https - 问:HTTPS(DOH)上的DNS和公司拆分DNS设置

Question

自Mozilla和Google宣布，他们打算将来使用默认设置通过HTTPS激活DNS，并且IETF正式批准了该草案(https://datatracker.ietf.org/wg/doh/about/)，我试图了解对公司网络的影响。现在，每个应用程序都可以绕过内部DNS服务器(通过DHCP分配)并直接连接到 public DNS服务。管理员无法通过简单的方法来阻止应用程序和用户这样做，因为所有流量都通过HTTPS进行路由。

据我所知，在大多数公司中，都有分开的DNS设置，允许具有不同解析值的同一个域名(例如mail.mycorp.example)的内部(内部网)和外部(互联网)名称以及IP解析。它还允许添加其他的内部网服务，例如wiki.intra.mycorp.example，这些服务将无法从Internet解析/访问。基础设施名称(如server01.eq.mycorp.example)也是如此。

我看到的问题是，如果应用程序本身更喜欢DNS而不是HTTPS，并且没有正确地退回给系统分配的DNS服务器，则只能访问内部域。

我在Windows 10上使用Firefox 61.0.1(64位)进行了实验。

network.trr.bootstrapAddress = 1.1.1.1

network.trr.uri = https://mozilla.cloudflare-dns.com/dns-query

network.trr.mode = 2

network.trr.mode = 2应该更喜欢DNS，而不是HTTPS，但是如果没有收到任何值，则回退到系统DNS，我也尝试过的 mode = 1应该进行竞争，并使用Firefox返回的第一个有效结果。

不幸的是，在Firefox中通过HTTPS激活DNS之后，所有内部唯一的网站都不再起作用。所有请求都以超时结束，因此失败。

我想念什么？
在将来的设置中，是否有更好的方法来处理仅内部DNS条目？

Answer 1

您描述的确切配置可在我的公司网络中使用。它首先尝试对内部站点执行DoH，然后回退到本地DNS，内部站点将正确解析和加载。