Umbrella和F5 BIG-IP邊緣客戶端VPN互操作性問題
目錄
問題
同時啟用Cisco Umbrella（安全客戶端）和F5 BIG-IP邊緣客戶端VPN時，使用者會完全失去網際網路訪問。
問題表現如下：
當Cisco Umbrella處於活動狀態時，連線到BIG-IP邊緣客戶端VPN後，網際網路連線完全不可用。
此問題影響所有Internet資源和網站，而不僅僅是特定URL
與內部專案相關應用程式的VPN連線按預期工作
禁用Cisco Umbrella時，網際網路訪問功能正常
僅在兩個服務同時運行時才會發生問題
環境
已啟用Umbrella模組的思科安全使用者端
為分割隧道配置的F5 BIG-IP邊緣客戶端VPN
F5 DNS中繼代理服務已啟用
Windows終端環境
解析
此互操作性問題要求實施兩種支援的解決方法之一，以解決Cisco Umbrella和F5 BIG-IP邊緣客戶端VPN之間的DNS流量衝突。
選項 1:禁用F5 DNS中繼代理服務
第一種解析方法涉及在BIG-IP邊緣客戶端配置中禁用F5 DNS中繼代理服務：
步驟 1:訪問F5 BIG-IP邊緣客戶端配置介面
步驟 2:導航到DNS中繼代理服務設定
步驟 3:停用DNS中繼代理服務
附註：此方法可恢復正常的Umbrella DNS功能，但可能會影響當前拆分隧道設計，具體取決於您的F5配置要求。
選項 2:配置F5 VPN拆分隧道排除
建議的解決方案涉及配置F5 BIG-IP邊緣客戶端以從VPN隧道中排除Umbrella流量：
步驟 1:請與F5管理員聯絡以修改BIG-IP邊緣客戶端配置
步驟 2:配置拆分隧道清單，以明確排除所有發往Umbrella DNS和代理IP範圍的網路流量
步驟 3:應用配置更改以確保Umbrella安全流量與VPN連線一起工作
提示：此配置更改必須由F5管理員實施，並且需要特定的Umbrella DNS和代理IP範圍知識，以確保從VPN隧道中正確排除。
原因
此問題是由於Cisco安全客戶端（Umbrella模組）和F5 BIG-IP邊緣客戶端VPN之間已知的互操作性限制，當VPN配置為啟用了F5 DNS中繼代理服務的分割隧道時。
根本原因是由於Umbrella客戶端和F5 VPN客戶端都試圖在終端級別攔截和代理DNS流量。當兩個服務同時處於活動狀態時，會導致DNS請求不能正確轉發，從而導致網際網路連線完全中斷。F5 DNS中繼代理服務會干擾Umbrella DNS偵聽機制，阻止對網際網路資源的正確DNS解析。
此行為被Cisco和F5記錄為已知限制，與任一產品中的特定軟體缺陷無關。
相關內容
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
26-Oct-2026
|
初始版本 |
意見