Migrar para cliente seguro com o módulo Umbrella (instalação manual)

Introdução

Este documento descreve como migrar para o Cisco Secure Client unified endpoint agent com o Umbrella Module.

Note: Essas informações agora estão disponíveis com mais detalhes na página de documentação Implantar o módulo Umbrella no Cisco Secure Client.

Propósito

À medida que a Umbrella evoluiu, aprimoramos nossos métodos de proteção de computadores em roaming. Em nossos esforços contínuos para inovar, apresentamos o Cisco Secure Client, que é baseado no AnyConnect e é nosso agente de endpoint unificado de próxima geração. Este novo cliente engloba todos os benefícios do cliente de roaming Umbrella, oferecendo uma solução de segurança mais avançada, incluindo um conjunto de módulos de serviço de segurança, desempenho superior e compatibilidade estendida. Ele integra a versão mais recente do módulo Umbrella, bem como muitos outros módulos.

Observe que a Cisco anunciou o fim da vida útil do Cisco AnyConnect em 2023 e do cliente de roaming Umbrella em 2024.Muitos clientes Umbrella já estão se beneficiando da migração para o Cisco Secure Client e você é incentivado a iniciar a migração o mais rápido possível para obter uma melhor experiência de roaming. 

Todos os clientes com licenças válidas e contratos de suporte Umbrella ativos estão qualificados a migrar para o Cisco Secure Client para obter o direito ao Umbrella Module, que inclui a mesma funcionalidade do recurso Umbrella Roaming Client, sem nenhum custo!

Este artigo aborda o processo de migração e todas as perguntas sobre o Cisco Secure Client.

Atualizando para o Cisco Secure Client

Esta seção aborda como migrar para o Cisco Secure Client.

Migração do AnyConnect

O Cisco Secure Client tem um mecanismo para detectar automaticamente uma instalação existente do AnyConnect, coletar a configuração a partir dela, migrar essas configurações para o Cisco Secure Client e, em seguida, desinstalar o cliente AnyConnect antigo. No entanto, pode haver casos de borda em que esse processo falha, por isso alguns clientes podem preferir desinstalar o AnyConnect eles mesmos antes de instalar o Cisco Secure Client.

Note: Desabilite todas as tarefas de instalação do AnyConnect em seu software de gerenciamento de endpoint para impedir que versões mais antigas do AnyConnect sejam reinstaladas.

Migrando do cliente de roaming Umbrella

Note: Clientes com licenças válidas e contratos de suporte Umbrella ativos que migram do cliente de roaming Umbrella são qualificados para migrar para o Cisco Secure Client apenas para o Módulo Umbrella.

O Cisco Secure Client tem um mecanismo para detectar automaticamente uma instalação existente do Umbrella Roaming Client, coletar a configuração a partir dele, migrar essas configurações para o Cisco Secure Client e, em seguida, desinstalar o antigo Umbrella Roaming Client. No entanto, pode haver casos de borda em que esse processo falha, por isso alguns clientes podem preferir desinstalar o cliente Umbrella Roaming sozinhos antes de instalar o Cisco Secure Client.

Note: Desabilite todas as tarefas de instalação do Umbrella Roaming Client no software de gerenciamento de ponto de extremidade para evitar que o Roaming Client seja reinstalado.

Instalando o Cisco Secure Client

1. Faça o download do Cisco Secure Client

Método 1: Painel do Umbrella 
Faça login no Umbrella Dashboard e navegue até Implantações > Computadores móveis. Clique no ícone de download do Roaming Client no canto superior direito e faça o download do pacote de pré-implantação apropriado para o seu sistema operacional.

Método 2: Software.cisco.com 
Faça login em software.cisco.com e navegue até a seção Secure Client 5. Faça o download do pacote de pré-implantação apropriado para o seu sistema operacional.

2. Clique duas vezes no aplicativo de arquivo Setup

     Essa janela é exibida:

17890872895892

3. Selecione apenas as opções Umbrella e Diagnostic e Ferramenta de relatório.

A seleção de Bloquear serviços de computador é opcional e impede que usuários e administradores possam alterar o estado dos serviços do Cisco Secure Client em um dispositivo.

Note: O módulo "Core & AnyConnect VPN" é instalado como um módulo principal obrigatório. Desmarcar a opção "Core & AnyConnect VPN" oculta a VPN da GUI. O serviço VPN (csc_vpnagent) ainda está sendo executado em segundo plano, mas a VPN não é exibida na GUI.

4. Clique em Instalar Selecionado para instalar os módulos.
Essas janelas são exibidas quando você inicia o Cisco Secure Client:

27072090674324

5. Neste momento, o Cisco Secure Client detecta e desinstala o Umbrella Roaming Client. Aguarde um tempo para que isso seja concluído.

