Configurar Sophos DNS Protection com Sophos Firewall

O Sophos DNS Protection protege consultas DNS através de um serviço DNS baseado na cloud com políticas e relatórios em Sophos Central. A função pode bloquear domínios maliciosos, phishing, destinos de comando e controlo e categorias indesejadas antes de um cliente estabelecer uma ligação ao site ou à infraestrutura real.

Com Sophos Firewall, a configuração padrão mais limpa é geralmente: os clientes usam a firewall como resolvedor DNS, a firewall encaminha consultas DNS públicas para DNS Protection e os domínios internos são enviados através de DNS Request Routes para servidores DNS internos. Desta forma, a resolução interna de nomes permanece estável, enquanto as consultas DNS públicas são controladas e registadas centralmente.

DNS Protection não substitui Web Protection, Threat Feeds ou NDR. É um ponto de proteção próprio ao nível DNS. Por isso, a função deve ser planeada de forma consciente e não apenas através da substituição de servidores DNS públicos.

Tutorial em vídeo

Classificação Avanet: Uso consciente da DNS Protection

DNS Protection é tecnicamente interessante, mas nem sempre é a melhor opção em todos os ambientes. Em muitos projetos, não usamos a DNS Protection como padrão, mas preferimos resolvedores DNS rápidos e altamente disponíveis e, adicionalmente, bloqueamos alvos maliciosos conhecidos por meio de Sophos Firewall Threat Feeds ou fontes de inteligência de ameaças comparáveis na firewall.

A razão é simples: DNS é uma função básica. Se o DNS for lento, não operar de forma redundante ou gerar muitos falsos positivos, os utilizadores poderão sentir rapidamente que toda a rede está com defeito. DNS Protection não deve apenas ser segura, mas também estável, rápida, compreensível e fácil de operar.

A decisão depende do objetivo:

• Resolvedores DNS rápidos e altamente disponíveis: desempenho muito bom, resolução de nomes robusta e baixo risco operacional. Em contrapartida, não há política DNS central nem relatórios DNS em Sophos Central.
• Threat Feeds em Sophos Firewall: alvos maliciosos conhecidos podem ser bloqueados no perímetro sem redesenhar o caminho DNS. Mas isso não é o mesmo que filtragem por categorias DNS; a qualidade, o ajuste e o processo de falsos positivos continuam importantes.
• Sophos DNS Protection: políticas DNS, categorias, Locations, registos e Endpoint DNS Protection são geridos em Sophos Central. Em contrapartida, surge uma dependência adicional no caminho DNS; rollout, certificados, exceções e monitorização devem ser planeados de forma limpa.

DNS Protection é especialmente adequada quando se pretende explicitamente registos DNS em Sophos Central, políticas DNS baseadas em Location, filtragem por categorias ou Endpoint DNS Protection para clientes em roaming. Se o objetivo principal for uma resolução de nomes rápida e altamente disponível, com bloqueio adicional de alvos maliciosos conhecidos, bons resolvedores DNS mais Threat Feeds costumam ser a solução mais pragmática.

Quando a DNS Protection é útil

DNS Protection é especialmente forte quando muitos clientes acedem a Internet através de um firewall central ou de um resolvedor DNS local.

Casos de uso típicos:

• Os clientes não devem usar resolvedores DNS públicos arbitrários.
• Malware, phishing e domínios C2 devem ser bloqueados antecipadamente.
• As consultas DNS devem estar visíveis no Sophos Central.
• Locations diferentes devem ter as suas próprias políticas DNS.
• Os nomes DNS internos devem continuar a funcionar através de servidores DNS locais.
• Web Protection deve ser complementado com um controlo prévio DNS.

No entanto, a DNS Protection não substitui a inspeção de conteúdo. Se um domínio permitido entregar posteriormente conteúdo malicioso ou se o tráfego HTTPS precisar ser examinado mais de perto, Web Protection, TLS Inspection, IPS, proteção de Endpoint e logs ainda serão relevantes.

DNS Protection não é ideal se apenas se procura um encaminhador DNS externo rápido ou se já existir uma operação DNS muito estável com Threat Feeds separados, Web Protection, proteção de Endpoint e monitorização limpa. Nesse caso, deve avaliar primeiro que valor adicional concreto DNS Protection traz e quem irá gerir a política, as exceções e os falsos positivos.

