Cisco Umbrella WLAN

Cisco Umbrella WLAN について

Cisco Umbrella WLAN は、既知と緊急の両方の脅威を自動検出する、クラウド提供のネットワークセキュリティサービスをドメインネームシステム（DNS）レベルで提供します。

この機能により、マルウェア、ボットネットワーク、およびフィッシングが実際に悪意のある脅威になる前に、それらをホストしているサイトをブロックできます。

Cisco Umbrella WLAN を使用すると、次のことが可能です。

シングルポイントでのユーザーグループごとのポリシーの設定。
ネットワーク、グループ、ユーザー、デバイス、または IP アドレスごとのポリシーの設定。

ポリシーの優先順位は次のとおりです。
1. ローカルポリシー
2. AP グループ
3. WLAN
リアルタイムのビジュアルセキュリティアクティビティダッシュボードと集約レポート。
スケジュール設定と電子メールによるレポートの送信。
最大 60 のコンテンツカテゴリのサポートとカスタム許可リストエントリとブロックリストエントリを追加するためのプロビジョニング。

この機能は、次のシナリオでは機能しません。

アプリケーションまたはホストが、DNS を使用する代わりに IP アドレスを直接使用してドメイン名をクエリしている場合。
クライアントが Web プロキシに接続されていて、サーバーアドレスを解決するための DNS クエリを送信しない場合。

Cisco Umbrella アカウントへの組み込みワイヤレスコントローラの登録

はじめる前に

Cisco Umbrella のアカウントが必要です。
Cisco Umbrella からの API トークンが必要です。

組み込みワイヤレスコントローラは、Umbrella パラメータマップを使用して Cisco Umbrella サーバーに登録されます。Umbrella パラメータマップごとに API トークンが必要です。Cisco Umbrella は、組み込みワイヤレスコントローラのデバイス ID を使用して応答します。デバイス ID は、Umbrella パラメータマップ名と 1 対 1 でマッピングされています。

Cisco Umbrella ダッシュボードを使用した組み込みワイヤレスコントローラの API トークンの取得

Cisco Umbrella ダッシュボードで、[Device Name] に組み込みワイヤレスコントローラとその ID が表示されていることを確認します。

組み込みワイヤレスコントローラでの API トークンの適用

ネットワークに Cisco Umbrella の API トークンを登録します。

DNS クエリと応答

WLAN にデバイスを登録して Umbrella パラメータマップを設定すると、WLAN に接続しているクライアントからの DNS クエリが Umbrella DNS リゾルバにリダイレクトされるようになります。

（注）

これは、ローカルドメインの正規表現パラメータマップに設定されていないすべてのドメインに適用されます。

クエリと応答は、Umbrella パラメータマップの DNScrypt オプションに基づいて暗号化されます。

Cisco Umbrella の設定の詳細については、『Integration for ISR 4K and ISR 1100 – Security Configuration Guide』を参照してください。

制限事項と考慮事項

この機能の制限事項と考慮事項は次のとおりです。

デバイス登録が成功すると、ワイヤレス Cisco Umbrella プロファイルを WLAN や AP グループなどのワイヤレスエンティティに適用できます。
L3 モビリティの場合、Cisco Umbrella は常にアンカー組み込みワイヤレスコントローラで適用する必要があります。
DHCP 配下に 2 つの DNS サーバーが設定されている場合は、2 つの Cisco Umbrella サーバー IP が DHCP オプション 6 からクライアントに送信されます。DHCP 配下に 1 つの DNS サーバーだけが存在する場合は、DHCP オプション 6 の一部として 1 つの Cisco Umbrella サーバー IP のみが送信されます。

Cisco Umbrella WLAN の設定

組み込みワイヤレスコントローラで Cisco Umbrella を設定するには、次の作業を行います。

Cisco Umbrella ダッシュボードから API トークンを取得する必要があります。
Cisco Umbrella 登録サーバー（api.opendns.com）との HTTPS 接続を確立するためには、ルート証明書が必要です。crypto pki trustpool import terminal コマンドを使用して、digicert.com から組み込みワイヤレスコントローラにルート証明書をインポートする必要があります。

トラストプールへの CA 証明書のインポート

始める前に

ここでは、ルート証明書を取得して Cisco Umbrella 登録サーバとの HTTPS 接続を確立する方法について詳しく説明します。

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

Device# configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

次のいずれかの作業を実行します。

crypto pki trustpool import url url

Device(config)# crypto pki trustpool import 
url http://www.cisco.com/security/pki/trs/ios.p7b

シスコの Web サイトからルート証明書を直接インポートします。

（注）

Trustpool バンドルには、他の CA 証明書とともに digicert.com のルート証明書が含まれています。

crypto pki trustpool import terminal
```
Device(config)# crypto pki trustpool import terminal
```
import terminal コマンドを実行して、ルート証明書をインポートします。

次の場所で入手できる PEM 形式の CA 証明書を入力します。「関連情報」の項を参照して、CA 証明書をダウンロードしてください。

digicert.com から CA 証明書を貼り付けて、ルート証明書をインポートします。

ステップ 3

quit

例:

