目次

はじめに

前提条件

要件

使用するコンポーネント

設定

確認とトラブルシューティング

クライアント確認

cEdge 確認

Umbrella の EDNS 実装を理解して下さい

vManage ダッシュボードでそれを確認して下さい

DNS キャッシング

結論

概要

この資料は Cisco Umbrella DNS セキュリティソリューションの統合の vManage/Cisco IOS ®-XE SDWAN ソフトウェア部品を記述したものです。 ただし、それは企業包括賠償責任保険設定を自体カバーしません。 Cisco Umbrella についての詳細をここに見つけることができます; https://docs.umbrella.com/deployment-umbrella/docs/welcome-to-cisco-umbrella。

注: 既に Umbrella サブスクリプションを得、cEdge ルータの設定で使用する Umbrella トークンを得なければなりません。 詳細 API トークンについて: https://docs.umbrella.com/umbrella-api/docs/overview2。

前提条件

要件

このドキュメントに関しては個別の要件はありません。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

- vManage 18.4.0

- （cEdge） 16.9.3 を実行する Cisco IOS XE SDWAN ルータ

本書の情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。 対象のネットワークが実稼働中である場合には、どのような作業についても、その潜在的な影響について確実に理解しておく必要があります。

設定

cEdge 統合を Cisco Umbrella で設定するために、一組の vManage の簡単なステップを実行します:

ステップ 1： 設定の下 | セキュリティは右上隅で、オプション ドロップダウン リストを『Custom』 を選択 し、次に Umbrella API トークンを選択します。 イメージに示すように Umbrella 登録トークンを、入力して下さい:

呼び出します。 設定の下 | セキュリティは、使用例（例えばカスタム）に合うセキュリティポリシーを『Add』 を選択 し、次にイメージに示すようにシナリオを選択します:

ステップ 3.イメージに示すように、DNS セキュリティへの移動は、DNS セキュリティポリシーを『Add』 を選択 し、次に新しい『Create』 を選択 します。

画面はここに示されているイメージに類似したのようです:

ステップ 4 これは設定されるかどのようにの現われるかイメージです。

ステップ 5.に… > ビュー > ポリシーの DNS Security タブ、見ますこのイメージと同じような設定をナビゲートして下さい:

また、CLI かの設定外観どのように理解するためにプレビューを使用できます:

policy

lists

local-domain-list domainbypasslist

cisco.com

!

!

!

exit

!

security

umbrella

token XFFFX543XDF14X498X623CX222X4CCAX0026X88X

dnscrypt

!

exit

!

vpn matchAllVpn

dns-redirect umbrella match-local-domain-to-bypass

ステップ 6 この場合デバイス テンプレートでポリシーを参照して下さい。 設定の下 | テンプレートは、コンフィギュレーションテンプレートを選択し、追加テンプレート セクションでイメージに示すように参照します。

ステップ 7.デバイスにテンプレートを加えて下さい。

確認とトラブルシューティング

設定がきちんと機能する使用し、それを解決して下さいことを確認するのにこのセクションを。

クライアント確認

cEdge の後ろに坐っているクライアントからこれらのテスト サイトを参照するとき Umbrella が正しくはたらくかどうか確かめることができます:

- http://welcome.opendns.com

- http://www.internetbadguys.com

詳細については、どのように参照して下さい: 確認するために正しく実行されています Umbrella が完全にテストして下さい

cEdge 確認

検証 および トラブルシューティングはまた cEdge 自体で実行されたことができます。 一般に、それは Cisco IOS XE ソフトウェア 統合に類似した解決しますで第 2 4000 シリーズ ISR セキュリティ構成ガイドの章 Cisco Umbrella 統合 on Cisco 見つけることができる手順をです: Cisco Umbrella 統合、Cisco IOS XE 富士 16.9.x: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_data_umbrbran/configuration/xe-16-9/sec-data-umbrella-branch-xe-16-9-book.pdf。

チェックする少数の役に立つコマンド:

ステップ 1： パラメータ MAP がデバイスの cEdge 設定で示されることを確認して下さい:

dmz2-site201-1#show run | sec parameter-map type umbrella

parameter-map type umbrella global

token XFFFX543XDF14X498X623CX222X4CCAX0026X88X

local-domain domainbypasslist

dnscrypt

udp-timeout 5

vrf 1

dns-resolver umbrella

match-local-domain-to-bypass

!

