• Cisco Umbrella サブスクリプション ライセンスが利用可能である必要があります。https://umbrella.cisco.com/products/umbrella-enterprise-security-packages に移動し、[Request a quote] をクリックしてライセンスを取得します。

• デバイスはデフォルトのドメインネームシステム（DNS）サーバゲートウェイとして設定する必要があり、ドメインネームサーバのトラフィックはシスコデバイスを通過する必要があります。

• Umbrella サーバーへのデバイス登録に使用する通信は HTTPS 経由です。HTTPS 通信を行うには、デバイスにルート証明書がインストールされている必要があります。次のリンクを使用して証明書をダウンロードできます。https://www.digicert.com/CACerts/DigiCertSHA2SecureServerCA.crt

• シスコ産業用イーサネットスイッチは、Cisco IOS XE リリース 17.2.1 以降のソフトウェアイメージを実行します。

• Cisco Umbrella を有効にするには、シスコ産業用イーサネットスイッチに Cisco DNA Advantage 以上のライセンスが必要です。

次のネットワーク要件を満たす必要があります。

• デバイスをデフォルトの DNS サーバゲートウェイとして設定し、ドメインネームサーバ（DNS）トラフィックがシスコ産業用イーサネットスイッチを通過するようにします。

• Cisco Umbrella サーバへのデバイス登録に使用する通信は HTTPS 経由です。HTTPS 通信を行うには、ルータにルート証明書がインストールされている必要があります。この証明書をペーストする代わりに、次のリンクから証明書を直接ダウンロードすることができます。

  https://www.digicert.com/CACerts/DigiCertSHA2SecureServerCA.crt

• 最初の登録の場合、「umbrella out」として設定されたインターフェイスは、最初の登録を完了するために、ポート 443 を介して api.opendns.com にアクセスできる必要があります。

• Cisco Umbrella 統合は、次のシナリオでは機能しません。

  • アプリケーションまたはホストが、DNS の代わりに IP アドレスを使用してドメイン名をクエリしている場合。

  • クライアントが Web プロキシに接続されていて、サーバアドレスを解決するための DNS クエリを送信しない場合。

  • DNS クエリがシスコスイッチデバイスによって生成される場合。

  • DNS クエリが TCP 経由で送信される場合。

  • DNS クエリに、アドレスマッピングとテキスト以外のレコードタイプがある場合。

• DNSv6 クエリはサポートされていません。

• DNS64 および DNS46 拡張はサポートされていません。

• 拡張 DNS は、ホストの IPv4 アドレスのみを伝達し、IPv6 アドレスは伝達しません。

• ポートチャネルでの Cisco Umbrella 設定はサポートされていません

• Cisco Umbrella は、10G アップリンクポートを送信専用として使用するように設定できます。

• Cisco Umbrella インターフェイスを経由する DNS トラフィックの DSCP マーキングは行われません。これは、Cisco Umbrella インターフェイス上のすべてのパントされたトラフィックに適用されます。

• Cisco Umbrella インターフェイスの場合、すべての送信 ACL ルールは DNS トラフィックに影響を及ぼしません。これは、DNS の CPU 処理されるトラフィックに適用されます。

• DNS パケットのフラグメンテーションはサポートされていません。

• QinQ およびセキュリティグループタグ（SGT）パケットはサポートされていません。

• Cisco Umbrella の統合ポリシーによって DNS クエリがブロックされると、クライアントは Cisco Umbrella ブロックページにリダイレクトされます。これらのブロックページは、HTTPS サーバによって提供され、IP アドレス範囲は Cisco Umbrella ポータルによって定義されます。

• ユーザ認証とアイデンティティは、現在サポートされていません。

• Cisco Umbrella Connector は、悪意のあるトラフィックに関する既知の IP アドレスのリストを保持します。Cisco Umbrella ローミングクライアントは、これらのアドレスが宛先のパケットを検出すると、各アドレスを Cisco Umbrella クラウドに転送して、さらに検査します。

• 現在、直接クラウドアクセスはサポートされていません。

• 更新されたリゾルバ IP は有効になりません。DNS トラフィックは、ユーザが設定したリゾルバ IP に関係なく、Cisco Umbrella クラウドにリダイレクトされます。

