فحص سلوك استعلامات DNS ودقة اسم المجال
المحتويات
المقدمة
يوضح هذا المستند كيفية معالجة أنظمة تشغيل العميل لاستعلامات DNS والتأثيرات على تحليل اسم المجال باستخدام Cisco IOS® Secure Client.
المتطلبات الأساسية
المتطلبات
لا توجد متطلبات خاصة لهذا المستند.
المكونات المستخدمة
لا يقتصر هذا المستند على إصدارات برامج ومكونات مادية معينة. تستخدم الأمثلة المعملية سياسات مجموعة ASA/FTD لجدار الحماية الآمن وعميل Cisco الآمن على Windows و MacOS و Linux و Apple iOS.
تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.
انقسام مقابل DNS القياسي
يشرح هذا المستند كيفية معالجة أنظمة تشغيل العميل لاستعلامات DNS والتأثيرات على تحليل اسم المجال عند إستخدام Cisco Secure Client (المعروف سابقا باسم Cisco AnyConnect) مع الاتصال النفقي المنقسم أو الكامل. تتضمن نهايات VPN التي تمت مناقشتها جدار حماية ASA الآمن و FTD (ASA سابقا) من Cisco؛ تنطبق إعدادات نهج المجموعة مثل split-dns وdns-server وsplit-tunnel-all-dns على كليهما، ما لم يذكر خلاف ذلك.
إذا كان أحد الأقسام يشير صراحة إلى إصدارات العملاء الأقدم، فسيتم تطبيق السلوك الموصوف ل Secure Client 4.2 والإصدارات الأحدث (بما في ذلك إصدارات Secure Client 5.x الحالية). وصل Cisco AnyConnect 4.x إلى نهاية العمر؛ الترحيل إلى Cisco Secure Client للحصول على ميزات DNS والاتصال النفقي المدعومة.
يعتمد سلوك تحليل DNS على ثلاثة عوامل:
- نهج VPN DNS: تم التكوين على وحدة الاستقبال والبث (تقسيم DNS أو tunnel-all-DNS أو DNS القياسية)
- وضع تقسيم الاتصال النفقي: Tunnel-all أو Split-include أو Split-exclude
- نظام تشغيل العميل: بنية محلل DNS (لكل واجهة مقابل العمومية)
عندما تقوم بتشغيل أمر split-include tunneling، فإن هذه هي خيارات DNS الثلاثة المتوفرة في نهج المجموعة:
| نمط |
الوصف |
|---|---|
| تقسيم DNS | يتم إرسال استعلامات DNS التي تطابق أسماء المجالات التي تم تكوينها على وحدة الاستقبال والبث (Split-DNS) من خلال النفق إلى خوادم VPN DNS (DNS-Server). تستخدم كافة الاستعلامات الأخرى محلل نظام التشغيل الخاص بالعميل وخوادم DNS الخاصة بالمهايئ المادي. |
| Tunnel-all-DNS | يسمح فقط بحركة مرور DNS إلى خوادم DNS المعرفة بواسطة وحدة الاستقبال والبث. تم تكوينها باستخدام Split-tunnel-all-DNS في نهج المجموعة. |
| DNS القياسي | يتم إرسال كافة استعلامات DNS أولا إلى خوادم DNS الخاصة بالشبكة الخاصة الظاهرية (VPN) المعرفة بواسطة وحدة الاستقبال والبث. في إستجابة سالبة (NXDOMAIN أو لا جواب)، يمكن للمحلل أيضا تجربة خوادم DNS على المهايئ الفعلي. |
ملاحظة: تم تنفيذ الأمر split-tunnel-all-dns لأول مرة في الإصدار 8.2(5) من ASA. قبل هذا الإصدار، كان يتوفر فقط تقسيم DNS أو DNS القياسي. في جميع الحالات، تمر استعلامات DNS التي يتم تعريفها للتنقل عبر النفق، إلى أي خادم DNS يتم تعريفه بواسطة وحدة الاستقبال والبث. إذا لم يتم تعريف أي خوادم DNS على وحدة الاستقبال والبث، تكون إعدادات DNS للنفق فارغة.
إذا لم يتم تعريف DNS المقسمة، يتم إرسال استعلامات DNS إلى خوادم DNS التي تم تعريفها بواسطة وحدة الاستقبال والبث (تخضع للسلوك الخاص بنظام التشغيل الموضح لاحقا في هذا المستند.) ومع ذلك، يمكن أن تختلف السلوكيات الموضحة في هذا المستند بناء على نظام التشغيل (OS).
