FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del cambio.
Mauricio Vergara Ereche about.me/mave
Ojo que no cambia los servidores. Solo el protocolo. Con lo cual no es comparable a la situación Firefox Saludos
On Tue, Nov 19, 2019, 19:38 Mauricio Vergara Ereche via dns-esp < dns-esp@listas.nic.cl> wrote:
FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del cambio.
Mauricio Vergara Ereche about.me/mave
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
Hola Nico,
Sí es cierto que sólo cambian el protocolo, pero aún asi lo hacen sin avisarte... no tengo juicio al respecto, aún.
Otra cosa que también mencionan en el blog ahí es que están abiertos a explorar DoT en el futuro y que no se cierran con una sola tecnología, sino que eligieron DoH porque ya tenían la mitad de la infraestructura andando.
Saludos!
On Tue, Nov 19, 2019 at 2:47 PM Nico via dns-esp dns-esp@listas.nic.cl wrote:
Ojo que no cambia los servidores. Solo el protocolo. Con lo cual no es comparable a la situación Firefox Saludos
On Tue, Nov 19, 2019, 19:38 Mauricio Vergara Ereche via dns-esp < dns-esp@listas.nic.cl> wrote:
FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del cambio.
Mauricio Vergara Ereche about.me/mave
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
Hola,
Una consulta, disculpen mi ignorancia, parto del principio que el que no pregunta no aprende :-)
Supongamos una empresa privada X, que tiene DNSs Servers privados y tiene dominios completamente locales (*no* son gtld o cosas así).
Ahora bien, pensemos que el trabajor en su puesto de trabajo usa Windows (y/o Firefox también), estos hacen DoH, quizas los DNS de Cloudflare -o cualquier otro-, asumo lógicamente pierden acceso a los DNSs locales y por ende a muchos servicios que son locales.
¿Qué esta haciendo la gente hoy en día ante esta situación?.
Saludos,
Alejandro,
P.D. Creo saber la respuesta pero no dejo de querer escuchar a los expertos.
On 11/19/19 2:38 PM, Mauricio Vergara Ereche via dns-esp wrote:
FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del cambio.
Mauricio Vergara Ereche about.me/mave http://about.me/mave
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
Hola Alejandro,
Te puedo contar que conozco un caso que ha intentado lidiar con esa situación, yo no estoy involucrado en su operación... sólo tengo los comentarios del amigo en la empresa X.
Esta empresa tiene internamente sus propios resolvers con soluciones para filtrado de contenidos y algunas otras cosas especiales que necesitan ser resueltas sólo localmente con vistas. En el pasado tuvieron que bloquear los resolvers DNS externos, aunque sólo se enfocaron en los más conocidos (opendns, google, cloudflare y demases)
Como su compañía tiene sistemas de control bajo los laptops, PC de escritorios y dispositivos móviles... instalaron en ellos configuraciones no-modificables en los browsers para que los usuarios no pudieran cambiar el comportamiento (además sus "clientes" no tienen cuentas de admin). Pero los móviles dentro de la empresa siempre terminaban siendo lo más difícil de controlar. Al final parece que cortaron por no dejar tener wifi a dispositivos externos, pero no he vuelto a preguntar si lo implementaron o no... Tampoco sé cómo podrían solucionar este escenario que plantea MS.
Saludos!
On Wed, Nov 20, 2019 at 6:41 PM Alejandro Acosta via dns-esp < dns-esp@listas.nic.cl> wrote:
Hola,
Una consulta, disculpen mi ignorancia, parto del principio que el que no pregunta no aprende :-)
Supongamos una empresa privada X, que tiene DNSs Servers privados y tiene dominios completamente locales (*no* son gtld o cosas así).
Ahora bien, pensemos que el trabajor en su puesto de trabajo usa Windows (y/o Firefox también), estos hacen DoH, quizas los DNS de Cloudflare -o cualquier otro-, asumo lógicamente pierden acceso a los DNSs locales y por ende a muchos servicios que son locales.
¿Qué esta haciendo la gente hoy en día ante esta situación?.
Saludos,
Alejandro,
P.D. Creo saber la respuesta pero no dejo de querer escuchar a los expertos.
On 11/19/19 2:38 PM, Mauricio Vergara Ereche via dns-esp wrote:
FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del cambio.
Mauricio Vergara Ereche about.me/mave
dns-esp mailing listdns-esp@listas.nic.clhttps://listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
Bloquear en sus resolvers el dominio "use-application-dns.net": https://support.mozilla.org/en-US/kb/canary-domain-use-application-dnsnet
En bind hay que usar RPZ: https://isc.sans.edu/forums/diary/Blocking+Firefox+DoH+with+Bind/25316/ para unbound es más simple, se agrega en la configuración: local-zone: "use-application-dns.net." always_nxdomain
Hugo
On 19:03 20/11, Mauricio Vergara Ereche via dns-esp wrote:
Hola Alejandro,
Te puedo contar que conozco un caso que ha intentado lidiar con esa situación, yo no estoy involucrado en su operación... sólo tengo los comentarios del amigo en la empresa X.
