Einde van de ondersteuning voor de Umbrella Roaming-client: wat is de opvolger en wat gebeurt er als je wacht?
Op 2 april 2025 is de ondersteuning en het onderhoud van de Cisco Umbrella Roaming Client beëindigd. Deze wordt vervangen door de Umbrella-module in Cisco Secure Client, die Cisco zonder extra kosten aanbiedt aan klanten met een geldige Umbrella-licentie en actieve ondersteuning.
Als de oude client nog op sommige van je laptops staat, werkt deze waarschijnlijk nog steeds. Dat is nu juist het probleem. Hij blijft gewoon werken totdat hij op een dag zomaar niet meer werkt, en niets in je dashboard zal je waarschuwen wanneer dat moment aanbreekt.
In dit artikel wordt ingegaan op de data, wat de vervangende versie precies installeert, wat er gebeurt op computers die nog niet zijn gemigreerd, en waarom de migratie van de client voor veel Umbrella-klanten een platformbeslissing is geworden.
Wanneer is de Umbrella Roaming Client niet langer ondersteund?
Cisco heeft op 1 april 2024 aangekondigd dat de Umbrella Roaming Client niet langer ondersteund wordt. Softwareonderhoud en -ondersteuning zijn op 2 april 2025 beëindigd. Sindsdien brengt Cisco geen patches of onderhoudsupdates meer uit voor de client, biedt TAC geen ondersteuning meer en kunnen nieuwe installaties van de oude client zich niet langer registreren bij Umbrella.
| Mijlpaal | Datum | Wat het betekent |
|---|---|---|
| Aankondiging van het einde van de levensduur | 1 april 2024 | Cisco maakt de beëindiging bekend en noemt Cisco Secure Client als vervangend product |
| Beëindiging van het softwareonderhoud | 2 april 2025 | Er komen geen patches of onderhoudsreleases meer voor de Roaming Client |
| Laatste datum van ondersteuning | 2 april 2025 | TAC biedt geen ondersteuning meer voor de standalone-client |
| Installateurs en nieuwe registraties | Vanaf 2 april 2025 | Installateurs verwijderd uit het dashboard; nieuw geïnstalleerde legacy-clients kunnen zich niet registreren |
| Laatste Windows-versie | Versie 3.0.466 | De laatste build die Cisco voor Windows heeft uitgebracht |
Bron: Aankondiging van Cisco over het einde van de levensduur van de Umbrella Roaming Client en de aankondiging in de Umbrella-community over het einde van de ondersteuning. In sommige levenscyclusdatabases van partners wordt een latere datum voor het einde van de levensduur van de SKU vermeld; volgens de aankondiging van Cisco zelf eindigen het softwareonderhoud en de ondersteuning op 2 april 2025.
Wat gebeurt er met computers waarop nog steeds de oude client draait?
Dit is het deel dat in de meeste migratiegidsen wordt overgeslagen, en juist dit deel is van belang voor een beveiligingsteam.
Een roaming-client die zich vóór 2 april 2025 heeft geregistreerd, behoudt zijn identiteit en blijft DNS-verzoeken doorsturen naar Umbrella. Het beleid blijft van kracht. Op een normale dag lijkt er niets aan de hand te zijn.
De client is zo ontworpen dat hij in de ‘fail-open’-modus werkt. Als de lokale DNS-dienst stopt, crasht of geen verbinding kan maken met de resolvers van Umbrella, schakelt het apparaat over naar de DNS-servers die het van het lokale netwerk heeft ontvangen. De internettoegang blijft gewoon werken, zodat de gebruiker er niets van merkt. Filtering op DNS-niveau, bescherming tegen phishing en inhoudsbeleid werken op dat moment niet meer, en aangezien de client niet langer wordt onderhouden, wordt er geen oplossing voor deze storing geboden.