Arquitetura com Sophos Firewall

Para Sophos Firewall, esta configuração geralmente é a mais clara:

1. Sophos Central reconhece o site como Location.
2. Sophos Central fornece dois endereços IP de DNS Protection.
3. Sophos Firewall usa esses endereços IP como encaminhador DNS.
4. Os domínios internos são enviados através de DNS Request Routes para servidores DNS internos.
5. DHCP distribui a firewall como resolvedor DNS para clientes.
6. Opcionalmente, uma regra NAT força o tráfego de saída DNS a ser redirecionado para a firewall.
7. Os logs DNS e relatórios de proteção são avaliados em Sophos Central.

Esta configuração garante que os clientes não precisam de ser configurados diretamente para o serviço DNS da Sophos. A firewall continua a ser o resolvedor central na LAN e consegue tratar melhor casos especiais internos.

É importante distinguir entre DNS Tradicional e DNS Seguro:

• Traditional DNS over IPv4: para escritórios com firewalls, routers, servidores DNS locais ou redes com IP público fixo ou FQDN DDNS. Sophos Central atribui as consultas DNS à Location através do IP de origem público ou do FQDN.
• Secure DNS: para Endpoint DNS Protection através de Sophos Endpoint. Sophos Central gera um caminho DNS-over-HTTPS exclusivo para a Location.

Para Sophos Firewall como encaminhador DNS, normalmente Traditional DNS over IPv4 é o caminho correto. Secure DNS pertence ao caminho de Endpoint e não deve ser confundido com as definições de encaminhador DNS da firewall.

Pré-requisitos

Antes do rollout, estes pontos devem ser esclarecidos:

• Acesso ao Sophos Central com permissão para DNS Protection.
• Licença apropriada: Xstream Protection para DNS Protection autónoma ou Workspace Protection para Endpoint DNS Protection.
• IP público WAN ou nome FQDN/DDNS estável para o local.
• Decisão se a Location será utilizada para Traditional DNS ou Secure DNS.
• Sophos Firewall é usado ou planeado para ser usado como resolvedor DNS para redes afetadas.
• Domínios internos, zonas do Active Directory e pesquisas inversas são conhecidos.
• Servidores DHCP foram identificados para redes clientes.
• Foram planeadas exceções para domínios internos e serviços críticos.
• Em Endpoint DNS Protection: plataformas de Endpoint suportadas e grupo de rollout revistos.
• Foram definidos responsáveis pela política DNS, falsos positivos e logs.

Se o endereço IP público mudar frequentemente, deve ser esclarecido antes do rollout se uma configuração DDNS é suficientemente estável. Sophos DNS Protection também pode identificar Locations através de um FQDN, mas uma alteração de IP ainda pode causar interrupções temporárias.

Para ambientes grandes, a estrutura de Locations deve ser planeada de forma consciente. Locations são objetos operacionais e de política, não uma estrutura substituta para cada VLAN, piso ou pequeno grupo especial. A Location predefinida Default está reservada e não pode ser usada como Location própria de um site. Uma lógica por site, firewall ou tenant é frequentemente mais adequada do que uma divisão técnica muito fina.

Sophos DNS Protection permite no máximo 50 Locations. Por cada Location de Traditional DNS podem ser registados vários endereços IP públicos ou FQDN; a Sophos indica um máximo de 100 entradas. Isto parece generoso, mas continua a ser um argumento contra uma estrutura de Locations demasiado granular. Para políticas, é melhor dividir por site, saída para a internet e responsabilidade do que por cada VLAN individual.

1. Criar uma Location em Sophos Central

Em Sophos Central, primeiro é criada a Location:

My Products > DNS Protection > Locations

Procedimento prático:

1. Selecione Add.
2. Introduza o nome e a descrição da Location.
3. Para sites com firewall, use Traditional DNS over IPv4.
4. Registe o IP WAN público de Sophos Firewall.
5. No caso de várias interfaces WAN, introduza todos os endereços IP públicos relevantes ou um intervalo adequado.
6. Utilize um FQDN DDNS se o desenho se basear num IP dinâmico.
7. Guarde a Location.

A Location é importante porque DNS Protection deve atribuir as consultas DNS recebidas à conta de cliente e à política corretas. Se a Location faltar ou o IP público não corresponder, Sophos Central não verá o site corretamente.