Esta empresa tiene internamente sus propios resolvers con soluciones para filtrado de contenidos y algunas otras cosas especiales que necesitan ser resueltas sólo localmente con vistas. En el pasado tuvieron que bloquear los resolvers DNS externos, aunque sólo se enfocaron en los más conocidos (opendns, google, cloudflare y demases)
Como su compañía tiene sistemas de control bajo los laptops, PC de escritorios y dispositivos móviles... instalaron en ellos configuraciones no-modificables en los browsers para que los usuarios no pudieran cambiar el comportamiento (además sus "clientes" no tienen cuentas de admin). Pero los móviles dentro de la empresa siempre terminaban siendo lo más difícil de controlar. Al final parece que cortaron por no dejar tener wifi a dispositivos externos, pero no he vuelto a preguntar si lo implementaron o no... Tampoco sé cómo podrían solucionar este escenario que plantea MS.
Saludos!
On Wed, Nov 20, 2019 at 6:41 PM Alejandro Acosta via dns-esp < dns-esp@listas.nic.cl> wrote:
Hola,
Una consulta, disculpen mi ignorancia, parto del principio que el que no pregunta no aprende :-)
Supongamos una empresa privada X, que tiene DNSs Servers privados y tiene dominios completamente locales (*no* son gtld o cosas así).
Ahora bien, pensemos que el trabajor en su puesto de trabajo usa Windows (y/o Firefox también), estos hacen DoH, quizas los DNS de Cloudflare -o cualquier otro-, asumo lógicamente pierden acceso a los DNSs locales y por ende a muchos servicios que son locales.
¿Qué esta haciendo la gente hoy en día ante esta situación?.
Saludos,
Alejandro,
P.D. Creo saber la respuesta pero no dejo de querer escuchar a los expertos.
On 11/19/19 2:38 PM, Mauricio Vergara Ereche via dns-esp wrote:
FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del cambio.
Mauricio Vergara Ereche about.me/mave
dns-esp mailing listdns-esp@listas.nic.clhttps://listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
-- Mauricio Vergara Ereche about.me/mave
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
Hola Hugo, Maurio, gracias por sus respuestas.
Luego de leer sus respuestas y leyendo el link de mozilla provisto por Hugo, se lee:
" Firefox will attempt to resolve this domain using the DNS server(s) configured in the operating system of the device, and examine the result. The result will be considered negative if:
A response code other than NOERROR is returned, such as NXDOMAIN (non-existent domain) or SERVFAIL A NOERROR response code is returned, but contains neither A nor AAAA records
The result will be considered positive if:
The query completes with NOERROR and contains A or AAAA records (or both)
"
Es decir, para que use los DNSs listados en el OSs no debe haber una respuesta. Claro, me estoy recordando que los servidores públicos de L3/CenturyLink (4.2.2.2) siempre dan una respuesta (no error + A|AAAA) ! (bueno, pero no son DoH)..., igualmente interesante.
Saludos, gracias,
Alejandro,
On 11/21/19 1:47 AM, Hugo Salgado wrote:
Bloquear en sus resolvers el dominio "use-application-dns.net": https://support.mozilla.org/en-US/kb/canary-domain-use-application-dnsnet
En bind hay que usar RPZ: https://isc.sans.edu/forums/diary/Blocking+Firefox+DoH+with+Bind/25316/ para unbound es más simple, se agrega en la configuración: local-zone: "use-application-dns.net." always_nxdomain
Hugo
On 19:03 20/11, Mauricio Vergara Ereche via dns-esp wrote:
Hola Alejandro,
Te puedo contar que conozco un caso que ha intentado lidiar con esa situación, yo no estoy involucrado en su operación... sólo tengo los comentarios del amigo en la empresa X.
Esta empresa tiene internamente sus propios resolvers con soluciones para filtrado de contenidos y algunas otras cosas especiales que necesitan ser resueltas sólo localmente con vistas. En el pasado tuvieron que bloquear los resolvers DNS externos, aunque sólo se enfocaron en los más conocidos (opendns, google, cloudflare y demases)
Como su compañía tiene sistemas de control bajo los laptops, PC de escritorios y dispositivos móviles... instalaron en ellos configuraciones no-modificables en los browsers para que los usuarios no pudieran cambiar el comportamiento (además sus "clientes" no tienen cuentas de admin). Pero los móviles dentro de la empresa siempre terminaban siendo lo más difícil de controlar. Al final parece que cortaron por no dejar tener wifi a dispositivos externos, pero no he vuelto a preguntar si lo implementaron o no... Tampoco sé cómo podrían solucionar este escenario que plantea MS.
Saludos!
