المحتويات

مسألة

لا تعترض الوحدة النمطية Umbrella حركة مرور DNS على MacOS عند تواجدها المشترك مع Broadcom WSS (خدمة أمان الويب). عند تكوين عامل WSS لاعتراض منافذ ويب معينة مثل 80 و 443، يفشل وظيفة أمان Umbrella DNS في التقاط جميع استعلامات DNS. ومع ذلك، عند تعطيل WSS، تستأنف Umbrella اعتراض حركة مرور DNS كما هو متوقع. تتم معالجة استعلامات DNS بواسطة Umbrella فقط عند تمكين WSS، بدلا من اعتراض كل حركة مرور DNS.

البيئة

- نظام التشغيل: ماك أو إس

- وحدة أمان Cisco Umbrella DNS Security Module

- وكيل Broadcom WSS (خدمة أمان الويب)

- وكيل WSS المكون لاعتراض منافذ الويب 80 و 443

قرار

تم تحليل هذه المشكلة وتحديد أنها تقييد معماري ل MacOS حيث لا يمكن أن يتواجد أمان DNS مع WSS في بنية MacOS الحالية. ينطبق هذا القيد على كل من حلول أمان InfoBlox و Cisco Umbrella DNS.

تحليل فني

ويرتبط السبب الجذري بقيود وكيل MacOS DNS:

- يمكن أن يكون وكيل DNS واحد فقط نشطا في النظام في وقت واحد بسبب قيود نظام التشغيل MacOS

- إذا تم ربط تحليلات DNS بواجهات utunX أو المحولات التي تم حقنها بواسطة الوكيل، فعندئذ يقوم MacOS بحل DNS داخل النفق، وليس عبر Umbrella

- عندما يكون هناك NEDnsProxyProvider آخر نشطا على النظام على MacOS، لن تعترض Umbrella حركة مرور DNS

الأوامر التشخيصية

للتحقق من أي محلل DNS يأخذ الأولوية على MacOS، أستخدم الأمر التالي:

scutil --dns

سيظهر هذا الأمر المحلل الذي تم وضع علامة عليه: نطاق أو واجهة إضافية أو واجهة: utunX، مما يساعد على تحديد تعارضات وكيل DNS.

خيارات الحل

بالنسبة لبيئات MacOS، سيستمر WSS في اعتراض DNS بدون أي وكيل DNS منفصل. للمضي قدما في تغطية أمان DNS، سيكون أحد الخيارات هو التنفيذ لدعم بنية تجاوز خاملة. باستخدام هذا النهج، يتجاوز الموفر التدفق بشكل كامل، مما يسمح بمعالجة حركة المرور كما لو كان الموفر غير نشط.

السبب

تحدث المشكلة بسبب قيود بنية MacOS حيث يمكن أن يكون NEDnsProxyProvider واحد فقط نشطا على النظام في وقت واحد. عند تثبيت كل من أمان Umbrella DNS و Broadcom WSS، فإنهما يتنافسان على التحكم في وكيل DNS، مما ينتج عنه تولي WSS الأولوية ومنع Umbrella من اعتراض حركة مرور DNS. هذا حد أساسي من مكدس شبكات MacOS ويؤثر على جميع حلول أمان DNS، وليس فقط Cisco Umbrella.

المحتوى ذي الصلة

- الدعم الفني والتنزيلات من Cisco