Endereços IP privados não pertencem a uma Location de DNS Protection. Sophos Central deve ver o IP de origem público com que as consultas DNS chegam ao serviço. Se Central detetar automaticamente um IP público, ainda assim deve verificar se esse endereço é realmente o caminho de saída planeado da firewall. Em caso de alterações posteriores do IP, a Location deve ser mantida; a deteção automática não substitui a monitorização operacional.

2. Copiar endereços IP de DNS Protection

Os endereços IP de DNS Protection encontram-se em Sophos Central em:

My Products > DNS Protection > Installers

São disponibilizados dois endereços IP. Estes são usados em Sophos Firewall como servidores DNS primário e secundário. Não introduza outros servidores DNS públicos como fallback se todo o tráfego deve passar por DNS Protection. Caso contrário, dependendo do comportamento do resolvedor, podem ser usados servidores DNS que contornam DNS Protection, e a proteção e a visibilidade perdem-se.

Com Secure DNS, o fluxo é diferente: aí o componente Endpoint trabalha com um destino DNS-over-HTTPS, não com os endereços IP clássicos de encaminhador DNS da firewall. Se neste ponto eram esperados IPs para a firewall, mas foi criada uma Secure-DNS-Location, provavelmente foi escolhido o tipo de Location errado.

3. Configure o encaminhador DNS para Sophos Firewall

Em Sophos Firewall:

Network > DNS

Procedimento recomendado:

1. Selecione Static DNS.
2. Configure DNS 1 com o primeiro endereço IP da DNS Protection.
3. Configure DNS 2 com o segundo endereço IP da DNS Protection.
4. Deixe DNS 3 vazio, a menos que haja um caso especial consciente.
5. Em IPv6, selecione também Static DNS, não introduza servidores DNS IPv6 e selecione Choose IPv4 DNS server over IPv6 se o site deve funcionar através dos servidores DNS Protection baseados em IPv4.
6. Guarde e aplique a configuração.

DNS Protection funciona como um serviço DNS baseado em IPv4, mas também pode resolver endereços IPv6. Portanto, um servidor DNS IPv6 separado não é automaticamente necessário.

Se uma firewall utilizar vários caminhos WAN, a Location deve corresponder ao IP de origem público realmente usado na saída. SD-WAN, failover, Policy Routing ou outro desenho NAT podem fazer com que as consultas DNS saiam por um endereço público diferente do esperado. Isto deve ser testado conscientemente no piloto.

4. Proteja domínios internos com DNS Request Routes

DNS Protection não resolve domínios internos. Se o Active Directory, aplicações internos, zonas locais ou pesquisas reversas de rede forem usados, essas consultas devem ser direcionadas aos servidores DNS internos.

Para isso utilize no Sophos Firewall:

Network > DNS > DNS request route

Exemplo:

• Nome de host/domínio: empresa.local ou corp.example.com
• Servidores de destino: controladores de domínio internos ou servidores DNS

Sem esses caminhos, os nomes internos seriam enviados para a DNS Protection e não seriam resolvidos corretamente lá. O procedimento exato está descrito em Configurar DNS Request Routes para Sophos Firewall.

Para ambientes de produção, os domínios internos em DNS Protection devem ser considerados uma lista de domínios se o domínio puder ser bloqueado por uma categoria. Exemplos típicos são sites ou serviços internos que podem se enquadrar em categorias problemáticas, como domínios estacionados.

5. Faça com que os clientes apontem para a firewall usando DHCP

Os clientes devem usar Sophos Firewall como resolvedor DNS, e não resolvedores externos arbitrários diretamente.

Se Sophos Firewall fornecer DHCP:

Network > DHCP

Procedimento prático:

1. Edite o servidor DHCP da interface afetada.
2. Distribua o endereço IP da interface da firewall como o servidor DNS primário.
3. Decida conscientemente o DNS secundário.
4. Renove a concessão DHCP ou reconecte o cliente de teste.
5. Verifique com um cliente de teste qual servidor DNS realmente está a ser utilizado.