إختبار DNS — مهم
ملاحظة: تجنب إستخدام NSLookup أو الحفر عند إختبار دقة الاسم على العميل. بدلا من ذلك، أستخدم مستعرض ويب أو قم بتشغيل الأمر ping. لا تستخدم NSLookup و dig كككعب تحليل DNS نفس الطريقة التي تستخدمها معظم التطبيقات. لا يفرض العميل الآمن كل طلب من DNS من خلال واجهة معينة؛ يسمح أو يرفض الطلبات المستندة إلى تقسيم DNS ونهج Tunnel-all-DNS.
لمراقبة سلوك تجاوز الفشل الصحيح، قم بالاختبار فقط مع التطبيقات التي تعتمد على محلل DNS الأصلي لنظام التشغيل (المستعرضات، إختبار الاتصال، ومعظم تطبيقات الأعمال). يمكن للأدوات التي تقوم بتنفيذ دقة DNS الخاصة بها (NSLookup، و dig، وبعض التطبيقات المخصصة) إظهار حالات فشل مضللة حتى عندما يعمل العميل بشكل صحيح.
DNS صحيح مقابل أفضل الجهود
قام AnyConnect الإصدار 2.4 بإدخال تعيين DNS الاحتياطي المقسم (DNS المقسم إلى أفضل جهد)، والذي لا يعد تقسيم DNS حقيقيا وقد تم العثور عليه أيضا في عميل IPsec القديم.
سلوك أفضل الجهود (الاحتياطية):
- إذا تطابق الطلب مع مجال DNS مقسم، يسمح "العميل الآمن" بإنشاء قنوات على الطلب إلى وحدة الاستقبال والبث.
- إذا تعذر على خادم VPN DNS حل اسم المضيف، يستمر محلل DNS في نظام التشغيل ويمكنه إرسال نفس الاستعلام إلى خادم DNS على الواجهة الفعلية.
- إذا لم يتطابق الطلب مع أي مجال DNS مقسم، لا يقوم العميل الآمن بتنقيطه. يمكنه مزامنة إستجابة، لذا، يرجع المحلل إلى خوادم DNS الخاصة بالواجهة المادية.
هذا هو السبب في أن الميزة القديمة تسمى DNS إحتياطي لتقسيم الاتصال النفقي، والذي لا يعد تقسيم DNS حقيقيا. يضمن "العميل الآمن" مطابقة استعلامات مجال DNS-Split فقط في النفق، ولكنه لا يزال يعتمد على سلوك محلل نظام التشغيل من أجل الحل النهائي.
المخاوف الأمنية: يمكن أن يقوم اسم المجال الخاص بتسريب إلى خادم DNS عام عندما يقوم خادم VPN DNS بإرجاع NXDOMAIN أو فشل في الحل؛ وإعادة محاولة المحلل على المهايئ الفعلي.
DNS انقسام حقيقي: معرف تصحيح الأخطاء من Cisco CSCtn14578
تم الحل على Microsoft Windows في AnyConnect 3.0(4235) والاحتفاظ به في Secure Client 4.2+):
- يسمح بالاستعلامات لمجالات DNS التي تم تكوينها عبر مسار VPN فقط (خوادم DNS للنفق/مهايئ VPN، حسب النظام الأساسي والإصدار.)
- كافة الاستعلامات الأخرى مسموح بها فقط عبر خوادم DNS غير الخاصة بشبكة VPN (مهايئ طبيعي).
ملاحظة: يتمتع مستخدمو Cisco المسجلون فقط بالوصول إلى أدوات الأخطاء الداخلية من Cisco والمعلومات التفصيلية للخطأ.
Tunnel-all و Tunnel-all DNS
عند تعطيل اتصال النفق المنقسم (تكوين النفق-all)، يتم السماح بحركة مرور DNS بشكل صارم عبر النفق.
يرسل تكوين tunnel-all-DNS (split-tunnel-all-DNS enable في نهج المجموعة) جميع عمليات بحث DNS عبر النفق بينما يتم تكوين شكل ما من انقسام tunneling أيضا، ويتم السماح بحركة مرور DNS بشكل صارم عبر واجهة النفق.
