Configurar Umbrella e BlueCoat Webfilter/K9

Introdução

Este documento descreve como configurar a compatibilidade entre o cliente de roaming Umbrella e o BlueCoat Webfilter/K9.

Overview

Este artigo refere-se aos computadores em que o cliente de roaming Umbrella e a BlueCoat estão instalados. Este artigo refere-se ao uso de um agente de filtragem BlueCoat instalado na máquina. Isso pode coincidir com uma configuração de PAC ou proxy. 

O cliente de roaming Umbrella e o módulo de segurança de roaming Umbrella no AnyConnect não são compatíveis com a filtragem baseada em software da BlueCoat, que tenta controlar o DNS. 

Software afetado: 

• Módulo de segurança Cisco AnyConnect Umbrella Roaming
• Cliente de roaming Umbrella

Sintomas

AnyConnect Roaming Module e cliente de roaming anterior a 2.2.150

Quando o cliente de roaming ou o módulo de roaming está ativo, todos os DNS parecem falhar. Isso causa uma perda aparente da usabilidade na máquina e uma perda da capacidade de acessar recursos da Web. Mais especificamente, qualquer solicitação DNS para um registro A falha; no entanto, outros tipos de registro, como AAAA ou TXT, são bem-sucedidos. 

Quando o cliente de roaming é desinstalado ou temporariamente parado, o comportamento normal da rede retorna. 

O cliente de roaming não reconhece a falha do DNS, pois somente os registros A falham e, portanto, o cliente permanece ativo e criptografado.  

Cliente de roaming 2.2.150 e mais recente

Quando o cliente de roaming está ativo, o cliente falha em um estado aberto com a mensagem

"detectamos uma possível interferência com consultas DNS A e/ou AAAA; pode haver algum software no sistema que esteja causando problemas"

Este é um novo método de detecção de software que substitui os registros A, mas não modifica os registros TXT. Sinalizamos esse comportamento e o desabilitamos para evitar a perda de DNS.

Troubleshooting

Para validar se você está observando esse problema no momento, confirme se são verdadeiros:

• Esses cenários resultam em falha de DNS (ou desabilitação do modo A-record)
  
  • BlueCoat ativo e:
    • Cliente ou módulo de roaming protegido e criptografado
    • Cliente ou módulo de roaming protegido e não criptografado
  • O processo da BlueCoat é eliminado manualmente (não desinstalado). O redirecionamento está ativo, mas o proxy subjacente está offline. 
    • Cliente ou módulo de roaming protegido 
    • Cliente móvel desinstalado ou parado 
• Esses resultados não geram problemas
  • O cliente ou módulo de roaming ativo com o BlueCoat desinstalado (após uma reinicialização)
  • O filtro da Web BlueCoat foi instalado e nenhum cliente de roaming está em execução

Quando o DNS está falhando, todos os registros A falham, mas os registros TXT continuam a não ser redirecionados pela BlueCoat e funcionam. 

Causa básica e solução

A causa principal desse problema de compatibilidade é dupla. 

1. O software BlueCoat redireciona consultas de registro A (os registros DNS mais comuns para a visualização de páginas da Web) para que apenas ele possa responder a essas consultas. Esse DNS pode sair da rede, mas é impedido de responder ao sistema. O cliente de roaming não tem como substituir isso.
2. O cliente de roaming determina a disponibilidade do DNS verificando as respostas do registro TXT que são exclusivas para os resolvedores do Umbrella. Como a BlueCoat não está impondo registros TXT, os testes do cliente de roaming continuam a ser bem-sucedidos mesmo depois que todos os registros A começam a falhar. Essa falha de registro A e o sucesso do registro TXT fazem com que o cliente de roaming permaneça criptografado, perpetuando efetivamente um estado quebrado com o software BlueCoat.

A aplicação seletiva do proxy DNS da BlueCoat em um nível baixo no sistema causa um problema direto de compatibilidade com o cliente de roaming. O impacto do usuário é uma perda de DNS e da capacidade de navegação na Web com base no DNS. 

A única solução neste momento é interromper o uso do software de estação de trabalho BlueCoat que redireciona o DNS e, em vez disso, utilizar restrições de conteúdo baseadas no Umbrella. A BlueCoat pode adicionar a capacidade de desativar a imposição de DNS no futuro.