ترقية نقاط النهاية إلى دعم TLS 1.2 لخدمات Umbrella

المقدمة

يوضح هذا المستند كيفية إعداد نقاط النهاية والتطبيقات لخدمات Umbrella التي تتطلب TLS 1.2.

نظرة عامة على متطلبات TLS 1.2

اعتبارا من 31 مارس 2020، لم تعد خوادم وخدمات Umbrella تدعم أمان طبقة النقل (TLS) 1.0 و 1.1. يجب أن تدعم جميع نقاط النهاية TLS 1.2 للعمل بشكل صحيح مع Umbrella.

تحديثات دعم TLS 1.0/1.1

• باستثناء AnyConnect، قام Umbrella Roaming Client، وموصل AD، قامت Umbrella بإنهاء دعم TLS 1.0/1.1 في مارس 2020.
• نظرا لتبعيات الأجهزة الخلفية، إستمرت بعض خدمات لوحة المعلومات وواجهة برمجة التطبيقات (API) في قبول إتصالات TLS 1.0/1.1 حتى 27 يناير 2021. بعد هذا التاريخ، لم تعد هذه الخدمات تقبل إتصالات TLS 1.0/1.1.
• يجب فحص الأجهزة غير القادرة على الوصول إلى لوحة المعلومات أو واجهات API لدعم TLS 1.2.

الحماية لأجهزة AnyConnect أو أجهزة العميل المتجولة

مددت Umbrella المهلة إلى 27 يناير 2021 لإتمام الترقية إلى TLS 1. 2. ولا توجد أي ملحقات أخرى. لم تعد أجهزة AnyConnect وأجهزة العميل المتجولة التي لا تفي بمتطلبات TLS 1.2 بعد 27 يناير 2021 تتلقى الحماية من Umbrella.

دعم عبارة الويب الآمنة

• لا تدعم Umbrella حركة مرور بيانات HTTPS باستخدام TLS 1.0 أو 1.1 في منتج العبارة الآمنة.
• قبل 27 يناير 2021، كانت عبارة الويب الآمنة توفر دعما محدودا لهذه البروتوكولات فقط عندما تم تعطيل فك تشفير HTTPS.
• قم بتكوين جميع أنظمة تشغيل العملاء لدعم TLS 1.2.
• قم بترقية التطبيقات غير المستعرض أو تعديلها حسب الحاجة لضمان توافق TLS 1.2. اتصل ببائعي التطبيقات للحصول على إرشادات.

متطلبات Umbrella Active Directory Connector

لا تدعم Umbrella موصلات Active Directory التي تم نشرها على أنظمة تشغيل Windows التي وصلت إلى نهاية عمرها الافتراضي. تقوم موصلات الإعلانات التي تعمل على إصدارات Windows غير المدعومة (Windows Server 2008 أو 2008 R2 أو Windows 7) بإيقاف المزامنة إلى Umbrella وإدخال حالة الخطأ في 27 يناير 2021.

وكلاء Umbrella: الحد الأدنى لمتطلبات الإصدار

Windows Roaming Client أو وحدة AnyConnect النمطية

• Cisco Umbrella Roaming Client: الإصدار 2.2.356 أو أحدث
• Cisco AnyConnect مع وحدة Umbrella Roaming Module: الإصدار 4.8.02042 أو أحدث
• لاستخدام إصدار عميل أقدم، قم بتكوين TLS 1.2 من خلال تغييرات سجل Windows (راجع الخطوات أدناه).
• Microsoft .NET Framework: الإصدار 4.6.2 أو إصدار أحدث أو Windows 7 مرقع باستخدام .NET 3.5.1
  (يتطلب AnyConnect .NET 4.x أو أحدث)
• إصدارات Windows المدعومة: 7 و 8 و 8.1 و 10

العميل المتجول في نظام التشغيل MacOS أو وحدة AnyConnect النمطية

• يدعم أي إصدار من Umbrella Roaming Client أو وحدة AnyConnect التجوال نظام TLS 1.2
• إصدار MacOS المدعوم: 10.9 أو أحدث

أسئلة شائعة إضافية

ماذا يحدث إذا لم يتم تحديث نقاط النهاية في الموعد النهائي؟

يتعذر على نقاط النهاية التفاوض على اتصال TLS 1.2 الوصول إلى أنظمة Umbrella، بما في ذلك لوحة المعلومات وخدمات الوكيل الذكية وصفحات الحظر.
بالنسبة للعملاء الذين يقومون بتشغيل الوحدة النمطية Umbrella Roaming Module في AnyConnect أو Umbrella Enterprise Roaming Client أو Umbrella AD Connector، لا يمكن للعميل الاتصال بأية خدمة Umbrella. يؤدي هذا إلى عدم مزامنة العميل للتكوين والحالة مع لوحة معلومات Umbrella.

يتوقف العملاء المتجولون الحاليون عن التنشيط ويظلون غير محميين عند بدء الخدمة التالية. يتعذر على العملاء الجدد الذين لا يدعمون TLS 1.2 التسجيل مع Umbrella. فشل هؤلاء الزبائن في فتح أبوابهم؛ يستمر حل نظام أسماء المجالات (DNS) من خلال مكدس الشبكة المحلية، ولكن لا يتم تنشيط خدمات أمان العملاء المتجولين.