وهذا متناسق عبر الأنظمة الأساسية مع تحذير واحد على Microsoft Windows، عند تكوين tunnel-all أو tunnel-all-DNS، يسمح "العميل الآمن" لحركة مرور DNS بشكل صارم إلى خوادم DNS التي تم تكوينها على البوابة الآمنة (مطبقة على مهايئ VPN). تم تنفيذ تحسين الأمان هذا مع DNS المقسم الحقيقي. إذا كانت هذه مشكلة (على سبيل المثال، يجب أن يصل تحديث/تسجيل DNS إلى خوادم DNS بخلاف VPN)، أكمل الخطوات التالية:
- إذا كان التكوين الحالي هو tunnel-all، فقم بتمكين الاتصال النفقي split-exclude. يكون أي شبكة فصل بين مضيف واحد واستثناء مقبولا، مثل العنوان المحلي لارتباط.
- تأكد من عدم تمكين tunnel-all-DNS في نهج المجموعة (split-tunnel-all-dns disable.)
الوحدة النمطية Tunnel-all-DNS و Cisco Secure Client Umbrella Module
عندما يتم تمكين كل من أنفاق التقسيم وtunnel-all-DNS، يتم اعتراض DNS على مستوى kernel ويحظر إذا لم يخرج واجهة VPN الصحيحة. يمكن أن تتأثر وحدة Secure Client Umbrella النمطية (المعروفة سابقا باسم AnyConnect Roaming Security) على الشبكات التي لا يتوفر فيها DNS المشفر. وذلك لأن الوحدة النمطية يمكن أن تحاول إستخدام DNS القياسي عبر واجهة LAN بينما يتطلب Tunnel-all-DNS DNS عبر VPN.
بشكل افتراضي، تستخدم الوحدة النمطية Umbrella DNS المشفر (UDP port 443)، والذي لا يتم حظره بشكل عام بواسطة tunnel-all-DNS. يظهر الإصدار بشكل رئيسي عندما يكون التشفير غير متاح ويستخدم DNS عادي.
التوصية: إضافة عناوين محلل Cisco Umbrella إلى قائمة التقسيم إلى يتضمن إذا كنت تستخدم tunnel-all-DNS مع وحدة Umbrella النمطية. أو ارجع إلى Enable Tunnel All DNS ل Secure Client مع مستند وحدة نمطية (معرف المستند: 224809).
تم حل مشكلة أداء DNS في AnyConnect الإصدار 3.0 (4235)
غالبا ما تكون مشكلة Microsoft Windows هذه هي الأكثر انتشارا في ظل هذه الشروط:
- إعداد الموجه المنزلي حيث تشترك خوادم DNS و DHCP في عنوان IP نفسه (يقوم العميل الآمن بإنشاء مسار ضروري إلى خادم DHCP.)
- يوجد عدد كبير من كفاءات/مجالات DNS في نهج المجموعة.
- تكوين الكل للنفق.
- يستخدم تحليل الاسم اسم مضيف غير مؤهل، لذلك يحاول المحلل إجراء عدة إجراءات لاحقة ل DNS عبر جميع خوادم DNS المتاحة.
- يحاول عميل DNS الأصلي إرسال استعلامات DNS عبر المهايئ الفعلي، والذي يقوم العميل الآمن بحظره أسفل tunnel-all.
وقد يؤدي ذلك إلى تأخيرات كبيرة في تحليل الاسم، خاصة عندما تدفع وحدة الاستقبال والبث العديد من لاحقات DNS. يجب أن يمر المحلل عبر اللاحقات والخوادم حتى يتلقى إستجابة إيجابية.
تم حل هذه المشكلة في إصدارات AnyConnect 3.0(4235) و Secure Client اللاحقة. أحلت cisco بق id CSCtq02141 و cisco بق id CSCtn14578 لتفاصيل.
ملاحظة: لا يتمتع إلا مستخدمي Cisco المسجلين بالوصول إلى أدوات الأخطاء الداخلية من Cisco.
الحلول (إذا لم تكن الترقية ممكنة)
قم بتمكين الاتصال النفقي باستثناء الانقسام لعنوان IP لذلك، يمكن أن يستخدم DNS المحلي المهايئ الفعلي. يشيع إستخدام عنوان من الشبكة الفرعية 169.254.0.0/16 الخاصة بالارتباط كحركة مرور إلى هذه العناوين ومن غير المرجح أن تجتاز شبكة VPN.
