma, nie wprowadzaj tutaj dalszych zmian i nie próbuj odgadywać ścieżki na podstawie innego widoku produktu.

RDP i SSH stanowią odrębny wariant. Sophos wymaga określonej konfiguracji ZTNA dla zasobów RDP lub SSH bez agenta. Ogólny test aplikacji internetowej lub włączenie Wymuś Protected Browser nie weryfikuje tej ścieżki.

Sprawdź poprawność pilota

Akceptacja celowo oddziela DNS i ZTNA. Zacznij od przetestowania dokładnie jednego urządzenia pilotażowego z autoryzowanym użytkownikiem.

Sprawdź wynik DNS

Oczekiwane wyniki:

• Dozwolona publiczna domena testowa jest prawidłowo rozpoznawana i osiągalna.
• Zablokowana domena testowa jest blokowana zgodnie z przypisaną polityką filtrowania.
• Wewnętrzna nazwa testowa korzysta z zamierzonej lokalnej usługi DNS i pozostaje osiągalna.
• W ścieżce Endpoint-DNS żądania pojawiają się pod oczekiwaną lokalizacją lub w powiązanym z nią raportowaniu DNS. W DNS Protection Direct ustawienie przeglądarki i wybraną politykę filtrowania sprawdza się oddzielnie.
• Przetestuj aplikację z własnym zachowaniem Secure DNS lub DNS-over-HTTPS oddzielnie, zamiast ekstrapolować z testu tylko w przeglądarce na wszystkie aplikacje.

W przypadku braku oczekiwanego zdarzenia nie należy natychmiast poluzowywać filtrowania. W bezpośredniej ścieżce przeglądarki należy najpierw sprawdzić jej ustawienie i politykę filtrowania. W ścieżce Endpoint należy sprawdzić zainstalowany komponent, politykę punktu końcowego, która jest faktycznie aktywna, Użyj Sophos DNS Protection, lokalizację Secure DNS i aktualnie używany resolver. Powiązany przewodnik zawiera dalsze rozwiązywanie problemów z DNS.

Sprawdź wynik ZTNA

Korzystając z autoryzowanego użytkownika, otwórz przygotowany prywatny zasób testowy w Protected Browser. Sukces oznacza, że logowanie, bramka ZTNA, przypisanie zasobów i aplikacja współpracują ze sobą. Następnie użyj użytkownika spoza zatwierdzonej grupy, aby potwierdzić negatywny przypadek: zasób nie może być dostępny dla tego użytkownika.

Zarejestruj testy DNS i ZTNA oddzielnie, w tym czas i wynik. Wyjaśnia to, na którą ścieżkę ma wpływ późniejsza usterka.

Rozwiązywanie problemów według objawów

DNS nie działa na urządzeniu pilotowym

Najpierw określić, której ścieżki DNS dotyczy problem. Dla DNS Protection Direct sprawdzić ustawienie przeglądarki, politykę filtrowania, osiągalność DoH, wyjątki domen lokalnych i certyfikat strony blokowania. Poniższa kontrola Windows dotyczy wyłącznie Endpoint-DNS, a nie bezpośredniej funkcji przeglądarki.

Najpierw sprawdź, czy jest to obsługiwany punkt końcowy Windows, czy zainstalowano Sophos Endpoint i komponent DNS oraz czy w faktycznie aktywnej polityce punktu końcowego jest włączona opcja Użyj Sophos DNS Protection. Następnie sprawdź wybraną lokalizację Secure DNS i połączenie HTTPS z DNS Protection. Windows Server i macOS nie są odpowiednimi testami porównawczymi dla tej ścieżki polityki punktu końcowego. Wprowadź zmiany w zasadach, lokalizacji, filtrowaniu, domenie lub wycofaniu, postępując zgodnie z podlinkowanym przewodnikiem.

