Le module Umbrella n'intercepte pas le trafic DNS sur macOS lorsqu'il coexiste avec Broadcom WSS (Web Security Service). Lorsque l'agent WSS est configuré pour intercepter des ports Web spécifiques tels que 80 et 443, la fonctionnalité de sécurité Umbrella DNS ne parvient pas à capturer toutes les requêtes DNS. Cependant, lorsque WSS est désactivé, Umbrella reprend l'interception du trafic DNS comme prévu. Seules certaines requêtes DNS sont traitées par Umbrella lorsque WSS est activé, plutôt que tout le trafic DNS intercepté.
Ce problème a été analysé et déterminé comme étant une limitation architecturale de macOS où la sécurité DNS ne peut pas coexister avec WSS dans l'architecture macOS actuelle. Cette limitation s'applique aux solutions de sécurité DNS Infoblox et Cisco Umbrella.
La cause principale est liée aux limitations du proxy DNS macOS :
Un seul proxy DNS à la fois peut être actif dans le système en raison des limitations de macOS
Si les résolveurs DNS sont liés à des interfaces UTUNX ou à des résolveurs par proxy, macOS résout le DNS à l'intérieur du tunnel, et non via Umbrella
Lorsqu'un autre NEDnsProxyProvider est actif sur le système sur macOS, Umbrella n'intercepte pas le trafic DNS
Pour vérifier quel résolveur DNS est prioritaire sur macOS, utilisez la commande suivante :
scutil --dns
Cette commande affiche le résolveur marqué comme : Étendue, supplémentaire ou interface : utunX, qui permet d'identifier les conflits de proxy DNS.
Pour les environnements macOS, WSS continuera à intercepter DNS sans agent DNS distinct. Pour aller de l'avant avec la couverture de sécurité DNS, une option serait de mettre en oeuvre pour prendre en charge une architecture de contournement passif. Avec cette approche, le fournisseur contournerait complètement le flux, permettant au trafic d'être traité comme si le fournisseur n'était pas actif.
Le problème est causé par les limitations architecturales de macOS où un seul NEDnsProxyProvider peut être actif sur le système à la fois. Lorsque la sécurité DNS Umbrella et Broadcom WSS sont toutes deux installées, elles rivalisent pour le contrôle de proxy DNS, ce qui a pour conséquence que WSS est prioritaire et empêche Umbrella d'intercepter le trafic DNS. Il s'agit d'une limitation fondamentale de la pile réseau macOS et elle affecte toutes les solutions de sécurité DNS, pas seulement Cisco Umbrella.
| Révision | Date de publication | Commentaires |
|---|---|---|
1.0 |
20-May-2026
|
Première publication |