Configurer le client d’itinérance Umbrella sur un réseau d’entreprise

Introduction

Ce document décrit la configuration du client d'itinérance Umbrella sur le réseau de votre entreprise.

Aperçu

Le client d'itinérance Umbrella est un excellent outil de protection des utilisateurs distants, mais il peut également protéger les utilisateurs de votre réseau d'entreprise, ajoutant ainsi une couche de sécurité supplémentaire. En fonction des besoins de l'entreprise, certains administrateurs souhaitent que le client Umbrella roaming continue à être protégé sur le réseau de l'entreprise, tandis que d'autres préfèrent que le client Umbrella roaming soit « retiré » au profit d'autres politiques Umbrella.

Umbrella offre une grande souplesse quant au fonctionnement du client d'itinérance Umbrella lorsqu'il entre dans votre réseau. Cet article présente ces différentes approches.

Objectifs

Q). Pourquoi désactiver le client d'itinérance Umbrella sur le réseau de mon entreprise ?

Il n’est normalement pas nécessaire de désactiver le client d’itinérance Umbrella pour que le DNS interne et externe fonctionne. Le client d'itinérance Umbrella utilise la fonctionnalité Domain Management pour diriger votre trafic DNS interne vers vos serveurs DNS normaux. Cela vous permet de conserver à la fois la protection et la connectivité pendant que le client d'itinérance Umbrella s'exécute sur vos terminaux sur le réseau.

Cependant, il y a parfois des raisons d'envisager de désactiver la protection du client d'itinérance...

• Fournir une stratégie « sur réseau » et « hors réseau » différente aux utilisateurs itinérants qui quittent le réseau.
• L’utilisation d’un serveur DNS interne sur un réseau d’entreprise offre certains avantages en termes de mise en cache et de réduction du trafic DNS sortant. 
• Le client d'itinérance Umbrella envoie régulièrement des messages d'analyse pour vérifier la connexion à Umbrella. Ce trafic supplémentaire peut être indésirable lorsque vous avez un très grand nombre de clients.

Q) Pourquoi voudrais-je que le client d'itinérance Umbrella reste activé sur le réseau de mon entreprise ?

D'un autre côté, il y a de très bonnes raisons de maintenir le client d'itinérance activé à tout moment :

• Assurez-vous que l'ordinateur client d'itinérance Umbrella utilise la même stratégie à tout moment.
• Toujours avoir le nom d'hôte du client d'itinérance Umbrella identifiable dans les rapports (au lieu de l'identité réseau) - pour un rapport granulaire.
• Le client d'itinérance utilise le trafic « DNS chiffré » pour une confidentialité améliorée
• Pour les utilisateurs de la passerelle Web sécurisée (utilisant AnyConnect), le client doit rester activé pour fournir le filtrage Web SWG.

Modes de fonctionnement

Toujours actif

Le client d'itinérance Umbrella peut rester actif même s'il est utilisé sur le réseau de l'entreprise. Dans ce mode, les stratégies sont configurées à l'aide de l'identité du client d'itinérance Umbrella, et cette identité apparaît dans les rapports. 

Comment configurer le mode 'Always ON' :

1. Accédez à Identités > Ordinateurs itinérants.
   
2. Cliquez sur l'icône (Paramètres du client d'itinérance).
3. Effacez Désactiver la redirection DNS sur un réseau protégé par Umbrella et cliquez sur Enregistrer.
4. Créez une politique distincte pour vos clients Umbrella roaming et assurez-vous qu'elle est la priorité la plus élevée (tout en haut de la liste). Votre politique de client d'itinérance Umbrella doit avoir une priorité plus élevée que toute autre politique basée sur les identités réseau. 

Utiliser une politique de réseau normale
Le client d'itinérance Umbrella est activé et continue à parler directement à Umbrella. Toutefois, l'identité réseau est utilisée à des fins de stratégie et de création de rapports. Ce mode est activé simplement en plaçant la stratégie réseau à une priorité plus élevée que la stratégie client d'itinérance Umbrella. 

Comment « utiliser une politique de réseau standard » :

1. Accédez à Identités > Ordinateurs itinérants.
   
2. Cliquez sur l'icône (Paramètres du client d'itinérance).
3. Effacez Désactiver la redirection DNS sur un réseau protégé par Umbrella et cliquez sur Enregistrer.
4. Créez une stratégie distincte pour votre ou vos réseaux. Assurez-vous que la stratégie de votre ou vos réseaux a une priorité plus élevée que toute stratégie basée sur le client d'itinérance. 

Désactiver derrière les réseaux protégés (idéal pour les réseaux plus petits)
Le client d'itinérance Umbrella peut « se désactiver » lorsqu'il détecte qu'il se trouve sur un réseau protégé. Cela signifie que l'identité réseau est utilisée à des fins de politique et de création de rapports.

Ce mode a un comportement similaire à celui du mode « Use Regular Network Policy », à ceci près que le client d’itinérance Umbrella se désactive lui-même et n’interfère pas avec le trafic DNS. 