Na configuração de exemplo oficial, a Sophos mostra frequentemente o IP da interface da firewall como servidor DNS primário e um IP de DNS Protection como DNS secundário. Isto pode funcionar como fallback, mas não é a melhor variante em todos os ambientes. Se os clientes usarem diretamente o DNS secundário, contornam a firewall como resolvedor. As DNS Request Routes internas, zonas locais especiais e pontos de controlo individuais na firewall deixam então de se aplicar a essas consultas como esperado.

Se um servidor Windows DNS ou outro resolvedor interno for usado, esse resolvedor poderá encaminhar para a DNS Protection em vez dos clientes. No entanto, deve ficar claro onde os domínios internos são resolvidos e qual servidor encaminha as consultas públicas.

6. Impedir a evasão direta de DNS

Muitos clientes utilizam o servidor DNS distribuído pela DHCP. No entanto, alguns dispositivos, navegadores, sistemas IoT ou clientes configurados intencionalmente podem usar seus próprios servidores DNS.

Uma medida possível é uma regra NAT que redirecione o tráfego DNS de saída de redes internas para a firewall. Na prática, isto significa que o tráfego DNS das redes de origem internas é redirecionado por DNAT para o endereço interno da firewall, para que a consulta possa ser avaliada por DNS Protection.

Importante:

• Abranja apenas redes de origem internas.
• Não utilize interfaces WAN como interface de entrada.
• Coloque a regra conscientemente numa posição muito alta.
• Documente exceções para servidores DNS internos e casos especiais.
• Espere apenas tráfego DNS clássico em UDP/TCP 53; DoH e DoT devem ser tratados separadamente através de controlos de cliente, browser, MDM ou Web Policy.
• Depois teste se a resolução DNS interna, DNS Protection e os registos continuam corretos.

Os princípios básicos de NAT estão descritos em Compreender NAT em Sophos Firewall. Uma imposição DNS não deve ser ativada cegamente, pois pode afetar resolvedores internos, clientes VPN, comportamento DoH/DoT ou dispositivos especiais.

Planear o rollout em fases

DNS Protection não deve ser aplicada imediatamente a todas as redes ao mesmo tempo. DNS é uma função básica: se nomes internos, verificações de certificados, atualizações de software ou serviços SaaS deixarem de ser resolvidos corretamente, isso pode rapidamente parecer uma falha geral da internet.

Um rollout controlado tem este aspeto na prática:

1. Selecione uma rede piloto ou um pequeno grupo de teste.
2. Documente domínios internos, zonas reversas e domínios de pesquisa.
3. Configure DNS Request Routes para zonas internas.
4. Distribua a firewall como resolvedor DNS usando DHCP.
5. Configure endereços IP de DNS Protection na firewall.
6. Instale o certificado de páginas de bloqueio em clientes de teste.
7. Verifique registos em Sophos Central.
8. Apenas então inclua outras redes, redes de convidados, redes de servidores ou redes VPN.

Para redes de servidores, deve ser especialmente cauteloso. Alguns sistemas usam DNS para verificação de licenças, atualizações, CRL/OCSP, backup, monitorização ou comunicação de cluster. Aí, uma janela de teste com rollback é mais importante do que em redes de clientes normais.

Teste de aceitação antes do rollout geral

Antes do rollout produtivo, deve estar claro como reconhecer uma implementação funcional de DNS Protection. Apenas o link de teste da Sophos não é suficiente para isso.

• Resolver um domínio público: O cliente consulta a firewall ou o resolvedor interno pretendido.
• Resolver um domínio interno do AD: a consulta passa pela DNS Request Route para servidores DNS internos.
• Teste de pesquisa reversa: zonas PTR internas continuam funcionando.
• Abrir um domínio de teste bloqueado: DNS Protection bloqueia e regista a ocorrência.
• Verifique os logs em Sophos Central: os hits aparecem no local correto.
• Rede de convidados de teste: Os convidados usam a rota planeada DNS e não os servidores DNS internos.
• Cliente de teste VPN: Split-DNS, domínios internos e domínios públicos se comportam conforme planeado.
• Verifique o navegador DoH: O navegador ou o sistema operacional não ignoram o controlo inesperadamente.

Se algum destes testes falhar, a política não deve ser aberta imediatamente. Primeiro deve ficar claro se o problema está em DHCP, DNS Request Routes, atribuição de Location, perfil do cliente, DoH do browser, split tunnel VPN ou categorização de domínio.

