Inhoud

Inleiding

uitgeven

Oplossing

Hoofdoorzaak

Alternatieve oorzaken

Voorbeeld: Policy-Debug

Voorbeeld: Intelligente proxy

Voorbeeld: pagina's blokkeren

Inleiding

In dit document wordt beschreven hoe u problemen met incompatibiliteit tussen Meraki MX-inhoudsfiltering en Umbrella kunt oplossen.

uitgeven

Bij het gebruik van Meraki MX Content Filtering Powered by Cisco Talos kunnen klanten te maken krijgen met inconsistenties met sommige Umbrella DNS-filterfuncties.

- Onjuiste blokpagina (aangepaste blokpagina's niet toegepast)

- Functie voor het omzeilen van pagina's blokkeren niet weergegeven

- "401 Unauthorized"-fout voor sites die Intelligent Proxy gebruiken

- Policy-Debug tests tonen onjuiste Org / Oorsprong ID / BundleID

Oplossing

Sluit dit domein uit van de Meraki MX-contentfilterfunctie met behulp van de lijst "Toegestane URL" op het Meraki Dashboard.

id.opendns.com

De inhoudsfiltering wordt op deze plaatsen geconfigureerd op het Meraki Dashboard:

- In Beveiliging en SD-WAN > Inhoudfiltratie (globale instellingen)

- In Netwerkbreed > Groepsbeleid (Beleid dat kan worden toegewezen aan gebruikers of SSID's)

21399526244628

U kunt ook het filteren van Meraki-inhoud volledig uitschakelen (alle categorieblokken verwijderen) om alleen Umbrella-filtering te gebruiken.

Hoofdoorzaak

Cisco Umbrella gebruikt een wereldwijd unieke omleiding naar http://*.id.opendns.com wanneer het verkeer voor het eerst aankomt op onze Block Page Landers, Intelligent Proxy of Policy-Debug-sites.  Deze omleiding is nodig om een wereldwijd unieke DNS-lookup te genereren.  Deze unieke DNS stelt ons in staat om verkeer op de DNS-laag te verifiëren en op zijn beurt de juiste gebruikers-/apparaat-/netwerkidentiteit te bepalen.

Meraki MX Content Filtering voert zijn eigen reputatiecontroles uit. Wanneer de http://*.id.opendns.com wordt bezocht, kan de Meraki MX-inhoudsfiltering dubbele DNS-zoekopdrachten genereren voor hetzelfde domein, waardoor dit verificatieproces wordt onderbroken. Cisco Umbrella kan daarom niet de juiste gebruikers-/apparaat-/netwerkidentiteit bepalen.

Dit probleem verhindert niet dat Cisco Umbrella inhoud/beveiligingsblokken afdwingt, maar verhindert wel dat de juiste tekst/logo/aanpassing van de blokpagina wordt weergegeven.

Alternatieve oorzaken

Dit gedrag kan ook worden veroorzaakt door on-premise HTTP-webproxies of webfilters. Verplichte configuratiestappen zijn vereist voor het gebruik van Umbrella DNS met een HTTP-proxy.

Voorbeeld: Policy-Debug

Een indicator van dit probleem is wanneer de informatie op de https://policy-debug.checkumbrella.com/ een onjuiste Org ID toont. De ID kan worden weergegeven als '0', '2' of een ID die niet is gekoppeld aan de verwachte org.

[GENERAL]

Org ID: 0. <<<<<. Incorrect Org ID

Bundle ID: XXXX

Origin ID: XXXX

Other origins:

Host: policy-debug.checkumbrella.com

Internal IP: x.x.x.x

Time: Fri, 29 Sep 2023 16:16:22.182335 UTC

Voorbeeld: Intelligente proxy

Een indicator van dit probleem is wanneer de iproxy-server een onverwachte '401' retourneert voor sommige sites (waaronder http://proxy.opendnstest.com), zelfs wanneer de klant een licentie heeft voor Intelligente proxy. De fout wordt teruggestuurd van de server.

Opmerking: Intelligent Proxy wordt alleen gebruikt voor sommige sites die een 'grijze' of verdachte reputatie hebben, dus het probleem verschijnt alleen in specifieke omstandigheden.

Voorbeeld: pagina's blokkeren

Een indicator van dit probleem is wanneer de blokpagina geen organisatiespecifieke aanpassingen weergeeft. De blokpagina wordt nog steeds weergegeven, maar bevat de standaard 'Cisco Umbrella'-branding in plaats van aangepaste logo's / tekst. Blokpagina omzeilen van gebruikers/codes ontbreekt.

21399518458644