المحتويات

المقدمة

نظرة عامة

الأهداف

أوضاع التشغيل

إستخدام Umbrella Roaming Client (العميل المتجول) مع جهاز Umbrella Virtual Appliance

وحدة أمان التجوال AnyConnect Roaming Security Module من Cisco Umbrella

مزيد من المعلومات

المقدمة

يصف هذا المستند تكوين عميل Umbrella المتجول على شبكة الشركة.

نظرة عامة

يعد Umbrella Roaming Client أداة رائعة لحماية المستخدمين عن بعد، إلا أنه يستطيع أيضا حماية المستخدمين على شبكة الشركة، مما يضيف طبقة أمان أخرى. حسب إحتياجات العمل، يريد بعض المسؤولين الحماية المستمرة من Umbrella Roaming Client على شبكة الشركة، بينما يفضل المسؤولون الآخرون أن تقوم Umbrella Roaming Client "بالتراجع" لصالح سياسات Umbrella الأخرى.

توفر Umbrella مرونة حول كيفية عمل عميل Umbrella المتجول عند دخوله إلى شبكتك. وتوجز هذه المادة هذه النهج المختلفة.

الأهداف

س). لماذا أقوم بتعطيل عميل Umbrella المتجول على شبكة الشركة؟

عادة لا تكون هناك حاجة لتعطيل عميل Umbrella المتجول ليعمل DNS داخليا وخارجيا. يستخدم عميل Umbrella المتجول ميزة إدارة المجال لتوجيه حركة مرور DNS الداخلية إلى خوادم DNS العادية. وهذا يسمح لك بالاحتفاظ بكل من الحماية والاتصال أثناء تشغيل عميل Umbrella المتجول على نقاط النهاية الخاصة بك على الشبكة.

ومع ذلك، هناك بعض الأسباب التي تدعو إلى التفكير في تعطيل حماية "العميل المتجول"...

- لتوفير نهج مختلف "على الشبكة" و"خارج الشبكة" للمستخدمين المتجولين الذين يتركون الشبكة.

- يوفر إستخدام خادم DNS داخلي على شبكة الشركة بعض الفوائد فيما يتعلق بالتخزين المؤقت لحركة مرور DNS الصادرة والحد منها.

- يرسل عميل Umbrella المتجول بشكل دوري رسائل تحقيق للتحقق من الاتصال ب Umbrella. قد تكون حركة المرور الإضافية هذه غير مرغوب فيها عندما يكون لديك عدد كبير جدا من العملاء.

س) لماذا أريد أن يظل عميل Umbrella المتجول ممكنا على شبكة الشركة الخاصة بي؟

ومن ناحية أخرى، هناك بعض الأسباب الوجيهة جدا لإبقاء العميل المتجول ممكنا في جميع الأوقات:

- تأكد من أن جهاز كمبيوتر العميل المتجول يستخدم نفس النهج في جميع الأوقات.

- إمكانية تعريف اسم المضيف الخاص بعميل Umbrella المتجول دوما في التقارير (بدلا من هوية الشبكة) - لإعداد تقارير متعددة المستويات.

- يستخدم العميل المتجول حركة مرور "DNS المشفرة" لتحسين الخصوصية

- بالنسبة لمستخدمي بوابة الويب الآمنة (باستخدام AnyConnect)، يجب أن يظل العميل قادرا على توفير تصفية الويب من SWG.

أوضاع التشغيل

تشغيل دائم

يمكن أن يبقى عميل Umbrella المتجول قيد التشغيل حتى عند إستخدامه على شبكة الشركة. في هذا الوضع، يتم تكوين السياسات باستخدام معرف عميل Umbrella المتجول، وتظهر هذه الهوية في التقارير.

السياسة

يتم إستخدام هوية عميل Umbrella المتجولة دائما.

الإبلاغ

تظهر "هوية العميل المتجول Umbrella" دائما في التقارير التي تقدم دقة لكل جهاز

حركة مرور DNS

- يستمر عميل Umbrella المتجول في إرسال استعلامات DNS مباشرة إلى Umbrella، حتى في حالة وجودها على شبكة شركة.

- يتم تشفير الاستعلامات المرسلة إلى Umbrella، مما يوفر أمانا إضافيا.