• ネットワークアドレス変換（NAT）は、Cisco Umbrella が有効になっているインターフェイスではサポートされません。

Cisco Umbrella 統合の設定を表示および確認するには、次のコマンドを任意の順序で使用します。

Device# show umbrella config
Umbrella Configuration
========================
Token: EB74330C50767B6A63770EA6C3408DCF00282D8E
API-KEY: NONE
OrganizationID: 2633102
Local Domain Regex parameter-map name: NONE
DNSCrypt: Enabled
Public-key: B735:1140:206F:225D:3E2B:D822:D7FD:691E:A1C3:3CC8:D666:8D0C:BE04:BFAB:CA43:FB79
UDP Timeout: 5 seconds
Resolver address:
1. 208.67.220.220
2. 208.67.222.222
3. 2620:119:53::53
4. 2620:119:35::35
Umbrella Interface Config:
Number of interfaces with "umbrella out" config: 1
1. GigabitEthernet1/4
Mode : OUT
VRF : global(Id: 0)
Number of interfaces with "umbrella in" config: 2
1. GigabitEthernet1/9
Mode : IN
DCA : Disabled
Tag : IE_uniquetag
Device-id : 010a424c1597fe09
VRF : global(Id: 0)
2. GigabitEthernet2/3
Mode : IN
DCA : Disabled
Tag : IE_tag_2
Device-id : 010adaf012a36ad6
VRF : global(Id: 0)
Configured Umbrella Parameter-maps:
1. global

Device# show umbrella deviceid

Device registration details
Interface Name Tag Status Device-id
GigabitEthernet1/9 IE_uniquetag 200 SUCCESS 010a424c1597fe09
GigabitEthernet2/3 IE_tag_2 200 SUCCESS 010adaf012a36ad6

Device#show umbrella dnscrypt
DNSCrypt: Enabled
Public-key: B735:1140:206F:225D:3E2B:D822:D7FD:691E:A1C3:3CC8:D666:8D0C:BE04:BFAB:CA43:FB79
Certificate Update Status:
Last Successfull Attempt: 20:01:18 IST Dec 17 2019
Certificate Details:
Certificate Magic : DNSC
Major Version : 0x0001
Minor Version : 0x0000
Query Magic : 0x7163373861576F6F
Serial Number : 1574811744
Start Time : 1574811744 (05:12:24 IST Nov 27 2019)
End Time : 1606347744 (05:12:24 IST Nov 26 2020)
Server Public Key : 88B4:E44B:35E9:64B4:90BD:DABA:E825:A24B:0415:A08B:E19D:7DDB:87A3:3CD7:7EDF:8E2F
Client Secret Key Hash: 0FB9:520E:5228:FB2C:D521:1E9E:2ACB:AC3D:B520:A795:F54C:C608:604B:A410:17F1:1284
Client Public key : E42F:507E:F052:72DD:1BC8:4857:2AE0:2F9F:ED87:1687:AAE4:095D:D933:48F0:5D60:3662
NM key Hash : EDC3:25DD:4D21:103E:7E49:1EFA:75ED:4D6F:A450:107D:C6E8:1C41:9CF7:4039:FA89:2CED

Device# show umbrella deviceid detailed

Device registration details
1.GigabitEthernet1/9
Tag : IE_uniquetag
Device-id : 010a424c1597fe09
Description : Device Id recieved successfully
WAN interface : GigabitEthernet1/4
WAN VRF used : global(Id: 0)
2.GigabitEthernet2/3
Tag : IE_tag_2
Device-id : 010adaf012a36ad6
Description : Device Id recieved successfully
WAN interface : GigabitEthernet1/4
WAN VRF used : global(Id: 0)
 

Device# show platform software dns-umbrella statistics

========================================
Umbrella Statistics
========================================
Total Packets : 7848
DNSCrypt queries : 3940
DNSCrypt responses : 0
DNS queries : 0
DNS bypassed queries(Regex) : 0
DNS responses(Umbrella) : 0
DNS responses(Other) : 3906
Aged queries : 34
Dropped pkts : 0

次のコマンドを使用して、Cisco Umbrella 統合機能の設定に関連する問題をトラブルシューティングできます。

Windows マシンのコマンドプロンプト、または Linux マシンのターミナルウィンドウもしくはシェルから、nslookup -type=txt debug.opendns.com コマンドを実行します。nslookup -type=txt debug.opendns.com コマンドで指定する IP アドレスは、DNS サーバの IP アドレスである必要があります。

nslookup -type=txt debug.opendns.com 10.0.0.1
Server: 10.0.0.1
Address: 10.0.0.1#53
Non-authoritative answer:
debug.opendns.com text = "server r6.xx"
debug.opendns.com text = "device 010A826AAABB6C3D"
debug.opendns.com text = "organization id 1892929"
debug.opendns.com text = "remoteip 10.0.1.1"
debug.opendns.com text = "flags 436 0 6040 39FF000000000000000"
debug.opendns.com text = "originid 119211936"
debug.opendns.com text = "orgid 1892929"
debug.opendns.com text = "orgflags 3"
debug.opendns.com text = "actype 0"
debug.opendns.com text = "bundle 365396"
debug.opendns.com text = "source 10.1.1.1:36914"
debug.opendns.com text = "dnscrypt enabled (713156774457306E)"