بعد تمكين الاتصال النفقي الخاص بفصل-إستثناء، قم بتمكين الوصول إلى شبكة LAN المحلية على ملف تعريف العميل أو العميل، وتعطيل tunnel-all-DNS. هذا مثال تكوين ASA/FTD:
access-list acl_linklocal_169.254.1.1 standard permit host 169.254.1.1
group-policy gp_access-14 attributes
split-tunnel-policy excludespecified
split-tunnel-network-list value acl_linklocal_169.254.1.1
split-tunnel-all-dns disable
exit
XML لملف تعريف العميل:
true
كما يمكنك تمكين هذا في واجهة المستخدم الرسومية (GUI) الآمنة للعميل: →تمكين السماح بالوصول المحلي (LAN) عند إستخدام شبكة VPN
- أستخدم أسماء المجالات المؤهلة بالكامل (FQDNs) بدلا من أسماء البيئات المضيفة غير المؤهلة.
- أستخدم عنوان IP مختلف لخادم DNS على الواجهة المادية (منفصلا عن DHCP على الشبكة الفرعية نفسها.)
DNS مع الاتصال النفقي المنقسم على أنظمة تشغيل العملاء المختلفة
تتعامل أنظمة تشغيل العملاء المختلفة مع DNS بشكل مختلف باستخدام الاتصال النفقي المنقسم (بدون DNS المنقسم) للعميل الآمن؛ يصف هذا القسم تلك الاختلافات.
Microsoft Windows (Windows 10 و Windows 11)
في Windows، تكون إعدادات DNS لكل واجهة شبكة. باستخدام الاتصال النفقي المنقسم، يمكن أن تعود استعلامات DNS إلى خوادم DNS الخاصة بالمهايئ المادي بعد فشلها على مهايئ نفق VPN. إذا تم إستخدام الاتصال النفقي المنقسم بدون DNS المنقسم، يمكن أن تعمل كل من دقة الوضوح الداخلية والخارجية حيث يمكن أن يرجع المحلل إلى خوادم DNS الخارجية. حدث تغيير كبير في "عميل الأمان" ل Windows في الإصدار 4.2 بعد إصلاح معرف تصحيح الأخطاء من Cisco CSCuf07885. لم يتم تغيير هذا السلوك في "العميل الآمن" 5.x.
ملاحظة: لا يتمتع إلا مستخدمي Cisco المسجلين بالوصول إلى أدوات الأخطاء الداخلية من Cisco.
تكوين Tunnel-all (وتقسيم الاتصال النفقي بتمكين Tunnel-all-DNS)
برنامج Pre-Secure Client 4.2 (AnyConnect 4.1 والإصدارات الأقدم):
- مسموح فقط بطلبات DNS إلى خوادم DNS التي تم تكوينها ضمن نهج المجموعة (خوادم DNS للنفق).
- ويستجيب برنامج تشغيل العميل الآمن لجميع الطلبات الأخرى التي لا تحمل هذا الاسم.
- يمكن لدقة DNS إستخدام خوادم DNS للنفق فقط.
Secure Client 4.2 والإصدارات الأحدث:
- يتم السماح بطلبات DNS إلى أي خوادم DNS إذا كانت تنشأ من محول VPN ويتم إرسالها عبر النفق.
- ولا تتلقى جميع الطلبات الأخرى مثل هذا الاسم؛ الدقة عبر نفق الشبكة الخاصة الظاهرية (VPN) فقط.
- قبل معرف تصحيح الأخطاء من Cisco CSCuf07885، خوادم DNS الهدف المقيدة للعميل الآمن. بعد هذا الإصلاح، يحد هذا الإجراء من مهايئات الشبكة التي يمكنها بدء طلبات DNS.
تكوين Split-include (Tunnel-all-DNS معطل، بدون Split-DNS)
لا يتعارض برنامج تشغيل العميل الآمن مع محلل DNS الأصلي. تتوافق الدقة مع ترتيب محول الشبكة؛ Secure Client هو المهايئ المفضل عند توصيل شبكة VPN.
يتم إرسال استعلام DNS أولا عبر النفق؛ في حالة عدم حل هذه المشكلة، يمكن للمحلل تجربة الواجهة العامة. يجب أن تتضمن قائمة الوصول ذات التضمين المنقسم الشبكة الفرعية التي تغطي خادم (خوادم) DNS عبر النفق في الإصدارات قبل 4.2. بدءا من العميل الآمن 4.2، تتم إضافة المسارات المضيفة لخادم (خوادم) DNS عبر النفق تلقائيا كشبكات ذات التضمين المنقسم (مسارات آمنة)، لذلك لم تعد قائمة التحكم في الوصول ذات التضمين المنقسم تتطلب شبكات خادم DNS النفق الفرعية الصريحة.