それを on Cisco 見ることに IOS XE 慣れるのでインターフェイスのこのパラメータ MAP への参照を見つけることができないことに注目して下さい。

これはパラメータ MAP が VRF とないインターフェイスに加えられる、それをここにチェックできますという理由によります:

dmz2-site201-1#show umbrella config

Umbrella Configuration

========================

Token: XFFFX543XDF14X498X623CX222X4CCAX0026X88X

OrganizationID: 2525316

Local Domain Regex parameter-map name: domainbypasslist

DNSCrypt: Enabled

Public-key: B735:1140:206F:225D:3E2B:D822:D7FD:691E:A1C3:3CC8:D666:8D0C:BE04:BFAB:CA43:FB79

UDP Timeout: 5 seconds

Resolver address:

1. 208.67.220.220

2. 208.67.222.222

3. 2620:119:53::53

4. 2620:119:35::35

Registration VRF: default

VRF List:

1. VRF 1 (ID: 2)

DNS-Resolver: umbrella

Match local-domain-to-bypass: Yes

それのほかに、詳しいヒントを得るのにこのコマンドを使用できます:

dmz2-site201-1#show platform hardware qfp active feature umbrella client config

+++ Umbrella Config +++

Umbrella feature:

----------------

Init: Enabled

Dnscrypt: Enabled

Timeout:

--------

udp timeout: 5

Orgid:

--------

orgid: 2525316

Resolver config:

------------------

RESOLVER IP's

208.67.220.220

208.67.222.222

2620:119:53::53

2620:119:35::35

Dnscrypt Info:

--------------

public_key: A7:A1:0A:38:77:71:D6:80:25:9A:AB:83:B8:8F:94:77:41:8C:DC:5E:6A:14:7C:F7:CA:D3:8E:02:4D:FC:5D:21

magic_key: 71 4E 7A 69 6D 65 75 55

serial number: 1517943461

Umbrella Interface Config:

--------------------------

09  GigabitEthernet0/0/2 :

Mode     : IN

DeviceID : 010aed3ffebc56df

Tag      : vpn1

10             Loopback1 :

Mode     : IN

DeviceID : 010aed3ffebc56df

Tag      : vpn1

08  GigabitEthernet0/0/1 :

Mode     : OUT

12               Tunnel1 :

Mode     : OUT

Umbrella Profile Deviceid Config:

----------------------------------

ProfileID: 0

Mode     : OUT

ProfileID: 2

Mode     : IN

Resolver : 208.67.220.220

Local-Domain: True

DeviceID : 010aed3ffebc56df

Tag      : vpn1

Umbrella Profile ID CPP Hash:

------------------------------

VRF ID :: 2

VRF NAME : 1

Resolver : 208.67.220.220

Local-Domain: True

========================================

呼び出します。 デバイスが Umbrella DNS セキュリティ クラウドに登録に成功されることを確認して下さい。

dmz2-site201-1#show umbrella deviceid

Device registration details

VRF                     Tag              Status          Device-id

1                       vpn1             200 SUCCESS     010aed3ffebc56df

ステップ 3 ここに傘 DNS リダイレクト統計情報をどのようにチェックできるかです。

dmz2-site201-1#show platform hardware qfp active feature umbrella datapath stats

Umbrella Connector Stats:

Parser statistics:

parser unknown pkt: 12991

parser fmt error: 0

parser count nonzero: 0

parser pa error: 0

parser non query: 0

parser multiple name: 0

parser dns name err: 0

parser matched ip: 0

parser opendns redirect: 1234

local domain bypass: 0

parser dns others: 9

no device id on interface: 0

drop erc dnscrypt: 0

regex locked: 0

regex not matched: 0

parser malformed pkt: 0

Flow statistics:

feature object allocs : 1234

feature object frees  : 1234

flow create requests  : 1448

flow create successful: 1234

flow create failed, CFT handle: 0

flow create failed, getting FO: 0

flow create failed, malloc FO : 0

flow create failed, attach FO : 0

flow create failed, match flow: 214

flow create failed, set aging : 0

flow lookup requests  : 1234

flow lookup successful: 1234

flow lookup failed, CFT handle: 0

flow lookup failed, getting FO: 0

flow lookup failed, no match  : 0

flow detach requests  : 1233

flow detach successful: 1233

flow detach failed, CFT handle: 0

flow detach failed, getting FO: 0

flow detach failed freeing FO : 0

flow detach failed, no match  : 0

flow ageout requests          : 1

flow ageout failed, freeing FO: 0

flow ipv4 ageout requests     : 1

flow ipv6 ageout requests     : 0

flow update requests  : 1234

flow update successful: 1234

flow update failed, CFT handle: 0

flow update failed, getting FO: 0

flow update failed, no match  : 0

DNSCrypt statistics:

bypass pkt: 1197968

clear sent: 0

enc sent: 1234

clear rcvd: 0

dec rcvd: 1234

pa err: 0

enc lib err: 0

padding err: 0

nonce err: 0

flow bypass: 0

disabled: 0

flow not enc: 0

DCA statistics:

dca match success: 0

dca match failure: 0

ステップ 4 DNS リゾルバが PING および traceroute のように解決するため一般的 なツールと到達可能であることを確認して下さい。

ステップ 5 また cEdge から行っている DNS パケット キャプチャを行うために Cisco IOS XE の組み込みパケット キャプチャを使用できます。

