Integrar DNS Protection e ZTNA com o Sophos Protected Browser

O Sophos Protected Browser integra DNS Protection e ZTNA através de dois percursos operacionais distintos. DNS Protection Direct permite ao browser resolver nomes por DNS over HTTPS, independentemente do DNS de endpoint e de rede. A integração DNS de endpoint existente continua disponível para dispositivos suportados. Para aplicações privadas ou locais, o Protected Browser liga-se ao gateway ZTNA previamente preparado.

O processo resumido é, portanto:

1. Em My Products > Protected Browser, verificar o tenant e, em Settings > DNS Protection, o percurso DNS direto do browser. DNS e ZTNA continuam a ser configurações separadas.
2. Selecionar o percurso DNS pretendido: resolução direta pelo browser ou a integração DNS de endpoint existente. Realizar pilotos separados para ambos; as respetivas políticas de filtragem podem produzir resultados diferentes.
3. Configure totalmente o ZTNA com identidade, gateway, recursos e políticas.
4. Para aplicações e recursos sem agente que não sejam RDP nem SSH, ative Protected Browser Enforcement.
5. Teste separadamente, com casos positivos e negativos, a resolução DNS e o acesso ZTNA. Um teste DNS bem-sucedido não comprova o acesso ZTNA, nem o inverso.

Pré-requisitos, licença e funções

Para esta integração, é necessário verificar a licença Workspace Protection. DNS Protection Direct não exige uma integração DNS de endpoint ativa. Esta função DoH direta só está disponível no Protected Browser completo, não na extensão para browsers. Apenas o percurso DNS de endpoint, descrito separadamente abaixo, requer um agente Sophos Endpoint instalado e endpoints Windows suportados. Atualmente, Windows Server e macOS não podem ser adicionados à política de endpoint documentada para esse fim. Os limites detalhados da licença não fazem parte desta integração; antes do piloto, o Workspace Protection tem de estar disponível no tenant. A instalação do Endpoint é um pré-requisito apenas do percurso DNS de endpoint.

Para o percurso ZTNA, utilizadores e grupos, fornecedor de identidade, gateway, recursos, políticas, DNS e certificados já têm de funcionar. O Protected Browser complementa este percurso preparado, não substitui os seus fundamentos. Configurar o Sophos ZTNA descreve a sequência e a validação.

A Sophos não especifica uma função administrativa para esta página. Quem executa o trabalho necessita, portanto, de acesso comprovado aos objetos necessários de DNS Protection, ZTNA e Protected Browser e, no percurso DNS de endpoint, aos respetivos objetos de Endpoint, sem receber preventivamente direitos de Super Admin. Se faltar um produto ou controlo, esclareça primeiro o tenant, a licença e as permissões atribuídas.

Antes do piloto, registe também:

• um pequeno grupo de utilizadores e dispositivos;
• um domínio público de teste permitido e outro deliberadamente bloqueado;
• um nome interno que o serviço DNS local deve continuar a resolver;
• um recurso de teste ZTNA permitido e um utilizador de teste não autorizado;
• o anterior percurso de resolução e acesso como via de reversão;
• a hora, o responsável e o resultado esperado de cada alteração.

Disponibilizar DNS Protection ao Protected Browser

Resolução DNS direta no browser

Situação verificada em 21 de outubro de 2026: a Sophos anuncia a disponibilidade completa de DNS Protection Direct. Em Protected Browser > Settings > DNS Protection, é possível ativar a ligação DoH própria. Esta pode utilizar uma política de filtragem diferente da do endpoint ou da rede. Deve por isso verificar-se, face ao conceito de segurança, que destinos anteriormente bloqueados devem passar a estar acessíveis no browser. O efeito aplica-se ao browser e não comprova a proteção DNS de outras aplicações.

Antes da ativação, guardar o estado anterior e definir o comportamento predefinido ou a política de filtragem DNS pretendida. O comportamento predefinido permite os pedidos, exceto os relativos a domínios de alto risco, e deixa as restantes decisões às políticas do browser. Se necessário, configurar domínios internos como Domain exclusions para serem resolvidos pelo serviço DNS local. Para apresentar corretamente as páginas de bloqueio, o browser pode confiar na CA de DNS Protection. Depois, verificar no browser domínios permitidos e bloqueados, nomes internos e páginas de bloqueio; uma contraprova fora do browser permite distinguir este percurso do DNS de endpoint. Na reversão, repor apenas a definição alterada no browser no estado inicial documentado e repetir os mesmos testes.