تكوين انقسام-إستثناء (Tunnel-all-DNS معطل، بدون انقسام-DNS)
نفس سلوك المحلل مثل Split-include، tunnel أولا، ثم الواجهة العامة إحتياطي. يجب ألا تتضمن قائمة الوصول Split-Exclude الشبكة الفرعية التي تغطي خادم (خوادم) DNS للنفق. وبدءا من Secure Client 4.2، تعمل المسارات التلقائية للمضيف لخوادم DNS عبر النفق على منع التكوين الخاطئ لاستبعاد الانقسام الشائع.
Split-DNS (Tunnel-all-DNS معطل، Split-include يشكل)
يتطلب Split-DNS على Windows إنشاء نفق-include (Split-tunnel-policy tunnelspecified.) لا يدعم سياسات النفق ذي الاستبعاد فقط لتكوين DNS المقسم.
العميل الآمن مسبقا 4.2:
- استعلامات مجال Split-DNS: مسموح بنفق خوادم DNS فقط؛ لا يوجد مثل هذا الاسم إذا تم إرساله إلى خوادم أخرى.
- استعلامات مجال DNS غير المقسمة: مسموح به لخوادم DNS الأخرى فقط؛ لا يوجد مثل هذا الاسم إذا تمت محاولة الحصول عليه عبر النفق.
Secure Client 4.2 والإصدارات الأحدث (True Split DNS على Windows):
- استعلامات مجال Split-DNS: مسموح به إلى أي خادم DNS فقط إذا كان منشأه من محول VPN. لا تتلقى الاستعلامات من الواجهة العامة مثل هذا الاسم لفرض إستخدام النفق.
- استعلامات مجال DNS غير المقسمة: مسموح به لأي خادم DNS فقط إذا كان منشأه من المحول الفعلي. لا تتلقى الاستعلامات من محول VPN مثل هذا الاسم لفرض تحليل الواجهة العامة.
تقسيم DNS باستخدام الاتصال النفقي مستثنى التقسيم (العميل الآمن 5.x)
تضيف وثائق مسؤول Secure Client 5.x DNS المقسمة للتكوينات ذات إستثناء المقسم. ارجع إلى دليل مسؤول Secure Client 5.x — تكوين DNS المقسم لتوصيل وحدة الاستقبال والبث الخاصة باستبعاد التقسيم لمتطلبات السياسة. لا تزال قواعد الإنفاذ على مستوى نظام التشغيل مطبقة بمجرد أن يكون DNS المقسم نشطا.
DNS المشفر (DoH/DoT) على Windows
يمكن أن تتجاوز التطبيقات أو ميزات نظام التشغيل التي تستخدم DNS عبر HTTPS (DoH) أو DNS عبر TLS (DoT) مسار محلل كعب Windows الذي يقوم بتأمين تصفية العميل. إذا ظهر فشل انقسام DNS لتطبيقات معينة ولكنه يعمل في متصفح، فتحقق مما إذا كانت تلك التطبيقات تستخدم DNS مشفرة أو مخصصة. يجب أن يستخدم إختبار DNS المقسم القياسي محلل نظام التشغيل (المستعرض، إختبار الاتصال)، وليس NSLookup/dig.
ماك أو إس
في MacOS، تكون إعدادات DNS عامة (ليس لكل واجهة). إذا تم إستخدام أنفاق التقسيم دون تقسيم DNS، غالبا ما يتعذر على استعلامات DNS الوصول إلى خوادم DNS خارج النفق كما هو متوقع، يمكنك حل الأسماء الداخلية فقط، وليس الأسماء الخارجية من خلال المسار العام. وثقت هذا في cisco بق id CSCtf20226 و cisco بق id CSCtz86314.
الحلول:
- حدد IP خارجي لخادم DNS ضمن نهج المجموعة واستخدم FQDN للاستعلامات الداخلية.
- إذا كانت الأسماء الخارجية قابلة للحل من خلال النفق، فقم بتعطيل DNS المقسم في خيارات متقدمة > تقسيم الاتصال النفقي بإزالة أسماء DNS من نهج المجموعة، واستخدم FQDNs للاستعلامات الداخلية.
يتم دعم انقسام DNS على MacOS من AnyConnect 3.1 فصاعدا، مع مراعاة الشروط التالية:
- تقسيم DNS الممكنة لكل من بروتوكولات IP (يتطلب ASA 9.0+/مكافئ FTD)، أو؛
- تم تمكين تقسيم DNS لبروتوكول IP واحد وبروتوكول تجاوز العميل الذي تم تمكينه للآخر بدون تجمع عناوين للبروتوكول الذي تم تجاوزه (أو بدون تجمع IPv6 على إصدارات ASA قبل 9.0).
