Plusieurs articles comme celui-ci prétendent que le DoH contourne les politiques de l'entreprise.
Cependant, dans le cas d'un proxy HTTP, toute requête web sera envoyée au proxy par la méthode HTTP CONNECT. La résolution DNS est effectuée par le serveur proxy et non par l'ordinateur personnel qui envoie l'URI complet dans la méthode CONNECT.
En quoi le DoH est-il une préoccupation pour les entreprises dans ce cas ?
En général, lorsqu'un proxy est mis en place, les navigateurs et autres dispositifs internet sont configurés pour aller d'abord vers le proxy, puis sortir.
Par exemple, disons que vous avez un LAN avec des adresses IP 192.168.1.0/24 où vous avez un proxy assis sur 192.168.1.2 .
Votre proxy est configuré de telle sorte que le trafic doit d'abord être négocié sur le proxy avant d'atteindre la passerelle. Dans un environnement non DoH, votre communication pourrait ressembler à ceci :
stackoverflow.com ?"192.168.1.2 "stackoverflow.com ?".Avec DoH, c'est un peu différent. Si DoH est activé et que vous utilisez Cloudflare comme fournisseur de DoH :
cloudflare.com ?".192.168.1.2 et négociera ensuite le trafic entre vous et cloudflare.stackoverflow.com ?".Les entreprises peuvent avoir des raisons légitimes de ne pas laisser les appareils traverser le proxy, la gestion du contenu étant l'une d'entre elles. Gardez à l'esprit que les entreprises peuvent activer DoH à la périphérie de leur réseau afin que ces requêtes soient cryptées. Mais elles veulent toujours contrôler le trafic à l'intérieur de leur réseau, c'est pourquoi l'activation de DoH au niveau des appareils/utilisateurs n'est pas idéale.
Je ne pense pas que cela fonctionne ainsi avec la méthode CONNECT pour un proxy HTTP. Je ne suis pas sûr que DoH puisse fonctionner dans cette configuration, car le DNS n'est pas effectué par l'ordinateur, mais par le serveur proxy. Je ne sais pas si la méthode CONNECT accepte les adresses IP au lieu des noms d'hôtes.
DoH ne peut absolument pas fonctionner via un proxy, car le protocole proxy HTTP(S) n'est pas conçu pour la résolution de noms du côté client.
Un "proxy" est un agent de transfert de messages pour HTTP (RFC 7230). Il ne fait que transmettre les messages HTTP de demande et de réponse entre l'agent utilisateur et le serveur.
Pouvez-vous ajouter des sources et des citations à votre déclaration ? Tout RfC ou documentation officielle serait utile pour valider votre réponse.
SystemesEZ est une communauté de sysadmins où vous pouvez résoudre vos problèmes et vos doutes. Vous pouvez consulter les questions des autres sysadmins, poser vos propres questions ou résoudre celles des autres.
