فهم أجهزة التنبيه الخاصة بنسخ شهادة ISE واستكشاف أخطائها وإصلاحها

المقدمة

يصف هذا المستند تنبيهات النسخ المتماثل واستكشاف أخطائه وإصلاحها في Cisco Identity Services Engine® (ISE).

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة على cisco هوية خدمة محرك® (ISE).

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات المكونات المادية والبرامج التالية.

• محرك خدمات الهوية Cisco Identity Services Engine® (ISE)، الإصدار 3.4 والإصدارات الأحدث.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

تنبيه النسخ المتماثل

توفر تنبيهات النسخ المتماثل في Cisco ISE إمكانية رؤية لحالة الصحة والمزامنة لإطار عمل النسخ المتماثل عبر النشر. وتساعد هذه التنبيهات على تحديد الظروف التي يمكن أن تؤثر على اتساق البيانات أو إتصالات العقد أو عمليات النسخ المتماثل، مما يمكن المسؤولين من اكتشاف المشكلات وحلها قبل التأثير على عمليات النظام. يعتبر فهم الغرض من تنبيهات النسخ ومغزاها أمرا أساسيا للحفاظ على نشر ISE بشكل سليم وضمان إستمرار مزامنة بيانات التكوين والتشغيل عبر جميع العقد.

تنبيهات النسخ المتماثل لشهادة ISE

فشل النسخ المتماثل للشهادة

يتم إنشاء تنبيه فشل النسخ المتماثل للشهادة عند فشل Cisco ISE في نسخ البيانات المتعلقة بالشهادة من عقدة الإدارة الأساسية (PAN) إلى عقدة أو أكثر في النشر. يقوم ISE بنسخ الشهادات والتكوين المقترن بها تلقائيا عند إستيراد الشهادات أو إنشاؤها أو تجديدها أو تعديلها على PAN الأساسي للحفاظ على التناسق عبر جميع العقد. يشير هذا التنبيه إلى أن عملية النسخ المتماثل لم تكن ناجحة، مما أدى إلى تكوين شهادات غير متناسق على العقدة (العقد) المتأثرة.

سبب التنبيه

يمكن أن يحدث تنبيه فشل النسخ المتماثل للشهادة عندما يتعذر على Cisco ISE نقل البيانات المتعلقة بالشهادة أو التحقق من صحتها أو تثبيتها بنجاح على عقدة واحدة أو أكثر. تتضمن الأسباب الشائعة

• مشاكل إتصالات الشبكة: يمكن أن يؤدي فقدان الحزمة أو زمن الوصول المرتفع للشبكة أو قيود جدار الحماية التي تمنع حركة مرور النسخ المتماثل أو مشاكل التوجيه بين عقد ISE أو عدم تطابق وحدة الحد الأقصى للنقل (MTU) الذي يتسبب في تجزئة الحزمة أو حالات السقوط إلى مقاطعة نسخ الشهادة المتماثل.
• مشكلات خدمة النسخ المتماثل: قد يفشل النسخ المتماثل للشهادة في حالة عدم توفر RabbitMQ أو JGroups أو خدمات النسخ المتماثل الداخلية الأخرى، أو عند إعادة التشغيل أو عدم عملها بشكل صحيح.
• حالات فشل التحقق من صحة الشهادة: قد يفشل النسخ المتماثل في حالة عدم اكتمال سلسلة الشهادات، أو عدم وجود CA أو الشهادات الوسيطة، أو انتهاء صلاحية الشهادة أو تلفها، أو إحتوائها على إستخدام مفتاح غير معتمد أو تنسيق غير صحيح.
• مشاكل اتصال العقدة: إذا كانت العقدة الوجهة غير متصلة، لا يمكن إكمال النسخ المتماثل للشهادة، أو إعادة التشغيل، أو إلغاء التسجيل، أو قطع الاتصال بالنشر، أو يتعذر الوصول إليه.
• مساحة غير كافية على القرص: لا تحتوي العقدة الوجهة على مساحة قرص كافية لاستيراد الشهادة المنسوخة نسخا متماثلا وتثبيتها.
• مشاكل قاعدة البيانات الداخلية: قد يفشل النسخ المتماثل في حالة عدم قدرة قاعدة بيانات تكوين ISE على تخزين بيانات تعريف الشهادة أو تحديثها.