- يتم توجيه الاستعلامات الخاصة ب "المجالات الداخلية" إلى خوادم DNS العادية الخاصة بك ولا يتم إرسالها إلى Umbrella.

أستكشاف الرسائل

يستمر عميل Umbrella المتجول في إرسال رسائل تحقيق لتحديد توفر Umbrella.

كيفية تكوين الوضع دائما قيد التشغيل:

1. انتقل إلى الهويات > أجهزة الكمبيوتر المتجولة.

2. انقر على رمز (إعدادات العميل المتجولة).

3. امسح تعطيل إعادة توجيه DNS أثناء وجوده على شبكة محمية بالمظلة وانقر على حفظ.

4. قم بإنشاء سياسة منفصلة لعملائك المتجولين في Umbrella وتأكد من أنها الأولوية العليا (أعلى القائمة). يجب أن يكون لنهج عميل Umbrella المتجول أسبقية أعلى من أي نهج تعتمد على هويات الشبكة.

إستخدام سياسة الشبكة العادية

يتم تمكين عميل Umbrella المتجول ويواصل التحدث مباشرة إلى Umbrella، ومع ذلك، يتم إستخدام هوية الشبكة لأغراض كل من النهج وإعداد التقارير. يتم تنشيط هذا الوضع ببساطة عن طريق وضع نهج الشبكة في أسبقية أعلى من نهج عميل Umbrella المتجول.

السياسة

يتم إستخدام نهج الشبكة عند إستخدامه على الشبكة المحمية. وهذا يسمح بنهج شبكة تشغيل/إيقاف تشغيل مختلفة.

الإبلاغ

- يقترن إعداد التقارير بهوية الشبكة كهوية أساسية.

- لا يزال التقرير يسمح لك بالبحث عبر اسم المضيف لعميل Umbrella المتجول لتصفية النتائج لهذا العميل فقط.

حركة مرور DNS

- يستمر عميل Umbrella المتجول في إرسال استعلامات DNS مباشرة إلى Umbrella، حتى في حالة وجودها على شبكة شركة.

- يتم تشفير الاستعلامات المرسلة إلى Umbrella، مما يوفر أمانا إضافيا.

- يتم توجيه الاستعلامات الخاصة ب "المجالات الداخلية" إلى خوادم DNS العادية الخاصة بك ولا يتم إرسالها إلى Umbrella.

أستكشاف الرسائل

يستمر عميل Umbrella المتجول في إرسال رسائل تحقيق لتحديد توفر Umbrella.

كيفية إستخدام سياسة الشبكة العادية:

1. انتقل إلى الهويات > أجهزة الكمبيوتر المتجولة.

2. انقر على رمز (إعدادات العميل المتجولة).

3. امسح تعطيل إعادة توجيه DNS أثناء وجوده على شبكة محمية بالمظلة وانقر على حفظ.

4. إنشاء نهج منفصل لشبكتك (شبكاتك). تأكد من أن النهج الخاص بشبكتك (شبكاتك) له أسبقية أعلى من أي نهج تستند إلى العميل المتجول.

التعطيل خلف الشبكات المحمية (مثالي للشبكات الأصغر)

يمكن لعميل Umbrella المتجول "إجراء النسخ الاحتياطي" عندما يكتشف أنه على شبكة محمية. وهذا يعني إستخدام هوية الشبكة لأغراض كل من النهج وإعداد التقارير.

هذا الوضع مماثل في السلوك لوضع "إستخدام سياسة الشبكة العادية" باستثناء أن عميل Umbrella المتجول يعجز نفسه ولا يتداخل مع حركة مرور DNS.

السياسة

يتم إستخدام نهج الشبكة عند إستخدامه على الشبكة المحمية. وهذا يسمح بنهج شبكة تشغيل/إيقاف تشغيل مختلفة.

الإبلاغ

عند إستخدام الشبكة المحمية، لا توجد أية عدة مستويات لكل جهاز لإعداد التقارير. يقترن إعداد التقارير بمعرف الشبكة فقط.

حركة مرور DNS

عندما تكون على الشبكة المحمية، لا يتعارض العميل المتجول Umbrella مع استعلامات DNS ويذهب إلى خادم DNS الداخلي العادي.

أستكشاف الرسائل

يستمر عميل Umbrella المتجول في إرسال رسائل تحقيق لتحديد أنه على شبكة محمية.

