Introduzione
In questo documento viene descritto come abilitare il tunneling di tutti i DNS per Cisco Secure Client con il modulo Umbrella.
Premesse
Cisco ha annunciato la fine del ciclo di vita di Cisco AnyConnect nel 2023 e del client di roaming Umbrella nel 2024. Molti clienti Cisco Umbrella stanno già beneficiando della migrazione a Cisco Secure Client e si è incoraggiati ad avviare la migrazione il prima possibile per ottenere un'esperienza di roaming migliore. Ulteriori informazioni in questo articolo della Knowledge Base: Come installare Cisco Secure Client con il modulo Umbrella?
Il modulo Cisco Secure Client (CSC) con Umbrella (in precedenza AnyConnect Roaming Security) è progettato per funzionare con quasi tutte le modalità VPN per CSC senza alcuna configurazione aggiuntiva.
Tuttavia, è necessario prestare maggiore attenzione quando entrambe le condizioni sono vere:
- Tunneling ripartito abilitato
- La funzionalità "Tunnel tutti i DNS" è abilitata
Problema e impatto
Con "Tunnel All DNS" abilitato, il traffico DNS viene intercettato a livello di kernel e bloccato se non esce dall'interfaccia VPN corretta. Questo introduce un problema per il modulo CSC se i resolver Cisco Umbrella non fanno parte della configurazione del tunnel suddiviso (Include).
L'impatto di questo problema è minimo perché, per impostazione predefinita, il modulo CSC utilizza DNS crittografato (porta UDP 443) che non è bloccato da "Tunnel All DNS". Pertanto, il problema si verifica solo nelle reti in cui non è disponibile la crittografia DNS.
Lo scenario è il seguente:
- Il modulo roaming cerca di indirizzare il traffico a Cisco Umbrella tramite la normale interfaccia LAN.
- La rete locale non consente la crittografia DNS e pertanto invia query DNS standard non crittografate.
- Questo traffico è bloccato dalla funzionalità "Tunnel tutti i DNS" che richiede al DNS di disattivarsi dalla VPN.
In questo scenario, il DNS non funziona come previsto.
Suggerimento
Per fare in modo che questa condizione non sia possibile, Cisco Umbrella consiglia una di queste azioni.
- Disabilitare "Tunnel All DNS" nei Criteri di gruppo VPN. Il modulo CSC gestisce il routing del DNS.
O
- Aggiungere i seguenti resolver DNS Cisco Umbrella alla configurazione del tunnel suddiviso (Include):
- 208.67.222.222
- 208.67.220.220
- 208.67.222.220
- 208.67.220.222
Feedback