7. Planear políticas e listas de domínios

DNS Protection pode bloquear domínios relevantes para a segurança mesmo sem sua própria política, se o SophosLabs os classificar como uma ameaça ou risco à segurança. Políticas próprias complementam esta linha de base com diretrizes empresariais.

Perguntas políticas típicas:

• Quais locais recebem qual apólice?
• Quais categorias devem ser bloqueadas?
• Quais categorias são problemáticas apenas para determinados locais?
• Quais domínios devem ser explicitamente permitidos?
• Quem decide sobre os falsos positivos?
• Por quanto tempo as exceções permanecem em vigor?

As listas de domínios devem ser geridas de forma rigorosa. Uma lista de permissões ampla pode reduzir a eficácia da proteção. Uma lista de bloqueios ampla pode perturbar processos de negócio. Cada lista precisa de uma finalidade, um responsável e uma data de revisão.

Política de filtragem de Endpoint ou política de DNS Protection?

Em Sophos Central existem dois níveis de política que não devem ser confundidos.

• Política de filtragem: DNS filtragem baseada em localização, firewall ou rede. Use para escritórios, firewalls, servidores DNS, redes de servidores, convidados, IoT e dispositivos sem Sophos Endpoint.
• Endpoint DNS Protection policy: proteção DNS baseada em Endpoint através de Sophos Endpoint. Use para clientes geridos, portáteis e utilizadores que também devem ser protegidos fora da rede empresarial.

Uma política de filtragem é criada em DNS Protection > Policies > Filtering policies e atribuída a um ou mais locais ou firewalls. Apenas uma política de filtragem de local pode estar ativa. Esta política define categorias, listas de domínios e opções adicionais, como Safe Search.

Uma Endpoint DNS Protection policy usa Sophos Endpoint. O Endpoint interceta o tráfego DNS no dispositivo e encaminha-o de forma segura por HTTPS para DNS Protection. Desta forma, não é necessário configurar manualmente o cliente com os endereços IP de DNS Protection. Os dispositivos são atribuídos na política de Endpoint a uma Location de DNS Protection e depois são controlados pela Filtering Policy dessa Location.

Na prática, isso significa:

• Para um escritório com Sophos Firewall, o local de política de maior filtragem é o caminho de rede normal.
• Para clientes em roaming, a política de proteção de Endpoint DNS é útil, pois a proteção pode ser aplicada mesmo fora da rede corporativa.
• Endpoint DNS Protection não está automaticamente disponível para todos os sistemas operacionais corporativos. Atualmente, o Sophos oferece suporte a Endpoints do Windows para esta política; Os Endpoints do Windows Server e do macOS não são compatíveis com isso. Servidores, macOS, Linux, dispositivos móveis e especiais devem ser avaliados usando rede DNS, layout VPN ou outros controlos.
• Para ambientes mistos, ambas as abordagens são combinadas: sites de firewall através de Locations, Endpoints geridos adicionalmente através de Endpoint DNS Protection.
• Para domínios internos, as exclusões de domínio devem ser mantidas nas políticas de Endpoint. A Sophos recomenda excluir explicitamente zonas internas em vez de confiar apenas em uma nova tentativa de NXDOMAIN.
• As páginas de bloqueio em endpoints requerem o certificado raiz de DNS Protection. Com o Sophos Endpoint, o certificado pode ser distribuído automaticamente.

Quais categorias podem ser bloqueadas?

DNS Proteção oferece categorias que em Sophos Central estão organizadas em grupos. Algumas categorias estão mais relacionadas com a produtividade, enquanto outras são claramente relevantes para a segurança. Os nomes aqui são mantidos em inglês, pois é assim que são exibidos em Sophos Central.

