はじめに
このドキュメントでは、UmbrellaローミングクライアントとBlueCoat Webfilter/K9の間の互換性を設定する方法について説明します。
概要
この記事では、UmbrellaローミングクライアントとBlueCoatがインストールされているコンピュータについて説明します。この記事では、マシンにインストールされたBlueCoatろ過剤の使用について説明します。これは、PACまたはプロキシ設定と一致する場合があります。
AnyConnectのUmbrellaローミングクライアントとUmbrellaローミングセキュリティモジュールは、現在、DNSの制御を試みるBlueCoatソフトウェアベースのフィルタリングと互換性がありません。
影響を受けるソフトウェア
- Cisco AnyConnect Umbrella Roamingセキュリティモジュール
- Umbrellaローミングクライアント
症状
2.2.150より前のAnyConnect Roaming ModuleおよびRoaming Client
ローミングクライアントまたはローミングモジュールがアクティブな場合、すべてのDNSが失敗したように見えます。この結果、マシン上でのユーザビリティが損なわれ、Webリソースにアクセスできなくなります。具体的には、Aレコードに対するDNS要求はすべて失敗しますが、AAAAやTXTなどのその他のレコードタイプは成功します。
ローミングクライアントがアンインストールされるか、一時的に停止すると、通常のネットワーク動作に戻ります。
Aレコードのみが失敗するため、ローミングクライアントはDNSの失敗を認識しません。そのため、クライアントはアクティブで暗号化されたままになります。
Roamingクライアント2.2.150以降
ローミングクライアントがアクティブの場合、クライアントは次のメッセージを表示してオープン状態にフェールオーバーします
「AまたはAAAA DNSクエリに対する潜在的な干渉を検出しました。システム上に問題を引き起こしているソフトウェアがある可能性があります。」
これは、A-Recordsを上書きするがTXTレコードは変更しない、ソフトウェアの新しい検出方法です。DNSの損失を防ぐため、この動作にフラグを付けて無効にします。
トラブルシューティング
現在この問題が発生しているかどうかを確認するには、次の点を確認します。
- これらのシナリオは、DNSの失敗（またはA-recordモードの無効化）につながります
- BlueCoatアクティブおよび：
- クライアントまたはモジュールのローミングは保護され、暗号化される
- クライアントまたはモジュールのローミングは保護され、暗号化されない
- BlueCoatプロセスが手動で強制終了されました（アンインストールされません）。 リダイレクトはアクティブですが、基になるプロキシはオフラインです。
- ローミングクライアントまたは保護されたモジュール
- ローミングクライアントがアンインストールまたは停止されました
- これらの結果は問題ありません
- ローミングクライアントまたはBlueCoatがアンインストールされたアクティブなモジュール（再起動後）
- BlueCoat Webフィルタがインストールされ、ローミングクライアントが実行されていない
DNSに障害が発生すると、すべてのAレコードが失敗しますが、BlueCoatと機能によってTXTレコードのリダイレクトが引き続き行われません。
根本原因と解決策
この互換性の問題の根本的な原因は2つあります。
- BlueCoatソフトウェアは、Aレコードのクエリ（Webページを表示するための最も一般的なDNSレコード）をリダイレクトして、これらのクエリにのみ応答できるようにします。このDNSはネットワークから外に出ることができますが、システムに応答できません。ローミングクライアントには、これを上書きする方法はありません。
- Roamingクライアントは、Umbrellaリゾルバに固有のTXTレコード応答をチェックすることで、DNSの可用性を判断します。BlueCoatはTXTレコードを適用していないため、ローミングクライアントのテストは、すべてのAレコードが失敗し始めた後も成功し続けます。このAレコードの失敗とTXTレコードの成功により、ローミングクライアントは暗号化されたままになり、BlueCoatソフトウェアで破損状態が効果的に永続化されます。
BlueCoatの選択的DNSプロキシのシステムでの低レベルでの適用は、ローミングクライアントとの直接互換性の問題を引き起こします。ユーザへの影響は、DNSおよびDNSに基づくWebブラウジング機能の損失です。
現時点での唯一の解決策は、DNSをリダイレクトし、代わりにUmbrellaベースのコンテンツ制限を使用するBlueCoatワークステーションソフトウェアの使用を中止することです。BlueCoatは、将来のDNS適用を無効にする機能を追加できます。
フィードバック