詳細についてはコンフィギュレーション ガイドを参照して下さい: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/epc/configuration/xe-16-9/epc-xe-16-9-book/nm-packet-capture-xe.html

Umbrella の EDNS 実装を理解して下さい

パケット キャプチャが奪取 されたら、DNS クエリを正しくリダイレクトされます Umbrella DNS リゾルバに確認して下さい: 正しい EDNS0 （DNS のための拡張 メカニズム）情報の 208.67.222.222 および 208.67.220.220。 SD-WAN Umbrella DNS 層インスペクション 統合によって、cEdge デバイスは Umbrella DNS resolve に DNS クエリを送るとき ENDS0 オプションが含まれています。 これらの拡張機能は Umbrella のための Umbrella および組織 ID から DNS クエリに答えるときデバイス ID cEdge が受け取ります使用されるべき正しいポリシーを識別するために含まれています。 EDNS0 パケット形式の例はここにあります:

オプション内訳はここにあります:

RDATA 説明

0x4f70656e444e53: Data ="OpenDNS"

0x10afb86c9b1aff: Device-ID

RDATA リモートIPアドレス オプション

0x4f444e53: MGGIC = 'ODNS'

0x00      : Version

0x00      : Flags

0x08      : Organization ID Required

0x00225487: Organization ID

0x10 type : Remote IPv4

0x0b010103: Remote IP Address = 11.1.1.3

確認し、デバイス ID が正しく、組織 ID が Umbrella ポータルの使用に Umbrella アカウントをマッチさせることを確認して下さい。

注: DNSCrypt によって、DNS クエリ暗号化されます有効に なりました。 パケット キャプチャが Umbrella リゾルバに行く DNScrypt パケットを示したらが、リターントラフィックがなかったら、DNSCrypt をそれが問題であるかどうか見るために無効に することを試みて下さい。

vManage ダッシュボードでそれを確認して下さい

どの Cisco Umbrella 直接トラフィックでも vManage ダッシュボードから表示することができます。 それはモニタ > ネットワーク > Umbrella DNS の下でリダイレクトします表示することができます。 このページのイメージはここにあります:

DNS キャッシング

Cisco cEdge ルータで、ローカル ドメイン バイパス フラグは時々一致する。 これはホスト コンピューター/クライアントに関連するキャッシングがあると起こります。 一例として www.cisco.com を一致する、バイパスするためにローカル ドメイン バイパスが設定される場合、（。*cisco.com）。 、クエリがまた CNAMEs としてクライアントでキャッシュされた、CDN 名前を戻した www.cisco.com のためだった時最初に。 www.cisco.com の nslookup のための後続のクエリは CDN ドメイン（akamaiedge）のためのクエリだけ送信することでした。

Non-authoritative answer:

www.cisco.com canonical name = www.cisco.com.akadns.net.

www.cisco.com.akadns.net canonical name = wwwds.cisco.com.edgekey.net.

wwwds.cisco.com.edgekey.net canonical name = wwwds.cisco.com.edgekey.net.globalredir.akadns.net.

wwwds.cisco.com.edgekey.net.globalredir.akadns.net canonical name = e2867.dsca.akamaiedge.net.

Name: e2867.dsca.akamaiedge.net

Address: 104.103.35.55

Name: e2867.dsca.akamaiedge.net

Address: 2600:1408:8400:5ab::b33

Name: e2867.dsca.akamaiedge.net

Address: 2600:1408:8400:59c::b33

ローカル ドメイン バイパスがきちんとはたらく場合、カウンターがパーサー OpenDNS リダイレクトのために増えることがわかります。 短縮された出力はここにあります。

dmz2-site201-1#show platform hardware qfp active feature umbrella datapath stats

Umbrella Connector Stats:

Parser statistics:

parser unknown pkt: 0

parser fmt error: 0

parser count nonzero: 0

parser pa error: 0

parser non query: 0

parser multiple name: 0

parser dns name err: 0

parser matched ip: 0

parser opendns redirect: 3

local domain bypass: 0  <<<<<<<<<<<

これはであるローカル ドメイン バイパスがルータでなぜに関して見られないか原因、可能性があります。 ホスト/クライアントマシンのキャッシュを消去するとき、クエリが正しく出かけることがわかります。

結論

見てわかるように、Umbrella DNS セキュリティ クラウドとの統合は cEdge 側から非常に簡単で、数分の内にすることができます。