• Categorias relacionadas à produtividade: inclui, entre outros, anúncios, leilões e anúncios classificados, sites dinâmicos DNS e ISP, entretenimento, moda e beleza, jogos de azar, jogos, hobbies, caça e pesca, sites infantis, notícias, bate-papo on-line, compras on-line, sites pessoais, galerias de fotos, sites de portal, religião e espiritualidade, restaurantes e jantares, esportes, ações e comércio, vigilância, viagens, sociedade e cultura e veículos. Permitir, bloquear ou restringir apenas determinadas redes de acordo com a política da empresa.
• Redes sociais: inclui blogs e fóruns, relacionamentos pessoais e encontros e redes sociais. Geralmente não é uma questão puramente de segurança; decidir conscientemente por redes produtivas em vez de bloquear de forma geral.
• Categorias adultas e potencialmente inadequadas: inclui, entre outros, álcool e tabaco, substâncias controladas, atividade criminosa, download de freeware e shareware, extremo, pirataria intelectual, intolerância e ódio, drogas legais, maconha, militância e extremismo, nudez, plágio, pró-suicídio e automutilação, educação sexual, sexualmente explícito, trajes de banho e lingerie e armas. Bloqueio em muitos ambientes de negócios, com exceções apenas se houver uma justificativa clara.
• Categorias que podem causar uso excessivo de largura de banda: inclui áudio ao vivo, vídeo ao vivo, peer-to-peer e torrents, hospedagem de rádio e áudio, hospedagem de vídeo e chamadas de voz e vídeo. Frequentemente relevante para redes de convidados e clientes. Revise previamente as ferramentas de colaboração para não interromper chamadas legítimas.
• Categorias de sites relevantes para negócios: inclui, entre outros, Negócios em geral, Redes de negócios, Instituições educacionais, Serviços financeiros, Governo, Saúde e medicamentos, Tecnologia da informação, Pesquisa de emprego, Referência, Mecanismos de pesquisa, Atualizações de software e Tradutores. Normalmente permita. Algumas categorias podem ser restritas em redes de alta segurança.
• Infraestrutura: inclui entrega de conteúdo, CRL e OCSP. Normalmente permite, porque essas categorias podem ser importantes para atualizações, validação de certificados e muitos serviços em nuvem.
• Ameaças e responsabilidades: inclui anonimizadores, hacking, sites recém-registados, domínios estacionados, phishing e fraude, URLs de spam, spyware e malware e lojas de software não autorizadas. Normalmente bloquear. Em caso de falsos positivos, trabalhe especificamente com listas de domínios, não abra grupos inteiros.
• Perda de dados: inclui aplicações empresariais em nuvem, aplicações pessoais em nuvem, armazenamento em rede pessoal e e-mail da Web. Altamente dependente de requisitos de DLP, nuvem e conformidade. Trate as redes de servidores e a administração com mais rigor do que os utilizadores normais.
• Sem categoria: não bloqueie cegamente. Avalie primeiro, porque novos serviços legítimos ou internos podem ficar temporariamente sem categoria.

As listas de domínios têm prioridade sobre as categorias. Um domínio permitido em uma lista de domínios ainda é permitido, mesmo que a categoria seja bloqueada. Um domínio bloqueado ainda estará bloqueado, mesmo que a categoria seja permitida. Portanto, as listas de domínios devem ser documentadas e revistas regularmente.

8. Bloquear páginas e certificados

Para domínios bloqueados, o DNS Protection pode exibir uma página de bloqueio HTTPS. Para que os utilizadores vejam corretamente esta página de bloqueio, o certificado raiz de DNS Protection deve ser instalado de forma confiável nos dispositivos afetados.

Se a inspeção TLS ou a filtragem da Web também estiverem ativas na firewall, o certificado e a programação de exceção devem corresponder. Para a CA da firewall, consulte Distribuir certificado CA Sophos Firewall para inspeção TLS.

O certificado e o teste da página de bloqueio encontram-se em Sophos Central em DNS Protection > Installers. Além disso, blockpage.dnsprotection.sophos.com deve estar acessível. Se este domínio for afetado por Web Protection, TLS Inspection, uma política DNS ou outro controlo, a decisão real de DNS Protection pode estar correta, mas a página de bloqueio pode aparecer incorretamente ou nem sequer aparecer.

Se as páginas de bloqueio não forem exibidas, a política não deve ser ajustada imediatamente. Frequentemente faltam certificados, o cliente usa outra rota DNS ou blockpage.dnsprotection.sophos.com está sofrendo interferência de outro controlo.

Experimente a DNS Protection

Sophos Central fornece um link de teste em DNS Protection > Installers. Se as configurações estiverem corretas, o navegador exibirá uma confirmação.