Device(config)# quit

quit コマンドを入力して、ルート証明書をインポートします。

（注）

証明書のインポートが完了すると、メッセージが届きます。

ローカルドメインの正規表現パラメータマップの作成

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

Device# configure terminal

グローバル設定モードを開始します。

ステップ 2

parameter-map type regex parameter-map-name

例:

Device(config)# parameter-map type regex dns_wl

正規表現パラメータマップを作成します。

ステップ 3

pattern regex-pattern

例:

Device(config-profile)# pattern www.google.com

照合する正規表現パターンを設定します。

（注）

次のパターンがサポートされています。

.* で始まる。例：.*facebook.com
.* で始まり、*で終わる。例：.*google*
* で始まる。例：*facebook.com
* で始まり、* で終わる。例：*google*
* で終わる。例：www.facebook*
特殊文字なし。例：www.facebook.com

ステップ 4

end

例:

Device(config-profile)# end

特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバルコンフィギュレーションモードを終了できます。

WLAN でのパラメータマップ名の設定（GUI）

手順

ステップ 1	[Configuration] > [Tags & Profiles] > [Policy] を選択します。
ステップ 2	[Policy Profile Name] をクリックします。[Edit Policy Profile] ウィンドウが表示されます。
ステップ 3	[Advanced] タブを選択します。
ステップ 4	[Umbrella] 設定で、[Umbrella Parameter Map] ドロップダウンリストからパラメータマップを選択します。
ステップ 5	[Flex DHCP Option for DNS] および [DNS Traffic Redirect]トグルボタンを有効または無効にします。
ステップ 6	[Update & Apply to Device] をクリックします。

Umbrella パラメータマップの設定

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 2	parameter-map type umbrella global 例: `Device(config)# parameter-map type umbrella global`	Cisco Umbrella グローバルパラメータマップを作成します。
ステップ 3	token `token-value` 例: `Device(config-profile)# token 5XXXXXXXXCXXXXXXXAXXXXXXXFXXXXCXXXXXXXX`	Umbrella トークンを設定します。
ステップ 4	local-domain `regex-parameter-map-name` 例: `Device(config-profile)# local-domain dns_wl`	ローカルドメインの正規表現パラメータマップを設定します。
ステップ 5	resolver { IPv4 `X.X.X.X` \| IPv6 `X:X:X:X::X`} 例: `Device(config-profile)# resolver IPv6 10:1:1:1::10`	エニーキャストアドレスを設定します。特定のアドレスが設定されていない場合はデフォルトのアドレスが適用されます。
ステップ 6	end 例: `Device(config-profile)# end`	特権 EXEC モードに戻ります。

DNScrypt の有効化または無効化（GUI）

手順

ステップ 1	[Configuration] > [Security] > [Threat Defence] > [Umbrella] を選択します。
ステップ 2	Cisco Umbrella から受け取った [Registration Token] を入力します。または [Click here to get your Token] をクリックして、Cisco Umbrella からトークンを取得することもできます。
ステップ 3	フィルタリングから除外する [Whitelist Domains] を入力します。
ステップ 4	[Enable DNS Packets Encryption] チェックボックスをオンまたはオフにして、DNS パケットを暗号化または復号します。
ステップ 5	[Apply] をクリックします。

DNScrypt の有効化または無効化

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 2	parameter-map type umbrella global 例: `Device(config)# parameter-map type umbrella global`	Umbrella グローバルパラメータマップを作成します。
ステップ 3	[no] dnscrypt 例: `Device(config-profile)# no dnscrypt`	DNScrypt を有効または無効にします。デフォルトでは、DNScrypt オプションは有効です。
ステップ 4	end 例: `Device(config-profile)# end`	特権 EXEC モードに戻ります。

UDP セッションのタイムアウトの設定

手順

コマンドまたはアクション目的

ステップ 1

configure terminal

例:

Device# configure terminal

グローバルコンフィギュレーションモードを開始します。

ステップ 2

parameter-map type umbrella global

例:

Device(config)# parameter-map type umbrella global

Umbrella グローバルパラメータマップを作成します。

ステップ 3

udp-timeout timeout_value

例:

Device(config-profile)# udp-timeout 2

UDP セッションのタイムアウト値を設定します。

timeout_value の範囲は 1 ～ 30 秒です。

（注）

public-key および resolver パラメータマップオプションには、デフォルト値が自動的に入力されます。したがって、変更する必要はありません。

ステップ 4

end

例:

Device(config-profile)# end

特権 EXEC モードに戻ります。

WLAN でのパラメータマップ名の設定（GUI）

手順

ステップ 1	[Configuration] > [Tags & Profiles] > [Policy] を選択します。
ステップ 2	[Policy Profile Name] をクリックします。[Edit Policy Profile] ウィンドウが表示されます。
ステップ 3	[Advanced] タブを選択します。
ステップ 4	[Umbrella] 設定で、[Umbrella Parameter Map] ドロップダウンリストからパラメータマップを選択します。
ステップ 5	[Flex DHCP Option for DNS] および [DNS Traffic Redirect]トグルボタンを有効または無効にします。
ステップ 6	[Update & Apply to Device] をクリックします。