Instalação do Umbrella Profile

O perfil Umbrella (OrgInfo.json) é automaticamente detectado de sua instalação anterior do Cliente de roaming ou do AnyConnect e importado para o Cliente seguro. 

No entanto, para novas instalações, é essencial implantar o perfil Umbrella (OrgInfo.json) no endpoint.  Esse arquivo identifica exclusivamente sua organização Umbrella e permite que o cliente se registre na nuvem Umbrella. Essa etapa é necessária se você estiver instalando em um dispositivo sem o Cisco AnyConnect ou se estiver migrando do cliente de roaming Umbrella: 

• Faça o download do perfil do módulo OrgInfo.json de seu painel em Implantações > Identidades principais > Computadores em roaming > Cliente em roaming e clique em Download no canto superior direito.
• Escolha Download Module Profile.
• Após o download, copie o arquivo Orginfo.json para o local especificado aqui:

C:\ProgramData\Cisco\Cisco Secure Client\Umbrella\OrgInfo.json (Windows/opt/cisco/secureclient/umbrella/OrgInfo.json (OSX)

Implantação em Massa

O Secure Client (incluindo o módulo Umbrella e o perfil) pode ser implantado em massa usando ferramentas de gerenciamento de endpoint (como UEM, MDM, RMM). Consulte estes artigos:

•  Instalação da linha de comando e referência RMM (Windows)

Personalização

• Personalizar as instalações macOS do Secure Client (OSX)
• Personalizar as instalações do Windows do Secure Client

Estrutura do diretório

Os locais do diretório foram alterados com o Cisco Secure Client.

Diretórios do Cisco Secure Client

Windows

Executável

C:\Program Files (x86)\Cisco\Cisco Secure Client

Diretório de dados de guarda-chuva

C:\ProgramData\Cisco\Cisco Secure Client\Umbrella\

MacOS

Executável

/Applications/Cisco/Cisco Secure Client.app

Diretório de dados de guarda-chuva

/opt/cisco/secureclient/umbrella/

Perguntas mais freqüentes 

P: Podemos continuar com o cliente Umbrella Roaming?

R: A data de término da vida útil do cliente Umbrella Roaming é 2 de abril de 2024. Você pode continuar a usá-lo depois dessa data, e a Cisco continua a oferecer suporte e soluções para problemas críticos e vulnerabilidades por um ano até 2 de abril de 2025. No entanto, todos os novos aprimoramentos e inovações são fornecidos apenas no Cisco Secure Client. Após 2 de abril de 2025, qualquer novo registro de dispositivo para o cliente de roaming Umbrella será restrito. Os clientes que ainda usam o cliente de roaming Umbrella nesse momento não recebem mais suporte ou atualizações.

P: O módulo Umbrella é o mesmo que o módulo de segurança de roaming? 

R: Sim, o Umbrella Module é apenas o novo nome simplificado do Roaming Security Module.

P: Já temos um agente VPN de terceiros. Não queremos instalar o módulo VPN. Isso é uma opção?

R: O módulo VPN é instalado como um módulo principal. No entanto, não é necessário configurar ou usar o módulo VPN. No entanto, você tem a opção de ocultar o módulo VPN da GUI. Basta desmarcar a opção "Core & AnyConnect VPN" durante a instalação para ocultar a VPN da GUI. O serviço VPN (csc_vpnagent) ainda é executado em segundo plano, mas a VPN não é exibida na GUI. Consulte o artigo da Base de Dados de Conhecimento para obter informações adicionais sobre como ocultar o módulo VPN: https://support.umbrella.com/hc/en-us/articles/18211951038740-How-to-hide-the-VPN-module-in-Cisco-Secure-Client-Windows   

P: Eu só preciso de segurança da camada DNS. Ainda preciso atualizar?

R: Sim, e você ainda pode usar sua assinatura somente DNS com o novo módulo Cisco Secure Client e Umbrella. Todos os clientes têm direito ao módulo Umbrella do Cisco Secure Client. O módulo VPN é um módulo central e está instalado, no entanto, você não precisa usá-lo e tem a opção de ocultá-lo na interface do usuário.

P: Onde posso obter uma cópia do Cisco Security Client?

R:

Método 1: Painel do Umbrella 
Faça login no Umbrella Dashboard e navegue até Implantações > Computadores móveis. Clique no ícone de download do Roaming Client no canto superior direito e faça o download do pacote de pré-implantação apropriado para o seu sistema operacional.

Método 2: Software.cisco.com 
Faça login em software.cisco.com e navegue até a seção Secure Client 5. Faça o download do pacote de pré-implantação apropriado para o seu sistema operacional.

