Configurer la résolution de noms chiffrés

Pris en charge sur : Au minimum Windows Server 20H2, Windows 10 version 20H2

Registre

HKLM Software\Policies\Microsoft\Windows NT\DNSClient

Options

DoHPolicy enum
  • Nécessite le chiffrement -> 3
  • Autoriser le chiffrement -> 2
  • Interdire le chiffrement -> 1
DohPolicySetting enum
  • Autoriser DoH -> 0
  • Bloquer DoH -> 1
DotPolicySetting enum
  • Autoriser DoT -> 0
  • Bloquer le DoT -> 1

Description

Spécifie si le client DNS effectue la résolution de noms sur des protocoles chiffrés. Par défaut, le client DNS effectue la résolution de noms DNS classique (sur le port UDP ou TCP 53). Ce paramètre peut améliorer le client DNS afin d’utiliser des protocoles chiffrés pour résoudre les noms de domaine. Pour utiliser ce paramètre de stratégie, cliquez sur Activer, puis sélectionnez l’une des options suivantes dans la liste déroulante : Interdire le chiffrement : aucune résolution de nom chiffrée ne sera effectuée. Autoriser le chiffrement : utiliser la résolution de noms chiffrés si les serveurs configurés le prennent en charge. S’ils ne la prennent pas en charge, essayez la résolution de noms classique. Exiger le chiffrement : autoriser uniquement la résolution de noms chiffrés. Si aucun serveur DNS configuré ne gère le chiffrement, la résolution de noms échouera. En plus de la stratégie de chiffrement générique, des stratégies supplémentaires peuvent être configurées au niveau du protocole individuel. Par exemple, pour forcer la résolution de nom DoT uniquement, une combinaison de « Exiger le chiffrement » et « Bloquer DoH » est nécessaire (inversement pour forcer DoH). Pour l’exemple ci-dessus, il est de la responsabilité de l’administrateur de s’assurer que si DoT est forcé, des serveurs DoT valides sont configurés sur l’ordinateur (inversement pour DoH). Si vous désactivez ce paramètre de stratégie ou si vous ne le configurez pas, le client DNS utilise les paramètres configurés localement. Le trafic en texte clair DDR (Détection des résolveurs désignés) sera autorisé, car il est nécessaire pour la découverte automatique des paramètres de chiffrement.