Configuración de Umbrella Roaming Client en una red de la empresa

Introducción

Este documento describe la configuración del cliente de roaming de Umbrella en la red de su empresa.

Overview

El cliente de roaming de Umbrella es una gran herramienta para proteger a los usuarios remotos, pero también puede proteger a los usuarios de su red corporativa, lo que agrega otra capa de seguridad. En función de las necesidades de la empresa, algunos administradores desean la protección continuada del cliente de roaming de Umbrella en la red corporativa, mientras que otros administradores prefieren que el cliente de roaming de Umbrella se retire en favor de otras políticas de Umbrella.

Umbrella ofrece flexibilidad sobre cómo funciona el cliente de roaming de Umbrella cuando entra en su red. En este artículo se esbozan estos enfoques diferentes.

Objetivos

P). ¿Por qué debería desactivar el cliente de roaming de Umbrella en la red de mi empresa?

Normalmente no es necesario deshabilitar el cliente de roaming de Umbrella para que funcione con DNS interno y externo. El cliente de roaming de Umbrella utiliza la función Domain Management para dirigir el tráfico DNS interno a los servidores DNS normales. Esto le permite conservar la protección y la conectividad mientras el cliente de roaming de Umbrella se ejecuta en los terminales de la red.

Sin embargo, a veces hay razones para considerar la inhabilitación de la protección del cliente de roaming...

• Proporcionar una política diferente "dentro de la red" y "fuera de la red" a los usuarios de roaming que abandonan la red.
• El uso de un servidor DNS interno en la red de una empresa ofrece algunas ventajas en términos de almacenamiento en caché y reducción del tráfico DNS saliente. 
• El cliente de roaming de Umbrella envía periódicamente mensajes de sondeo para verificar la conexión con Umbrella. Este tráfico adicional puede no ser deseado cuando tiene un gran número de clientes.

P) ¿Por qué querría que el cliente de roaming de Umbrella permaneciera activado en la red de mi empresa?

Por otro lado, hay algunas buenas razones para mantener el cliente de roaming habilitado en todo momento:

• Asegúrese de que el equipo cliente de roaming de Umbrella utiliza la misma directiva en todo momento.
• Tener siempre el nombre de host del cliente de roaming de Umbrella identificable en los informes (en lugar de la identidad de la red), para informes granulares.
• El cliente de roaming utiliza tráfico 'DNS cifrado' para mejorar la privacidad
• Para los usuarios del gateway web seguro (mediante AnyConnect), el cliente debe permanecer activado para proporcionar el filtrado web SWG.

Modos de funcionamiento

Siempre activo

El cliente de roaming de Umbrella puede permanecer activado incluso cuando se utiliza en la red de la empresa. En este modo, las políticas se configuran mediante la identidad de cliente de itinerancia de Umbrella y esta identidad aparece en los informes. 

Cómo configurar el modo 'Siempre activo':

1. Vaya a Identidades > Equipos en roaming.
   
2. Haga clic en el icono (Configuración del cliente de roaming).
3. Desactive Disable DNS redirection while on an Umbrella Protected Network y haga clic en Save.
4. Cree una política independiente para sus clientes de roaming de Umbrella y asegúrese de que sea la prioridad más alta (la más alta de la lista). La política de cliente de roaming de Umbrella debe tener una prioridad mayor que cualquier política basada en identidades de red. 

Usar política de red normal
El cliente de roaming de Umbrella está habilitado y continúa hablando directamente con Umbrella; sin embargo, la identidad de red se utiliza tanto para políticas como para informes. Este modo se activa simplemente colocando la política de red en una prioridad más alta que la política de cliente de roaming de Umbrella. 

Cómo 'Utilizar la Política de Red Regular':

1. Vaya a Identidades > Equipos en roaming.
   
2. Haga clic en el icono (Configuración del cliente de roaming).
3. Desactive Disable DNS redirection while on an Umbrella Protected Network y haga clic en Save.
4. Cree una política independiente para su red o redes. Asegúrese de que la política de su red tenga mayor prioridad que cualquier política basada en el cliente de roaming. 

Desactivar tras redes protegidas (ideal para redes más pequeñas)
El cliente de roaming de Umbrella puede 'retroceder' cuando detecta que está en una red protegida. Esto significa que la identidad de la red se utiliza tanto para políticas como para informes.

Este modo es similar en comportamiento al modo 'Usar política de red regular' excepto que el cliente de roaming de Umbrella se inhabilita a sí mismo y no interfiere con el tráfico DNS. 