Note: Para concluir o download, você precisa fazer login usando uma conta válida da Cisco.

P: Tenho uma assinatura do Umbrella, mas não tenho nenhuma licença do Cisco Secure Client. Ainda posso atualizar para o Cisco Secure Client?

R: Todos os clientes com licenças válidas e contratos de suporte Umbrella ativos estão qualificados a migrar para o Cisco Secure Client para obter o direito ao Umbrella Module, que inclui todos os recursos do Umbrella Roaming Client, sem nenhum custo!

P: Quais são as diferenças arquitetônicas entre os clientes?

R:

Abordagem de cliente de roaming Umbrella

O Umbrella Roaming Client usa um adaptador de loopback para inspecionar todas as solicitações enviadas aos servidores DNS especificados nas configurações DNS dos adaptadores de rede de um computador. Isso exige que o cliente de roaming redefina o servidor DNS em todos os adaptadores para usar 127.0.0.1, o endereço de loopback de localhost. 

A desvantagem dessa abordagem é que alguns clientes VPN entram em conflito com essa configuração, seja exigindo que a configuração corresponda ao que foi definido pelo administrador ou impedindo que um resolvedor de DNS seja executado em 127.0.0.1. 

Como alternativa, alguns clientes VPN também substituem as configurações DNS de um adaptador por valores VPN, substituindo o endereço do servidor DNS do cliente de roaming de 127.0.0.1 em vez dos valores originais. Isso pode fazer com que o Umbrella Roaming Client e o pacote de software conflitante não funcionem como projetado, ou causar um cenário de falha de DNS completo onde as configurações de DNS definidas são perdidas na conexão ou desconexão.

Abordagem do Cisco Secure Client

Com o Cisco Secure Client, o Umbrella é um módulo que pode ser instalado. Este módulo pode controlar o adaptador sem alterar as configurações DNS na interface, evitando conflitos de alteração de DNS. O Cisco Secure Client usa um driver de kernel, que intercepta as solicitações DNS em um nível muito mais baixo no sistema operacional. Esse mecanismo mais sofisticado tem a vantagem de não exigir que o tráfego de todos os adaptadores passe pelo endereço de loopback, para que as configurações originais de DNS sejam mantidas. Essa diferença de arquitetura significa que o módulo Umbrella pode manter uma compatibilidade muito maior com outros softwares quando comparado ao Umbrella Roaming Client.

P: O módulo Umbrella para Cisco Secure Client tem problemas de compatibilidade conhecidos?

R:O Cisco Secure Client baseia-se na arquitetura do AnyConnect, que é muito mais amplamente compatível do que o Umbrella Roaming Client antigo. Em alguns casos raros, ações adicionais são necessárias para que o módulo Umbrella funcione com software de terceiros. Você pode ler mais informações neste artigo: 

Compatibilidade de software - Módulo Umbrella para Cisco Secure Client (e AnyConnect legado) 

P: Temos instalações de cliente AnyConnect e Umbrella Roaming existentes. Precisamos desinstalar manualmente ambos e instalar o Cisco Secure Client com os módulos AnyConnect e Umbrella?

R: Não, o processo de instalação do Secure Client foi projetado com um processo de atualização simples. O instalador move automaticamente o Orginfo.json para as pastas Secure Client e também desinstala o AnyConnect e o cliente Umbrella Roaming ao mesmo tempo. Se você estava usando a funcionalidade de VPN do AnyConnect, ela é automaticamente transferida para o módulo de VPN do AnyConnect. 

P: Não vejo a interface do usuário do Cisco Secure Client após a instalação. Como sei se está funcionando?

Você pode confirmar se o Cisco Secure Client com o módulo Umbrella está funcionando acessando https://policy-debug.checkumbrella.com em seu navegador ou executando este comando:

nslookup -q=txt debug.opendns.com1

A saída contém informações exclusivas e relevantes para sua organização Umbrella, como sua OrgID.

P: Como encontro documentação de suporte para implantação usando minha ferramenta específica de MDM ou RMM?

R: RMMs e MDMs de terceiros não são oficialmente suportados pelo Cisco Umbrella. Como cortesia, fornecemos alguns exemplos na página do KB em https://support.umbrella.com/hc/en-us/articles/18584514390932. No entanto, eles não são suportados e são fornecidos "como estão". Se tiver dúvidas sobre a validade ou adequação para a implantação, entre em contato com o fornecedor de RMM ou MDM.

P: Depois de implantar o Cisco Secure Client com o Umbrella Module, como posso mantê-lo atualizado? Ele é atualizado automaticamente? 

R: Para obter mais informações sobre como manter o Cisco Secure Client e o Umbrella Module atualizados, consulte este artigo do KB:

Mantendo o Cisco Secure Client atualizado