تأثير جهاز الإنذار

يعتمد تأثير هذا التنبيه على نوع الشهادة التي يتم نسخها والخدمات التي تعتمد عليها. قد يؤدي فشل النسخ المتماثل للشهادة إلى عدم تناسق تكوين الشهادة عبر عقد ISE، وعدم تطابق شهادات HTTPS، وحالات فشل مصادقة EAP، ومشكلات إنشاء الثقة ل PxGrid، وحالات فشل تسجيل SCEP أو توفير الشهادة، وحالات عدم تناسق في مخزن الشهادات الموثوق بها، وحالات فشل التحقق من صحة TLS مع عمليات التكامل الخارجية.

فشل النسخ المتماثل للشهادة مؤقتا

يتم إنشاء تنبيه فشل النسخ المتماثل للشهادة مؤقتا عندما يكون Cisco ISE غير قادر مؤقتا على نسخ البيانات المتعلقة بالشهادة من عقدة الإدارة الأساسية (PAN) إلى عقدة واحدة أو أكثر في النشر. بخلاف تنبيه فشل النسخ المتماثل للشهادة، يشير هذا التنبيه إلى أن فشل النسخ المتماثل يعتبر عابرا، ويعيد Cisco ISE تلقائيا محاولة عملية النسخ المتماثل عندما يتم حل الشرط الأساسي.

سبب التنبيه

يتم إنشاء التنبيه بشكل نموذجي بسبب الظروف العابرة التي تمنع نسخ الشهادة المماثل مؤقتا. من بين الأسباب الشائعة:

• مشاكل إتصالات الشبكة المؤقتة: مقاطعات الشبكة القصيرة أو فقدان الحزمة أو زمن الوصول العالي أو تأخيرات جدار الحماية أو مشاكل التوجيه المؤقتة بين عقد ISE.
• تهيئة خدمة النسخ المتماثل أو إعادة تشغيلها: تم إعادة تشغيل RabbitMQ أو JGroups أو خدمات النسخ المتماثل الداخلية الأخرى أو أنها غير متوفرة مؤقتا.
• عدم توفر العقدة المؤقتة: تقوم العقدة الوجهة بالتمهيد أو إعادة تشغيل خدمات التطبيقات أو إعادة الانضمام إلى النشر أو يتعذر الوصول إليها مؤقتا.
• قيود موارد النظام المؤقتة: يؤدي الاستخدام المرتفع لوحدة المعالجة المركزية (CPU) أو ضغط الذاكرة أو التزاحم مع وحدات الإدخال/الإخراج على القرص إلى تأخير معالجة النسخ المتماثل مؤقتا.
• العمليات الإدارية المتزامنة: يمكن تأجيل النسخ المتماثل للشهادة بينما يتم تنفيذ عملية إستيراد شهادات أخرى أو إجراء نسخ إحتياطي أو إستعادة أو تثبيت برامج تصحيح أو مزامنة النشر.
• تأخيرات في قائمة انتظار النسخ المتماثل أو قاعدة البيانات المؤقتة: عمليات قاعدة البيانات الداخلية أو قوائم انتظار النسخ المتماثل مشغولة مؤقتا بمعالجة طلبات المزامنة الأخرى.

