※ 2021 年 1 月 12 日現在の情報をもとに作成しています
1. はじめに
Umbrella の DNS セキュリティを初めて導入した際、クライアント PC が Umbrella を実際に使用できているかどうか確認したい場合があると思います。本記事ではその方法について紹介します。
2. 確認方法
確認方法についてはいくつかありますが、一番手軽な方法として、クライアント PC の Web ブラウザで以下の URL にアクセスします。
Web ブラウザに以下のような表示があれば、Umbrella は使用できています。
一方で、以下のように表示されたのであれば、Umbrella は使用できていません。
なぜこのような動作の違いがあるのでしょうか。次項でその説明をします。
3. 動作の仕組み
Umbrella を使用しているクライアント PC 上でこの URL にアクセスした際、以下のような通信が発生します。
- welcome.umbrella.com の IP アドレスを調べるために、クライアント PC が DNS サーバーに問い合わせをします
- Umbrella の DNS サーバー（208.67.222.222 または 208.67.220.220）から「146.112.59.6」という IP アドレスが返ります
- クライアント PC の Web ブラウザが 146.112.59.6 の Web サーバーに対して Web アクセスをします
- 146.112.59.6 の Web サーバーが「Welcome to Umbrella!」のページを返します
一方で、Umbrella を使用していないクライアント PC 上でこのサイトにアクセスした場合、以下のような通信が発生します。
- welcome.umbrella.com の IP アドレスを調べるために、クライアント PC が DNS サーバーに問い合わせをします
- クライアント PC に設定された「Umbrella 以外の DNS サーバー」から「146.112.59.7」という IP アドレスが返ります
- クライアント PC の Web ブラウザが 146.112.59.7 の Web サーバーに対して Web アクセスをします
- 146.112.59.7 の Web サーバーが「Oops...」のページを返します
以上のように、Umbrella の DNS サーバーが、「通常とは異なる IP アドレスを返す」ことで、この動作を実現しています。また、余談ですが、この異なる IP アドレスを返す仕組みは、Umbrella のブロック ページ機能や Intelligent Proxy でも使われている基本技術です。
なお、DNS サーバーから実際にどのような IP アドレスが返されるかを確認したい場合は、クライアント PC 上で nslookup（Windows OS の場合）、dig（Linux や macOS の場合）コマンドを実行します。
以下は、実際に Windows OS 上で nslookup コマンドを実行した際の出力例 (一部抜粋) です。
> nslookup welcome.umbrella.com
サーバー: resolver1.opendns.com <= 問い合わせを行った DNS サーバーのドメイン名が表示される
Address: 208.67.222.222 <= 問い合わせを行った DNS サーバーの IP アドレスが表示される
権限のない回答:
名前: XXX.strln.net <= welcome.umbrella.com では現在 cname が使われており、その名前が表示される
Address: 146.112.59.6 <= 名前解決後の IP アドレス
Aliases: welcome.umbrella.com
4. 対処方法
Umbrella のセキュリティ機能を使用しているつもりが、「Oops...」のページが表示されてしまう場合、必要な設定が不足していたり、前提条件を満たしていないことが考えられます。Umbrella の公開情報を参考に、設定や前提条件を再度確認をしてください。
Cisco Umbrella User Guide
https://docs.umbrella.com/deployment-umbrella/docs/welcome-to-cisco-umbrella
なお、前提条件を満たしており、設定にも問題がないにもかかわらず、「Oops...」のページが表示され続ける場合は、Web ブラウザのキャッシュが残っているか、DNS キャッシュが残っていることが考えられます。その場合は、各キャッシュ データを削除の上、再度 URL にアクセスしてください。
5. 補足
一部のサポート文書では、確認用 URL として http://welcome.umbrella.com/ ではなく、以前の製品ブランド名を使った http://welcome.opendns.com/ を紹介していますが、返される IP アドレスと表示される画面が異なるだけで、基本的な動作内容は同じです。
6. SIG 環境の注意点
今回紹介した Welcome ページによる確認方法は DNS セキュリティを前提としたものであり、SIG を使った環境でアクセスした場合、想定外の画面が表示される可能性があります。SIG ライセンスの SWG 環境での有効性の確認については、以下の URL を代わりに使用してください。
http://policy-debug.checkumbrella.com/
もし SWG が有効になっている場合、この URL にアクセスすると以下の画像のようなページが表示されます。
そして、ページ内に書かれたリンクをクリックすると、Umbrella Dashboard へのサインインが行われ (要アカウント)、実際に適用されている Web ポリシーの編集画面が表示されます。
なお、このリンクの "webpolicies" という箇所が "policies" となっている場合、Web ポリシーではなく DNS ポリシーが適用されていることになりますので、Umbrella の公開情報を参考に設定や前提条件を再度確認をしてください。
Cisco Umbrella SIG User Guide
https://docs.umbrella.com/umbrella-user-guide/docs/getting-started
また、SIG ライセンスの CDFW 環境には同様の URL が用意されていないため、実際に有効になっているかについては Acticity Search レポートにパケットが記録されるかどうかを確認してください。
検索バーにキーワード、フレーズ、または質問を入力し、お探しのものを見つけましょう
シスコ コミュニティをいち早く使いこなしていただけるよう役立つリンクをまとめました。みなさんのジャーニーがより良いものとなるようお手伝いします
