Introduzione
In questo documento vengono descritte le restrizioni e le limitazioni di Umbrella DNS Policy Tester.
Prerequisiti
Requisiti
Nessun requisito specifico previsto per questo documento.
Componenti usati
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
- Secure Web Gateway
- Secure Internet Gateway
- Umbrella (livello aggiunto DNS)
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
L'Umbrella Policy Tester può essere usato per determinare se una determinata destinazione può essere bloccata o consentita da Cisco quando visitata da una determinata identità. Tuttavia, ci sono alcune circostanze in cui il Policy Tester non è attualmente in grado di restituire informazioni accurate (o di alcun tipo) per una determinata destinazione. In questo articolo vengono descritte queste restrizioni.
Dettagli tecnici
La panoramica generale di Policy Tester è disponibile nella documentazione Umbrella per Umbrella Policy Tester.
I risultati di Policy Tester possono essere errati:
Secure Web Gateway
Secure Internet Gateway
Umbrella (livello aggiunto DNS)
- Le destinazioni bloccate dal proxy intelligente possono essere erroneamente segnalate come "consentite" dal Policy Tester. Ciò include anche:
- Elenchi di URL bloccati personalizzati
- Domini Proxy-blocklist o Greylist
- Blocchi di ispezione file
- Tipo di destinazione "Applicazione" (come Dropbox, Box, Facebook, ecc per nome) che sono bloccati può essere erroneamente segnalato come "Consentito" dal Policy Tester.
- Quando una rete viene applicata anche a un criterio Web, quest'ultimo potrebbe non essere visualizzato correttamente. Il tester dei criteri non è attualmente supportato per le reti che fanno anche parte dei criteri Web.
- I test che non forniscono tutte le informazioni di identità pertinenti possono mostrare risultati errati. Ad esempio, un computer in roaming con l'integrazione Active Directory (AD) attivata in una rete protetta: il test può avere esito negativo se viene specificato solo l'utente AD, ma il computer in roaming è il vincitore delle decisioni relative ai criteri.
- Le destinazioni bloccate a causa di categorie di contenuto possono essere visualizzate come consentite se sono immesse con lettere maiuscole e minuscole o se sono in maiuscolo. Ad esempio, se state bloccando la categoria "nudità", il dominio playboy.com può essere visualizzato come bloccato mentre Playboy.com appare come consentito.
- Le destinazioni "DNS dinamico" possono essere bloccate se la categoria di sicurezza è selezionata, ma possono essere erroneamente segnalate come "Consentite" dal Policy Tester.
- Le destinazioni consentite dal controllo dell'applicazione possono essere visualizzate erroneamente come bloccate nel Tester dei criteri.
- Le destinazioni bloccate dall'API di applicazione Umbrella per le integrazioni personalizzate possono essere erroneamente segnalate come "consentite" dal Policy Tester.
- Le destinazioni bloccate dall'integrazione di Umbrella AMP Threat Grid possono essere erroneamente segnalate come "consentite" dal Policy Tester.
- Le destinazioni bloccate a causa di un CNAME possono essere erroneamente segnalate come "Consentite" dal Policy Tester.
- Le destinazioni che sono indirizzi IP non sono supportate in Policy Tester in questo momento.
- Le destinazioni che sono URL non sono supportate in Policy Tester in questo momento.
- Le destinazioni bloccate per la risoluzione in un IP dannoso possono essere erroneamente segnalate come "consentite" dal Policy Tester.
- Le destinazioni "Potenzialmente dannose" possono essere bloccate se viene selezionata tale categoria di sicurezza, ma possono essere erroneamente segnalate come "Consentite" dal Policy Tester.
- Le destinazioni in cui le protezioni DDOS automatizzate impediscono temporaneamente al DNS di rispondere per il dominio interessato non sono visibili dal Policy Tester.
- Le destinazioni bloccate nella categoria di contenuti "Protezione dei giovani tedeschi" possono essere erroneamente segnalate come "Consentite" dal Policy Tester. Questa categoria non può essere menzionata nei risultati di Policy Tester.
- Le destinazioni bloccate a causa della classificazione di protezione "Cryptocurrency" possono apparire erroneamente come "Consentite" anche se bloccate dalle impostazioni di protezione.
- I blocchi dovuti alle categorie VPN di tunneling DNS non possono visualizzare correttamente i risultati nel Policy Tester. In modo errato vengono visualizzati come consentiti.
- I dispositivi Chromebook dietro un'appliance virtuale possono mostrare criteri non corretti. I blocchi di identità Chromebook (UCC) possono ignorare i criteri applicati da Virtual Appliance, mentre i blocchi di Virtual Appliance possono ignorare quelli consentiti da UCC.
- I membri dei gruppi AD in cui il gruppo non è sincronizzato con Umbrella (inclusi i gruppi che fanno parte di un dominio padre o figlio e i gruppi che sono membri di gruppi non sincronizzati selettivamente con Umbrella) possono essere visualizzati come corrispondenti al criterio visualizzato nel Policy Tester. Impossibile applicare i criteri utente nel cloud. Confermare aggiungendo l'utente singolo al criterio e verificare che venga applicato correttamente entro 5 minuti.
- Destinazioni presenti nell'elenco Domini interni. Il tester dei criteri non accetta l'elenco Domini interni quando segnala il risultato di un test.
- Le categorie che non compaiono nel sito di tagging del dominio della community OpenDNS non hanno la garanzia di mostrare la categoria corretta nel Policy Tester. È rappresentata una sola origine di categorizzazioni.
- Il Policy Tester si limita a mostrare 20 risultati durante la ricerca di un'identità.
- Un utente AD è membro di un gruppo AD nidificato, ma durante la creazione dei criteri DNS nelle identità viene selezionato solo il gruppo AD padre. La ricerca del tester dei criteri può non corrispondere ai criteri corretti.
- Le destinazioni nell'elenco degli indirizzi consentiti protetti possono essere erroneamente segnalate come "bloccate" dal Policy Tester.
Feedback