تأثير جهاز الإنذار

في معظم الحالات، يكون لهذا الإنذار تأثير عملياتي أقل لأن Cisco ISE يعيد تلقائيا عملية النسخ المتماثل. ومع ذلك، وإلى أن يتم النسخ المتماثل بنجاح، يمكن أن توجد حالات عدم تناسق مؤقتة بين العقد، بما في ذلك:

• تأخر نشر الشهادات المستوردة أو المجددة حديثا
• عدم تطابق تكوين الشهادة المؤقتة عبر النشر
• تأخر توفر الخدمات المستندة إلى الشهادات على العقدة المتأثرة
• تأخيرات مؤقتة في خدمات HTTPS أو EAP أو pxGrid أو SCEP إذا كانت تعتمد على الشهادة المنسوخة نسخا متماثلا

إذا استمر التنبيه أو تكرر حدوثه، يؤدي ذلك إلى فشل التنبيه الخاص "بنسخ الشهادات المتماثل".

أستكشاف أخطاء عمليات التنبيه الخاصة بنسخ شهادة ISE وإصلاحها

هذه هي العوامل الشائعة التي يجب التحقق منها عند أستكشاف أخطاء عمليات التنبيه الخاصة بنسخ الشهادة المتماثل في ISE وإصلاحها أو التحقق منها. 

1. التحقق من حالة النشر للعقدة

لكي تنجح عملية نسخ الشهادة المتماثل، يجب أن تكون العقدة الثانوية في حالة اتصال داخل نشر Cisco ISE. انتقل إلى إدارة > نظام > نشر وتحقق من حالة العقدة المتأثرة. قم بالمرور فوق رمز المعلومات (i) المجاور لحالة العقدة لمراجعة تفاصيل المزامنة وأي رسائل نسخ متماثل معلقة.

تشير حالة المزامنة المعروضة لكل عقدة إلى حالة النسخ المتماثل والاتصال الحالية الخاصة بها:

• اللون الأخضر - تتم مزامنة العقدة مع النشر، كما تعمل عملية النسخ المتماثل بشكل طبيعي.
• أصفر - إما أن العقدة قد انتهت من المزامنة أو فشل تسجيل العقدة أو فقد اتصال نظام المجموعة. تشير هذه الحالة إلى عدم إمكانية الوصول إلى العقدة بواسطة نظام المجموعة خلال الدقائق الخمس الماضية.
• Red - يتعذر الوصول إلى العقدة ولا يمكن الاتصال بها من خلال عمليات التحقق من اتصال الشبكة، مثل إختبار اتصال ICMP أو HTTPS.

إذا عرضت العقدة حالة أصفر أو أحمر، فإنها تشير إلى حدوث مشكلة في النسخ المتماثل أو الاتصال تؤثر على تلك العقدة. تحقق بالإضافة إلى ذلك من عدد رسائل النسخ المتماثل المعروضة في معلومات العقدة. يجب أن يكون عدد الرسائل المعلقة 5000 رسالة أو أقل. تشير قائمة انتظار تحتوي على أكثر من 5000 رسالة معلقة إلى أن قائمة انتظار النسخ المتماثل قد تراكمت، مما يمكن أن يؤخر أو يمنع النسخ المتماثل الناجح.

2. التحقق من تنبيه إرتباط قائمة الانتظار في النشر 

يعتمد النسخ المتماثل الناجح في Cisco ISE على توفر خدمة المراسلة RabbitMQ وإطار اتصال مجموعات JGroups واتصالاتها. إذا واجه أي من المكونين مشاكل في الاتصال، يقوم Cisco ISE بإنشاء أخطاء إرتباط قائمة الانتظار، والتي يمكنها مقاطعة النسخ المتماثل بين عقد النشر.

للتحقق من حالة التنبيه، انتقل إلى العمليات > لوحة المعلومات > التنبيهات وابحث عن أخطاء إرتباط قائمة الانتظار في العقد المتأثرة.

إذا كانت أخطاء إرتباط قائمة الانتظار موجودة، فعليك تجديد شهادة المرجع المصدق الجذر ل Cisco ISE، حيث تؤدي حالات فشل الاتصال المتعلقة بالشهادة عادة إلى حدوث أخطاء في إرتباط قائمة الانتظار. بمجرد حل مشكلة الشهادة، يتم عادة إستئناف النسخ المتماثل تلقائيا دون الحاجة إلى تدخل إضافي.

