أستكشاف أخطاء مصادقة ISE TACACS+ وإصلاحها بسبب التحميل الزائد للنظام

مسألة

تعمل مصادقة نظام التحكم في الوصول إلى وحدة تحكم خدمات الهوية (ISE) الطرفية Cisco Identity Services Engine (TACACS+) على إيقاف العمل بشكل متقطع، وتتسبب في تسجيل دخول جهاز الشبكة مرة أخرى إلى المستخدمين المحليين بدلا من مصادقة TACACS+. أثناء حالات انقطاع الاتصال، تم إسقاط أسباب فشل طلب "TACACS+ بسبب التحميل الزائد للنظام" في "سجلات التشغيل المباشرة". تحدث حالات فشل المصادقة دون إجراء أي تغييرات في التكوين على ISE ل TACACS+ أو على أجهزة الشبكة فيما يتعلق بتكوين TACACS+.

البيئة

• Cisco Identity Services Engine (ISE)، الإصدار 3.3 Patch 7

• نشر ISE الموزع مع PSNs معينة لإدارة الأجهزة

• خدمة مصادقة TACACS+ للوصول الإداري

• تكوين هدف بروتوكول التحكم في الإرسال (TCP) Syslog

قرار

يؤدي تمكين تصحيح أخطاء وقت التشغيل AAA على عقدة خدمة السياسة (PSN) أثناء المشكلة ومراجعة prrt-server.log إلى كشف قيم ContextN عالية للغاية التي تشير إلى أن المعالجة على PSN يتم نسخها إحتياطيا:

ContextCounter,2026-05-05 12:17:08,442,DEBUG,0x7f42bead0700,ContextN incremented, number=113687,ContextCounter.cpp:77

AcsLoggerReactorThread و TCPSyslogReactorThread هما أحواض الخيوط التي ترتفع وتتسبب في النسخ الاحتياطي:

EventHandler,2026-05-05 12:17:10,461,DEBUG,0x7f42bead0700,Passed event to the next thread pool name=AcsLoggerReactorThread, queue size=113576,EventDispatcher.cpp:842
EventHandler,2026-05-05 12:17:12,859,DEBUG,0x7f429b6d0700,Passed event to the next thread pool name=TCPSyslogReactorThread, queue size=3705,EventDispatcher.cpp:842

يتم إسقاط إتصالات TACACS+ بسبب الوصول إلى حد المساحة:

TCPListener,2026-05-05 12:17:08,804,DEBUG,0x7f429b4cf700,NIL-CONTEXT,Hit space limit. Dropping request!,TCPListener.cpp:351

يجب ألا يكون أي أهداف TCP syslog الممكنة تحت الإدارة > النظام > تسجيل الدخول > أهداف التسجيل عن بعد باستخدام الإعداد "رسائل التخزين المؤقت عندما يتم تمكين الخادم" في التكوين غير قابل للوصول لفترات طويلة من الوقت بسبب Cisco خلل CSCwt35414. إذا تعذر ضمان إمكانية الوصول، يجب إلغاء تحديد إصدار ثابت من ISE أو يجب إلغاء تحديد ميزة "رسائل التخزين المؤقت عندما يتم إيقاف الخادم" على هدف syslog ل TCP لمنع هذا السلوك.

السبب

تم تعريف السبب الجذري على أنه Cisco خلل CSCwt35414. يتسبب هذا الخطأ في حظر معالجة المصادقة على PSN كلما أصبح المخزن المؤقت الذي تم تكوينه على هدف syslog ل TCP ممتلئا. تتم كتابة السجلات إلى المخزن المؤقت عندما يكون هدف syslog لبروتوكول TCP غير قابل للوصول أو غير مستجيب لإرسالها بمجرد إستجابته مرة أخرى، ولكن إذا كان الهدف لا يمكن الوصول إليه لفترات طويلة من الوقت مع حركة مرور مزدحمة على PSN، فسيتم تعبئة المخزن المؤقت وتتأثر معالجة المصادقة.

المحتوى ذي الصلة

• cisco خلل CSCwt35414

• إعدادات أهداف التسجيل عن بعد