Inleiding
In dit document wordt beschreven hoe u veelvoorkomende problemen kunt oplossen waarbij een roamingclient is beveiligd maar zich niet gedraagt zoals verwacht.
Overzicht
Welkom bij de "mijn roamende klant" serie van kennisbank artikel. Deze serie biedt een interactieve reeks vragen als antwoord op veelvoorkomende uitdagingen voor roamingklanten.
Dit document is gericht op het scenario waarin de roamende client groen en beschermd is, maar zich niet gedraagt zoals verwacht. Dit document bevat veelgestelde vragen voor dit scenario die vaak worden gezien na de implementatie van roamingclients. De client installeert, maar gedraagt zich niet zoals verwacht.
De index "Mijn roamingclient":
- Mijn roamingclient wordt niet geactiveerd en...
- Mijn roamingclient zegt "Beveiligd", maar...
Veelvoorkomende problemen
Verken de mogelijkheden in elke subsectie, door het invullen van het lege veld "Mijn roamingclient zegt "Beveiligd" maar... __________":
Onbekend, onbeschermd
Als dit de huidige staat is, is dit artikel niet gericht op dit scenario! Dit is een onbeschermde staat waarin de klant zich nog niet heeft geregistreerd. Zie dit artikel over manieren waarop een proxy kan voorkomen dat een roamende klant zich registreert of contact opneemt met ons ondersteuningsteam voor hulp.
Geen sites geblokkeerd
De roamingclient meldt "Beveiligd" wanneer we 208.67.220.220 en 208.67.222.222 kunnen bereiken voor DNS boven UDP 53 of 443 of als de client is ingesteld om uit te schakelen vanwege een bekend beleid. Als de client een beveiligde modus rapporteert, maar er geen blokkades optreden, volgt u de volgende stappen:
- Controleer op een proxy. In het geval van een transparante of expliciete proxy wordt de DNS die op de computer is opgelost opnieuw aangevraagd en overschreven door de proxyserver. Een paraplu gebruiken met een proxy?
- Een software-DNS-proxy van derden overheerst de DNS-reacties van de roamende client
- Er wordt een ander beleid gevoerd dan verwacht. Bekijk hier hoe u kunt bevestigen dat het verwachte beleid van toepassing is.
Onjuist beleid wordt toegepast
De zwervende client meldt "Beveiligd en gecodeerd" of "Beveiligd en transparant", maar het beleid voor zwervende clients is niet van toepassing:
- Valideren dat het clientgebaseerde roamingbeleid het winnende beleid is. Als u zich op het netwerk bevindt en het netwerk hoger in de beleidsorde staat dan de roamende klanten, is het beleid van toepassing. Zie dit artikel over het bepalen van welk beleid wordt toegepast of bezoek policy-debug.opendns.com voor meer informatie.
- Controleer op een proxy. In het geval van een transparante of expliciete proxy wordt de DNS die op de computer is opgelost opnieuw aangevraagd en overschreven door de proxyserver. De proxyserver die Umbrella gebruikt, zou alleen de dekking op basis van het uitgangsnetwerk toepassen. Een paraplu gebruiken met een proxy?
- De AnyConnect Roaming Security Module gebruiken? De zelfstandige roamingclient mag niet tegelijkertijd worden geïnstalleerd! Als zowel ERCService.exe als acumbrellaagent.exe gelijktijdig worden uitgevoerd, geeft dit aan dat beide zijn geïnstalleerd. Verwijder de zelfstandige Umbrella roaming-client en zorg ervoor dat de software niet opnieuw wordt geïnstalleerd.
Openbaar of alle DNS mislukt
In dit scenario krijgt alle DNS geen antwoord. Een nslookup in de opdrachtprompt of terminal tijden of onze fouten, en browsers melden DNS-problemen en niet aan pagina's te laden:
- Een externe DNS-proxy-software overheerst de DNS-reacties van de roamende client. Veel software overschrijven alleen "website destination" A-records, waardoor TXT-records vrij kunnen worden doorgegeven. Aangezien de roamingclient controleert op DNS-beschikbaarheid met TXT-records, wordt de roamingclient geactiveerd, zelfs als alle A-records niet Umbrella bereiken. Gecodeerde Umbrella DNS in combinatie met de achtergrondsoftware leidt vaak tot het niet verzenden van DNS A-records.
- Een firewall heeft ingebouwde DNS-bescherming of een "webbescherming" -service, die kan interfereren met Umbrella.
- Als dit met tussenpozen gebeurt, kan dit PAT / NAT-uitputting zijn. Door de toevoeging van de roamingclient is het aantal directe UDP-verbindingen uit het uitgaande netwerk van de werkstations toegenomen. Dit zorgt er met tussenpozen voor dat alleen DNS of al het webverkeer uitvalt. Zie voor meer informatie dit artikel over deze poortuitputting en hoe het wijzigen van de UDP-time-out of het valideren van uw UDP-verbindingslimiet kan helpen.
