独立式Umbrella漫游客户端大规模部署故障排除

简介

本文档介绍执行Umbrella漫游客户端大规模部署的最佳实践以及要避免的常见问题。 

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于Umbrella漫游客户端。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景

注意：本文是关于独立的Umbrella漫游客户端。有关自定义思科安全客户端（以前称为AnyConnect）大规模部署的信息，请参阅Windows和macOS的Umbrella文档。

为了同时将独立的Umbrella漫游客户端部署到大量计算机，管理员通常会选择使用大规模部署程序。示例包括Intune、System Center Configuration Manager(SCCM)或组策略对象(GPO)。 使用此类系统在初始部署方面具有明显的优势，但如果处理不当，将来可能会出现问题。本文讨论有关执行大规模部署的最佳实践和要避免的常见问题的总体建议。  

Umbrella升级过程

在初始安装后，Umbrella漫游客户端根据公司组织使用的发布波次（暂存或Umbrella的生产路径之一）自动检查更新。 一旦发现更新可用，就会在后台下载安装程序。然后，它会安装新版本并自动重新启动服务。 

大规模部署冲突

Umbrella支持部门发现，许多客户没有进行大规模部署，因为他们认为策略会检查是否安装了任何版本的Umbrella，并且只有在不存在该版本时才能进行安装。但是，最常用于确定安装的注册表项实际上是特定于内部版本号的。换句话说，它不会检查是否安装了Umbrella，但例如，安装了Umbrella 3.0.17。

这会导致以下行为：

1. Umbrella漫游客户端检测到新版本可用，并安装该版本。

2.批量部署工具检测到它希望看到的Umbrella注册表项不存在，并触发安装之前配置的版本。

3.旧版本重新联机并检查更新。它会看到要下载的更新并进行安装。

4.重复执行步骤1。

由于存在相互竞争的更新机制，Umbrella不断在批量部署工具安装的旧版本和Umbrella下载的新版本之间做出更改。

问题

这可能导致以下问题： 

• 由于Umbrella经常重新启动和初始化，因此花费更多的时间处于无保护状态。
• 意外的重新启动或Windows服务故障（尤其是要安装的早期版本为3.0.17时，该版本有一个已知的Bug导致强制重新启动）。
• 系统暴露于漏洞和安全漏洞，这些漏洞已在新版本中修复了大约一半的机器登录时间。

分辨率

要解决这些问题，您可以做以下几件事： 

1.最重要的是，在Umbrella中，最佳做法是仅在您知道网络中有新机器时，才使用批量部署策略。

2.如果您要运行在不检测到安装的情况下进行安装的大规模部署，请确保使用与任何版本的Umbrella相匹配的安装度量而不是特定版本。为此，请参阅Umbrella的知识库文章：如何：验证是否已通过注册表在Windows上安装Umbrella漫游客户端（任何版本号） 

3.在设置新的批量部署策略时，请确保获取当前版本。  你可以从Umbrella的发布页面看到所有可用的生成。你还可以订阅此列表以在部署新版本时获取更新。

请注意，这可能包括一些尚未推送到您组织的版本。若要查看您的版本跟踪为您提供的版本，请从Umbrella控制面板下载漫游客户端安装程序。 

日志条目示例

请参阅此处的日志文件节选，说明从Umbrella自动下载的较新版本与被大规模部署系统推送的较旧版本之间来回摆动。 

• 观察到原始安装（起始版本）。
  2021-11-30 02:44:07 [4228] [INFO ] < 3> *****正在启动ERC服务版本3.0.17

• 检测到新版本并下载。
  2021-11-30 05:03:38 [4228] [DEBUG] < 18>下载：https://disthost.umbrella.com/roaming/upgrade/win/production/RoamingClient_WIN_3.0.110.msi

• 计算机正常关闭其所有组件并重新启动服务（不是计算机）。
  升级已执行！如果成功，服务应立即重新启动……
• 我们看到新版本（在本例中为3.0.110）上会启动它。
  2021-11-30 05:09:45 [1436] [INFO ] < 4> *****正在启动ERC服务版本3.0.110
• 我们看到一个日志，指示dnscryptproxy被突然中断（这是由于重新启动）。
  2021-11-30 05:33:43 [2136] [信息] < 33> DnsCryptProxy IPv4:带有(pid 8752)的dnscryptproxy.exe无法正常退出（失败计数0）；正在重新启动……
• 旧版本将返回到日志。
  2021-11-30 05:33:57 [7248] [信息] < 4> *****正在启动ERC服务版本3.0.17