Percurso DNS de endpoint existente

A ajuda de integração anterior continua a descrever DNS Protection com Sophos Endpoint. Os pontos de preparação seguintes aplicam-se a esse percurso separado e não são pré-requisitos de DNS Protection Direct. Instalação, versão do pacote, política de endpoint completa, localizações, filtragem, exceções de domínio, páginas de bloqueio, diagnóstico e reversão são, por isso, descritos centralmente em Configurar o Sophos DNS Protection para endpoints.

Para o percurso DNS de endpoint, é necessário verificar a preparação antes do piloto:

1. O componente DNS está instalado nos dispositivos piloto; consoante a licença, pode chamar-se DNS and ZTNA.
2. A política de endpoint atribuída aos dispositivos ou grupos piloto está ativa e Use Sophos DNS Protection está ativado.
3. A Default location selecionada, ou uma localização própria, utiliza o método Secure DNS. Uma localização recém-criada não pode usar outro método neste percurso de endpoint.
4. A política de filtragem esperada está atribuída à localização. Uma política pode ser atribuída a várias localizações ou firewalls, mas cada localização só pode ter uma política. Se for necessário verificar a filtragem, aplicam-se também estes limites: o DNS Protection suporta no máximo 50 políticas; Allow permite todas as categorias de um grupo, Block bloqueia-as e Specify define a ação por categoria. Crie e altere políticas seguindo o guia ligado.
5. O nome interno de teste está incluído como exceção, para continuar a ser resolvido pelo serviço DNS local previsto.

O Sophos Endpoint interceta então o tráfego DNS, exceto os domínios excluídos, e encaminha-o por HTTPS para o DNS Protection. As respostas seguem diretamente para a aplicação. Sem a integração ativa, o serviço DNS local processa os pedidos como antes. Listas de domínios, novas tentativas NXDOMAIN e distribuição de certificados não são novamente configuradas aqui; são planeadas e verificadas segundo o guia ligado.

Disponibilizar ZTNA ao Protected Browser

O ZTNA tem de estar totalmente configurado antes da integração do browser. O Protected Browser liga-se ao gateway ZTNA e permite acesso controlado a aplicações internas e ambientes de cloud privada. A configuração ZTNA comum permanece no runbook ligado e não é repetida aqui como um segundo processo potencialmente divergente.

Para acesso sem agente a aplicações e recursos que não sejam RDP nem SSH, ative depois Protected Browser Enforcement. A ajuda de ZTNA Settings documenta o caminho Global Settings > Products and Services > ZTNA para esta definição. Essa página de ajuda, de 14 de setembro de 2026, ainda indica a participação no Workspace Protection Early Access Program como requisito; não permite determinar com segurança o estado atual de rollout ou de autorização do próprio tenant. Se o seletor não estiver disponível nesse local, a equipa ZTNA deve esclarecer o licenciamento, as permissões e o rollout com a Sophos, sem presumir outro caminho ou uma autorização.

RDP e SSH são uma variante separada. A Sophos exige configuração ZTNA específica para recursos RDP ou SSH sem agente. Um teste geral de aplicação Web ou apenas ativar Protected Browser Enforcement não valida este percurso.

Validar o piloto

A validação separa intencionalmente DNS e ZTNA. Comece por testar exatamente um dispositivo piloto com um utilizador autorizado.

Verificar o resultado DNS

Espera-se:

• O domínio público permitido é resolvido e está acessível.
• O domínio bloqueado é bloqueado segundo a política atribuída.
• O nome interno usa o serviço DNS local previsto e permanece acessível.
• No percurso DNS de endpoint, os pedidos aparecem na localização esperada ou nos relatórios DNS associados. Em DNS Protection Direct, verificam-se separadamente a definição do browser e a política de filtragem selecionada.
• Uma aplicação com comportamento próprio de DNS seguro ou DNS-over-HTTPS é testada separadamente, sem generalizar um teste apenas do browser a todas as aplicações.

