O módulo Umbrella não está interceptando o tráfego DNS no macOS quando coexiste com o Broadcom WSS (Web Security Service). Quando o agente WSS é configurado para interceptar portas da Web específicas, como 80 e 443, a funcionalidade de segurança do DNS do Umbrella não captura todas as consultas DNS. No entanto, quando o WSS é desativado, o Umbrella retoma a interceptação do tráfego DNS como esperado. Somente determinadas consultas DNS estão sendo processadas pelo Umbrella quando o WSS está habilitado, em vez de todo o tráfego DNS ser interceptado.
Esse problema foi analisado e determinado como uma limitação arquitetônica do macOS, onde a segurança DNS não pode coexistir com o WSS na arquitetura atual do macOS. Essa limitação se aplica às soluções de segurança Infoblox e Cisco Umbrella DNS.
A causa raiz está relacionada às limitações de proxy DNS do macOS:
Somente um proxy DNS pode estar ativo no sistema por vez devido às limitações do macOS
Se os resolvedores DNS estiverem vinculados às interfaces utunX ou aos resolvedores injetados por proxy, o macOS resolverá o DNS dentro do túnel, não via Umbrella
Quando outro NEDnsProxyProvider estiver ativo no sistema no macOS, o Umbrella não interceptará o tráfego DNS
Para verificar qual resolvedor de DNS está tendo prioridade no macOS, use o seguinte comando:
scutil --dns
Esse comando mostrará qual resolvedor está marcado como: Com escopo, complementar ou interface: utunX, ajudando a identificar conflitos de proxy DNS.
Para ambientes macOS, o WSS continuará a interceptar DNS sem qualquer Agente DNS separado. Para avançar com a cobertura de segurança do DNS, uma opção seria implementar o para suportar uma arquitetura de desvio passivo. Com essa abordagem, o provedor ignoraria completamente o fluxo, permitindo que o tráfego fosse processado como se não estivesse ativo.
O problema é causado por limitações arquitetônicas do macOS, em que apenas um NEDnsProxyProvider pode estar ativo no sistema de cada vez. Quando o Umbrella DNS Security e o Broadcom WSS estão instalados, eles competem pelo controle de proxy DNS, fazendo com que o WSS tenha prioridade e evitando que o Umbrella intercepte o tráfego DNS. Essa é uma limitação fundamental da pilha de rede macOS e afeta todas as soluções de segurança DNS, não apenas o Cisco Umbrella.
| Revisão | Data de publicação | Comentários |
|---|---|---|
1.0 |
20-May-2026
|
Versão inicial |