UmbrellaおよびF5 BIG-IPエッジクライアントVPNの相互運用性の問題
内容
問題
Cisco Umbrella（セキュアクライアント）とF5 BIG-IPエッジクライアントVPNの両方を同時に有効にすると、インターネットアクセスが完全に失われます。
この問題は次のように現れます。
Cisco Umbrellaがアクティブの場合、BIG-IPエッジクライアントVPNに接続すると、インターネット接続がまったく使用できなくなります。
この問題は、特定のURLだけでなく、すべてのインターネットリソースとWebサイトに影響します
内部のプロジェクト関連アプリケーションへのVPN接続が期待どおりに機能する
Cisco Umbrellaを無効にすると、インターネットアクセスが正常に機能する
この問題が発生するのは、両方のサービスが同時に実行されている場合だけです
環境
Cisco Secure Client（Umbrellaモジュール対応）
スプリットトンネリング用に設定されたF5 BIG-IPエッジクライアントVPN
F5 DNSリレープロキシサービスが有効
Windowsエンドポイント環境
解決方法
この相互運用性の問題を解決するには、Cisco UmbrellaとF5 BIG-IPエッジクライアントVPN間のDNSトラフィックの競合を解決するために、サポートされている2つの回避策のいずれかを実装する必要があります。
オプション1:F5 DNSリレープロキシサービスを無効にする
最初の解決方法では、BIG-IPエッジクライアント設定でF5 DNSリレープロキシサービスを無効にします。
ステップ1:F5 BIG-IPエッジクライアント設定インターフェイスにアクセスします
ステップ2:DNSリレープロキシサービス設定に移動します
ステップ3:DNSリレープロキシサービスを無効にします。
注：このアプローチでは、通常のUmbrella DNS機能が復元されますが、F5設定要件によっては、現在のスプリットトンネル設計に影響を与える可能性があります。
オプション2:F5 VPNスプリットトンネリングの除外を設定する
推奨される解決策は、VPNトンネリングからUmbrellaトラフィックを除外するようにF5 BIG-IPエッジクライアントを設定することです。
ステップ1:F5管理者に連絡して、BIG-IPエッジクライアント設定を変更します
ステップ2:Umbrella DNSおよびプロキシIP範囲を宛先とするすべてのネットワークトラフィックを明示的に除外するように、スプリットトンネリングリストを設定します
ステップ3：設定変更を適用して、UmbrellaセキュリティトラフィックがVPN接続と並行して機能するようにします
ヒント：この設定変更はF5管理者が実装する必要があり、VPNトンネルから適切に除外されるようにするため、Umbrella DNSおよびプロキシIP範囲に関する特定の知識が必要です。
原因
この問題は、F5 DNSリレープロキシサービスが有効な状態でVPNがスプリットトンネリング用に設定されている場合の、Cisco Secure Client（Umbrellaモジュール）とF5 BIG-IP Edge Client VPN間の既知の相互運用性の制限に起因します。
根本原因は、UmbrellaクライアントとF5 VPNクライアントの両方がエンドポイントレベルでDNSトラフィックを代行受信およびプロキシしようとするために発生します。両方のサービスが同時にアクティブになると、DNS要求が正しく転送されないという競合が発生し、インターネット接続が完全に失われます。F5 DNSリレープロキシサービスはUmbrella DNSインターセプションメカニズムを妨害し、インターネットリソースの適切なDNS解決を妨げます。
この動作は、既知の制限事項としてシスコとF5の両方で文書化されており、いずれの製品の特定のソフトウェア不具合とも関連するものではありません。
関連コンテンツ
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
26-Oct-2026
|
初版 |
フィードバック