Jeśli sprawdzasz również lokalizację opartą na sieci, aby zawęzić problem, wymaga ona prawidłowego publicznego adresu IPv4 lub rozpoznawalnej nazwy FQDN lokalizacji. Adresy RFC 1918 w 10.0.0.0/8, 172.16.0.0/12 lub 192.168.0.0/16 nie są poprawnymi adresami publicznymi w tym celu. Jednak nie każdy adres zaczynający się od 172. lub 192. jest prywatny, więc nie używaj tego skrótu jako kryterium testowego.

Logowanie ZTNA działa, ale aplikacja nie

DNS Protection nie jest zatem pierwszym podejrzanym. Sprawdź przypisanie użytkownika i grupy, zasób ZTNA, wybraną bramę i dostępność aplikacji z perspektywy tej bramy. Następnie potwierdź, że Wymuś Protected Browser jest aktywny dla zamierzonego dostępu bez agenta. Nie porównuj RDP i SSH z ogólną ścieżką aplikacji internetowej.

Jeśli brakuje Wymuś Protected Browser lub proces widoczny w dzierżawie jest niejasny, nie wprowadzaj w tym miejscu dalszych zmian. Odpowiedzialny zespół ZTNA musi wyjaśnić licencję, uprawnienia i aktualny widok produktu, zanim ktokolwiek ominie zabezpieczenia lub ponownie utworzy zasoby.

Bezpieczny rollback i offboarding

Nie demontuj jednocześnie DNS i ZTNA. Przed każdym cofnięciem należy udokumentować urządzenia pilotażowe, ścieżkę, osobę odpowiedzialną i ostatni pomyślny wynik testu.

Zmiany w ścieżce Endpoint-DNS wycofać zgodnie z procedurą z podlinkowanego przewodnika; dla DNS Protection Direct obowiązuje opisana wyżej procedura wycofania ustawienia przeglądarki. W obu przypadkach następnie potwierdzić zarówno wewnętrzne, jak i publiczne rozpoznawanie nazw. Nie usuwaj natychmiast wspólnego komponentu oprogramowania o nazwie DNS i ZTNA, ponieważ może to również wpłynąć na ścieżkę ZTNA.

Sophos nie dokumentuje pełnej procedury usuwania ani wycofywania Wymuś Protected Browser. Dlatego w przypadku ZTNA nie usuwaj bramy ani współdzielonych obiektów tożsamości, DNS, certyfikatów czy polityk jako rzekomego natychmiastowego rollbacku. Jeśli dostęp trzeba zatrzymać, przekaż odpowiedzialnemu zespołowi ZTNA informacje o danym zasobie i grupie użytkowników, a następnie powtórz test negatywny. Jeśli w dzierżawie nie potwierdzono odwracalnego kroku, wycofywanie kończy się w tym miejscu.

Operacje i regularne przeglądy

Po zakończeniu pilotażu przypisać różne osoby do ścieżek DNS i ZTNA. Po zmianach bezpośredniego ustawienia DNS przeglądarki, konfiguracji Endpoint-DNS oraz grup użytkowników, bramy lub zasobu ZTNA należy powtórzyć odpowiednie testy pozytywne i negatywne. Regularnie sprawdzać dostępność Workspace Protection, dla ścieżki Endpoint-DNS zainstalowany komponent i jej punkty gotowości DNS, dla bezpośredniej ścieżki przeglądarki jej ustawienie i politykę filtrowania, a także dostęp ZTNA i udokumentowaną drogę powrotu.

Decyzje o dalszym działaniu muszą opierać się na bieżącej konfiguracji produktu widocznej w dzierżawie oraz aktualnej pomocy dla każdego komponentu. Nie wyprowadzaj terminów migracji, dat wyłączenia ani dat EOL z historycznych ogłoszeń. Jeśli Sophos zmieni wymaganie lub widok produktu, ponownie przeprowadź pilotaż przed dostosowaniem szerszego wdrożenia.