Twee factoren zorgen ervoor dat dit op termijn steeds waarschijnlijker wordt. Er komen steeds nieuwe updates voor het besturingssysteem, terwijl de client onveranderd blijft, waardoor compatibiliteitsproblemen zich opstapelen. Bovendien kan een client die niet meer werkt niet opnieuw worden geïnstalleerd: de installatieprogramma’s zijn uit het dashboard verdwenen en het oude registratiepad is gesloten. Een laptop waarop het besturingssysteem opnieuw is geïnstalleerd met de oude client, is simpelweg onbeschermd.
De eerlijke samenvatting voor een nog niet gemigreerde estate is dus deze: beschermd tot nader order, zonder waarschuwing wanneer die kennisgeving komt.
Wat vervangt de Roaming Client-
De opvolger is de Umbrella-module in Cisco Secure Client, het product dat voorheen bekend stond als AnyConnect. Cisco verwijst klanten naar de 5.1-versiereeks. Klanten met een geldige Umbrella-licentie en actieve ondersteuning kunnen deze zonder extra softwarekosten implementeren.
De vervanging is geen één-op-één-ruil, en de verschillen bepalen hoeveel werk de migratie met zich meebrengt.
| Gebied | Umbrella Roaming Client | Cisco Secure Client met Umbrella-module | Tekortkoming of wijziging |
|---|---|---|---|
| Architectuur | DNS-agent voor één doel | Modulaire client; de kernmodule voor VPN wordt als basiscomponent geïnstalleerd | De VPN-component wordt geïnstalleerd, zelfs als u Cisco VPN nooit gebruikt; de VPN-tegel kan worden verborgen |
| Webbeveiliging | DNS-laag plus selectieve Intelligent Proxy | DNS-module plus een optionele, volledig beveiligde webgateway-agent | Voor volledige webinspectie is het Umbrella-hoofdcertificaat op elk eindpunt vereist |
| Windows | Windows 10 en 11 | Windows 10 en 11, inclusief ARM64 | Azure Virtual Desktop met meerdere sessies wordt niet ondersteund |
| macOS | Ondersteund, met af en toe problemen bij nieuwere versies | Huidige macOS-versies | Vereist MDM-profielen voor systeemuitbreidingen en inhoudsfiltering |
| iOS | Cisco Security Connector via MDM | Cisco Security Connector via MDM | Geen Secure Client Umbrella-module voor iOS; afzonderlijke workflow blijft bestaan |
| Android | Limited | Beveiligde client in een Android Enterprise-werkprofiel | Alleen verkeer binnen het werkprofiel wordt gedekt |
| ChromeOS | Umbrella Chromebook-client | Umbrella Chromebook-client | Valt niet onder Secure Client; blijft een afzonderlijke implementatie |
| Servers waarop DNS draait | Geen ondersteund gebruik | Niet ondersteund | Installeer dit niet op domeincontrollers of andere DNS-servers |
Bron: Cisco Secure Client-documentatie en Umbrella-migratiehandleidingen.
De eerste regel is degene waar beheerders het meest tegenin gaan. Teams die destijds voor de Roaming Client kozen omdat deze klein was en slechts één functie had, installeren nu een client met meerdere modules en een onderliggende VPN-component, soms naast de VPN-client van een andere leverancier. De migratie wordt technisch ondersteund. Het is bovendien op elke laptop een ander soort software.
De migratie in de praktijk, voor 100 tot 1.000 apparaten
Cisco heeft de migratie in het installatieprogramma ingebouwd. Wanneer Secure Client met de Umbrella-module wordt geïnstalleerd op een computer waarop de Roaming Client draait, detecteert het de oude client, neemt het de apparaatidentiteit over en verwijdert het deze. De continuïteit van de rapportage in het Umbrella-dashboard blijft behouden, omdat het apparaat zijn identiteit behoudt.
Het werk zit hem in de verpakking en in een handvol details die de oorzaak zijn van de meeste mislukte productlanceringen.
