Press CTRL+K to open search

Usuários de macOS Ventura e iOS Incapazes de Acessar Recursos Internos Via Cato

  • Atualizado em Jul 30, 2026
  • Publicado em Jul 1, 2026
  • 2 minuto(s) lido(s)
Prev Next

Problema

Em dispositivos macOS Ventura e iOS, os usuários não conseguem acessar recursos internos quando conectados ao Cato

Ambiente

  • macOS Ventura 13.0 ou posterior

  • iPhone iOS 16 ou posterior

  • Cliente SDP Cato independentemente da versão

  • Encaminhamento DNS configurado para domínios internos

Razão

Se as configurações DNS Cato aplicadas aos usuários SDP forem padrão (campos vazios), Cato enviará ao cliente as seguintes informações DNS:

  • Servidor DNS Primário 10.254.254.1

  • Servidor DNS Secundário 8.8.8.8

Com base nos testes da Cato, quando a conta está configurada como acima ou usando um servidor DNS público conhecido (como 8.8.8.8 ou 1.1.1.1), é provável que o macOS/iOS prefira DoH (DNS sobre HTTPS) ou DoT (DNS sobre TLS) para resolver nomes em direção ao servidor DNS público configurado. Cato atualmente não suporta DoH/DoT. 

Uma vez que o macOS/iOS vê um servidor DNS que é compatível com DoH/DoT, ele ignorará qualquer outro servidor DNS, incluindo o IP do Servidor DNS da Cato. Mais informações podem ser encontradas nesta discussão da Apple.

Como os Pops da Cato não suportam Encaminhamento DNS para pacotes DoH/DoT, o encaminhamento DNS falha, o usuário não consegue acessar recursos internos ou os resultados DNS obtidos não são os esperados.

Os servidores DNS preferidos na máquina podem ser identificados executando scutil --dns no terminal. A saída a seguir mostra que o macOS prefere 8.8.8.8 como o servidor DNS principal.

MacBook-Air-2:~ xx$ scutil --dns 
Configuração DNS

resolvedor #1
nameserver[0] : 8.8.8.8
nameserver[1] : 10.254.254.1
if_index : 24 (utun8)
flags : Bandeiras, Solicitar registros A
reach : 0x00000003 (Alcançável, Conexão Transitória)
ordem : 101200

Esteja ciente de que quando as configurações DNS entre entidades entram em conflito, a entidade mais próxima do host (de host > site > grupo > conta) tem precedência. Para mais informações, consulte Configurações DNS

Solução

Este é um problema conhecido em que a Apple está trabalhando ativamente. Os seguintes métodos alternativos podem ser implementados na Cato:

  1. Bloquear DoH (DNS sobre HTTPS) e DNS sobre TLS em uma Regra de Firewall para evitar que esses protocolos sejam acessíveis via Cato. Isso forçará o macOS/iOS a mudar para o servidor DNS padrão da Cato, 10.254.254.1, sobre DNS baseado em UDP, permitindo o Encaminhamento DNS.

  2. Defina 10.254.254.1 como o único Servidor DNS EXPLICITAMENTE no CMA. Isso impedirá que 8.8.8.8 (ou qualquer outro servidor DNS compatível com DoH/DoT) seja definido como o DNS primário da máquina e forçará que TODAS as consultas DNS sejam tratadas pela Cato.

    O Servidor DNS pode ser configurado globalmente ou por grupo, de preferência no grupo de usuários pré-configurado 'Todos Usuários SDP'. Para mais informações, consulte Gerenciamento Centralizado das Configurações de DNS do Usuário SDP

Artigos relacionados