ملاحظة: لا يقوم العميل الآمن في المقام الأول بإدارة تحليل الاسم من خلال /etc/resolv.conf على نظام التشغيل MacOS؛ يقوم بتكوين إعدادات DNS على مستوى نظام التشغيل. يمكن أن يقوم MacOS بإبقاء resolv.conf محدثا للتوافق. قم بتشغيل DNS — لعرض تكوين DNS الفعال.
تكوين Tunnel-all (وتقسيم الاتصال النفقي بتمكين Tunnel-all-DNS)
عند اتصال Secure Client، تبقى خوادم DNS للنفق فقط في تكوين DNS للنظام؛ الطلبات فقط إلى خادم (خوادم) DNS النفق.
Split-include / Split-exclude (Tunnel-all-DNS معطل، بدون Split-DNS)
لا يتعارض العميل الآمن مع المحلل الأصلي. يتم تفضيل خوادم DNS للنفق على المحددات العامة، لذلك يتم تمرير محاولة الاستعلام الأولى عبر النفق. لأن DNS عمومي على MacOS، لا تستخدم الاستعلامات دائما DNS العام بشكل موثوق به خارج النفق (معرف تصحيح الأخطاء من Cisco: CSCtf20226).
وبدءا من تطبيق Secure Client 4.2، تتم إضافة المسارات المضيفة لخوادم DNS النفقية تلقائيا كمسارات آمنة.
Split-DNS (Tunnel-all-DNS معطل، Split-include يشكل)
يتم تطبيق تقسيم DNS صحيح (مماثل ل Windows) عندما:
- يتم تمكين Split-DNS لكل من IPv4 و IPv6، أو؛
- تم تمكين Split-DNS لبروتوكول واحد ولا يوجد تجمع عناوين عميل للبروتوكول الآخر.
يعني True Split DNS تطابق مجالات DNS التي تم تقسيمها عبر النفق فقط ولا يتم تسريبها إلى المحددات الخارجية.
إذا تم تمكين Split-DNS لبروتوكول واحد فقط وتم تعيين عنوان عميل للبروتوكول الآخر، يتم فرض فقط DNS إحتياطي للاتصال النفقي المقسم: يسمح Secure Client بالاستعلامات المطابقة عبر النفق (يمكن رفض الاستعلامات الأخرى لفرض تجاوز الفشل)، ولكن لا يمكن منع تسرب استعلامات مجال DNS-Split التي تم إرسالها في المسح عبر المحول العام.
دعم النظام الأساسي (دليل إدارة العميل الآمن): DNS للانقسام الكامل مدعوم على Windows و MacOS. يتمتع لينكس بدعم محدود (راجع قسم لينكس).
لينكس
تكوين Tunnel-all (وتقسيم الاتصال النفقي بتمكين Tunnel-all-DNS)
عند اتصال Secure Client، يتم الاحتفاظ فقط بخوادم DNS للنفق في تكوين DNS للنظام.
Split-include / Split-exclude (Tunnel-all-DNS معطل، بدون Split-DNS)
لا يتعارض العميل الآمن مع المحلل الأصلي. يفضل إستخدام خوادم DNS للنفق؛ محاولة الحل الأولي تمر عبر النفق.
Split-DNS (Tunnel-all-DNS معطل، Split-include يشكل)
في حالة تمكين انقسام-DNS، يتم فرض فقط تعيين DNS الاحتياطي لتقسيم الاتصال النفقي على نظام التشغيل Linux:
- يسمح Secure Client باستعلامات Split-DNS-domain عبر النفق.
- قد تتلقى الاستعلامات الأخرى رفض تشجيع تجاوز الفشل إلى DNS العامة.
- يتعذر على "العميل الآمن" فرض استعلامات مجال DNS المقسمة بالكامل، حيث لا يتم إرسالها مطلقا في الخلاء عبر المهايئ العام.
يشير دليل إدارة العميل الآمن إلى انقسام DNS على Linux: تخضع طلبات DNS التي يتم إنشاء قنوات لها فقط بشكل كامل لنهج DNS المقسم؛ يتعذر على بعض الاستعلامات خارج النفق الامتثال لنهج DNS المقسم.
