Solución de problemas de implementación masiva de cliente de roaming de Umbrella independiente

Introducción

Este documento describe las mejores prácticas para realizar implementaciones masivas de Umbrella Roaming Client y los problemas comunes que se deben evitar. 

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información de este documento se basa en Umbrella Roaming Client.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Background

Nota: Este artículo trata sobre el cliente de roaming independiente de Umbrella. Para obtener información sobre la personalización de la implementación masiva de Cisco Secure Client (anteriormente AnyConnect), consulte la documentación de Umbrella para Windows y macOS.

Para implementar el cliente de roaming independiente de Umbrella en un gran número de equipos a la vez, los administradores suelen elegir usar un programa de implementación masiva. Algunos ejemplos son Intune, el Administrador de configuración de System Center (SCCM) o un objeto de directiva de grupo (GPO). El uso de un sistema de este tipo tiene una clara ventaja con las implementaciones iniciales, pero puede presentar problemas en el futuro si no se maneja correctamente. Este artículo trata sobre las recomendaciones generales sobre las mejores prácticas para realizar despliegues masivos y los problemas comunes que se deben evitar.  

Proceso de actualización general

Después de la instalación inicial, el cliente de roaming de Umbrella comprueba automáticamente si hay actualizaciones basadas en la fase de lanzamiento que esté utilizando una organización de la empresa (fase de desarrollo o una de las pistas de producción de Umbrella). Una vez que ve que hay una actualización disponible, descarga el instalador en segundo plano. A continuación, instala la nueva versión y reinicia el servicio automáticamente. 

Conflicto de implementación masiva

Umbrella Support ha detectado que muchos clientes abandonan sus implementaciones masivas en porque suponen que la política comprueba si hay instalada alguna versión de Umbrella y solo puede instalarse si no hay ninguna. Sin embargo, las claves del Registro que se utilizan con más frecuencia para determinar la instalación son en realidad específicas del número de versión. En otras palabras, no comprueba si Umbrella está instalado, pero por ejemplo, si Umbrella 3.0.17 está instalado.

Esto da como resultado este comportamiento:

1. El cliente de roaming de Umbrella detecta que hay una nueva versión disponible y la instala.

2. La herramienta de despliegue masivo detecta que la clave de registro que espera ver para Umbrella no está presente y activa una instalación de la versión previamente configurada.

3. La versión antigua vuelve a estar en línea y busca actualizaciones. Ve que hay una actualización para ser descargada y la instala.

4. El proceso se repite en el paso 1.

Debido a los mecanismos de actualización de la competencia, Umbrella cambia constantemente entre la versión antigua instalada por la herramienta de despliegue masivo y la nueva versión que Umbrella está retirando.

Problemas

Esto puede causar los siguientes problemas: 

• Más tiempo pasado en estado desprotegido, ya que Umbrella se reinicia e inicializa con frecuencia.
• Reinicios inesperados o fallas del servicio de Windows (especialmente si la versión anterior que se está instalando es 3.0.17, que tiene un error conocido que causa un reinicio forzado).
• El sistema está expuesto a errores y vulnerabilidades de seguridad que ya se han corregido en la nueva versión durante aproximadamente la mitad del tiempo que un equipo está encendido e iniciado sesión.

Resolución

Hay algunas cosas que puede hacer para abordar estos problemas: 

1. Lo que es más importante, con Umbrella es recomendable utilizar únicamente políticas de implementación masiva cuando se sabe que se están añadiendo nuevas máquinas a la red.

2. Si va a ejecutar un despliegue masivo que se instale si no detecta una instalación, asegúrese de utilizar una métrica de instalación que coincida con cualquier versión de Umbrella en lugar de una versión específica. Para ello, consulte el artículo de la base de conocimiento de Umbrella: Cómo: Verifique que el cliente de roaming de Umbrella esté instalado en Windows a través del registro (cualquier número de versión) 

3. Cuando configure una nueva directiva de implementación masiva, asegúrese de obtener la compilación actual.  Puede ver todas las compilaciones disponibles en la página de lanzamiento de Umbrella. También puede suscribirse a esta lista para obtener actualizaciones cuando se implemente una nueva versión.

Tenga en cuenta que esto puede incluir algunas compilaciones que aún no se han enviado a su organización. Para ver qué versión le ofrece su versión de lanzamiento, descargue el instalador de Roaming Client desde su panel de Umbrella. 

Entradas de registro de ejemplo

Aquí puede ver fragmentos de archivos de registro que ilustran el aleteo entre una versión más reciente descargada automáticamente desde Umbrella y una versión más antigua que está siendo expulsada por un sistema de despliegue masivo. 

• Se observa la instalación original (versión inicial).
  2021-11-30 02:44:07 [4228] [INFO ] < 3> ***** Inicio del servicio ERC versión 3.0.17

• Se detecta y descarga una nueva versión.
  2021-11-30 05:03:38 [4228] [DEBUG] < 18> Descarga:https://disthost.umbrella.com/roaming/upgrade/win/production/RoamingClient_WIN_3.0.110.msi

• El equipo apaga correctamente todos sus componentes y reinicia el servicio (no el equipo).
  Actualización ejecutada. Si se ejecuta correctamente, el servicio se reiniciará en breve...
• Vemos que aparece en una nueva versión (en este caso, 3.0.110).
  2021-11-30 05:09:45 [1436] [INFO ] < 4> ***** Inicio del servicio ERC versión 3.0.110
• Vemos un registro que indica que dnscryptproxy fue interrumpido abruptamente (esto es debido al reinicio).
  2021-11-30 05:33:43 [2136] [INFO ] < 33> DnsCryptProxy IPv4: dnscryptproxy.exe con (pid 8752) no se cerró correctamente (recuento de errores 0); reiniciando...
• La versión anterior vuelve a los registros.
  2021-11-30 05:33:57 [7248] [INFO ] < 4> ***** Inicio del servicio ERC versión 3.0.17