- Haal het organisatiebestand op. Download OrgInfo.json via het Umbrella-dashboard. De module heeft dit bestand nodig om zich te registreren.
- Sla het bestand op met de juiste codering. Beheerders hebben herhaaldelijk gemeld dat agents offline gaan omdat een implementatiescript OrgInfo.json heeft opgeslagen als UTF-16 of UTF-8 met een byte-order mark (BOM). Gebruik UTF-8 zonder BOM of gewone ASCII.
- Installeer het kernpakket en de Umbrella-module. Installeer op Windows eerst het kernpakket en daarna de Umbrella-module. Als u geen Cisco VPN gebruikt, verbergt de installatie-eigenschap PRE_DEPLOY_DISABLE_VPN=1 de VPN-interface voor gebruikers. Plaats OrgInfo.json in de map Umbrella onder de programmadatamap van Secure Client voordat de module wordt gestart.
- Bereid macOS van tevoren voor. Push de MDM-profielen die de systeemuitbreiding en de inhoudsfilter van Cisco goedkeuren voordat het pakket wordt uitgevoerd. Zonder deze profielen krijgen gebruikers goedkeuringsverzoeken te zien en wordt de filter niet geladen.
- Installeer eerst het hoofdcertificaat als u de webgateway gebruikt. De Secure Web Gateway-agent controleert het TLS-verkeer. Eindpunten zonder het Umbrella-hoofdcertificaat zullen op elke website certificaatfouten vertonen.
- Voer eerst een pilot uit en rol het vervolgens uit. Begin met een groep die bestaat uit vast aangesloten laptops, reizigers en iedereen die gebruikmaakt van het VPN van een andere leverancier. Problemen met DNS-koppeling na netwerkwijzigingen zijn de meest voorkomende klacht in de praktijk.
Er is nog een verandering op de achtergrond. Cisco heeft SecureX op 31 juli 2024 buiten gebruik gesteld, en daarmee ook de gratis console die veel teams gebruikten om implementatiepakketten samen te stellen en clientupdates te beheren. Het samenstellen van pakketten verloopt nu via uw eigen MDM, zoals Intune of Jamf, of via Cisco Security Cloud Control.
Waarom dit nu een platformbeslissing is
De migratie van klanten vindt niet op zichzelf plaats. Zoals vermeld in bulletin EOL15688 is Cisco op 30 september 2025 gestopt met de verkoop van de verouderde Umbrella-pakketten, en loopt het softwareonderhoud voor die pakketten af op 30 september 2026. Ondersteuning blijft beschikbaar tot 30 september 2030. Cisco’s toekomstplan voor deze klanten is Cisco Secure Access, het Security Service Edge-platform van Cisco. De data van de pakketten en wat elke mijlpaal inhoudt, worden behandeld in “>de tijdlijn van de Intelligent Proxy wordt uitgelegd wat die verandering in de praktijk betekent.
Als je die twee factoren bij elkaar optelt, ziet de situatie er als volgt uit: je staat op het punt om elk eindpunt aan te raken om een nieuwe client te installeren, en binnen dezelfde periode verandert de commerciële basis van je Umbrella-abonnement. Dat is het logische moment om je af te vragen of het volgende platform dat van Cisco moet zijn, in plaats van het moment nadat de client is uitgerold.
Voor een Europese middelgrote onderneming is het de moeite waard om Secure Access te vergelijken met één enkel platform dat DNS- en webbeveiliging combineert met Zero Trust-netwerktoegang, en dat vanuit Europa wordt beheerd. Jimber is daar speciaal voor ontworpen: één platform dat onder de soevereiniteit van de EU valt voor webbeveiliging, ZTNA en firewalling, met agentloze toegang tot applicaties, in plaats van het stapelen van modules en licenties. Als u dit wilt testen voordat u een nieuwe client op elke laptop installeert, laat het “>probeer Jimber dan gratis uit met een pilotgroep, of “>Umbrella-migratietrajecten voor 2026 voor het volledige overzicht van migratieroutes.