Além disso, deve ser testado na prática:

• O cliente utiliza a firewall como servidor DNS.
• Um domínio público é resolvido através da DNS Protection.
• Um domínio interno foi resolvido com sucesso por meio do DNS Request Route.
• Um domínio de teste bloqueado está bloqueado.
• Os registos aparecem em Sophos Central.
• As consultas DNS aparecem no local correto.
• Servidores DNS alternativos não são usados.
• A VPN ou rede convidada se comporta conforme planeado.

Para uma análise real de erros, não apenas o navegador deve ser testado. nslookup, dig, logs de firewall, concessões DHCP e logs Sophos Central juntos fornecem uma imagem melhor.

Comandos de teste para clientes

Num cliente de teste, deve primeiro verificar que servidor DNS está realmente a ser utilizado. Um teste de browser bem-sucedido não é suficiente se o cliente usar em paralelo outro resolvedor, DoH ou um perfil VPN.

Windows:

ipconfig /all
nslookup example.com
nslookup example.com <firewall-ip>
Resolve-DnsName example.com

macOS:

scutil --dns
dig example.com
dig @<firewall-ip> example.com

Linux:

resolvectl status
dig example.com
dig @<firewall-ip> example.com

Nestes comandos, <firewall-ip> deve ser substituído pelo endereço da interface interna de Sophos Firewall que deve servir como resolvedor DNS na rede correspondente. Se a consulta à firewall funcionar, mas a consulta normal usar outro resolvedor, o problema está geralmente no DHCP, no perfil do sistema operativo, no cliente VPN, no DoH do browser ou numa configuração DNS local.

Para domínios internos, um teste adicional deve ser realizado com uma zona interna:

dig @<firewall-ip> interner-host.corp.example.com

Este teste deve chegar ao servidor interno apropriado DNS através do DNS Request Route. Se os domínios públicos funcionam, mas os nomes internos não, a DNS Protection raramente é a causa real. Em seguida, os DNS Request Routes do cliente, os servidores DNS internos, os domínios de pesquisa e os sufixos devem ser verificados.

Resolução de problemas

A localização não aparece em Sophos Central

Verifique se o IP público WAN ou o DDNS FQDN do local estão corretos. No caso de múltiplas linhas WAN, todos os endereços de saída relevantes devem ser considerados. Com endereços IP dinâmicos, pode haver breves atrasos até que o DNS Protection reconheça a alteração.

Além disso, verifique se o tipo de Localização se ajusta ao design. Um firewall que envia consultas DNS clássicas para determinados IPs pertence ao caminho DNS Tradicional. Em vez disso, o Endpoint DNS Protection usa o Secure DNS por meio do componente Endpoint.

Se a Location for mantida através de um FQDN, deve verificar adicionalmente se o FQDN aponta realmente, a partir do exterior, para o IP público atual. Sophos Central pode apresentar um endereço detetado automaticamente, mas alterações posteriores devem ser controladas na operação.

Se, apesar de uma configuração correta da firewall, não for visível qualquer atribuição de Location, verifique também My Environment > Alerts em Sophos Central. Podem surgir problemas se um FQDN não apontar para um IP público válido ou se o mesmo IP público já for usado noutra Location de DNS Protection de outra conta de cliente. Isto é especialmente relevante com CGNAT, endereços de fornecedor partilhados, saídas centrais de proxy/VPN ou nomes DDNS mantidos incorretamente.

Nomes internos não funcionam mais

Nesse caso, os DNS Request Routes geralmente estão faltando ou os clientes não consultam o resolvedor esperado. Domínios AD internos, zonas reversas e domínios de aplicações devem direcionar explicitamente servidores DNS internos.

DNS Protection bloqueia um domínio interno ou legítimo

Primeiro esclareça se o domínio é interno, público, mal categorizado ou muito arriscado. Em seguida, revise a lista e a política de domínios. Não estabeleça uma regra ampla permitida antes de conhecer a causa e os utilizadores afetados.

Os registos permanecem vazios

Caso não apareça nenhum registo em Sophos Central, o cliente pode não estar a usar DNS Protection. Verifique: DHCP, DNS do cliente, DNS da firewall, redirecionamento NAT, resolvedores alternativos, perfil VPN e se a Location é reconhecida corretamente em Sophos Central.

