※ 2025 年 4 月 22 日現在の情報をもとに作成しています
1. はじめに
Umbrella の DNS セキュリティを最も容易に導入する方法の 1 つに、グローバル IP アドレスをネットワークアイデンティティとして登録する方法があります。本記事では、この時の登録において、「動的 IP アドレス」を使う場合について紹介します。
2. ネットワークアイデンティについて
アイデンティティとは「Umbrella が保護する対象を識別するもの」のことを指し、ネットワークアイデンティティの場合、Umbrella が保護する対象は、特定のグローバル IP アドレス (一つまたは複数) を使う組織のネットワーク全体となります。
具体的には、以下の図のように「組織が使用するグローバル IP アドレスが送信元 IP アドレスとなっている (つまり、その組織から送られてきた) DNS リクエストを Umbrella が保護する」ことになります。
なお、このような DNS 通信を実現するには、下図の例のように、各クライアント PC の DNS サーバーに Umbrella の DNS サーバー (208.67.222.222/208.67.220.220) を設定する必要があります。これが組織側で必要な唯一の設定です。
一方、Umbrella Dashboard 側の設定も簡単で、「導入」>「コアアイデンティティ」>「ネットワーク」に当該のグローバル IP アドレスを登録するのみとなります。
3. 動的 IP アドレスを登録する場合
インターネット アクセスに使うグローバル IP アドレスが「固定 IP アドレス」ではなく、時間の経過によって別の IP アドレスに変わる「動的 IP アドレス」の場合、前項の動作はどうなるのでしょうか。
これまでの説明のとおり、Umbrella の DNS サーバーは、Umbrella Dashboard に登録されたグローバル IP アドレスを頼りに、組織からの DNS リクエストを識別しますので、そのグローバル IP アドレスが変化してしまうと、正しい識別が行われなくなります。
そのため、IP アドレスが変化したらすぐに、Umbrella Dashboard 側の設定値も変更するような仕組みが必要となります。これを実現するために、OpenDNS Updater というアプリケーションが用意されています。
OpenDNS Updater は Windows、macOS 上で動作するアプリケーションで、これをクライアント PC にインストールすると、組織が使っている現在のグローバル IP アドレスを頻繁に確認するようになります。
そして、グローバル IP アドレスに変化があったことを検知すると、すぐさま Umbrella Dashboard と連携して、グローバル IP アドレスを新しいものに書き換えます。
この時の注意点として、Umbrella Dashboard にグローバル IP アドレスを登録する際に、下図のように必ず「このネットワークにはダイナミックIPアドレスがあります」にチェックを入れる必要があります。こうしないと、OpenDNS Updater が変更の対象として認識しません。
OpenDNS Updater の使い方は簡単で、アプリケーションを起動し、Umbrella Dashboard にログインする時のユーザー名とパスワードを入力するだけです。
ただし、このユーザーが属するすべての組織の中で、動的 IP アドレスを複数登録している場合、どのネットワークを更新対象とするかを選択する必要があります。
OpenDNS Updater の入手方法と詳しい使い方については、以下のサポート記事に詳細な記載があります。
Networks with Dynamic IP Addresses
https://support.umbrella.com/hc/en-us/articles/115004547503-Networks-with-Dynamic-IP-Addresses
なお、グローバル IP アドレスの書き換えは、任意の 1 台のクライアントで行えばいいので、すべてのクライアント PC に OpenDNS Updater をインストールする必要はありません。
また、たくさんのクライアント PC に OpenDNS Updater をインストールしてしまった場合、サーバー側が通信の受付を拒否 (乱用と判断) し、更新が行われない場合があります。その場合は、いくつかのクライアント PC から OpenDNS Updater をアンインストールしてください。
4. OpenDNS Updater を使わない方法
OpenDNS Updater をインストール可能な Windows、macOS が組織内にない場合の代替案として、Dynamic Network Update API が用意されています。この API を使うことでも、現在のグローバル IP アドレスを Umbrella Dashboard に報告することが可能です。
以下は、Windows 環境で任意の HTTP/S リクエストを生成できる curl.exe を使い、API を通してグローバル IP アドレスの更新を行った例になります。
curl.exe --user XXX:YYY "https://updates.opendns.com/nic/update?hostname=ZZZ"
XXX: Umbrella Dashboard にログインする時のユーザー名
YYY: そのパスワード
ZZZ: Umbrella Dashboard に登録したネットワークアイデンティティの名前
このコマンドが問題なく実行されると、「good」という出力があり、Umbrella Dashboard 側に最新のグローバル IP アドレスが反映されます。
コマンド実行時の出力には、good 以外にもいくつかのリターンコードがあります。
| リターンコード | 内容 | 対応方法 |
| good | 正常終了 | |
| badauth | 認証失敗 | ユーザー名とパスワードを確認 |
| nohost | 動的 IP アドレスがない |
Dashboard で動的 IP アドレスが登録されているか確認 |
| !yours | 他の組織と IP が重複 | サポートに問い合わせ |
| abuse | API の乱用 | 時間を置いてからリトライ |
| 911 | サーバー側のメンテナンス・障害 | 時間を置いてからリトライ サポートに問い合わせ |
この API の詳細については、以下のサポート文書に記載があります。
Umbrella Dynamic Network Update API
https://developer.cisco.com/docs/legacy-umbrella-api/umbrella-dynamic-network-update-api/
検索バーにキーワード、フレーズ、または質問を入力し、お探しのものを見つけましょう
シスコ コミュニティをいち早く使いこなしていただけるよう役立つリンクをまとめました。みなさんのジャーニーがより良いものとなるようお手伝いします
