エンタープライズネットワーク上のクライアントのローミングに対して保護されたネットワークを有効または無効にする

はじめに

このドキュメントでは、企業ネットワークでUmbrellaスタンドアロンおよびAnyConnectローミングクライアントを無効にする方法について説明します。

背景説明

この記事は管理者を対象としています。ネットワーク上のローミングクライアントをバックオフしたくない場合は、ここで停止します。

Umbrella保護ネットワーク機能は、単一の出力ネットワークを対象としています。出力が複数あるネットワークでは、代替機能が必要です。

現在、この機能は信頼されたネットワークドメイン機能として実稼働環境に存在します。この機能を要求する方法と、ネットワークで必要な機能については、以降を参照してください。

信頼されたネットワークドメイン機能とは何ですか。

ドメインによる信頼ネットワーク機能は、企業ネットワークでローミングクライアントを無効にし、ネットワーク外で有効のままにする方法です。この機能を有効にすると、次のことが可能になります。

• ローミングクライアントによって提供されるDNS保護を無効にします
  • ポリシーをネットワークポリシーに従わせる
• 信頼されたネットワークドメインチェックを除くすべてのネットワークプローブを停止します
  • 多忙なネットワークに最適
  • VAバックオフに代わる優れた選択肢
    • VAと組み合わせて使用することで、ネットワーク通話を削減

IPv6の動作、WindowsとMacOS

• Windowsでは、ドメインはIPv4とIPv6で照会されます。シャットダウン動作は、各ネットワークスタックで個別に処理されます。たとえば、ドメインがIPv4で解決され、IPv6では解決されない場合、ローミングクライアントはIPv4だけでシャットダウンし、IPv6での動作を維持します。クライアントを完全にシャットダウンするには、IPv4 および IPv6クエリを解決する必要があります。
• MacOSでは、ドメインはIPv4とIPv6で照会されます。Windowsとは異なり、ドメインがいずれかのネットワークスタックで解決される場合、ローミングクライアントはIPv4とIPv6の両方についてシャットダウンします。

この機能を有効にするにはどうすればよいのですか。

この機能は、ダッシュボードで制御されるようになりました。「コンピューターの移動の設定」を参照してください。

• 目的のUmbrellaはサブドメインを無効にします。このドメインは次の条件を満たす必要があります。
  • RFC-1918内部IPアドレス（IPv4用）に解決されるAレコードを持つ
  • IPv6でRFC-4193 IPに解決されるAAAAレコードがある（IPv6が使用されている場合）
    • RFC-1918 IPは通常、10.x.x.x、172.x.x.x、または192.168.x.xのように見えます
    • RFC-4193 IPv6アドレスは「FD」で始まる
    • IPアドレスは到達可能である必要はありません
    • サブドメインでなければなりません
      • sub.domain.com – 良い！
      • subdomain.com – 問題ありません。
  • ネットワークからNXDOMAIN、NODATA、またはパブリックIPアドレスに解決します（このシナリオではクライアントは有効なままです）。
    • SERVFAILがありません
  • パブリックスペースとローカルスペースを確実に制御できるように、制御するゾーン内にドメインを配置する
• サポート：
  • Umbrellaローミングクライアント
  • AnyConnect Umbrella Roamingセキュリティモジュール4.5 MR4+のみ

1台のマシンで機能をテストするにはどうすればよいですか。

Umbrellaチームがグローバルに設定を適用する前にローカルでテストするには、このオーバーライドを適用します。

1. 「customer_network_probe.flag」ファイルを作成します。
   1. ファイルが.flag.txtでないことを確認します。
2. 目的のドメインをファイルの内容に追加します。
3. ファイルを次の場所に配置：
   1. ローミングクライアント
      1. ウィンドウ： %ProgramData\OpenDNS\ERC\
   2. AnyConnect
      1. Windowsの場合： %ProgramData%\Cisco\Cisco AnyConnect Secure Mobility Client\Umbrella\data\
   3. Cisco Secure Client
      1. Windowsの場合：C:\ProgramData\Cisco\Cisco Secure Client\Umbrella\data\
      2. macOS:/opt/cisco/secureclient/umbrella/data/
4. ローミングクライアントを再起動します
   1. ローミングクライアント：Umbrellaローミングクライアントを無効または再起動します。
   2. AnyConnect：親vpnagent AnyConnectサービスを再起動します

注:MacOS Roamingクライアント、AnyConnectバージョンはこのフラグをサポートしていません。