Comment configurer la désactivation derrière les réseaux protégés :

1. Accédez à Identités > Ordinateurs itinérants.
   
2. Cliquez sur l'icône (Paramètres du client d'itinérance).
3. Sélectionnez Disable DNS redirection while on an Umbrella Protected Network et cliquez sur Save.
4. Accédez à Policies > Policies List.
5. Créez une stratégie distincte pour votre ou vos réseaux. Assurez-vous que la stratégie de votre ou vos réseaux est prioritaire par rapport à toutes les stratégies basées sur le client d'itinérance Umbrella. 
6. Vos serveurs DNS locaux doivent être transférés vers les résolveurs Umbrella et doivent être correctement enregistrés dans le tableau de bord Umbrella.
7. Pour que cette fonctionnalité fonctionne, l'adresse IP de sortie utilisée par la station de travail cliente doit être enregistrée sur la même identité réseau que l'adresse IP de sortie utilisée par vos serveurs DNS internes. Pour plus de détails, consultez cet article.

Désactiver derrière le domaine de réseau approuvé (idéal pour les grands réseaux)

Il est désormais possible de choisir un « domaine de réseau approuvé » configuré par le client. Le client tente de résoudre ce domaine DNS (enregistrement A) et de désactiver la protection lorsque le domaine est résolu.  Il s'agit d'un enregistrement DNS interne uniquement qui se résout uniquement lorsque le client se trouve sur le réseau de l'entreprise.

Comment configurer le domaine de réseau approuvé :

1. Créez un enregistrement DNS A sur vos serveurs DNS internes (par ex. magic.mondomaine.tld). 
   1. L'enregistrement doit être un « sous-domaine » (3 étiquettes DNS minimum)
   2. L'enregistrement doit être résolu en une adresse RFC-1918 interne
   3. Veillez à ce que le dossier n'existe pas publiquement
2. Accédez à Identités > Ordinateurs itinérants.
   
3. Cliquez sur l'icône (Paramètres du client d'itinérance).
4. Sélectionnez l'option Trusted Network Domain et entrez le nom de domaine (par ex. magic.mondomaine.tld).  Cliquez sur Save.

Utilisation du client d'itinérance Umbrella avec un appareil virtuel Umbrella

Dans le cadre du produit Umbrella « Insights » (dans les packages Platform et Insights), nous fournissons un appareil virtuel (VA) qui agit comme un redirecteur DNS au sein de votre réseau. Cette VA est la clé pour obtenir une visibilité sur la source des requêtes DNS sur votre réseau et est également requise pour notre intégration Active Directory.

Par défaut, le client d'itinérance Umbrella se désactive s'il détecte qu'une adresse virtuelle est utilisée pour le transfert DNS. Si l'appliance virtuelle a été attribuée en tant que serveur DNS (à l'aide de paramètres DHCP ou statiques), le client d'itinérance Umbrella le détecte et se désactive.

Désactivation VA

Configuration de la désactivation VA :

1. Cette fonctionnalité est activée par défaut, mais vous pouvez vérifier son état (et éventuellement la désactiver)
2. Accédez à Identités > Ordinateurs itinérants.
   
3. Cliquez sur l'icône (Paramètres du client d'itinérance).
4. Sélectionnez l'option VA Backoff

Module de sécurité d'itinérance Cisco Umbrella AnyConnect

 Le module Umbrella pour Cisco AnyConnect prend en charge tous les modes de fonctionnement décrits ci-dessus.  Deux autres modes spécifiques à AnyConnect sont également disponibles.  Ces deux modes peuvent être activés dans votre tableau de bord Umbrella sur la page Identities > Roaming Computers, cependant, une configuration supplémentaire est requise dans le profil VPN AnyConnect.

• Respectez la détection de réseau sécurisé AnyConnect.
  Cette fonctionnalité entraîne la désactivation du module Umbrella Security lorsque Cisco AnyConnect détermine qu'il se trouve sur un réseau de confiance.  Pour cela, la fonctionnalité Trusted Network Detection d'AnyConnect permet d'identifier le réseau.  Les domaines approuvés, les serveurs DNS et les URL peuvent être utilisés pour identifier le réseau de votre entreprise.  Pour plus d'informations, consultez la documentation AnyConnect.
• Désactiver le client d'itinérance lorsque les sessions VPN de tunnel complet sont actives
  Lorsque cette fonction est activée, le module Umbrella est désactivé lorsqu'AnyConnect est connecté à un VPN Full Tunnel (ou Tunnel All DNS).

Lorsqu'il est désactivé, le client d'itinérance ne filtre pas le trafic DNS. Il est donc important de s'assurer que votre réseau est couvert par d'autres mesures de sécurité, telles que notre fonction de protection du réseau.

Plus d'informations

Si vous souhaitez désactiver le client d'itinérance sur le réseau de votre entreprise, mais que vous avez besoin de plus de contrôle, ou si vous souhaitez discuter d'autres options, contactez l'assistance Cisco Umbrella.