目錄

簡介

問題

解決方案

根本原因

其他原因

範例：Policy-Bug

範例：智慧代理

範例：阻止頁面

簡介

本文檔介紹如何解決Meraki MX內容過濾和Umbrella之間的不相容問題。

問題

使用由Cisco Talos支援的Meraki MX內容過濾時，客戶可能會遇到某些Umbrella DNS過濾功能不一致的情況。

- 塊頁不正確（未應用自定義塊頁）

- 未顯示阻止頁面繞過功能

- 使用智慧代理的站點出現「401 Unauthorized」錯誤

- Policy-Debug測試顯示組織/源ID/捆綁包ID不正確

解決方案

使用Meraki控制面板上的「允許的URL」清單從Meraki MX內容過濾功能中排除此域。

id.opendns.com

在Meraki控制面板上的以下位置配置內容過濾：

- 在Security & SD-WAN >內容過濾（全域性設定）中

- 在Network-wide > Group policies（可以分配給使用者或SSID的策略）中

21399526244628

或者，完全禁用Meraki內容過濾（刪除所有類別塊），以便僅使用Umbrella過濾。

根本原因

當流量首次到達我們的阻止頁面登入器、智慧代理或策略調試站點時，思科Umbrella使用全域性唯一重定向到http://*.id.opendns.com。  生成全域性唯一的DNS查詢需要此重定向。  此唯一的DNS允許我們在DNS層對流量進行身份驗證，進而確定正確的使用者/裝置/網路身份。

Meraki MX內容過濾執行自己的信譽檢查。當訪問http://*.id.opendns.com時，Meraki MX內容過濾可為同一域生成重複的DNS查詢，從而中斷此身份驗證過程。因此，Cisco Umbrella無法確定正確的使用者/裝置/網路身份。

此問題不會阻止Cisco Umbrella強制實施內容/安全塊，但會阻止顯示正確的塊頁面文本/徽標/自定義。

其他原因

此行為也可能會由內部HTTP Web代理或Web過濾器導致。將Umbrella DNS與HTTP代理結合使用需要執行強制配置步驟。

範例：  Policy-Bug

https://policy-debug.checkumbrella.com/上的資訊顯示不正確的組織ID時，就說明了此問題。ID可以顯示為「0」、「2」或與預期組織不關聯的ID。

[GENERAL]

Org ID: 0. <<<<<. Incorrect Org ID

Bundle ID: XXXX

Origin ID: XXXX

Other origins:

Host: policy-debug.checkumbrella.com

Internal IP: x.x.x.x

Time: Fri, 29 Sep 2023 16:16:22.182335 UTC

範例：  智慧代理

此問題的一個跡象是，即使客戶獲得了智慧代理的許可證，Iproxy伺服器仍會為某些站點(包括http://proxy.opendnstest.com)返回意外的「401」。從伺服器返回錯誤。

附註：智慧代理僅用於具有「灰色」或可疑聲譽的某些站點，因此問題僅出現在特定環境中。

範例：  阻止頁面

此問題的一個指示因素是塊頁面未顯示任何組織特定的自定義。阻止頁面仍然顯示，但包含預設的「Cisco Umbrella」品牌而不是自定義徽標/文本。缺少阻止頁面繞過使用者/代碼。

21399518458644