Habilitar o deshabilitar AnyConnect SWG Agent y el módulo de seguridad de roaming en macOS

Introducción

Este documento describe cómo habilitar o inhabilitar AnyConnect SWG Agent y Roaming Security Module en macOS.

Problema

Después de instalar AnyConnect 4.8.x con el módulo Umbrella Roaming Security, los clientes con Umbrella SIG Essentials, SIG add-on o ELA, incluido SIG, comienzan a reenviar el tráfico DNS y el tráfico web a Umbrella Roaming Security Module y SWG sin un método claro para desactivar estos comportamientos.

AnyConnect 4.8 MR1 fue la primera versión compatible con Umbrella SWG desde el terminal, pero en lugar de que el agente SWG tuviera su propio binario desde el que instalar, se incluía con el mismo binario que instala Umbrella Roaming Security Agent.  Actualmente, el agente SWG se puede controlar desde el panel de Umbrella, pero se trata de una configuración global que afecta a todas las instalaciones de terminales. La sincronización selectiva SWG ahora se puede completar en el panel, 100 a la vez.

Solución

Dado que macOS no tiene la capacidad de controlar el estado del módulo de seguridad de roaming y el agente SWG localmente, esto debe administrarse mediante un método con scripts. El equipo de Cisco Umbrella ha desarrollado algunas secuencias de comandos para desactivar el agente SWG y una para activar el agente SWG, desactivar el módulo de seguridad Roaming y activar el módulo de seguridad Roaming, lo que hace que el estado sea persistente. 

Las secuencias de comandos deben ejecutarse como raíz, pero no es necesario reiniciar. La actualización o reinstalación de AnyConnect vuelve a habilitar el módulo de seguridad de roaming y el agente SWG, y el script se debe ejecutar de nuevo. Las secuencias de comandos se pueden encontrar en la parte inferior de este artículo.

Comprobación del estado del agente RSM de AnyConnect

 Para asegurarse de que el estado del agente RSM de AnyConnect es correcto:

1. Abra Cisco AnyConnect Secure Mobility Client.
2. Haga clic en Estadísticas360054989191
3. Desplácese hacia abajo hasta "Estado de protección DNS" 
   4403216788116

4403216786708

Nota: Al desactivar el módulo de seguridad de roaming de Umbrella, también se desactiva el agente SWG, ya que este depende del módulo de seguridad de roaming de Umbrella.

Comprobación del estado del agente SWG de AnyConnect

 Para asegurarse de que el estado de AnyConnect SWG Agent es correcto:

1. Abra Cisco AnyConnect Secure Mobility Client.
2. Haga clic en Estadísticas360054989191
3. Desplácese hasta "Estado de protección web" 
   360054865132360054865112

Uso de scripts

 Para ejecutar los scripts en macOS: 

1. Asegúrese de que los scripts tienen privilegios suficientes, especialmente privilegios de escritura.

Puede editar el privilegio de script desde el terminal MAC utilizando este ejemplo de comando:

chmod 777 umbrella_swg_disable.sh    

2. Para ejecutar el archivo de comandos, puede utilizar el comando de ejemplo:

sudo ./umbrella_swg_disable.sh

Ejemplo de resultado correcto:

4403216844180

4403216851604

Nota: Adición de scripts adicionales para MAC OS 13+ con Secure Client versión 5.1.X.XXX y posteriores y scripts para macOS anteriores a 13 con Secure Client 5.0.x

EFT para la API de configuración de dispositivos SWG

Uso de un rizo para una sola máquina:

curl --location 'https://api.umbrella.com/deployments/v2/deviceSettings/SWGEnabled/set' \--header 'Content-Type: application/json' \--header 'Accept: application/json' \--header 'Authorization: Bearer ' \--data '{    "value": "0",    "originIds": [ 123456789 ]}'

Uso de un archivo con varias máquinas:

curl --location 'https://api.umbrella.com/deployments/v2/deviceSettings/SWGEnabled/set' \--header 'Content-Type: application/json' \--header 'Accept: application/json' \--header 'Authorization: Bearer ' \--data 'your-path/swg-stat.json'

Puede encontrar más información en nuestra documentación oficial para desarrolladores aquí.