Lors de l'utilisation de Cisco Secure Client sur iOS (iPad) pour établir un VPN d'accès à distance avec Cisco Secure Access à l'aide de l'authentification SAML via Microsoft Entra ID, les journaux DNS ne sont pas affichés dans Secure Access après une connexion VPN réussie, même si les journaux Web et de pare-feu sont générés correctement. En outre, l'iPad n'apparaît pas sous Périphériques itinérants > Périphériques mobiles dans le tableau de bord d'accès sécurisé après l'établissement de la connexion VPN.
Les symptômes spécifiques observés sont les suivants :
Les journaux d'accès à distance affichent les événements de connexion réussis dans Secure Access
Les journaux Web et de pare-feu sont générés et affichent l'identité utilisateur authentifiée SAML
Les journaux DNS sont complètement absents de la journalisation d'accès sécurisé
Les informations relatives au périphérique iPad ne sont pas renseignées dans la section Périphériques d'itinérance d'accès sécurisé
Tout le trafic passe par le tunnel VPN (pas de split tunneling configuré)
iPad exécutant iOS 26.2
Client sécurisé Cisco
Fournisseur d'identité : ID d'entrée Microsoft
Connecteur de sécurité : Non installé
Accès sécurisé Cisco avec authentification SSO configurée
Implémentation d'authentification SAML
Profil VPN configuré avec le mode DNS défini par défaut
Aucune tunnellisation partagée configurée (tout le trafic est acheminé via le VPN)
Gestion des appareils mobiles (MDM) utilisée pour la distribution des profils
Le comportement observé est attendu pour la configuration documentée. Cisco Secure Client sur iOS fonctionne comme un client VPN (équivalent AnyConnect) et n'inclut pas de fonctionnalité équivalente RSM par défaut. Security Connector est le composant équivalent RSM sur iOS qui est requis pour le remplissage d'identité de point d'extrémité et le contrôle DNS de type Umbrella.
L'absence de journaux DNS et d'enregistrement de périphérique se produit pour les raisons suivantes :
Cisco Secure Client fournit à lui seul la connectivité VPN, mais ne dispose pas de la fonctionnalité d'agent de point de terminaison nécessaire à la visibilité DNS
Le connecteur de sécurité (équivalent à RSM sous Windows) est requis pour le contrôle DNS et l'enregistrement des périphériques dans Secure Access
Sans Security Connector, les requêtes DNS sont traitées par les serveurs DNS obtenus par VPN sans visibilité sur Umbrella/Secure Access
Pour activer la journalisation DNS sans installer Security Connector, configurez l'orientation du trafic pour diriger les requêtes DNS vers les serveurs DNS Umbrella :
Étape 1: Configurer le pilotage du trafic dans Secure Access
Accédez à Traffic Steering > Add > Add a source et spécifiez l'adresse IP du serveur DNS comme source.
Étape 2: Trafic DNS direct vers les serveurs parapluies
Configurez le profil VPN pour utiliser les serveurs DNS Umbrella (208.67.222.222 et 208.67.220.220) afin de garantir que les requêtes DNS sont visibles par l'accès sécurisé.
Étape 3: Valider la journalisation DNS
Après la mise en oeuvre de la configuration du pilotage du trafic, les journaux DNS doivent devenir visibles dans le tableau de bord Secure Access pour les sessions VPN.
Le paramètre « DNS Mode » du profil VPN n'est pas lié à l'absence de journaux DNS dans cette configuration. Les sessions RAVPN (Remote Access VPN) utilisent les serveurs DNS obtenus par VPN indépendamment de ce paramètre, et la visibilité de la journalisation dépend du fait que le trafic DNS est dirigé ou non vers l'infrastructure DNS surveillée.
L'installation de Security Connector sur iOS permettra :
Visibilité de la journalisation DNS dans Secure Access
Fonctionnalités améliorées d'identification des terminaux et d'enregistrement des périphériques
Contrôle et protection DNS de type parapluie
Le connecteur de sécurité peut être utilisé avec le client sécurisé, mais des considérations d'exclusion de trafic et de conception appropriées sont nécessaires pour éviter les conflits entre les deux composants.
La cause principale est architecturale : Cisco Secure Client sur iOS fournit une connectivité VPN, mais n'inclut pas la fonctionnalité d'agent de point d'extrémité requise pour la visibilité DNS et l'enregistrement de périphérique dans Secure Access. Cette fonctionnalité nécessite l'installation du connecteur de sécurité ou la configuration du pilotage du trafic pour diriger les requêtes DNS via l'infrastructure surveillée. Sans ces composants, les requêtes DNS contournent la surveillance d'accès sécurisé et les informations d'identité des périphériques ne sont pas renseignées dans la section des périphériques itinérants.
| Révision | Date de publication | Commentaires |
|---|---|---|
1.0 |
14-Jun-2026
|
Première publication |