مشكلة التحقق من حماية وكيل WSA للتحميل بعد انقطاع الشبكة

مسألة

بعد انقطاع الشبكة لفترات طويلة، يمكن أن يفشل جهاز أمان الويب (WSA) من Cisco الذي تم تكوينه لاستخدام وكيل تدفق بيانات من الخادم المحدد من قبل FQDN في إستئناف حركة مرور البيانات إلى وكيل تدفق بيانات من الخادم وإرسال حركة مرور البيانات مباشرة بدلا من ذلك. تظهر هذه المشكلة عندما يقوم WSA بتعليم وكيل الخادم على أنه "منتهي" أثناء انقطاع الشبكة، ولكنه يفشل في التعرف على متى يصبح وكيل الخادم متوفرا مرة أخرى، حتى بعد إستعادة اتصال الشبكة.

وتشمل الأعراض المحددة التي لوحظت ما يلي:

• تم تكوين WSA باستخدام وكيل تدفق البيانات عبر FQDN و"معالجة الأعطال = انتقال مباشر"

• انقطاع طويل المدى للشبكة يؤثر على الاتصال بكل من وكيل الخادم وخادم DNS

• بعد إسترداد الشبكة، لا تظهر سجلات الوصول أي علامات DEFAULT_PARENT، تشير إلى إستمرار حركة المرور في تجاوز وكيل تدفق البيانات

• تحدث مشكلة على جهاز WSA واحد بينما يعمل جهاز آخر في نفس البيئة بشكل طبيعي

البيئة

• جهاز أمان الويب (WSA) S-Series من Cisco

• AsyncOS 14.5.2-011 (الإصدار المتأثر)

• الأجهزة: الطراز S695

• وكيل تدفق البيانات الذي تم تكوينه بمواصفات FQDN

• معالجة الأعطال التي تم تكوينها ك "Go Direct"

• بيئة الشبكة مع البنية الأساسية للمحول L2

قرار

تم حل هذه المشكلة عن طريق ترقية AsyncOS إلى إصدار يحتوي على الإصلاح ل CSCwi13124. تم إصلاح هذا الخطأ في إصدارات AsyncOS هذه:

• AsyncOS 15.5.0-566

• AsyncOS 15.5.0-710

حل مؤقت للإصدارات الحالية

بالنسبة للبيئات التي لا يمكن ترقيتها على الفور، يتوفر تخفيف مؤقت من خلال ضبط الحد الأقصى للمهلة الخاملة للتحقق من بروكسيات تدفق البيانات غير المستجيبة:

الخطوة 1: الوصول إلى واجهة سطر الأوامر (CLI) والانتقال إلى تكوين الوكيل المتقدم:

cli -> advancedproxyconfig -> MISCELLANEOUS

الخطوة 2: تعديل إعداد الحد الأقصى للمهلة الخاملة:

"Enter maximum idle timeout for checking unresponsive upstream proxy (in seconds)"

الخطوة 3: قم بتقليل القيمة القصوى الافتراضية (86400 ثانية/24 ساعة) إلى قيمة أصغر لتقليل الوقت بين عمليات التحقق من الصحة.

طريقة الاسترداد الفوري

إذا كانت المشكلة تؤثر حاليا على تدفق حركة المرور، فيمكن للأمر التالي إستعادة وظائف وكيل الخادم على الفور:

الخطوة 1: الوصول إلى القائمة التشخيصية:

CLI > diagnostic > PROXY > kick

يؤدي هذا إلى إعادة تشغيل عملية الوكيل واستعادة عمليات وكيل الخادم العادية.

إجراءات التحقق والاختبار

لاختبار ما إذا كانت المشكلة موجودة أو تم حلها بعد الترقية، راجع الخطوات التالية:

الخطوة 1: إنشاء مراقبة خط الأساس

مراقبة سجلات الوصول وسجلات الوكيل لتأكيد إرسال WSA لحركة مرور البيانات إلى وكيل الخادم. تحقق من وصول حركة المرور إلى جانب وكيل الخادم.

الخطوة 2: محاكاة انقطاع الشبكة

بعد تأكيد تدفق حركة المرور العادي إلى وكيل الخادم، قم بقطع اتصال الاتصالات التالية:

• WSA إلى اتصال وكيل تدفق البيانات

• WSA إلى اتصال خادم DNS

الخطوة 3: اكتشاف فشل الشاشة

تحقق من سجلات الوكيل وسجلات النظام لهذه المؤشرات:

• يمكن لسجل الوكيل إظهار وكيل الخادم ك "... تم الإعلان عن وفاته"

• يمكن لسجل النظام إظهار "هام: تم الوصول إلى الحد الأقصى للفشل في الاستعلام عن خادم DNS ...

الخطوة 4: صيانة الحالة التي تم تعطيلها

دون إعادة تشغيل عملية الوكيل، قم بالاحتفاظ بالحالة التي تم قطع الاتصال بها من الخطوة 2 واستمر في إنشاء الطلبات لمدة 10 ساعات تقريبا.

الخطوة 5: إستعادة الاتصال

بعد حوالي 10 ساعات، قم باستعادة الاتصالات التي تم قطع إتصالها في الخطوة 2.

الخطوة 6: مراقبة سلوك الاسترداد

بعد إكمال الخطوة 5، قم بمراقبة سجلات الوصول وسجلات الوكيل دون إعادة تشغيل عملية الوكيل:

• في نظام ثابت: تستأنف حركة المرور المتدفقة من خلال وكيل الخادم، وتظهر سجلات الوكيل انتقالات حالة الصحة العادية

• في الأنظمة المتأثرة: تظهر سجلات الوصول حركة مرور مستمرة في تجاوز وكيل الخادم، ولن تظهر سجلات الوكيل رسائل "... كانت مريضة، الآن سليمة" أو "... كانت صحية، الآن مريضة"

السبب

يتمثل السبب الجذري لهذه المشكلة في وجود خلل منطقي في آلية التحقق من سلامة وكيل الخادم. عندما يحدد WSA أن وكيل الخادم المكون هو "DEAD" (غير مستجيب)، فإنه يطبق خوارزمية نسخ إحتياطي أسية تضاعف الفاصل الزمني لفحص الصحة بعد كل فشل. يمكن أن يصل هذا الفاصل الزمني إلى 24 ساعة كحد أقصى (86400 ثانية).

تحدث هذه المشكلة عندما يصبح وكيل تدفق البيانات مرة أخرى أثناء إحدى هذه الفواصل الزمنية الموسعة. على الرغم من أن الوكيل قد تعافى ويقوم بالاستجابة بشكل طبيعي، إلا أن WSA لن يقوم بفحص السلامة حتى تنقضي الفترة الزمنية التي تم تكوينها بالكامل. ويمكن أن يؤدي ذلك إلى إستمرار توجيه حركة المرور المباشرة لما يصل إلى 24 ساعة بدلا من إستئناف إستخدام وكيل تدفق البيانات إلى الخادم.

يؤثر هذا السلوك على تكوينات WSA حيث:

• يتم تحديد وكيل البث بواسطة اسم المضيف/FQDN ل DNS (ليس عنوان IP)

• تم تعيين معالجة الفشل على "مباشرة"

• تؤثر الاضطرابات الممتدة في الشبكة على كل من وكيل الخادم واتصال خادم DNS

معرف الخطأ من Cisco: CSCwi13124

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	02-Nov-2026	الإصدار الأولي