يتعذر على الأجهزة التي تحاول الوصول إلى المواقع المحظورة أو تلك الموجهة من خلال "الوكيل الذكي" الاتصال. يتعذر على الأجهزة التي تستخدم العميل المتجول الوصول إلى مواقع ويب Umbrella أو صفحات الحظر أو خدمات الوكيل.

هل يعمل مفتاح التسجيل مع الإصدارات الأقدم؟

نعم، بالنسبة إلى AnyConnect. استمر في إستخدام الإصدارات الأقدم بعد تطبيق تحرير السجل لتفضيل التشفير القوي. قبل الحد الأدنى للإصدارات المدرجة، قام العميل المتجول ببدء إتصالات HTTPS دون تحديد تشفير TLS 1.2 القوي بشكل صريح. إذا كان .NET يدعم TLS 1.2، فإنه يستخدمه بشكل افتراضي. تفرض مفاتيح التسجيل .NET لاستخدام التشفير التلقائي، حيث تقوم بنسخ التحديثات في إصدارات العميل الجديدة. لا يتم دعم العملاء المتجولين المستقلين الأقدم من أحدث إصدار.

هل يمكنني إختبار TLS 1.2 فقط؟

نعم. قم بتعطيل TLS 1.0 و TLS 1.1 في سجل Windows للتحقق من تشغيل الأجهزة بالكامل باستخدام TLS 1.2 فقط.

ما سبب إهمال TLS 1.0 و 1.1؟

TLS 1.0 و 1.1 قديم ويفتقران إلى دعم خوارزميات التشفير الحديثة. فهي تحتوي على نقاط ضعف يمكن للمهاجمين إستغلالها. وتقوم فرقة العمل المعنية بهندسة الإنترنت بإهمال كلا البروتوكولين. تستخدم غالبية حركة الإنترنت المشفرة نظام TLS 1.2، الذي بدأ العمل به منذ أكثر من عشر سنوات.

لماذا جرى إختيار 31 آذار 2020؟

تستخف الصناعة ب TLS 1.0 و 1.1 في هذا الإطار الزمني. فقد أعلنت شركات مثل جوجل، ومايكروسوفت، وأبل، وموزيلا أن متصفحاتها لم تعد تدعم تكنولوجيا TLS 1. 0 و 1. 1 حتى مارس/آذار 2020.

هل يمكن أن يؤثر ذلك على المستخدمين الذين لديهم أجهزة محدثة؟

رقم 1.2 معظم المواقع على الإنترنت تدعم TLS. ووفقا لمختبرات Qualys SSL Labs، يدعم 95.2 بالمائة من المواقع TLS 1.2. توقع زيادة هذا العدد مع اقتراب شهر مارس 2020. لا يمكن لعدد صغير من مواقع الويب العمل، ولكن تأثير المستخدم الإجمالي هو الحد الأدنى. تأكد من أن الأجهزة الحديثة تتضمن إصدار .NET الصحيح لأجهزة Windows.

بعد تحديث نقطة نهاية ل TLS 1.2، هل يلزم إجراء إضافي لإعادة تمكين دعم Umbrella؟

وفي معظم الحالات، لا يلزم إتخاذ أي إجراء آخر. يعمل العميل على إعادة الاتصال بأنظمة Umbrella باستخدام بروتوكول TLS 1.2 الآمن. بالنسبة إلى Umbrella Enterprise Roaming Client (العميل المتجول للمؤسسة) أو Umbrella Roaming Client (العميل المتجول) ل AnyConnect، يمكن أن يكون هناك تأخير في الاستعادة إذا كان النظام غير متصل أثناء تحديث برنامج العميل. يحتاج العميل إلى تنزيل التحديثات قبل إستعادة الخدمة بالكامل.

كيف يمكنني تأكيد دعم نقطة النهاية ل TLS 1.2؟

• دعم مستعرض ويب ل Windows

  • الوصول إلى لوحة معلومات Umbrella ومواقع الويب ذات الصلة.
  • قم بتشغيل إختبار مستعرض مختبرات SSL. تأكيد ظهور "نعم" بجوار TLS 1.2 في قسم البروتوكولات.
    
    

• دعم إطار عمل Windows .NET

  • ينطبق على Enterprise Roaming Client أو AnyConnect Roaming Module أو موصل AD.
  • .Net 4. 6. 2 أو أحدث يوفر دعم TLS 1. 2 أصلي.
  • تتطلب الإصدارات السابقة تحريرات السجل (4.x) أو تحريرات السجل وتصحيحات الإصلاح العاجل اليدوية (3.5).
  • تنطبق هذه المعلومات على برنامج Umbrella الذي يعمل على .NET Framework، بما في ذلك موصل AD والعميل المتجول.
  • قم بتعطيل SSL و TLS 1.0 و TLS 1.1 على مستوى نظام التشغيل عن طريق إكمال التعليمات التي تقدمها Microsoft.
    blobid0.png
    
    

• لأجهزة Apple Mac والأنظمة الأخرى

• قم بإجراء إختبار مستعرض مختبرات SSL. تأكد من ظهور "نعم" بجوار TLS 1.2 في قسم البروتوكولات.