Inhalt

Einleitung

Hintergrundinformationen

Problem und Auswirkungen

Empfehlung

Einleitung

In diesem Dokument wird beschrieben, wie Sie den gesamten DNS-Tunnel für den Cisco Secure Client mit dem Umbrella-Modul aktivieren.

Hintergrundinformationen

Cisco hat das Ende seiner Lebensdauer für Cisco AnyConnect im Jahr 2023 und für den Umbrella Roaming Client im Jahr 2024 angekündigt. Siehe End-of-Life für AnyConnect Client Version 4.x und Ankündigung des End-of-Life für den Cisco Umbrella Roaming Client. Viele Kunden von Cisco Umbrella profitieren bereits von der Migration auf den Cisco Secure Client, und wir empfehlen Ihnen, die Migration so bald wie möglich zu beginnen, um ein besseres Roaming-Erlebnis zu erhalten. Lesen Sie mehr in diesem Knowledge Base-Artikel: Migrate to Secure Client with the Umbrella Module (Manual Install).

Das Modul Cisco Secure Client (CSC) mit Umbrella (ehemals AnyConnect Roaming Security) wurde für nahezu alle CSC VPN-Modi entwickelt, ohne dass eine zusätzliche Konfiguration erforderlich ist.

Wenn diese Bedingungen jedoch beide zutreffen, sollten Sie zusätzlich in Betracht ziehen:

- Split-Tunneling ist aktiviert.

- Die Funktion "Tunnel All DNS" ist aktiviert.

Problem und Auswirkungen

Wenn "Tunnel All DNS" aktiviert ist, wird der DNS-Datenverkehr auf Kernel-Ebene abgefangen und blockiert, wenn er nicht von der richtigen VPN-Schnittstelle ausgeht. Dies führt zu einem Problem für das CSC-Modul, wenn Cisco Umbrella Resolver nicht Teil der Split Tunnel (Include) Konfiguration sind.

Die Auswirkungen dieses Problems sind minimal, da das CSC-Modul standardmäßig verschlüsselten DNS (UDP-Port 443) verwendet, der nicht durch "Tunnel All DNS" blockiert wird. Daher tritt das Problem nur in Netzwerken auf, in denen keine DNS-Verschlüsselung verfügbar ist.

Das Szenario sieht wie folgt aus:

- Das Roaming-Modul versucht, den Datenverkehr über die normale LAN-Schnittstelle an Cisco Umbrella weiterzuleiten.

- Das lokale Netzwerk lässt keine DNS-Verschlüsselung zu und sendet daher unverschlüsselte Standard-DNS-Abfragen.

- Dieser Datenverkehr wird durch die Funktion "Tunnel All DNS" (Gesamten DNS tunneln) blockiert, für die DNS innerhalb des VPN benötigt wird.

In diesem Szenario funktioniert DNS nicht wie erwartet.

Empfehlung

Um sicherzustellen, dass dieser Zustand nicht möglich ist, empfiehlt Cisco Umbrella eine dieser Maßnahmen.

- Deaktivieren Sie "Tunnel All DNS" in der VPN-Gruppenrichtlinie. Das CSC-Modul übernimmt das Routing von DNS.

ODER

- Fügen Sie die folgenden Cisco Umbrella DNS-Resolver zur Split Tunnel-Konfiguration (Include) hinzu:

- 208.67.222.222

- 208.67.220.220

- 208.67.222.220

- 208.67.220.222