كيفية تكوين التعطيل خلف الشبكات المحمية:

1. انتقل إلى الهويات > أجهزة الكمبيوتر المتجولة.

2. انقر على رمز (إعدادات العميل المتجولة).

3. حدد تعطيل إعادة توجيه DNS أثناء وجوده على شبكة محمية بالمظلة وانقر على حفظ.

4. انتقل إلى السياسات > قائمة السياسات.

5. إنشاء نهج منفصل لشبكتك (شبكاتك). تأكد من أن النهج الخاص بشبكتك (شبكاتك) له أسبقية أعلى من أي نهج تستند إلى عميل Umbrella المتجول.

6. يجب إعادة توجيه خوادم DNS المحلية إلى محللي Umbrella ويجب أن تكون مسجلة بشكل صحيح في لوحة معلومات Umbrella.

7. لكي تعمل هذه الميزة، يجب تسجيل عنوان IP الخاص بالمخرج الذي تستخدمه محطة عمل العميل إلى نفس معرف الشبكة مثل عنوان IP الخاص بالمخرج والذي يتم إستخدامه بواسطة خوادم DNS الداخلية. من أجل تفاصيل كاملة، انظروا هذه المقالة.

تعطيل وراء مجال الشبكة الموثوق به (مثالي للشبكات الكبيرة)

من الممكن الآن إختيار 'مجال شبكة موثوق به' تم تكوينه بواسطة العميل. يحاول العميل حل مجال DNS هذا (سجل) وتعطيل الحماية عند حل المجال بنجاح.  ويقصد أن يكون هذا سجلا داخليا فقط ل DNS يحدد فقط عندما يكون العميل على شبكة الشركة.

السياسة

يقوم العميل بالتراجع كلما تم الكشف عن المجال الموثوق به ولا يتلقى بالضرورة نهج Umbrella أو التصفية.  نوصي بإضافة ميزات Umbrella أخرى (على سبيل المثال. حماية الشبكة) لضمان إستمرار تطبيق السياسة على شبكة الشركة.

الإبلاغ

يقوم العميل بالتراجع كلما تم الكشف عن المجال الموثوق به ولا يتلقى بالضرورة نهج Umbrella أو التصفية.   إذا كانت الشبكة محمية بميزات Umbrella الأخرى (على سبيل المثال. حماية الشبكة) ثم تظهر حركة مرور البيانات في التقارير تحت معرف الشبكة.

حركة مرور DNS

عندما تكون على الشبكة الموثوق بها، لا يتعارض عميل Umbrella المتجول مع استعلامات DNS ويذهب إلى خادم DNS الداخلي العادي.

أستكشاف الرسائل

يقوم عميل Umbrella المتجول بتعطيل معظم إختبارات "تحقيق" DNS الخاصة به في هذه الحالة، مما يقلل كثيرا من كمية حركة المرور التي يتم إنشاؤها بواسطة العملاء المتجولين.

كيفية تكوين مجال الشبكة الموثوق به:

1. قم بإنشاء سجل DNS A على خوادم DNS الداخلية (على سبيل المثال. magic.mydomain.tld).

1. يجب أن يكون السجل "مجال فرعي" (3 تسميات DNS كحد أدنى)

2. يجب حل السجل إلى عنوان RFC-1918 داخلي

3. أحرص على التأكد من عدم وجود سجل بشكل عام

2. انتقل إلى الهويات > أجهزة الكمبيوتر المتجولة.

3. انقر على رمز (إعدادات العميل المتجولة).

4. حدد خيار مجال الشبكة الموثوق به وأدخل اسم المجال (على سبيل المثال. magic.mydomain.tld).  انقر فوق حفظ.

إستخدام Umbrella Roaming Client (العميل المتجول) مع جهاز Umbrella Virtual Appliance

وكجزء من منتج "الرؤى" (في حزم "المنصات" و"الرؤى")، نوفر جهاز افتراضي (VA) يعمل كجهاز توجيه DNS داخل شبكتك. تعتبر نقطة الوصول (VA) هذه هي المفتاح للحصول على رؤية حول مصدر طلبات DNS على الشبكة كما أنها مطلوبة أيضا لتكامل خدمة Active Directory.

