De integratiestroom van de overkoepelende Active Directory onderzoeken

Inleiding

Dit document beschrijft de communicatiestroom tussen operationele componenten in een Cisco Umbrella Active Directory (AD)-integratie.

Achtergrondinformatie

Inzicht in de Active Directory-communicatiestroom kan helpen bij het oplossen van problemen en het garanderen van een correct geconfigureerde omgeving voordat deze wordt geïmplementeerd.

Communicatiestroom met Umbrella Active Directory-implementatie

Wanneer het AD Connector-script op een domeincontroller (DC) wordt uitgevoerd

Het Windows-script maakt een eenmalige verbinding van de Domain Controller (DC) naar de cloud op poort TCP/443 met behulp van HTTPS om de DC te registreren op het dashboard. Met deze registratie kan de connector de DC herkennen. Er wordt een oproep gedaan om te https://api.umbrella.com met specifieke parameters. Zodra het script met succes de DC registreert, wordt het weergegeven op het dashboard.

Problemen kunnen soms betrekking hebben op Root Certificate Updates op Windows. Om dit snel te bepalen, navigeert u naar Internet Explorer en wijst u de browser naar: https://api.umbrella.com/v2/OnPrem.Asset. Met deze actie wordt een foutbericht afgedrukt, zoals "1005 Missing API key". Als er certificaatfouten of waarschuwingen op die pagina worden weergegeven, moet u ervoor zorgen dat de nieuwste update voor basiscertificaten van Microsoft is geïnstalleerd.

Hoe de AD-connector communiceert

De AD-connector communiceert als volgt met de Umbrella Cloud-service of een Virtual Appliance:

• Connector naar de cloud

  De connector uploadt alle Active Directory (AD)-gegevens om de vijf minuten als er wijzigingen optreden, met behulp van een HTTPS-verbinding op poort 443 TCP. Alleen informatie over groepen, gebruikers en computers wordt geüpload. Er worden geen wachtwoorden geüpload en alle gebruikersinformatie wordt lokaal gehasht, waardoor de gegevens uniek zijn.

• Aansluiting op virtuele apparaten

  De connector stuurt voortdurend AD-gebeurtenissen naar de virtuele apparaten met poort 443 TCP (niet-gecodeerd). Dit is een eenrichtingscommunicatie; de apparaten communiceren niet terug naar de connectoren. Een verplichte voorwaarde is dat de connector en Virtual Appliance (VA) via een vertrouwd netwerk communiceren.

• Aansluiting op domeincontrollers

  De connector communiceert met alle domeincontrollers op dezelfde site met behulp van poorten 389 TCP en 3268 TCP/UDP voor LDAP-synchronisatie. De connector communiceert ook met de domeincontrollers via WMI/RPC. Poort 135 TCP is de standaard poort voor RPC en WMI. WMI gebruikt ook een willekeurig toegewezen poort tussen 1024 TCP en 65535 TCP voor Windows 2003 en ouder, of tussen 49152 TCP en 65535 TCP voor Windows 2008 en hoger. Vanaf versie 1.1.24 communiceert de connector ook met de domeincontroller via LDAPS (LDAP over SSL) via poorten 636 TCP en 3269 TCP.

Als er communicatieproblemen worden waargenomen, controleert u of er Layer-7-toepassingsproxy's zijn die gegevens kunnen blokkeren of laten vallen. Een veel voorkomend geval is de inspectiefunctie op Cisco-apparaten die werken op protocollen zoals DNS, HTTP of HTTPS. Raadpleeg voor meer informatie onze documentatie over het toepassen van Application Layer Protocol Inspection. 

Virtual Appliances (VA) naar de cloud

De virtuele apparaten communiceren vaak op poort 443 TCP naar api.umbrella.com, evenals naar 53 TCP/UDP voor DNS-query's of -sondes, en 22, 25, 53, 80, 443 of 4766 TCP om de ondersteuningstunnel op te zetten. De virtuele apparaten communiceren met de cloud via poorten 53 UDP/TCP, 443 TCP, 123 TCP en 80 TCP. Ze ontvangen gegevens van de connectoren op poort 443 TCP (geen HTTPS-verbinding), maar vereisen geen communicatie naar hen terug.