Se faltar um evento esperado, não flexibilize logo a filtragem. No percurso direto do browser, verifique primeiro a respetiva definição e política de filtragem. No percurso de endpoint, verifique o componente instalado, a política realmente ativa, Use Sophos DNS Protection, a localização DNS seguro e o resolver utilizado. O guia ligado contém o diagnóstico DNS adicional.

Verificar o resultado ZTNA

Com o utilizador autorizado, abra no Protected Browser o recurso privado preparado. O sucesso significa que autenticação, gateway ZTNA, atribuição do recurso e aplicação funcionam em conjunto. Depois, um utilizador fora do grupo autorizado confirma o caso negativo: o recurso não pode estar disponível nem acessível.

Registe separadamente hora e resultado dos testes DNS e ZTNA. Assim fica visível qual percurso é afetado por uma falha posterior.

Diagnóstico por sintoma

O DNS não funciona no dispositivo piloto

Determinar primeiro o percurso DNS afetado. Em DNS Protection Direct, verificar a definição do browser, a política de filtragem, a acessibilidade DoH, as exceções de domínios locais e o certificado das páginas de bloqueio. A verificação Windows seguinte aplica-se exclusivamente ao DNS de endpoint, não à função direta do browser.

Confirme primeiro que é um endpoint Windows suportado, que Sophos Endpoint e o componente DNS estão instalados e que a política efetivamente ativa liga Use Sophos DNS Protection. Verifique depois a localização DNS seguro e a conectividade HTTPS ao DNS Protection. Windows Server e macOS não são contraprovas adequadas para este percurso. Faça alterações de política, localização, filtragem, domínio ou reversão segundo o guia ligado.

Se verificar também uma localização de rede para delimitar o problema, esta precisa de um endereço IPv4 público válido ou FQDN de localização resolúvel. Endereços RFC 1918 de 10.0.0.0/8, 172.16.0.0/12 ou 192.168.0.0/16 não são endereços públicos válidos. Contudo, nem todos os endereços começados por 172. ou 192. são privados; não use essa abreviação como critério.

A autenticação ZTNA funciona, mas a aplicação não

O DNS Protection não é então o primeiro suspeito. Verifique atribuições de utilizadores e grupos, recurso ZTNA, gateway selecionado e acessibilidade da aplicação a partir desse gateway. Confirme depois que Protected Browser Enforcement está ativo para o acesso sem agente previsto. Não compare RDP e SSH com o percurso geral de aplicações Web.

Se Protected Browser Enforcement não existir ou o processo visível no tenant for incerto, não altere mais a configuração. A equipa ZTNA responsável deve esclarecer licença, permissões e vista atual do produto antes de contornar proteções ou recriar recursos.

Reversão e desativação seguras

Não desative DNS e ZTNA ao mesmo tempo. Antes de reverter, documente dispositivos piloto, percurso afetado, responsável e último resultado bem-sucedido.

Reverta o percurso DNS de endpoint segundo o guia ligado; para DNS Protection Direct, aplica-se a reversão do browser descrita acima. Em ambos os casos, valide depois a resolução interna e pública. Não remova de imediato o componente partilhado DNS and ZTNA, pois também pode afetar o percurso ZTNA.

A Sophos não documenta um processo completo para eliminar ou reverter Protected Browser Enforcement. Em ZTNA, não elimine gateway nem objetos partilhados de identidade, DNS, certificados ou políticas como suposta reversão imediata. Se o acesso tiver de parar, forneça à equipa ZTNA o recurso e grupo afetados e repita o teste negativo. Sem um passo reversível confirmado no tenant, a reversão termina aqui.

Operação e revisão regular

Após o piloto, atribua pessoas diferentes aos percursos DNS e ZTNA. Repita os testes positivos e negativos relevantes após alterações à definição DNS direta do browser, à configuração DNS de endpoint, aos grupos, ao gateway ou ao recurso ZTNA. Verifique regularmente a disponibilidade do Workspace Protection; no percurso DNS de endpoint, o componente instalado e os respetivos pontos de preparação DNS; no percurso direto do browser, a respetiva definição e política de filtragem; bem como o acesso ZTNA e a via de reversão documentada.

As decisões sobre operação contínua devem basear-se na configuração atual visível no tenant e na ajuda atual de cada componente. Não deduza prazos de migração, datas de desativação ou EOL de anúncios históricos. Se a Sophos alterar um requisito ou vista do produto, repita primeiro o piloto antes de adaptar a implementação geral.