目錄

簡介

必要條件

需求

採用元件

概觀

背景

啟用功能

Windows

macOS

限制

常見問題

如何知道我的網路(macOS)是否支援DNS64/NAT64?

如何知道我的網路(Windows)上是否支援DNS64/NAT64?

簡介

本檔案介紹如何在單一堆疊IPv6網路中啟用Cisco安全使用者端(CSC)以支援Umbrella DNS保護。

必要條件

需求

本文件沒有特定需求。

採用元件

本檔案中的資訊是根據Umbrella漫遊安全中的思科安全使用者端。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

概觀

過去，思科安全客戶端支援僅IPv4和雙堆疊網路配置。本文描述從Cisco Secure Client 5.1.4.74(MR4)開始的對IPv6專用網路的支援。 必須使用標誌檔案啟用該功能。

背景

隨著IPv6的廣泛普及，世界各地的ISP越來越多地只分配IPv6地址。但是，許多伺服器資源仍然位於僅IPv4網路上。DNS64與NAT64是過渡功能，可在僅支援IPv6的客戶端和僅支援IPv4的伺服器之間實現無縫通訊，而無需客戶端瞭解底層IPv4基礎架構。

AAAA記錄僅用於IPv6，而A記錄僅用於IPv4。DNS64通過合成伺服器的AAAA(IPv6)記錄來工作，這些伺服器在其DNS中僅具有A記錄，從而允許僅使用IPv6的客戶端訪問僅使用IPv4的伺服器。DNS64通過將可配置的IPv6字首與A記錄查詢中的IPv4地址組合來建立這些AAAA記錄。IPv4地址嵌入在IPv6地址的最後32位中。

Cisco Secure Client 5.1.4.74(MR4)現在支援對僅IPv6網路的Umbrella保護。Umbrella模組通過查詢LAN DNS解析器來發現網路網關使用的NAT64字首。當Umbrella DNS解析程式參與策略實施的名稱解析時，它會使用發現的NAT64字首執行DNS64 IPv6地址合成。

啟用功能

Windows

建立名為single_stack_ipv6.flag的檔案，然後將其放入此目錄中：

C:\ProgramData\Cisco\Cisco Secure Client\Umbrella\data

標籤檔案放入目錄後，請重新啟動Cisco Secure Client以使功能生效。

macOS

建立名為single_stack_ipv6.flag的檔案，然後將其放入此目錄中：

/opt/cisco/secureclient/umbrella/data

標籤檔案放入目錄後，請重新啟動Cisco Secure Client以使功能生效。

限制

在CSC 5.1.4版中，只有進入Umbrella DNS解析器的加密DNS流量才支援DNS64。即使應用了保護，未加密的DNS流量也不支援此功能。

常見問題

如何知道我的網路(macOS)是否支援DNS64/NAT64?

您可以使用DNS64/NAT64挖掘測試。

這些測試旨在檢驗網路是否有效，以便主機僅配置有IPv6地址。為了到達Internet上的現有IPv4服務，主機必須使用配置的解析器中的DNS64來接收IPv4 IP地址的合成IPv6地址。一旦Umbrella擁有了合成地址，它將確保該地址可訪問。只有在網關上啟用了NAT64後，才能訪問該埠。Umbrella使用「api-ipv4.opendns.com」域，因為只配置了v4地址。因此，如果Umbrella在應答記錄中獲得v6地址，則Umbrella知道它已被合成。從dig命令返回的地址發出ping6命令時，您知道合成地址已成功轉換為Internet上的v4地址，並將回覆轉換回主機。

DNS64

您首先要測試的是：

➜ osx dig AAAA api-ipv4.opendns.com

; <<>> DiG 9.10.6 <<>> AAAA api-ipv4.opendns.com

;; global options: +cmd

;; Got answer:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31228

;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:

; EDNS: version: 0, flags:; udp: 512

;; QUESTION SECTION:

;api-ipv4.opendns.com. IN AAAA

;; ANSWER SECTION:

api-ipv4.opendns.com. 60 IN AAAA 64:ff9b::9270:ff9b <—synthesized address

;; Query time: 921 msec

;; SERVER: 2001:4860:4860::6464#53(2001:4860:4860::6464)

;; WHEN: Thu Jun 20 17:28:12 PDT 2024

;; MSG SIZE rcvd: 77

NAT64

現在，您可以對合成的位址執行Ping:

➜ osx ping6 64:ff9b::9270:ff9b

PING6(56=40+8+8 bytes) 2001:db8:1:0:785e:e00f:f8fe:9f7b --> 64:ff9b::9270:ff9b

16 bytes from 64:ff9b::9270:ff9b, icmp_seq=0 hlim=54 time=103.653 ms

16 bytes from 64:ff9b::9270:ff9b, icmp_seq=1 hlim=54 time=51.491 ms

16 bytes from 64:ff9b::9270:ff9b, icmp_seq=2 hlim=54 time=54.278 ms

16 bytes from 64:ff9b::9270:ff9b, icmp_seq=3 hlim=54 time=78.153 ms

如何知道我的網路(Windows)上是否支援DNS64/NAT64?

DNS64

您首先要測試的是：

C:\>nslookup -type=AAAA api-ipv4.opendns.com.

Server: UnKnown

Address: 2600:1f14:1799:7000:d2b9:d714:e957:6d4

非授權答案：

Name: api-ipv4.opendns.com

Address: 64:ff9b::9270:ff9b <—synthesized address

NAT64

現在，您可以對合成的位址執行Ping:

C:\>ping 64:ff9b::9270:ff9b

Pinging 64:ff9b::9270:ff9b with 32 bytes of data:

Reply from 64:ff9b::9270:ff9b: time=18ms

Reply from 64:ff9b::9270:ff9b: time=22ms

Reply from 64:ff9b::9270:ff9b: time=21ms

Reply from 64:ff9b::9270:ff9b: time=19ms

Ping statistics for 64:ff9b::9270:ff9b:

Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

Approximate round trip times in milli-seconds:

Minimum = 18ms, Maximum = 22ms, Average = 20ms