الأجهزة الافتراضية وحاويات Linux
يدعم "العميل الآمن" سمة مخصصة للنفق من أي مصدر، لذلك يمكن توجيه الحزم التي تحتوي على أي عنوان مصدر في وضع "تقسيم التضمين" أو "تقسيم الاستبعاد" داخل مثيلات VM أو حاويات Docker. ارجع إلى دليل مسؤول الإصدار Secure Client 5.x للحصول على تفاصيل التكوين.
نظام التشغيل Apple iOS (iPhone و iPad)
يختلف سلوك نظام التشغيل iOS عن نظام التشغيل MacOS ولا يتطابق مع Windows. إذا تم تكوين الاتصال النفقي المنقسم بدون DNS المنقسم، تستخدم استعلامات DNS عادة خادم DNS العمومي المعرف للجهاز - وليس نفس النمط الاحتياطي مثل Windows.
التأثير العملي: غالبا ما تكون إدخالات مجال DNS المقسمة مطلوبة لدقة الاسم الداخلية الموثوقة عند إستخدام اتصال DNS المقسم.
الإصلاح التاريخي: معرف تصحيح الأخطاء من Cisco CSCtq09624 - (AnyConnect ل iOS 2.5.4038 والإصدارات الأحدث.) يلتزم "العميل الآمن" الحالي ل iOS بنفس المتطلبات العامة؛ تكوين DNS المنقسم للمجالات الداخلية عند إستخدام split-include/split والاستثناء بدون الاعتماد على نسخة إحتياطية من نمط Windows.
ملاحظة: تتجاهل استعلامات DNS iOS المجالات المحلية .(معرف تصحيح الأخطاء من Cisco CSCts89292.)
تتعامل أبل مع هذا باعتباره سلوكا مصمما؛ لا تتوقع . دقة محلية من خلال DNS المقسم القياسي على iOS. في نظام التشغيل iOS، يختلف سلوك تقسيم العميل الآمن إلى DNS أيضا عن الأنظمة الأساسية الأخرى عند دمج الاتصال النفقي المنقسم مع تكوينات قائمة DNS المقسمة المحددة. ارجع إلى سلوك تحليل DNS لتقسيم قسم "دليل العميل الآمن" باستخدام "تقسيم النفق" لتركيبات النهج الخاصة بنظام التشغيل iOS (بدون Split-DNS، الافتراضي-المجال، وما إلى ذلك).
اتصال Dynamic Split النفقي و DNS (Secure Client 4.5+)
تعمل تقنية تقسيم الاتصال النفقي الديناميكي على حل شبكات FQDN في وقت الاتصال أو عند الطلب، وضبط التوجيه وعوامل التصفية لحركة مرور البيانات إلى مجالات محددة. يتم تضمين هذا الإجراء في النفق أو إستبعاده من النفق بدون قوائم IP الثابتة.
| الميزة | الوصف |
|---|---|
| إستثناء انقسام ديناميكي | يتم إستبعاد المجالات (example.com) من النفق في وقت التشغيل عندما تقوم التطبيقات بحل هذه الأسماء. |
| تضمين التقسيم الديناميكي | يتم تضمين المجالات بشكل ديناميكي في النفق. |
| انقسام ديناميكي محسن | قم بتضمين/إستثناء قوائم المجالات ذات قواعد الأسبقية (مثل إستثناء example.com، لكن يتضمن mail.example.com). |
يستخدم الاتصال النفقي بتقسيم ديناميكي تحليل DNS لتوجيه تغييرات التوجيه. يتم تكوينها عبر سمات العميل المخصصة الآمنة على وحدة الاستقبال والبث (على سبيل المثال، Dynamic-split-exclude-domains، Dynamic-split-include-domains.)
يطبق انقسام ديناميكي tunneling على سياسات tunnel-all وsplit-exclude (إستثناء ديناميكي) أو split-include (تضمين ديناميكي). ولا يحل محل سياسة DNS المقسمة، ومع ذلك، فإنه يكمل ما يلي: تقسيم عناصر تحكم DNS التي يتم إنشاء قنوات لها للاستعلامات؛ عناصر تحكم انقسام نفقي ديناميكي يتم إنشاء قنوات لحركة مرور IP استنادا إلى أسماء تم حلها. ارجع إلى تفاصيل التكوين: تكوين الاتصال النفقي بتقسيم ديناميكي ودليل مسؤول العميل الآمن 5.x.
تجاوز فشل إستثناء التقسيم (العميل الآمن 5.x): تقوم السمة المخصصة الاختيارية SplitExcludeFailoverEnabled بتوجيه حركة مرور البيانات عبر الشبكة الخاصة الظاهرية (VPN) عندما لا يكون للمسار العام اتصال بأهداف Split-Exclude. راجع دليل المسؤول لإعداد السمة المخصصة.
