Problema di interoperabilità VPN client Umbrella e F5 BIG-IP Edge

Opzioni per il download

PDF (236.0 KB)
Visualizza con Adobe Reader su diversi dispositivi
ePub (82.5 KB)
Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
Mobi (Kindle) (67.3 KB)
Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi

Aggiornato:26 ottobre 2026

ID documento:226482

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Sommario

Problema

Quando Cisco Umbrella (Secure Client) e la VPN F5 BIG-IP Edge Client sono abilitate contemporaneamente, gli utenti perdono completamente l'accesso a Internet.

Il problema si manifesta come segue:

La connettività Internet non è completamente disponibile dopo la connessione alla VPN del client BIG-IP Edge quando Cisco Umbrella è attivo.
Il problema riguarda tutte le risorse e i siti Internet, non solo URL specifici
La connettività VPN alle applicazioni interne correlate al progetto funziona come previsto
L'accesso a Internet funziona normalmente quando Cisco Umbrella è disabilitato
Il problema si verifica esclusivamente quando entrambi i servizi sono in esecuzione contemporaneamente

Ambiente

Cisco Secure Client con modulo Umbrella abilitato
F5 BIG-IP Edge Client VPN configurata per il tunneling ripartito
Servizio proxy inoltro DNS F5 abilitato
Ambiente endpoint Windows

Risoluzione

Questo problema di interoperabilità richiede l'implementazione di una delle due soluzioni supportate per risolvere il conflitto di traffico DNS tra Cisco Umbrella e F5 BIG-IP Edge Client VPN.

Opzione 1: Disabilita servizio proxy inoltro DNS F5

Il primo approccio alla risoluzione prevede la disabilitazione del servizio proxy di inoltro DNS F5 sulla configurazione di BIG-IP Edge Client:

Passaggio 1: Accedere all'interfaccia di configurazione di F5 BIG-IP Edge

Passaggio 2: Passare alle impostazioni del servizio proxy di inoltro DNS

Passaggio 3: Disabilita il servizio proxy di inoltro DNS

Nota: Questo approccio ripristina le normali funzionalità DNS di Umbrella ma può influire sull'attuale progettazione dello split-tunnel a seconda dei requisiti di configurazione F5.

Opzione 2: Configura esclusioni tunneling split VPN F5

La risoluzione consigliata prevede la configurazione del client F5 BIG-IP Edge per escludere il traffico Umbrella dal tunneling VPN:

Passaggio 1: Contattare l'amministratore F5 per modificare la configurazione di BIG-IP Edge Client

Passaggio 2: Configurare l'elenco di split-tunneling in modo da escludere in modo esplicito tutto il traffico di rete destinato agli intervalli DNS Umbrella e IP proxy

Passaggio 3: Applica le modifiche della configurazione per garantire il funzionamento del traffico di sicurezza Umbrella insieme alla connessione VPN

Suggerimento: Questa modifica alla configurazione deve essere implementata dall'amministratore F5 e richiede una conoscenza specifica del DNS Umbrella e degli intervalli di IP proxy per garantire la corretta esclusione dal tunnel VPN.

Causa

Questo problema è dovuto a una nota limitazione di interoperabilità tra Cisco Secure Client (modulo Umbrella) e la VPN F5 BIG-IP Edge Client quando la VPN è configurata per il tunneling suddiviso con il servizio proxy di inoltro DNS F5 abilitato.

La causa principale si verifica perché sia il client Umbrella che il client VPN F5 tentano di intercettare e inoltrare il traffico DNS a livello di endpoint. Quando entrambi i servizi sono attivi contemporaneamente, si crea un conflitto in cui le richieste DNS non vengono inoltrate correttamente, con conseguente perdita completa di connettività Internet. Il servizio proxy di inoltro DNS F5 interferisce con il meccanismo di intercettazione DNS Umbrella, impedendo la corretta risoluzione DNS per le risorse Internet.

Questo comportamento è documentato da Cisco e F5 come una limitazione nota e non è correlato a uno specifico difetto software in entrambi i prodotti.