Para uma análise mais aprofundada, também pode ser usado Threat Analysis Center > Live Discover, se o ambiente utilizar as funções Central necessárias. Aí, os dados de DNS Protection podem ser consultados com mais granularidade do que nos relatórios padrão, por exemplo por domínio, Policy Action, Location, utilizador ou dispositivo. Para uma aceitação normal, no entanto, comece por registos e relatórios, cliente de teste e verificação do resolvedor.

A página de bloqueio não aparece

Nesse caso, o certificado raiz de DNS Protection geralmente está faltando, o cliente usa outro caminho DNS ou um controlo de segurança diferente está afetando a ligação. A inspeção TLS e a proteção da Web também devem ser verificadas.

Verifique também se o domínio da página de bloqueio está acessível e não é bloqueado por uma política anterior. Se um browser usar DoH, um perfil VPN ou Apple Private Relay, pode não ver uma página de bloqueio da Sophos, embora o caminho DNS normal da rede esteja correto.

DoH ou DNS privado ignora o controlo

Browsers e sistemas operativos podem usar DNS over HTTPS ou funções de DNS privado. Dependendo do ambiente, estas funções devem ser geridas através de políticas de browser, MDM ou sistema operativo. DNS Protection no caminho de rede só ajuda se as consultas passarem realmente pelo resolvedor previsto.

Os clientes VPN se comportam de maneira diferente dos clientes LAN

Nos clientes VPN, o comportamento depende fortemente do perfil. Full Tunnel, Split Tunnel, sufixos DNS, domínios de pesquisa e resolvedores locais do cliente podem influenciar a resolução de nomes. Se DNS Protection funcionar na LAN, mas não através de VPN, devem ser verificados primeiro o perfil VPN, os servidores DNS atribuídos, os sufixos DNS e as regras da firewall. Para ambientes de Remote Access, também se adequa Sophos Connect ou SSL VPN: Qual solução de Remote Access é adequada?.

Recomendação de operação

DNS Protection deve ser operada como um controlo de segurança e não como uma simples troca de servidores DNS.

Da perspetiva da Avanet, deve decidir honestamente de antemão se DNS Protection é realmente a ferramenta certa para o ambiente. Para muitas instalações clássicas de firewall, resolvedores DNS rápidos e redundantes, juntamente com Threat Feeds bem mantidos na firewall, são a variante operacional mais robusta. DNS Protection vale especialmente a pena se a operação também quiser usar ativamente as políticas em Central, registos, categorias, listas de domínios e o componente de Endpoint.

Verifique regularmente:

• As Locations e os endereços IP WAN estão corretos.
• DHCP continua distribuindo os servidores DNS corretos.
• DNS Request Routes internos são atualizados.
• As políticas e listas de domínio têm os responsáveis e uma data de revisão.
• Os registos são avaliados.
• Domínios primários bloqueados são verificados em busca de falsos positivos.
• Novos sites, redes VPN e redes convidadas são considerados no design.

Para problemas de detecção, Operate Sophos Firewall NDR e Active Threat Response pode complementar. Para IPs, domínios e URLs maliciosos conhecidos no nível da firewall, Sophos Firewall Threat Feeds ainda são relevantes.

Lista de verificação

• Sophos Central DNS Licença de proteção verificada.
• Site criado como Location.
• Tipo de localização escolhido corretamente: DNS Tradicional para sites com firewall, DNS Seguro para Endpoint DNS Proteção.
• IP WAN público ou FQDN DDNS registado corretamente.
• Limite de Locations e entradas IP/FQDN planeados conscientemente.
• DNS Endereços IP de proteção copiados da Central.
• Sophos Firewall usa DNS Protection como encaminhador DNS.
• Domínios internos cobertos pelos DNS Request Routes.
• DHCP distribui a firewall como resolvedor DNS.
• DNS secundário nos clientes decidido conscientemente e não construído acidentalmente como bypass.
• Bypass direto de DNS verificado e redirecionado por NAT se necessário.
• Perfis DoH, DoT, VPN e políticas de navegador revistos separadamente.
• DNS Certificado raiz de proteção planeado para páginas de bloqueio.
• Plataformas e dispositivos de Endpoint não suportados avaliados separadamente.
• Link de teste Sophos Central verificado com sucesso.
• Registos e relatórios em Sophos Central controlados.
• Processo de falsos positivos e revisão de listas de domínios definidos.

Perguntas frequentes