簡介
本檔案介紹如何為使用Umbrella模組的思科安全使用者端啟用所有DNS通道。
背景資訊
思科宣佈Cisco AnyConnect於2023年停用，Umbrella漫遊客戶端於2024年停用。許多Cisco Umbrella客戶已經從遷移到Cisco Secure Client中受益，我們鼓勵您儘快開始遷移，以獲得更好的漫遊體驗。閱讀此知識庫文章中的詳細資訊：如何在Umbrella模組中安裝Cisco Secure Client?
含Umbrella（前身為AnyConnect漫遊安全）的Cisco安全使用者端(CSC)模組設計為可與幾乎所有CSC VPN模式搭配使用，無需額外設定。
但是，當這些條件都為真時，還需要考慮以下因素：
- 已啟用切分通道
- 「Tunnel All DNS」功能已啟用
問題和影響
啟用「Tunnel All DNS」後，DNS流量在核心級別被攔截，如果沒有從正確的VPN介面出去，則會被阻止。如果Cisco Umbrella解析器不是拆分隧道（包括）配置的一部分，則會為CSC模組帶來問題。
此問題的影響非常小，因為在預設情況下，CSC模組會使用不受「Tunnel All DNS」封鎖的加密DNS（UDP連線埠443）。 因此，此問題僅發生在DNS加密不可用的網路上。
情況如下：
- 漫遊模組嘗試通過常規LAN介面將流量路由到Cisco Umbrella。
- 本地網路不允許DNS加密，因此會傳送標準的未加密DNS查詢。
- 此流量被「Tunnel All DNS」功能阻止，該功能要求DNS通過VPN進行連線。
在此案例中，DNS無法按預期運作。
建議
為確保此情況無法實現，Cisco Umbrella建議採取以下措施之一。
- 在VPN組策略中禁用「Tunnel All DNS」。CSC模組處理DNS路由。
或
- 將以下Cisco Umbrella DNS解析器新增到拆分隧道（包括）配置：
- 208.67.222.222
- 208.67.220.220
- 208.67.222.220
- 208.67.220.222
意見