Sommario

Introduzione

Premesse

Problema e impatto

Suggerimento

Introduzione

In questo documento viene descritto come abilitare il tunneling di tutti i DNS per Cisco Secure Client con il modulo Umbrella.

Premesse

Cisco ha annunciato la fine del ciclo di vita di Cisco AnyConnect nel 2023 e del client di roaming Umbrella nel 2024. Vedere Termine del ciclo di vita di AnyConnect Client versione 4.x e Annuncio di fine ciclo di vita di Cisco Umbrella Roaming Client. Molti clienti Cisco Umbrella stanno già beneficiando della migrazione a Cisco Secure Client e si è incoraggiati ad avviare la migrazione il prima possibile per ottenere un'esperienza di roaming migliore. Ulteriori informazioni in questo articolo della Knowledge Base: Migrate to Secure Client with the Umbrella Module (Manual Install).

Il modulo Cisco Secure Client (CSC) con Umbrella (in precedenza AnyConnect Roaming Security) è progettato per funzionare con quasi tutte le modalità VPN per CSC senza alcuna configurazione aggiuntiva.

Tuttavia, è necessario prestare maggiore attenzione quando entrambe le condizioni sono vere:

- Tunneling ripartito abilitato

- La funzionalità "Tunnel tutti i DNS" è abilitata

Problema e impatto

Con "Tunnel All DNS" abilitato, il traffico DNS viene intercettato a livello di kernel e bloccato se non esce dall'interfaccia VPN corretta. Questo introduce un problema per il modulo CSC se i resolver Cisco Umbrella non fanno parte della configurazione del tunnel suddiviso (Include).

L'impatto di questo problema è minimo perché, per impostazione predefinita, il modulo CSC utilizza DNS crittografato (porta UDP 443) che non è bloccato da "Tunnel All DNS". Pertanto, il problema si verifica solo nelle reti in cui non è disponibile la crittografia DNS.

Lo scenario è il seguente:

- Il modulo roaming cerca di indirizzare il traffico a Cisco Umbrella tramite la normale interfaccia LAN.

- La rete locale non consente la crittografia DNS e pertanto invia query DNS standard non crittografate.

- Questo traffico è bloccato dalla funzionalità "Tunnel tutti i DNS" che richiede al DNS di disattivarsi dalla VPN.

In questo scenario, il DNS non funziona come previsto.

Suggerimento

Per fare in modo che questa condizione non sia possibile, Cisco Umbrella consiglia una di queste azioni.

- Disabilitare "Tunnel All DNS" nei Criteri di gruppo VPN. Il modulo CSC gestisce il routing del DNS.

O

- Aggiungere i seguenti resolver DNS Cisco Umbrella alla configurazione del tunnel suddiviso (Include):

- 208.67.222.222

- 208.67.220.220

- 208.67.222.220

- 208.67.220.222