On Wed, Nov 20, 2019 at 6:41 PM Alejandro Acosta via dns-esp < dns-esp@listas.nic.cl> wrote:
Hola,
Una consulta, disculpen mi ignorancia, parto del principio que el que no pregunta no aprende :-)
Supongamos una empresa privada X, que tiene DNSs Servers privados y tiene dominios completamente locales (*no* son gtld o cosas así).
Ahora bien, pensemos que el trabajor en su puesto de trabajo usa Windows (y/o Firefox también), estos hacen DoH, quizas los DNS de Cloudflare -o cualquier otro-, asumo lógicamente pierden acceso a los DNSs locales y por ende a muchos servicios que son locales.
¿Qué esta haciendo la gente hoy en día ante esta situación?.
Saludos,
Alejandro,
P.D. Creo saber la respuesta pero no dejo de querer escuchar a los expertos.
On 11/19/19 2:38 PM, Mauricio Vergara Ereche via dns-esp wrote:
FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del cambio.
Mauricio Vergara Ereche about.me/mave
dns-esp mailing listdns-esp@listas.nic.clhttps://listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
-- Mauricio Vergara Ereche about.me/mave _______________________________________________ dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
Hay que seguir trabajando para que mas Administradores de DNS usen RPZ, ayuda a solucionar muchos problemas.
Saludos. Luciano.
El jue., 21 de nov. de 2019 a la(s) 02:47, Hugo Salgado via dns-esp ( dns-esp@listas.nic.cl) escribió:
Bloquear en sus resolvers el dominio "use-application-dns.net":
https://support.mozilla.org/en-US/kb/canary-domain-use-application-dnsnet
En bind hay que usar RPZ: https://isc.sans.edu/forums/diary/Blocking+Firefox+DoH+with+Bind/25316/ para unbound es más simple, se agrega en la configuración: local-zone: "use-application-dns.net." always_nxdomain
Hugo
On 19:03 20/11, Mauricio Vergara Ereche via dns-esp wrote:
Hola Alejandro,
Te puedo contar que conozco un caso que ha intentado lidiar con esa situación, yo no estoy involucrado en su operación... sólo tengo los comentarios del amigo en la empresa X.
Esta empresa tiene internamente sus propios resolvers con soluciones para filtrado de contenidos y algunas otras cosas especiales que necesitan ser resueltas sólo localmente con vistas. En el pasado tuvieron que bloquear los resolvers DNS externos, aunque sólo se enfocaron en los más conocidos (opendns, google, cloudflare y demases)
Como su compañía tiene sistemas de control bajo los laptops, PC de escritorios y dispositivos móviles... instalaron en ellos configuraciones no-modificables en los browsers para que los usuarios no pudieran cambiar el comportamiento (además sus "clientes" no tienen cuentas de admin).
Pero
los móviles dentro de la empresa siempre terminaban siendo lo más difícil de controlar. Al final parece que cortaron por no dejar tener wifi a dispositivos externos, pero no he vuelto a preguntar si lo implementaron
o
no... Tampoco sé cómo podrían solucionar este escenario que plantea MS.
Saludos!
On Wed, Nov 20, 2019 at 6:41 PM Alejandro Acosta via dns-esp < dns-esp@listas.nic.cl> wrote:
Hola,
Una consulta, disculpen mi ignorancia, parto del principio que el
que no
pregunta no aprende :-)
Supongamos una empresa privada X, que tiene DNSs Servers privados y tiene dominios completamente locales (*no* son gtld o cosas así).
Ahora bien, pensemos que el trabajor en su puesto de trabajo usa
Windows
(y/o Firefox también), estos hacen DoH, quizas los DNS de Cloudflare -o cualquier otro-, asumo lógicamente pierden acceso a los DNSs locales y
por
ende a muchos servicios que son locales.
¿Qué esta haciendo la gente hoy en día ante esta situación?.
Saludos,
Alejandro,
P.D. Creo saber la respuesta pero no dejo de querer escuchar a los expertos.
On 11/19/19 2:38 PM, Mauricio Vergara Ereche via dns-esp wrote:
FYI:
https://techcommunity.microsoft.com/t5/Networking-Blog/Windows-will-improve-...
El resumen: cuando MS Windows detecte la presencia de DoH, cambiará automáticamente a ese comportamiento usando el canal cifrado en vez del resolver usual con DNS en el puerto 53
MS también deja claro que no le preguntará al cliente acerca del
cambio.
-- Mauricio Vergara Ereche about.me/mave
dns-esp mailing listdns-esp@listas.nic.clhttps://
listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
-- Mauricio Vergara Ereche about.me/mave
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
dns-esp mailing list dns-esp@listas.nic.cl https://listas.nic.cl/mailman/listinfo/dns-esp
-
Alejandro Acosta -
Hugo Salgado -
Luciano Minuchin -
Mauricio Vergara Ereche -
Nico