بشكل افتراضي، يقوم عميل Umbrella المتجول بتعطيل نفسه إذا اكتشف أنه يتم إستخدام VA لإعادة توجيه DNS. إذا تم تعيين VA كخادم DNS (إما باستخدام DHCP أو الإعدادات الثابتة)، فيكشف عميل Umbrella المتجول هذا ويعطل نفسه.

تراجع VA

السياسة

مع تمكين ميزة النسخ الاحتياطي ل VA، يتم إستخدام هوية VA لتحديد النهج الذي تم إختياره. يمكن إنشاء السياسات بناءا على تلك الهويات:

- مستخدم AD (فقط في حالة تمكين تكامل AD)

- كمبيوتر AD (فقط في حالة تمكين دمج AD)

- شبكة داخلية

- اسم موقع Umbrella.

انقر  هنا للحصول على مزيد من المعلومات حول أسبقية السياسة.

الإبلاغ

مع تمكين ميزة VA Backoff، يتم تعطيل عميل Umbrella المتجول عندما يكون خلف نقطة الوصول (VA) ولا يتم عرضه في التقارير. تم تسجيل التقارير كإما:

- مستخدم AD (فقط في حالة تمكين تكامل AD)

- كمبيوتر AD (فقط في حالة تمكين دمج AD)

- شبكة داخلية

- اسم موقع Umbrella.

وبالإضافة إلى ذلك، يتم تسجيل عنوان IP للعميل الداخلي لكل طلب.

حركة مرور DNS

- لا يتدخل عميل Umbrella المتجول في استعلامات DNS ويذهب إلى الجهاز الظاهري.

- تقوم VA بإعادة توجيه استعلامات DNS الخارجية إلى Umbrella (مشفرة).

- تقوم حماية مستوى الخدمة (VA) بتوجيه استعلامات DNS الداخلية حسب الاقتضاء وإعادة توجيهها إلى خوادم DNS الداخلية التي تم تكوينها.

أستكشاف الرسائل

لا يزال عميل Umbrella المتجول يرسل رسائل تحقيق إلى Umbrella ولكنه يفعل ذلك بمعدل منخفض.

كيفية تكوين الارتداد VA:

1. يتم تمكين هذه الميزة بشكل افتراضي ولكن يمكنك التحقق من حالتها (وتعطيلها إختياريا)

2. انتقل إلى الهويات > أجهزة الكمبيوتر المتجولة.

3. انقر على رمز (إعدادات العميل المتجولة).

4. تحديد خيار إيقاف VA

وحدة أمان التجوال AnyConnect Roaming Security Module من Cisco Umbrella

تدعم الوحدة النمطية Umbrella ل Cisco AnyConnect جميع أوضاع التشغيل نفسها كما هو موضح أعلاه.  كما يتوفر وضعان إضافيان محددان ل AnyConnect.  يمكن تمكين كلا الوضعين في لوحة معلومات المظلة على صفحة الهويات > أجهزة الكمبيوتر المتجولة، ومع ذلك، يلزم تكوين إضافي داخل ملف تعريف AnyConnect VPN.

- إحترام اكتشاف شبكة AnyConnect الموثوق بها.

تتسبب هذه الميزة في تعطيل وحدة Umbrella Security النمطية عندما يحدد Cisco AnyConnect أنه على شبكة موثوق بها.  وهذا يعتمد على ميزة اكتشاف الشبكة الموثوق بها ل AnyConnect لتعريف الشبكة.  يمكن إستخدام المجالات الموثوق بها وخوادم DNS وعناوين URL لتعريف شبكة شركتك.  لمزيد من المعلومات، يرجى الاطلاع على وثائق AnyConnect.

- تعطيل العميل المتجول أثناء تنشيط جلسات VPN ذات النفق الكامل

مع تمكين هذه الميزة، يتم تعطيل وحدة Umbrella النمطية عندما يكون AnyConnect متصلا بشبكة VPN للنفق الكامل (أو Tunnel All DNS).

عند تعطيل هذا الخيار، لا يقوم "العميل المتجول" بتصفية حركة مرور DNS، لذلك من المهم التأكد من تغطية الشبكة من قبل أمان آخر مثل ميزة "حماية الشبكة".

مزيد من المعلومات

إذا كنت ترغب في تعطيل "العميل المتجول" على شبكة شركتك ولكن تحتاج إلى مزيد من التحكم، أو ترغب في مناقشة خيارات أخرى، فيرجى الاتصال بدعم Cisco Umbrella.