إصدارات العميل القديمة (مرجع)
ينطبق الجدول التالي فقط على عمليات النشر القديمة التي لا تزال تقوم بتشغيل عملاء مهجورين:
| الإصدار | صلة |
|---|---|
| AnyConnect 2.4 | تم تقديم إحتياطي DNS الخاص بتقسيم أفضل الجهود |
| AnyConnect 2.5 (iOS) | معرف الخطأ من Cisco: محاذاة DNS CSCtq09624 iOS |
| AnyConnect 3.0(4235) | تقسيم DNS صحيح على Windows؛ إصلاحات أداء DNS |
| AnyConnect 3.1 (في MacOS) | تقسيم دعم DNS مع شروط IPv4/IPv6 |
| AnyConnect 4.2 | معرف تصحيح الأخطاء من Cisco: الإنفاذ المستند إلى مهايئ CSCuf07885؛ مسارات مضيف DNS التلقائية للنفق |
تمتع بنشر الإصدار Secure Client 5.x على جميع الأنظمة الأساسية المدعومة للإصلاحات والميزات الحالية.
معلومات الخطأ ذات الصلة
ملاحظة: لا يتمتع إلا مستخدمي Cisco المسجلين بالوصول إلى أدوات الأخطاء الداخلية من Cisco.
- معرف تصحيح الأخطاء من Cisco: CSCtn14578 - تقسيم DNS حقيقي (وليس إحتياطي) - Windows، 3.0(4235)+
- معرف تصحيح الأخطاء من Cisco: CSCtq02141 - DNS يتأخر عندما يكون ISP DNS على الشبكة الفرعية نفسها الخاصة ب IP العام
- معرف الخطأ من Cisco: CSCuf07885 - Windows DNS: تقييد حسب المهايئ وليس الخادم الهدف - 4.2+
- معرف الخطأ من Cisco: CSCtf2026 - DNS نفق تقسيم MacOS بخلاف Windows
- معرف الخطأ من Cisco: CSCtz86314 - لم يتم إرسال استعلامات DNS المقسمة إلى MacOS عبر النفق
- معرف الخطأ من Cisco: CSCtq09624 - سلوك DNS لنفق تقسيم iOS
- معرف الخطأ من Cisco: CSCts89292 - يتجاهل iOS مجالات .DNS المحلية
- معرف الخطأ من Cisco: CSCsv34395 - وكيل FQDN لدعم خادم DHCP
معلومات ذات صلة
- فحص سلوك استعلامات DNS ودقة اسم المجال (Cisco.com) — معرف المستند 116016
- دليل مسؤول Cisco Secure Client 5.x — تكوين وصول VPN/تقسيم DNS
- تكوين اتصال ASA/AnyConnect النفقي الديناميكي — معرف المستند 215383
- تمكين Tunnel All DNS ل Secure Client مع وحدة Umbrella النمطية — معرف المستند 224809
- التشغيل البيني بين AnyConnect و OpenDNS Roaming Client — معرف المستند 200395
- الدعم الفني والتنزيلات من Cisco
محفوظات المراجعة
| مراجعة | التاريخ | التعليقات |
|---|---|---|
| 4.0 | 28 يوليو-2026 | تحديث موضوعي كامل: إنشاء العلامة التجارية الخاصة بالعميل الآمن، تحديث النظام الأساسي، الاتصال النفقي المنقسم الديناميكي، Umbrella/Tunnel-all-DNS، إصلاحات الكتابة والتكوين، الارتباطات ذات الصلة التي تم تصحيحها |
| 3.0 | 23-مايو-2024 | إعادة الاعتماد (Cisco.com) |
| 1.0 | 12-يونيو-2014 | الإصدار الأولي |
يتم تطبيق المستند على
- Cisco Secure Client (بما في ذلك AnyConnect) — Windows و MacOS و Linux و iOS
- سياسات مجموعة VPN للوصول عن بعد عبر جدار الحماية الآمن ASA و FTD من Cisco
محفوظات المراجعة
| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
4.0 |
10-Aug-2026
|
المقدمة المحدثة، التدقيق الإملائي، النحوي، عناوين URL ثابتة، إدراج خطوط أفقية لأقسام منفصلة من أجل إمكانية القراءة، وأخطاء CCW ثابتة. |
3.0 |
23-May-2024
|
تقويم |
1.0 |
12-Jun-2014
|
الإصدار الأولي |
التعليقات