Meraki MXコンテンツフィルタリングとUmbrella間の非互換性問題のトラブルシューティング

はじめに

このドキュメントでは、Meraki MXコンテンツフィルタリングとUmbrella間の非互換性の問題をトラブルシューティングする方法について説明します。

問題

Cisco Talos搭載のMeraki MXコンテンツフィルタリングを使用すると、一部のUmbrella DNSフィルタリング機能の不整合に直面する可能性があります。  

• ブロックページが正しくありません（カスタムブロックページが適用されていません）
• ブロックページバイパス機能が表示されない
• インテリジェントプロキシを使用しているサイトの「401 Unauthorized」エラー
• Policy-Debugテストで不正なOrg/Origin ID/BundleIDが表示される

解決方法

Merakiダッシュボードの「許可されるURL」リストを使用して、Meraki MXコンテンツフィルタリング機能からこのドメインを除外します。

id.opendns.com

コンテンツフィルタリングは、Merakiダッシュボードの次の場所で設定します。

• Security & SD-WAN > Content Filtering (Global settings)内
• ネットワーク全体>グループポリシー（ユーザまたはSSIDに割り当て可能なポリシー）

21399526244628

または、Merakiコンテンツフィルタリングを完全に無効にして（すべてのカテゴリブロックを削除して）、Umbrellaフィルタリングのみを使用します。

根本原因

Cisco Umbrellaでは、トラフィックがブロックページのランダー、インテリジェントプロキシ、またはポリシーデバッグサイトに最初に到達したときに、グローバルに一意なリダイレクトであるhttp://*.id.opendns.comを使用します。  このリダイレクトは、グローバルに一意なDNSルックアップを生成するために必要です。  この一意のDNSにより、トラフィックをDNSレイヤで認証し、正しいユーザ、デバイス、ネットワークIDを決定できます。

Meraki MXコンテンツフィルタリングは、独自のレピュテーションチェックを実行します。http://*.id.opendns.comにアクセスすると、Meraki MXコンテンツフィルタリングは同じドメインに対して重複DNSルックアップを生成する可能性があり、これによりこの認証プロセスが中断されます。そのため、Cisco Umbrellaは正しいユーザ、デバイス、ネットワークIDを判別できません。

この問題が発生しても、Cisco Umbrellaでコンテンツ/セキュリティブロックが適用されるのを妨げることはなく、正しいブロックページのテキスト、ロゴ、カスタマイズが表示されることはありません。

別の原因

この動作は、オンプレミスのHTTP WebプロキシまたはWebフィルタでも発生する可能性があります。HTTPプロキシでUmbrella DNSを使用するには、必須の設定手順が必要です。

例：Policy-Debug

この問題のインジケータは、https://policy-debug.checkumbrella.com/の情報に誤った組織IDが示されている場合です。IDは、'0'、'2'、または予期される組織に関連付けられていないIDとして表示できます。

[GENERAL]
Org ID: 0. <<<<<. Incorrect Org ID
Bundle ID: XXXX
Origin ID: XXXX
Other origins: 
Host: policy-debug.checkumbrella.com
Internal IP: x.x.x.x
Time: Fri, 29 Sep 2023 16:16:22.182335 UTC 

例：インテリジェントプロキシ

この問題のインジケータは、顧客にインテリジェントプロキシのライセンスが付与されている場合でも、一部のサイト(http://proxy.opendnstest.comを含む)でiproxyサーバが予期しない「401」を返す場合です。サーバからエラーが返されます。

注：インテリジェントプロキシは、「灰色」または疑わしいレピュテーションが存在する一部のサイトでのみ使用されるため、特定の状況でのみ問題が発生します。

例：ブロックページ

この問題のインジケータは、ブロックページに組織固有のカスタマイズが表示されないことです。ブロックページは引き続き表示されますが、カスタムロゴ/テキストの代わりにデフォルトの「Cisco Umbrella」ブランドが含まれています。ブロックページバイパスユーザー/コードが見つかりません。

21399518458644