Páginas de bloqueio inconsistentes após migração do Umbrella para Cisco Secure Access

Problema

Depois de migrar do Umbrella para o Cisco Secure Access (SSE) usando a ferramenta de migração, o tráfego da Web bloqueado é redirecionado de forma inconsistente para a página de bloqueio do Umbrella em vez da página de bloqueio do Cisco Secure Access. O problema ocorre com a defesa de DNS quando domínios diferentes disparam regras de bloqueio, resultando em diferentes páginas iniciais e expressões de motivo de bloqueio. Isso cria notificações de bloqueio de usuário final inconsistentes em toda a organização.

Os sintomas específicos observados incluem:

• As regras de bloqueio redirecionam os usuários para a antiga página de bloqueio do Umbrella em vez da nova página de bloqueio do Cisco Secure Access

• Domínios diferentes que disparam regras de bloqueio exibem páginas iniciais diferentes

• Texto de motivo de bloqueio inconsistente apresentado aos usuários finais

• O comportamento afeta a funcionalidade Defesa DNS após a migração

Ambiente

• Tecnologia: Cisco Secure Access (SSE)
• Migração: Guarda-chuva para SSE usando a ferramenta de migração
• Tipo de serviço: Defesa de DNS
• Implantação: Ambiente pós-migração
• Varredura na Web: Dispositivos FTD com varredura da Web habilitada

Resolução

A varredura da Web em dispositivos FTD interfere na renderização adequada de páginas iniciais personalizadas para o Cisco Secure Access. Para resolver esse problema, ignore a varredura da Web nos FTDs dos três domínios a seguir:

• opendns.com

• cisco-secure.com

• sse.cisco.com

Essa solução alternativa permite que as páginas iniciais personalizadas do Cisco Secure Access sejam renderizadas corretamente, em vez de exibir as páginas de bloqueio do Umbrella legado.

Etapas de verificação

Para verificar a eficácia da resolução:

Passo 1: Executar testes de política para domínios que anteriormente mostraram comportamento inconsistente

Passo 2: Verificar o comportamento da página de bloqueio após a implementação da solução

Confirme se o tráfego bloqueado agora exibe consistentemente a página de bloqueio do Cisco Secure Access em vez da página guarda-chuva herdada.

Passo 3: Validar texto de motivo de bloqueio consistente

Certifique-se de que todos os domínios bloqueados agora exibam mensagens de motivo de bloqueio uniformes alinhadas com os padrões do Cisco Secure Access.

Causa

O problema é causado pela funcionalidade de varredura da Web em dispositivos FTD que interferem na renderização adequada das páginas iniciais personalizadas do Cisco Secure Access. Quando a digitalização pela Web está habilitada em FTDs, ela impede a exibição correta das novas páginas de bloqueio, fazendo com que o sistema retorne às páginas de bloqueio do Umbrella herdadas. Isso cria experiências de usuário inconsistentes, em que domínios diferentes podem acionar diferentes formatos de página de bloqueio.

A equipe de engenharia identificou isso como um problema no nível do projeto que requer alterações da perspectiva do Talos. A arquitetura atual exige que a varredura da Web seja ignorada em relação a domínios específicos da Cisco para garantir a funcionalidade adequada da página inicial personalizada.

Conteúdo relacionado

• Suporte técnico e downloads da Cisco