Introduzione
Questo documento descrive una configurazione per abilitare la funzionalità Umbrella su iCloud Private Relay.
Informazioni su iCloud Private Relay
iCloud Private Relay è un servizio fornito da Apple come parte di un prodotto iCloud in abbonamento. In questo modo un dispositivo Apple è in grado di proteggere il proprio DNS e il traffico Web dal rilevamento. Questo servizio è facoltativo per i dispositivi Apple e richiede un abbonamento per essere attivo.
iCloud Private Relay e Cisco Umbrella
Quando attivato, il relè privato iCloud ignora la funzionalità Umbrella. Per mantenere la copertura sulle reti aziendali, è possibile configurare un dominio canario sulla rete seguendo le istruzioni riportate in questa pagina di supporto di Apple.
MDM su macOS e iOS supervisionato
Per disabilitare il relay privato iCloud, eseguire il push di questo payload con un valore false.
allowCloudPrivateRelay
Tutti gli altri dispositivi
Per impedire l'attivazione di iCloud Private Relay in una rete, impostare i domini in modo che rispondano con una risposta NXDOMAIN o NODATA:
mask.icloud.commask-h2.icloud.com
Una volta impostato, gli utenti di iCloud Private Relay vengono informati che "Private Relay è disattivato per 'nome rete'" e non possono utilizzare iCloud Private Relay su questa rete.
Implementazione con Umbrella in disponibilità limitata
Umbrella è in grado di impostare questa sostituzione per l'organizzazione. Per richiederlo, inviare un messaggio all'indirizzo umbrella-support@cisco.com. Quando si esegue l'override dei domini iCloud con una risposta NODATA, qualsiasi corrispondenza per la categorizzazione del contenuto sostituisce e restituisce un IP pagina blocco. Ciò influisce sull'esperienza dell'utente e può causare timeout sui dispositivi macOS e iOS. Dopo aver configurato la sostituzione, aggiungere questi domini a un elenco di domini consentiti per tutti i criteri pertinenti:
mask.icloud.commask-h2.icloud.com
mask-api.icloud.com
mask.apple-dns.net
iCloud Private Relay e Cisco Umbrella con l'app Cisco Security Connector
A differenza dei dispositivi senza Umbrella installati che ricevono copertura a livello di rete, tutte le richieste DNS continuano ad essere registrate a Umbrella; tuttavia, il dominio canary è necessario per garantire che i blocchi DNS non vengano inviati tramite proxy da iCloud Private Relay e sottoposti a override.
Feedback