Cómo configurar Disable behind protected networks:

1. Vaya a Identidades > Equipos en roaming.
   
2. Haga clic en el icono (Configuración del cliente de roaming).
3. Seleccione Disable DNS redirection while on an Umbrella Protected Network y haga clic en Save.
4. Navegue hasta Políticas > Lista de Políticas.
5. Cree una política independiente para su red o redes. Asegúrese de que la política de su red tenga mayor prioridad que cualquier política basada en el cliente de roaming de Umbrella. 
6. Los servidores DNS locales deben reenviarse a los resolvers de Umbrella y deben estar registrados correctamente en el panel de Umbrella.
7. Para que esta función funcione, la IP de salida utilizada por la estación de trabajo cliente debe estar registrada con la misma identidad de red que la IP de salida utilizada por los servidores DNS internos. Para obtener más información, consulte este artículo.

Deshabilitar detrás de dominio de red de confianza (ideal para redes más grandes)

Ahora es posible elegir un 'dominio de red de confianza' configurado por el cliente. El cliente intenta resolver este dominio DNS (registro A) y deshabilitar la protección cuando el dominio se resuelve correctamente.  Se ha diseñado para ser un registro DNS solo interno que solo se resuelve cuando el cliente está en la red de la empresa.

Cómo configurar Trusted Network Domain:

1. Cree un registro A de DNS en sus servidores DNS internos (p. ej. magic.mydomain.tld). 
   1. El registro debe ser un "subdominio" (3 etiquetas DNS como mínimo)
   2. El registro debe resolver una dirección RFC-1918 interna
   3. Tenga cuidado de asegurarse de que el registro no existe públicamente
2. Vaya a Identidades > Equipos en roaming.
   
3. Haga clic en el icono (Configuración del cliente de roaming).
4. Seleccione la opción Trusted Network Domain e ingrese el nombre de dominio (por ejemplo, magic.mydomain.tld).  Click Save.

Uso del cliente de roaming de Umbrella con un dispositivo virtual de Umbrella

Como parte del producto Umbrella 'Insights' (en los paquetes Platform y Insights), proporcionamos un Virtual Appliance (VA) que actúa como reenviador DNS dentro de su red. Este AV es la clave para obtener visibilidad sobre el origen de las solicitudes DNS en su red y también es necesario para nuestra integración con Active Directory.

De forma predeterminada, el cliente de roaming de Umbrella se deshabilita a sí mismo si detecta que se está utilizando un VA para el reenvío de DNS. Si el VA se ha asignado como el servidor DNS (ya sea mediante DHCP o parámetros estáticos), el cliente de roaming de Umbrella detecta esto y se deshabilita a sí mismo.

Retroceso de VA

Cómo configurar VA Backoff:

1. Esta función está activada de forma predeterminada, pero puede comprobar su estado (y opcionalmente desactivarla)
2. Vaya a Identidades > Equipos en roaming.
   
3. Haga clic en el icono (Configuración del cliente de roaming).
4. Seleccione la opción VA Backoff.

Módulo de seguridad de roaming Cisco Umbrella AnyConnect

 El módulo Umbrella para Cisco AnyConnect admite todos los modos operativos descritos anteriormente.  También hay disponibles dos modos adicionales específicos de AnyConnect.  Ambos modos se pueden habilitar en el panel de Umbrella en la página Identidades > Equipos en roaming; sin embargo, se requiere una configuración adicional en el perfil VPN de AnyConnect.

• Respete la detección de redes de confianza de AnyConnect.
  Esta función hace que el módulo Umbrella Security se desactive cuando Cisco AnyConnect determina que se encuentra en una red de confianza.  Esto se basa en la función Trusted Network Detection de AnyConnect para identificar la red.  Los dominios de confianza, los servidores DNS y las URL se pueden utilizar para identificar la red de su empresa.  Para obtener más información, consulte la documentación de AnyConnect.
• Inhabilite el cliente de roaming mientras las sesiones VPN de túnel completo estén activas
  Con esta función activada, el módulo Umbrella se desactiva cuando AnyConnect está conectado a una VPN de túnel completo (o túnel todo DNS).

Cuando está desactivado, el cliente de roaming no filtra el tráfico DNS, por lo que es importante asegurarse de que su red está cubierta por otro sistema de seguridad, como nuestra función de protección de red.

Más información

Si desea desactivar el cliente de roaming en la red de su empresa pero necesita más control, o si desea hablar de otras opciones, póngase en contacto con el servicio de asistencia de Cisco Umbrella.