スタンドアロンのUmbrella Roamingクライアントの大規模展開のトラブルシューティング

はじめに

このドキュメントでは、Umbrella Roaming Clientの大規模展開を実行するためのベストプラクティスと、回避すべき一般的な問題について説明します。 

前提条件

要件

このドキュメントに関する固有の要件はありません。

使用するコンポーネント

このドキュメントの情報は、Umbrellaローミングクライアントに基づくものです。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景

注：この記事では、スタンドアロンのUmbrellaローミングクライアントについて説明します。Cisco Secure Client（旧称AnyConnect）の大規模導入のカスタマイズについては、WindowsおよびmacOSのUmbrellaマニュアルを参照してください。

スタンドアロンのUmbrella Roaming Clientを一度に多数のマシンに展開するために、管理者は大量展開プログラムを使用することを選択することがよくあります。この例としては、Intune、System Center Configuration Manager (SCCM)、グループポリシーオブジェクト(GPO)などがあります。 このようなシステムを使用すると、初期展開では明らかに有利ですが、適切に処理されないと、将来に問題が生じる可能性があります。この記事では、大規模導入を実行する際のベストプラクティスに関するUmbrellaの推奨事項と、回避すべき一般的な問題について説明します。  

包括的なアップグレードプロセス

初期インストールの後、Umbrella Roaming Clientは、企業が使用しているリリースの波（ステージングまたはUmbrellaの実稼働トラックのいずれか）に基づいて、更新を自動的にチェックします。 アップデートが利用可能であることが確認されると、インストーラがバックグラウンドでダウンロードされます。その後、新しいバージョンがインストールされ、サービスが自動的に再起動されます。 

大規模展開の競合

Umbrellaサポートでは、多くのお客様が大量導入を終了しています。これは、Umbrellaのいずれかのバージョンがインストールされているかどうかをポリシーで確認し、インストール可能なバージョンが存在しない場合にのみインストールできると想定しているためです。ただし、インストールの決定に最も一般的に使用されるレジストリキーは、実際にはビルド番号に固有のものです。つまり、Umbrellaがインストールされているかどうかはチェックされませんが、たとえば、Umbrella 3.0.17がインストールされているかどうかはチェックされます。

この結果、次の動作が発生します。

1. Umbrella Roamingクライアントが、新しいバージョンが利用可能であることを検出し、インストールします。

2. 大規模展開ツールは、Umbrellaに対して表示されることが予想されるレジストリキーが存在しないことを検出し、以前に構成されたバージョンのインストールをトリガーします。

3. 古いバージョンがオンラインに戻り、更新が確認されます。ダウンロードするアップデートがあることを確認し、インストールします。

4. 処理がステップ1に繰り返されます。

Umbrellaは、競合するアップデートメカニズムにより、大量導入ツールによってインストールされた古いバージョンと、Umbrellaによって削除される新しいバージョンとの間で絶えず変更を加えます。

問題

これにより、次の問題が発生する可能性があります。 

• Umbrellaは頻繁に再起動および初期化されるため、保護されていない状態で費やされる時間が増えます。
• 予期しないリブートまたはWindowsサービスの障害（特に、インストールされている以前のバージョンが3.0.17で、強制的なリブートを引き起こす既知の不具合がある場合）
• システムは、マシンがログオンおよびログインしている時間の約半分の時間、新しいバージョンですでに修正されているバグやセキュリティの脆弱性にさらされています。

解決方法

これらの問題に対処するには、いくつかの方法があります。 

1. 最も重要なのは、ネットワークに新しいマシンが追加されていることが判明している場合にのみ、大量導入ポリシーを使用することがUmbrellaのベストプラクティスであるということです。

2. インストールが検出されない場合にインストールする一括展開を実行する場合は、特定のバージョンではなく、Umbrellaの任意のバージョンに一致するインストールメトリックを使用してください。これを行うには、UmbrellaのKB記事「How To: Verify Umbrella Roaming Client is installed on Windows via registry (any version number)」を参照してください。 

3. 新しい一括配置ポリシーを設定する場合は、現在のビルドを取得していることを確認します。  Umbrellaのリリースページから、利用可能なすべてのビルドを確認できます。 また、新しいバージョンの導入時にこのリストを購読して更新を取得することもできます。

これには、まだ組織にプッシュされていない一部のビルドが含まれる場合があることに注意してください。リリーストラックで提供されるバージョンを確認するには、UmbrellaダッシュボードからRoaming Clientインストーラをダウンロードします。 

ログエントリの例

Umbrellaから自動的にダウンロードされた新しいバージョンと、大量導入システムによってプッシュされた古いバージョンの間で行ったり来たりするフラッピングを説明したログファイルの抜粋を次に示します。 

• 元のインストールが確認されました（開始バージョン）。
  2021-11-30 02:44:07 [4228] [INFO ] < 3> ***** ERCサービスversion 3.0.17を開始しています

• 新しいバージョンが検出され、ダウンロードされます。
  2021-11-30 05:03:38 [4228] [DEBUG] < 18>ダウンロード：https://disthost.umbrella.com/roaming/upgrade/win/production/RoamingClient_WIN_3.0.110.msi

• コンピュータは、すべてのコンポーネントを正常にシャットダウンし、(マシンではなく)サービスを再起動します。
  アップグレードが実行されました。成功した場合、サービスはすぐに再起動されます…
• 新しいバージョン（この場合は3.0.110）でアップしていることがわかります。
  2021-11-30 05:09:45 [1436] [INFO ] < 4> ***** ERCサービスversion 3.0.110を開始
• dnscryptproxyが突然中断されたことを示すログが表示されます（再起動が原因です）。
  2021-11-30 05:33:43 [2136] [INFO ] < 33> DnsCryptProxy IPv4: dnscryptproxy.exe with (pid 8752)は正常に終了しませんでした（フェールカウント0）。再起動しています…
• 古いバージョンがログに戻ります。
  2021-11-30 05:33:57 [7248] [INFO ] < 4> ***** ERCサービスの開始バージョン3.0.17