Veelgestelde vragen
Wanneer is de Cisco Umbrella Roaming Client niet meer ondersteund?
Cisco kondigde het einde van de levenscyclus aan op 1 april 2024. Softwareonderhoud en -ondersteuning eindigden op 2 april 2025. Sindsdien zijn er geen patches of onderhoudsupdates meer, biedt TAC geen ondersteuning meer voor de client en kunnen nieuw geïnstalleerde legacy-clients zich niet registreren bij Umbrella.
Wat komt in de plaats van de Umbrella Roaming Client?
De Umbrella-module in Cisco Secure Client, voorheen AnyConnect. Klanten met een geldige Umbrella-licentie en actieve ondersteuning kunnen deze module zonder extra softwarekosten implementeren. Cisco verwijst klanten naar de 5.1-reeks voor doorlopende fixes.
Faalt de Umbrella Roaming Client bij het openen of bij het sluiten?
Het systeem faalt in de open modus. Als de DNS-service van de client stopt of Umbrella niet kan bereiken, schakelt de machine over op de DNS-servers van het lokale netwerk. De internettoegang blijft werken, maar DNS-filtering en het afdwingen van beleid stoppen, zonder dat de gebruiker daar een zichtbare waarschuwing voor krijgt.
Heb ik een Cisco VPN-licentie nodig om de Umbrella-module te gebruiken?
Nee. De kerncomponent van de VPN wordt geïnstalleerd als een basisafhankelijkheid van Secure Client, maar er is geen VPN-licentie vereist als u geen gebruikmaakt van de VPN van Cisco. Op Windows zorgt de installatieparameter PRE_DEPLOY_DISABLE_VPN=1 ervoor dat de VPN-interface voor gebruikers verborgen blijft.
Waarom gaat de Umbrella-module offline na een geautomatiseerde implementatie?
Een veelvoorkomende oorzaak is de codering van OrgInfo.json. Scripts die het bestand opslaan als UTF-16 of als UTF-8 met een byte-order mark (BOM) kunnen ervoor zorgen dat de module het bestand niet kan lezen. Sla het bestand op als UTF-8 zonder BOM of als ASCII en voer de implementatie opnieuw uit.
Kan ik de Umbrella-module op een domeincontroller installeren?
Nee. Cisco biedt geen ondersteuning voor de module op computers waarop DNS-serversoftware draait, zoals domeincontrollers. Als je de module daar installeert, leidt dit tot conflicten op de DNS-poort en kan de naamomzetting voor het netwerk worden verstoord. Beveilig servers in plaats daarvan op netwerkniveau.
Is er een Secure Client Umbrella-module voor de iPhone en iPad?
Nee. iOS-apparaten maken nog steeds gebruik van de afzonderlijke Cisco Security Connector, die via MDM op apparaten onder toezicht wordt geïmplementeerd. Chromebooks behouden ook hun eigen Umbrella Chromebook-client, waardoor gemengde apparatenparken nog steeds meer dan één implementatie nodig hebben.
Blijft de rapportagegeschiedenis van gemigreerde apparaten in Umbrella behouden?
Ja. Wanneer Secure Client de Roaming Client op dezelfde computer vervangt, wordt de apparaatidentiteit overgenomen, zodat historische rapportages en op identiteit gebaseerde beleidsregels aan het apparaat gekoppeld blijven in het Umbrella-dashboard.
Is de migratie van de client het juiste moment om Umbrella zelf onder de loep te nemen?
Voor veel organisaties is dat inderdaad het geval. Het onderhoud van de oudere Umbrella-pakketten loopt af op 30 september 2026, en Cisco zet in op Secure Access als vervolg. Door het platform te evalueren voordat een nieuwe client op elk eindpunt wordt geïmplementeerd, voorkom je dat je twee keer moet migreren.