Inleiding
In dit document wordt beschreven hoe u compatibiliteit kunt configureren tussen de Umbrella-roamingclient en BlueCoat Webfilter/K9.
Overzicht
Dit artikel verwijst naar computers waarop de Umbrella roaming Client en BlueCoat zijn geïnstalleerd. Dit artikel verwijst naar het gebruik van een BlueCoat-filtermiddel dat op de machine is geïnstalleerd. Dit kan samenvallen met een PAC- of proxyconfiguratie.
De Umbrella-roamingclient en Umbrella Roaming Security Module in AnyConnect zijn momenteel niet compatibel met op BlueCoat-software gebaseerde filtering waarmee wordt geprobeerd DNS te bedienen.
Betrokken software:
- Cisco AnyConnect Umbrella Roaming-beveiligingsmodule
- Umbrella Roaming-client
Symptomen
AnyConnect-roamingmodule en roamingclient ouder dan 2.2.150
Wanneer de roamingclient of roamingmodule actief is, lijkt alle DNS te zijn mislukt. Dit veroorzaakt een duidelijk verlies van bruikbaarheid op de machine en een verlies van de mogelijkheid om toegang te krijgen tot webbronnen. Meer specifiek mislukken DNS-verzoeken naar een A-record; andere recordtypen zoals AAAA of TXT slagen echter.
Wanneer de roamingclient wordt verwijderd of tijdelijk wordt gestopt, wordt normaal netwerkgedrag geretourneerd.
De roamingclient herkent DNS niet omdat alleen A-records falen en de client daarom actief en gecodeerd blijft.
Roaming client 2.2.150 en nieuwer
Wanneer de roamingclient actief is, faalt de client in een open toestand met het bericht
"We hebben potentiële interferentie met A- en/of AAAA DNS-query's gedetecteerd; er kan software op het systeem zijn die problemen veroorzaakt."
Dit is een nieuwe detectiemethode voor software die A-Records overschrijft, maar TXT-records niet wijzigt. We markeren dit gedrag en schakelen dit uit om verlies van DNS te voorkomen.
Probleemoplossing
Als u wilt bevestigen of dit probleem zich momenteel voordoet, bevestigt u dat het waar is:
- Deze scenario's resulteren in falende DNS (of A-record modus uitschakelen)
- BlueCoat actief en:
- Roamingclient of -module beveiligd en gecodeerd
- Roamingclient of -module beveiligd en niet-gecodeerd
- BlueCoat-proces handmatig gedood (niet verwijderd). Redirection is actief, maar de onderliggende proxy is offline.
- Zwervende client of module beveiligd
- Zwervende client verwijderd of gestopt
- Dit resulteert in geen probleem
- De roamingclient of -module die actief is met BlueCoat is verwijderd (na opnieuw opstarten)
- Het BlueCoat-webfilter is geïnstalleerd en er wordt geen roamingclient uitgevoerd
Wanneer DNS faalt, mislukken alle A-records, maar TXT-records worden nog steeds niet omgeleid door BlueCoat en de functie.
Oorzaak en oplossing
De oorzaak van dit compatibiliteitsprobleem is tweeledig.
- De BlueCoat-software leidt A-recordquery's (de meest voorkomende DNS-records voor het bekijken van webpagina's) om zodat alleen deze query's kunnen worden beantwoord. Dit DNS kan het netwerk verlaten, maar het wordt voorkomen dat het reageert op het systeem. De roamende klant heeft geen manier om dit te negeren.
- De roamingclient bepaalt de DNS-beschikbaarheid door TXT-recordantwoorden te controleren die uniek zijn voor de Umbrella-resolvers. Aangezien BlueCoat geen TXT-records afdwingt, blijven de tests van de roamende client succesvol, zelfs nadat alle A-records beginnen te mislukken. Deze recordfout en het succes van TXT-records zorgen ervoor dat de roamingclient gecodeerd blijft, waardoor een gebroken toestand met de BlueCoat-software effectief wordt bestendigd.
De selectieve DNS-proxy-handhaving van de BlueCoat op een laag niveau in het systeem veroorzaakt een direct compatibiliteitsprobleem met de roamingclient. De impact van de gebruiker is een verlies van DNS en web browsing vermogen op basis van DNS.
De enige oplossing op dit moment is om het gebruik van de BlueCoat-workstationsoftware die DNS omleidt te stoppen en in plaats daarvan op Umbrella gebaseerde inhoudsbeperkingen te gebruiken. BlueCoat kan een mogelijkheid toevoegen om DNS-handhaving op een later tijdstip uit te schakelen.
Feedback