在公司網路上配置Umbrella漫遊客戶端

簡介

本文檔介紹貴公司網路上的Umbrella漫遊客戶端的配置。

概觀

Umbrella漫遊客戶端是保護遠端使用者的絕佳工具，但它也可以保護企業網路上的使用者，從而增加一層安全保護。根據業務需要，有些管理員希望繼續保護企業網路上的Umbrella漫遊客戶端，而其他管理員則希望讓Umbrella漫遊客戶端「後退」以利於其他Umbrella策略。

Umbrella為Umbrella漫遊客戶端進入您的網路時的運行方式提供了靈活性。本文概述了這些不同的方法。

目標

Q)。 我為什麼要禁用公司網路上的Umbrella漫遊客戶端？

通常，不需要禁用Umbrella漫遊客戶端來使內部和外部DNS工作。Umbrella漫遊客戶端使用域管理功能將您的內部DNS流量定向到您的普通DNS伺服器。這樣，當Umbrella漫遊客戶端在網路中的終端上運行時，您可以同時保留保護和連線。

但是，有時會有理由考慮禁用漫遊客戶端保護……

• 為離開網路的漫游使用者提供不同的「網路內」和「網路外」策略。
• 在公司網路上使用內部DNS伺服器在快取和減少傳出DNS流量方面有一些優勢。 
• Umbrella漫遊客戶端定期發送探測消息，以驗證與Umbrella的連線。當您擁有大量客戶端時，可能不需要這種額外的流量。

問：我為什麼希望在我的公司網路上繼續啟用Umbrella漫遊客戶端？

另一方面，保持漫遊客戶端始終處於啟用狀態有一些很好的理由：

• 確保Umbrella漫遊客戶端電腦始終使用相同的策略。
• 始終在報告中可識別Umbrella漫遊客戶端的主機名（而不是網路標識） — 用於精細報告。
• 漫遊客戶端使用「加密的DNS」流量增強隱私
• 對於Secure Web網關使用者（使用AnyConnect），客戶端必須保持啟用狀態以提供SWG網路過濾。

工作模式

始終開啟

即使在公司網路上使用時，Umbrella漫遊客戶端也可以保持開啟。在此模式下，使用Umbrella漫遊客戶端標識配置策略，並且此標識顯示在報告中。 

如何配置「Always ON」模式：

1. 導覽至Identities > Roaming Computers。
   
2. 按一下(漫遊客戶端設定)圖示。
3. 清除在Umbrella受保護網路上禁用DNS重定向，然後按一下Save。
4. 為Umbrella漫遊客戶端建立單獨的策略，並確保它是最高優先順序（位於清單的最頂部）。 您的Umbrella漫遊客戶端策略的優先順序必須高於任何基於網路身份的策略。 

使用常規網路策略
Umbrella漫遊客戶端已啟用，並且繼續直接與Umbrella對話，但是，網路身份用於策略和報告目的。只需將網路策略置於比Umbrella漫遊客戶端策略更高的優先順序即可啟用此模式。 

如何「使用常規網路策略」:

1. 導覽至Identities > Roaming Computers。
   
2. 按一下(漫遊客戶端設定)圖示。
3. 清除在Umbrella受保護網路上禁用DNS重定向，然後按一下Save。
4. 為您的網路建立單獨的策略。 確保您的網路策略的優先順序高於任何基於漫遊客戶端的策略。 

在受保護網路後禁用（適用於小型網路）
Umbrella漫遊客戶端在檢測到它位於受保護的網路時可以「後退」。這意味著網路身份用於策略和報告目的。

此模式在行為上與「使用常規網路策略」模式類似，不同之處在於Umbrella漫遊客戶端實際上會禁用自身，不會干擾DNS流量。 

如何在受保護的網路後面配置Disable:

1. 導覽至Identities > Roaming Computers。
   
2. 按一下(漫遊客戶端設定)圖示。
3. 選擇Disable DNS redirection while on an Umbrella Protected Network，然後按一下Save。
4. 導航到Policies > Policies List。
5. 為您的網路建立單獨的策略。 確保您的網路策略的優先順序高於任何基於Umbrella漫遊客戶端的策略。 
6. 您的本地DNS伺服器必須轉發到Umbrella解析程式，並且必須在Umbrella控制面板中正確註冊。
7. 要使用此功能，客戶端工作站使用的輸出IP必須註冊到與您的內部DNS伺服器使用的輸出IP相同的網路標識。有關全部詳細資訊，請參閱本文。

在受信任網路域之後禁用（適用於大型網路）

現在可以選擇客戶配置的「受信任網路域」。 客戶端嘗試解析此DNS域（A記錄），並在域成功解析時禁用保護。  這是僅用於內部的DNS記錄，僅當客戶端位於公司網路時才解析。

如何配置受信任網路域：

1. 在內部DNS伺服器上建立DNS A記錄(例如，magic.mydomain.tld)。 
   1. 記錄必須是「子域」（最少3個DNS標籤）
   2. 記錄必須解析為內部RFC-1918地址
   3. 請注意確保該記錄不公開存在
2. 導覽至Identities > Roaming Computers。
   
3. 按一下(漫遊客戶端設定)圖示。
4. 選擇Trusted Network Domain選項並輸入域名(例如，magic.mydomain.tld)。  按一下「Save」。

將Umbrella漫遊客戶端與Umbrella虛擬裝置配合使用

作為Umbrella「Insights」產品的一部分(在Platform and Insights產品包中)，我們提供Virtual Appliance(VA)，它在您的網路中充當DNS轉發器。此VA是獲得有關您網路上DNS請求源的可視性的關鍵，也是我們的Active Directory整合所必需的。

預設情況下，如果Umbrella漫遊客戶端檢測到VA正用於DNS轉發，則它會禁用自身。如果已將VA分配為DNS伺服器（使用DHCP或靜態設定），則Umbrella漫遊客戶端會檢測到此情況並禁用自身。

VA回退

如何配置VA回退：

1. 此功能預設啟用，但您可以檢查其狀態（可以選擇將其禁用）
2. 導覽至Identities > Roaming Computers。
   
3. 按一下(漫遊客戶端設定)圖示。
4. 選擇VA回退選項

Cisco Umbrella AnyConnect漫遊安全模組

 Cisco AnyConnect的Umbrella模組支援所有上述相同操作模式。  還提供另外兩種特定的AnyConnect模式。  這兩種模式都可在Identities > Roaming Computers頁面上的Umbrella Dashboard中啟用，但是AnyConnect VPN配置檔案中需要其他配置。

• 請遵守AnyConnect可信網路檢測。
  當Cisco AnyConnect確定Umbrella安全模組位於受信任網路時，此功能會將其禁用。  這依靠AnyConnect的受信任網絡檢測功能來識別網路。  受信任的域、DNS伺服器和URL可用於識別您的公司網路。  有關更多資訊，請參閱AnyConnect文檔。
• 當全通道VPN會話處於活動狀態時，禁用漫遊客戶端
  啟用此功能後，AnyConnect連線到全通道（或全通道DNS）VPN時，Umbrella模組被禁用。

禁用後，漫遊客戶端不會過濾DNS流量，因此確保您的網路受其他安全保護（如我們的網路保護功能）覆蓋非常重要。

更多資訊

如果您希望在公司網路上禁用漫遊客戶端，但需要更多控制，或者希望討論其他選項，請與Cisco Umbrella支援部門聯絡。