- De AnyConnect Roaming Security Module gebruiken? De zelfstandige roamingclient mag niet tegelijkertijd worden geïnstalleerd! Als zowel ERCService.exe als acumbrellaagent.exe gelijktijdig worden uitgevoerd, geeft dit aan dat beide zijn geïnstalleerd. Verwijder de zelfstandige Umbrella roaming-client en zorg ervoor dat de software niet opnieuw wordt geïnstalleerd.
Lokale DNS mislukt
In dit scenario mislukt elk openbaar record; domeinen op uw interne domeinlijst worden echter niet opgelost. Als de lokale DNS-servers rechtstreeks worden opgevraagd, wordt de query uitgevoerd.
- Wordt het domein niet toegevoegd aan uw interne domeinlijst? Opmerking: elk achtervoegsel voor een zoekopdracht wordt automatisch dynamisch toegevoegd aan de lokale lijst (niet aan de cloud). Elk domein dat niet in deze lijst staat, lost het probleem niet correct op. Een lokaal domein dat niet in de lijst staat, wordt weergegeven in uw Dashboard-rapportage. Elk domein in de lijst doet dat niet. Lees hier hoe lokale DNS werkt.
- Zijn de lokale DNS-servers correct? Controleer of de waarden die zijn opgeslagen in de roamingclient overeenkomen met uw verwachtingen. Controleer of elke vermelde server (zie locatie in dit document) het antwoord kan retourneren. Laten we er een kiezen om elk lokaal DNS-verzoek naar te sturen. Deze komen overeen met uw DHCP-lease of statische toewijzing. Zo niet, laat het ons weten door een ondersteuningszaak te openen.
- Mac: /var/lib/data/opendns/resolv_orig.conf
- PC: C:\ProgramData\OpenDNS\ERC\Resolver#-Name-of-NetworkAdaptor.conf
- Compatibiliteit met software of VPN. Doet het probleem zich alleen voor bij een VPN? Als dat zo is, zorg er dan voor dat de VPN niet beperkt waar DNS kan stromen of dat uw VPN niet op onze niet-ondersteunde lijst staat. Zie ons VPN-compatibiliteitsartikel voor meer informatie.
De client wordt offline weergegeven op het dashboard
Het synchronisatieproces van de roamende client is instrumenteel voor de clienttoestanden zoals weergegeven op het dashboard. De roamingclient wordt alleen geactiveerd wanneer:
- Ten minste één synchronisatie met onze synchronisatieserver (momenteel sync.hydra.opendns.com) is voltooid sinds het starten van de client
- Een van de Umbrella DNS-servers is beschikbaar op poort 443 of 53 UDP.
De status van het dashboard van de client wordt elke synchronisatie bijgewerkt (duurt momenteel maximaal 60 minuten). Hier zijn enkele mogelijke redenen waarom deze staten niet up-to-date zijn:
- De status van de client is gewijzigd sinds de laatste synchronisatie. Opmerking: de eerste synchronisatie bij het opstarten vindt plaats terwijl de client "offline" is of niet is beveiligd vanwege het vereiste dat de synchronisatie moet worden beveiligd.
- De client ondervindt intermitterende uitval van synchronisatie als gevolg van netwerkbeperkingen. Er kan een eerste synchronisatie hebben plaatsgevonden, maar daaropvolgende synchronisatie-updates mislukken, waardoor de client offline verschijnt.
- De computer is van netwerk gewisseld sinds de laatste start van de client. De computer werd bijvoorbeeld ingeschakeld in een bakkerijcafé met synchronisatietoegang en vervolgens zonder synchronisatietoegang in het bedrijfsnetwerk gebracht. De client blijft beveiligd/gecodeerd als DNS beschikbaar is, maar het Dashboard meldt dat de client offline is.
De computer meldt een waarschuwing dat er geen verbinding is
Wanneer u de zwervende client gebruikt, kunnen computers in bepaalde netwerkomgevingen een "gele driehoek"-indicator voor netwerkconnectiviteit weergeven, maar de netwerktoegang is volledig operationeel. Dit kan van invloed zijn op Microsoft-toepassingen zoals Outlook, omdat ze niet synchroniseren als de indicator wordt uitgeschakeld.
- Dit probleem is een bekende ontwerpbeperking in Windows. Om het permanent op te lossen:
- Windows 7/8: volg de instructies voor het hostbestand in dit document.
- Windows 10: Update naar versie 1709 of hoger en volg deze instructies om uw groepsbeleid of register te wijzigen om de oplossing van Microsoft te implementeren.
Het lokale DNS-item voor de computer verdwijnt
De roamende client stuurt elke DNS-query op transparante wijze door naar elk domein in uw lijst met interne domeinen. Bij het gebruik van de roamingclient ziet u meestal twee updates in plaats van één omdat we de DNS op het systeem wijzigen. In het geval dat het record verdwijnt:
- Lees dit artikel om een Microsoft-hotfix voor Windows 7 te implementeren om te voorkomen dat de record wordt verwijderd op het moment dat de client de beveiligde modus betreedt.
Feedback