Umbrella Roaming Client 및 F5 VPN 호환성 이해

소개

이 문서에서는 Cisco Umbrella Roaming Client와 F5 VPN 간의 호환성에 대해 설명합니다.

사전 요구 사항

요구 사항

이 문서에 대한 특정 요건이 없습니다.

사용되는 구성 요소

이 문서의 정보는 Cisco Umbrella Roaming Client를 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

소개

Umbrella 로밍 클라이언트는 다양한 네트워크 및 소프트웨어 컨피그레이션에서 사용할 수 있습니다. 이 문서에서는 F5 VPN 클라이언트와의 모든 알려진 호환성 항목을 다룹니다. 이 문서에서는 현재의 예상 탐지 동작으로 시작하여 F5 VPN 관련 호환성 메모에 대해 설명합니다.

Umbrella 클라이언트는 VPN 변경에 대응하여 DNS 기능이 유지되도록 자동화된 탐지 메커니즘을 구현했습니다. 이로 인해 VPN이 연결되는 동안 클라이언트가 일시적으로 보호되지 않은 상태로 유지될 수 있습니다. 자세한 내용은 Third-Party VPN Detection Heuristics with the Umbrella Roaming Client 문서를 참조하십시오.

F5 VPN 호환성

많은 컨피그레이션에서 F5 VPN은 VPN 서버를 NIC의 DNS에 미리 추가하여 비 VPN NIC에 VPN DNS 주소를 삽입하는 방식으로 작동합니다. 따라서 x.x.x.x의 로컬 DNS 컨피그레이션 및 y.y.y.y의 VPN 컨피그레이션의 경우 결과는 y.y.y.y, x.x.x.x입니다. 

Umbrella 로밍 클라이언트를 사용하면 배치된 127.0.0.1을 재정의합니다. F5 VPN이 무한 변경 루프로 손상되지 않도록 Umbrella는 127.0.0.1이 DNS 목록의 끝에 배치되거나 127.0.0.1에서 다시 빠르게 변경되면 리디렉션을 중지합니다. 

대부분의 경우 Umbrella는 AnyConnect 로밍 보안 클라이언트에 속하는 Umbrella 로밍 보안 모듈의 사용을 권장합니다. VPN은 구축할 필요가 없습니다(설치 시 사용자에게 표시에서 제거할 수 있음).

현재 F5 호환성은 완전한 기능을 갖춘 로컬 및 공용 DNS를 사용하는 성공적인 F5 VPN 연결로 정의됩니다. 이는 로밍 클라이언트가 보호되지 않은 상태로 정상 백오프하는 결과로 발생할 수 있습니다. F5를 사용하는 동안 Cisco Umbrella에 맞게 네트워크를 구성하여 네트워크 내 커버리지가 제대로 갖춰져 있는지 확인하십시오.

BigIP F5 VPN 클라이언트

BigIP F5 에지 클라이언트는 현재 가장 일반적인 F5 VPN 클라이언트입니다. 그러나 많은 구축에서 새로운 F5 클라이언트로 대체되고 있습니다.  이 문서에서는 F5 BigIP 클라이언트와의 알려진 모든 상호 운용성 문제를 다룹니다.

F5 DNS 릴레이 프록시

로밍 클라이언트는 F5 DNS 릴레이 프록시 서비스를 활성화하는 컨피그레이션에서 VPN 클라이언트 2.2+와 호환되지 않습니다. 이 릴레이 프록시는 스플릿 DNS 모드 및 DNS 기반 스플릿 터널링 모드에서 활성화하는 것으로 알려져 있습니다. 로밍 클라이언트에 정의된 DNS 이름에는 F5를 사용할 수 없습니다. 현재 F5 및 로밍 클라이언트와 함께 스플릿 터널링을 사용하려면 DNS 기반 스플릿 터널링이 아닌 IP 기반 스플릿 터널링을 사용하십시오. 또한 일부 컨피그레이션 및 버전에서는 DNS 릴레이 프록시가 활성화될 때 녹색으로 표시되더라도 Umbrella가 재정의될 수 있습니다.

스플릿 DNS 또는 DNS 기반 스플릿 터널링 설정 찾기

스플릿 DNS를 사용하는 F5 VPN 스플릿 터널링은 "DNS Address Space(DNS 주소 공간)" 설정 형식으로 나타납니다. 활성 상태일 때 로밍 클라이언트와 충돌하는 F5 고유의 DNS 프록시가 회전합니다. 증상은 로밍 클라이언트와 VPN이 모두 활성 상태일 때 A 레코드를 해결하지 못하는 것입니다. 작동 중인 컨피그레이션은 이 스크린샷을 참조하십시오.

가장 일반적인 중단 설정은 "*"입니다. 이 기능에 대한 자세한 내용은 F5 KB 문서: Windows DNS 릴레이 프록시 서비스 개요를 참조하십시오.

이 기능은 DNS 기반 스플릿 터널링에 가장 일반적으로 사용됩니다. 현재 F5를 사용하는 DNS 기반 스플릿 터널링은 Umbrella 로밍 클라이언트와 호환되지 않으며 여기에 설명된 컨피그레이션은 F5 DNS 프록시를 시작하지 않는 데 필요합니다.

현재 영구 솔루션은 AnyConnect 로밍 보안 모듈(Umbrella DNS 라이센스에 포함)의 형태로 존재할 수 있습니다. 장기적으로 Umbrella는 이러한 추가 DNS 모드에 대한 지원을 추가하는 것을 목표로 합니다. 그러나 F5 DNS 프록시를 사용하므로 지원이 제한될 수 있습니다.

일부 경우, 이는 로밍 클라이언트가 보호 및 암호화된 것을 표시하더라도 DNS가 F5로 이동하는 F5 DNS 프록시로 나타납니다. 네트워크 내에서 Umbrella를 사용하지 않는 한 welcome.umbrella.com에 대한 테스트 페이지는 실패할 수 있으며 가로채기 때문에 로밍 클라이언트를 DNS에 사용할 수 없습니다. 로밍 클라이언트는 완전히 작동하며 보호 상태를 보고할 수 있지만 시스템에서 DNS를 수신할 수는 없습니다. 이 경우 "F5 DNS 릴레이 프록시" 서비스(F5FltSrv.exe)를 중지하여 이 서비스가 작동하는지 확인해야 합니다.

새 F5 클라이언트

최근에는 새로운 F5 VPN 클라이언트를 사용하여 많은 F5 구축을 구축할 수 있습니다. Cisco Umbrella 팀은 이 새로운 클라이언트에 대한 제한된 정보를 가지고 있습니다. 그러나 Big-IP F5 클라이언트에 대해 존재하는 모든 조건은 새 F5 클라이언트에도 적용될 수 있습니다.