Umbrella: OpenDNS Updater の IP ミスマッチ エラーについて

[tkitahar]

• 1. はじめに
• 2. OpenDNS Updater とは
• 3. IP アドレスのミスマッチ エラーについて
• 4. ネットワーク トンネル使用時について
• 5. その他のエラーについて

※ 2025 年 4 月 22 日現在の情報をもとに作成しています

1. はじめに

本記事では、OpenDNS Updater を使用している際に発生する IP アドレスのミスマッチに関するエラー メッセージについて説明します。

2. OpenDNS Updater とは

OpenDNS Updater とは、アイデンティティとしてネットワーク (グローバル IP アドレス) を使用している環境において、組織のグローバル IP アドレスが動的に変化したことを検知し、Umbrella Dashboard に登録された IP アドレスを自動的に更新するアプリケーションのことです。

※ このアプリケーションの名称は、Cisco Umbrella のフリー版ともいえる「OpenDNS」に由来しており、Cisco Umbrella でも同様に利用できます

こちらのサポート文書からインストーラーをダウンロードすることが可能です。

OpenDNS Updater を対象のネットワーク環境内にある端末にインストールし、起動すると、まず、OpenDNS へのサインインが求められますので、普段 Umbrella Dashboard にサインインする際に使うアカウントでサインインします。

そのアカウントが属するすべての組織の中で、複数のネットワークが登録されている場合、「Select network」という画面が表示されますので、自動更新したいネットワークを選択します。

その後、OpenDNS Updater のメイン画面が表示され、自動的に IP アドレスの更新が行われますが、画面下部に何らかのエラー メッセージが赤字で表示された場合、自動更新に失敗したことを示します。

次項では、以下の画像のような IP アドレスのミスマッチを示すエラー メッセージが表示され、自動更新に失敗した場合の対処方法について説明します。

なお、以下の画像は Umbrella Dashboard の「導入」>「コアアイデンティティ」>「ネットワーク」画面のものですが、自動更新が正しく行われるには「ダイナミック」の欄にチェックが入っている必要があります。

OpenDNS Updater の詳しい使い方については、こちらのサポート文書も併せて参照してください。

3. IP アドレスのミスマッチ エラーについて

OpenDNS Updater は、現在のグローバル IP アドレスを調べるために DNS を使います。具体的には、 myip.opendns.com というドメインの A レコードを調べる DNS リクエストを、端末に設定されている DNS サーバーに対して送ります。

もし、端末の DNS サーバーの設定が Umbrella の DNS サーバー (208.67.222.222/208.67.220.220) の場合、Umbrella の DNS サーバーは、 A レコードの IP アドレスとして「DNS リクエストの送信元 IP アドレス」を返します。つまり、組織が使っているグローバル IP アドレスが返ることになります。

※ myip.opendns.com は Umbrella が用意した特殊なドメインで、Umbrella 以外の DNS サーバーに同様のリクエストを送っても、IP アドレスは得られません

OpenDNS Updater は DNS を使ってグローバル IP  アドレスを調べた後、updates.opendns.com というクラウド上の Umbrella API サーバーに対して、このグローバル IP アドレスを通知するための HTTPS リクエストを送信します。

基本的に、DNS の調査で得られたグローバル IP アドレスと、この HTTPS リクエストの送信元グローバル IP アドレスは、同一になるはずですが、何らかの理由で IP アドレスが別々のもの (ミスマッチ) であった場合、リクエストに何らかの異常 (なりすましなど) が発生したとみなし、IP アドレスの更新をやめます。

このエラーが誤って発生する一番の原因として、HTTPS 通信に何らかのプロキシ サーバー (オンプレミス、クラウド、透過、非透過問わず) を使用していることが挙げられます。

もし、プロキシ サーバーが別のネットワーク上 (別のグローバル IP アドレス) に構築されており、OpenDNS Updater の HTTPS リクエストがプロキシ サーバー経由で API サーバーへ送られている場合、IP アドレスのミスマッチが発生します。

そのため、本事象の対処方法としては、updates.opendns.com への TCP 80/443 通信は、プロキシ サーバーを経由しないように設定することになります。

※ Windows 環境の場合、netsh winhttp show proxy で確認できるプロキシ設定が OpenDNS Updater の HTTPS 通信に影響します

また、同一ネットワーク内にプロキシ サーバーを使用していない PC が存在するのであれば、そちらに OpenDNS Updater をインストールすることでも対処可能です。

4. ネットワーク トンネル使用時について

組織内のトラフィックをネットワークトンネルを通して Umbrella へ送信する設定をしている場合、OpenDNS Updater をインストールしている PC がプロキシ サーバーを利用していなくても、当該のエラー メッセージが表示される場合があります。

これは、前述の HTTPS 通信がネットワークトンネルを経由して Umbrella 側に送られた際、Umbrella のクラウド環境内で送信元 IP アドレスが NAT 変換されるためです。

※ グローバル IP アドレスを調べる DNS リクエストについては、Umbrella 側の影響を受けず、組織のグローバル IP アドレスが正しく返されます

そのため、このような環境における対処方法としては、ネットワークトンネルを形成する組織側のネットワーク機器で、ユーザーから送られてきた updates.opendns.com への TCP 80/443 通信がトンネルを経由しない (つまり直接アクセスする) ように設定することになります。

また、同一ネットワーク内にネットワークトンネルを使用していない PC が存在するのであれば、そちらに OpenDNS Updater をインストールすることでも対処可能です。

5. その他のエラーについて

OpenDNS Updater には、ミスマッチ以外にもいくつかのエラーメッセージが表示される場合があります。ここでは主なものを 2 つ紹介します。

エラーメッセージ「Your IP address is taken by another user.」は、登録しようとした IP アドレスが、既に他の組織によって登録されている際のものです。

※ これに伴って、Umbrella Dashboard のネットワーク画面にある当該ネットワークのステータスが「不明な IP」と表示されている場合があります

もし、現在のグローバル IP アドレスが自組織のもので間違いない場合は、サポートに問い合わせて、問題を解消する必要があります。また、前述のミスマッチのエラーの際に、こちらも表示される場合がありますが、ミスマッチの方の問題を解決することで、基本的にこちらのエラーも消えます。

エラーメッセージ「Looks like there's no internet connectivity.」は、文字通り、インターネット アクセスができない場合に発生しますが、DNS リクエストが Umbrella の DNS サーバーに到達できない場合にも発生します。

前項で述べたとおり、現在のグローバル IP アドレスを調べるには、Umbrella の DNS サーバーに DNS リクエストを送る必要があるため、このエラーが発生する場合は、端末の DNS サーバーの設定を今一度確認してください。