WLAN でのパラメータマップ名の設定

手順

	コマンドまたはアクション	目的
ステップ 1	configure terminal 例: `Device# configure terminal`	グローバルコンフィギュレーションモードを開始します。
ステップ 2	wireless profile policy `profile-name` 例: `Device(config)# wireless profile policy default-policy-profile`	WLAN のポリシープロファイルを作成します。 `profile-name` はポリシープロファイルのプロファイル名です。
ステップ 3	umbrella-param-map `umbrella-name` 例: `Device(config-wireless-policy)# umbrella-param-map global`	WLAN の Umbrella OpenDNS 機能を設定します。
ステップ 4	end 例: `Device(config-wireless-policy)# end`	特権 EXEC モードに戻ります。また、Ctrl+Z キーを押しても、グローバルコンフィギュレーションモードを終了できます。

Cisco Umbrella 設定の確認

Umbrella 設定の詳細を表示するには、次のコマンドを使用します。

Device# show umbrella config
Umbrella Configuration
========================
Token: 5XXXXXXABXXXXXFXXXXXXXXXDXXXXXXXXXXXABXX
API-KEY: NONE
OrganizationID: xxxxxxx
Local Domain Regex parameter-map name: dns_bypass
DNSCrypt: Not enabled
Public-key: NONE
UDP Timeout: 5 seconds
Resolver address:
1. 10.1.1.1
2. 5.5.5.5
3. XXXX:120:50::50
4. XXXX:120:30::30

Umbrella DNSCrypt の詳細を表示するには、次のコマンドを使用します。

Device# show umbrella dnscrypt
DNSCrypt: Enabled
   Public-key: B111:XXXX:XXXX:XXXX:3E2B:XXXX:XXXX:XXXE:XXX3:3XXX:DXXX:XXXX:BXXX:XXXB:XXXX:FXXX
   Certificate Update Status: In Progress

Umbrella グローバルパラメータマップの詳細を表示するには、次のコマンドを使用します。

Device# show parameter-map type umbrella global

正規表現パラメータマップの詳細を表示するには、次のコマンドを使用します。

Device# show parameter-map type regex <parameter-map-name>

AP の Umbrella の詳細を表示するには、次のコマンドを使用します。

AP#show client opendns summary
Server-IP role
208.67.220.220 Primary
208.67.222.222 Secondary

Server-IP role
2620:119:53::53 Primary
2620:119:35::35 Secondary

Wlan Id DHCP OpenDNS Override Force Mode
0 true false
1 false false
...

15 false false
Profile-name Profile-id
vj-1 010a29b176b34108
global 010a57bf502c85d4
vj-2 010ae385ce6c1256
AP0010.10A7.1000#

Client to profile command

AP#show client opendns address 50:3e:aa:ce:50:17
Client-mac Profile-name
50:3E:AA:CE:50:17 vj-1
AP0010.10A7.1000#

Cisco Embedded Wireless Controller on Catalyst Access Points IOS XE Bengaluru 17.6.x コンフィギュレーションガイド

偏向のない言語

翻訳について

検索結果

章のタイトル： Cisco Umbrella WLAN

Cisco Umbrella WLAN

Cisco Umbrella WLAN について

Cisco Umbrella アカウントへの 組み込みワイヤレスコントローラの登録

はじめる前に

Cisco Umbrella ダッシュボードを使用した 組み込みワイヤレスコントローラの API トークンの取得

組み込みワイヤレスコントローラでの API トークンの適用

DNS クエリと応答

制限事項と考慮事項

Cisco Umbrella WLAN の設定

トラスト プールへの CA 証明書のインポート

始める前に

手順

例:

例:

ローカル ドメインの正規表現パラメータ マップの作成

手順

例:

例:

例:

例:

WLAN でのパラメータ マップ名の設定（GUI）

手順

Umbrella パラメータ マップの設定

手順

例:

例:

例:

例:

例:

例:

DNScrypt の有効化または無効化（GUI）

手順

DNScrypt の有効化または無効化

手順

例:

例:

例:

例:

UDP セッションのタイムアウトの設定

手順

例:

例:

例:

例:

WLAN でのパラメータ マップ名の設定（GUI）

手順

WLAN でのパラメータ マップ名の設定

手順

例:

例:

例:

例:

Cisco Umbrella 設定の確認

このドキュメントは役に立ちましたか?

シスコに問い合わせ

Cisco Umbrella アカウントへの組み込みワイヤレスコントローラの登録

Cisco Umbrella ダッシュボードを使用した組み込みワイヤレスコントローラの API トークンの取得

トラストプールへの CA 証明書のインポート

ローカルドメインの正規表現パラメータマップの作成

WLAN でのパラメータマップ名の設定（GUI）

Umbrella パラメータマップの設定

WLAN でのパラメータマップ名の設定（GUI）

WLAN でのパラメータマップ名の設定