Solución de problemas de incompatibilidad entre el filtrado de contenido Meraki MX y Umbrella

Introducción

Este documento describe cómo resolver problemas de incompatibilidad entre el filtrado de contenido Meraki MX y Umbrella.

Problema

Al utilizar Meraki MX Content Filtering Powered by Cisco Talos, los clientes pueden enfrentarse a incoherencias con algunas funciones de filtrado de DNS de Umbrella.  

• Página de bloqueo incorrecta (páginas de bloque personalizadas no aplicadas)
• No se muestra la función de omisión de página de bloqueo
• Error "401 no autorizado" para sitios que utilizan el proxy inteligente
• Las pruebas de depuración de políticas muestran una ID de origen/organización/BundleID incorrecta

Solución

Excluya este dominio de la función de filtrado de contenido Meraki MX mediante la lista "URL permitida" del panel de Meraki.

id.opendns.com

El filtrado de contenido se configura en los siguientes lugares del panel de Meraki:

• En Seguridad y SD-WAN > Filtrado de contenido (configuración global)
• En Network-wide > Group policies (Políticas que se pueden asignar a usuarios o SSID)

21399526244628

También puede desactivar por completo el filtrado de contenido de Meraki (eliminar todos los bloques de categorías) para utilizar únicamente el filtrado de Umbrella.

Causa raíz

Cisco Umbrella utiliza un redireccionamiento globalmente único a http://*.id.opendns.com cuando el tráfico llega por primera vez a nuestros sitios de páginas de inicio de bloqueo, proxy inteligente o depuración de políticas.  Esta redirección es necesaria para generar una búsqueda de DNS única global.  Este DNS único nos permite autenticar el tráfico en la capa DNS y, a su vez, determinar la identidad correcta de usuario/dispositivo/red.

El filtrado de contenido Meraki MX realiza sus propias comprobaciones de reputación. Cuando se visita http://*.id.opendns.com, el filtrado de contenido Meraki MX puede generar búsquedas de DNS duplicadas para el mismo dominio, lo que interrumpe este proceso de autenticación. Por lo tanto, Cisco Umbrella no puede determinar la identidad correcta de usuario/dispositivo/red.

Este problema no impide que Cisco Umbrella aplique bloques de contenido/seguridad, pero sí que se muestre el texto/logotipo/personalización de página de bloque correcto.

Causas alternativas

Este comportamiento también puede deberse a los proxies web HTTP o filtros web en las instalaciones. Se requieren pasos de configuración obligatorios para utilizar Umbrella DNS con un proxy HTTP.

Ejemplo:  Depuración de políticas

Un indicador de este problema es cuando la información en https://policy-debug.checkumbrella.com/ muestra una ID de organización incorrecta. La ID puede mostrarse como '0', '2' o una ID que no esté asociada con la organización esperada.

[GENERAL]
Org ID: 0. <<<<<. Incorrect Org ID
Bundle ID: XXXX
Origin ID: XXXX
Other origins: 
Host: policy-debug.checkumbrella.com
Internal IP: x.x.x.x
Time: Fri, 29 Sep 2023 16:16:22.182335 UTC 

Ejemplo:  Proxy inteligente

Un indicador de este problema es cuando el servidor iproxy devuelve un '401' inesperado para algunos sitios (incluyendo http://proxy.opendnstest.com) incluso cuando el cliente tiene licencia para Intelligent proxy. El servidor devuelve el error.

Nota: El proxy inteligente sólo se utiliza para algunos sitios que tienen una reputación "gris" o sospechosa, por lo que el problema solo aparece en circunstancias específicas.

Ejemplo:  Bloquear páginas

Un indicador de este problema es cuando la página de bloqueo no muestra ninguna personalización específica de la organización. La página de bloqueo sigue mostrándose, pero contiene la marca predeterminada "Cisco Umbrella" en lugar de logotipos/texto personalizados. Faltan los usuarios/códigos de omisión de página de bloqueo.

21399518458644