Contents

Introdução

Informações de Apoio

Problema e impacto

Recomendação

Introdução

Este documento descreve como habilitar o túnel de todos os DNS para o Cisco Secure Client com módulo Umbrella.

Informações de Apoio

A Cisco anunciou o fim da vida útil do Cisco AnyConnect em 2023 e do Umbrella Roaming Client em 2024. Consulte Fim da vida útil do AnyConnect Client Versão 4.x e Anúncio de fim da vida útil do Cisco Umbrella Roaming Client. Muitos clientes do Cisco Umbrella já estão se beneficiando da migração para o Cisco Secure Client, e você é encorajado a iniciar a migração o mais rápido possível para obter uma melhor experiência de roaming. Leia mais neste artigo da Base de conhecimento: Migrate to Secure Client with the Umbrella Module (Manual Install) (Migrar para cliente seguro com o módulo Umbrella (instalação manual).

O Cisco Secure Client (CSC) com o módulo Umbrella (anteriormente AnyConnect Roaming Security) foi projetado para funcionar com quase todos os modos CSC VPN sem necessidade de configuração adicional.

No entanto, considerações adicionais quando essas condições são verdadeiras:

- Split Tunneling está habilitado

- O recurso "Tunnel All DNS" está habilitado

Problema e impacto

Com a opção "Tunnel All DNS" habilitada, o tráfego DNS é interceptado no nível do kernel e bloqueado se não sair da interface VPN correta. Isso apresenta um problema para o módulo CSC se os resolvedores do Cisco Umbrella não fizerem parte da configuração do Túnel Dividido (Incluir).

O impacto desse problema é mínimo porque, por padrão, o módulo CSC usa DNS criptografado (porta UDP 443), que não é bloqueado por "Tunnel All DNS". Portanto, o problema ocorre somente em redes onde a criptografia DNS não está disponível.

O cenário é o seguinte:

- O módulo de roaming tenta rotear o tráfego para o Cisco Umbrella através da interface de LAN normal.

- A Rede Local não permite criptografia DNS e, portanto, envia consultas DNS não criptografadas padrão.

- Esse tráfego é bloqueado pelo recurso "Tunnel All DNS", que exige que o DNS desça na VPN.

Neste cenário, o DNS não funciona como esperado.

Recomendação

Para garantir que essa condição não seja possível, o Cisco Umbrella recomenda uma dessas ações.

- Desative "Tunnel All DNS" na política de grupo da VPN. O módulo CSC lida com o roteamento do DNS.

OU

- Adicione estes resolvedores DNS do Cisco Umbrella à configuração Split Tunnel (Include):

- 208.67.222.222

- 208.67.220.220

- 208.67.222.220

- 208.67.220.222