3. التحقق من زمن انتقال الشبكة وإمكانية الاتصال بها

تعتمد النسخ المتماثل ل Cisco ISE على إمكانية اتصال مستقرة للشبكة بين عقد النشر. كما يمكن أن يؤدي زمن الوصول المرتفع للشبكة أو الاتصال المتقطع إلى تأخير النسخ، كما يمكن أن يؤدي إلى حدوث حالات فشل في المزامنة، لا سيما في عمليات النشر الموزعة جغرافيا.

تحقق من زمن انتقال الشبكة بين العقد المتأثرة باستخدام إختبارات الاتصال مثل ping. للحصول على نسخ متماثل يمكن الاعتماد عليه، يجب أن يظل زمن الوصول ذهابا وإيابا بين العقد في حدود 300 مللي ثانية تقريبا. ويمكن أن يؤثر زمن الوصول الذي يتجاوز هذا الحد بشكل متناسق سلبا على أداء النسخ المماثل ومزامنته. تحقق أيضا من عدم وجود حالات انقطاع متقطعة في الشبكة أو فقدان الحزم أو قيود جدار الحماية التي تؤثر على الاتصال بين عقد النشر.

4. تأكد من أن الشهادة غير موجودة بالفعل على العقدة المتأثرة

قد يفشل النسخ المتماثل للشهادة في حالة وجود الشهادة المنسوخة نسخا متماثلا بالفعل على العقدة الثانوية.

انتقل إلى إدارة > نظام > شهادات، وحدد العقدة المتأثرة، وتحقق ما إذا كانت الشهادة مثبتة بالفعل. إذا كانت الشهادة موجودة، راجع خصائصها للتأكد من أنها تطابق الشهادة التي يتم نسخها المتماثل وحدد ما إذا كانت هناك شهادات مكررة أو متضاربة.

5. التحقق من إستخدام موارد النظام 

يمكن أن يؤثر الاستخدام المرتفع لموارد النظام على أداء Cisco ISE وتأخير مهام النسخ المتماثل. يمكن أن يمنع الاستخدام المفرط لوحدة المعالجة المركزية (CPU) أو الذاكرة أو القرص إكمال عمليات النسخ المتماثل بنجاح.

تحقق من توفر موارد كافية للنظام في العقدة المتأثرة ومن بقاء إستخدام الموارد ضمن حدود التشغيل الموصى بها. إذا كان إستخدام الموارد مرتفعا بشكل متناسق، فقم بتخصيص موارد إضافية أو تقليل حمل العمل في العقدة لاستعادة أداء النسخ المتماثل العادي.

6. التحقق من توفر المنفذ في النشر والشبكة

يتطلب النسخ المتماثل ل Cisco ISE وجود منافذ TCP معينة مفتوحة بين جميع العقد في النشر لضمان الاتصال دون انقطاع والنسخ المتماثل الناجح. إذا تم حظر أي من هذه المنافذ بواسطة جدار حماية أو نهج التحكم في الوصول أو جهاز الشبكة، فيمكن حدوث حالات فشل النسخ المتماثل أو حدوث مشاكل في المزامنة.

تحقق من أن منافذ TCP هذه مفتوحة ويمكن الوصول إليها بين جميع عقد Cisco ISE:

• بروتوكول TCP 443 - اتصال HTTPS
• TCP 8443 - الاتصال الإداري
• بروتوكول TCP 12001 - اتصال مجموعات JGroups ونسخها
• TCP 6379 - خدمات المراسلة الداخلية
• بروتوكول TCP 8671 - تطبيق ISE Messaging (RabbitMQ) من Cisco

قم بتسجيل الدخول إلى واجهة سطر الأوامر Cisco ISE وقم بتشغيل الأمر show ports للتحقق من المنافذ المذكورة المسموح بها في العقدة.

تأكد من تمكين المنافذ المطلوبة على عقدة Cisco ISE وتأكد من السماح بها عبر مسار الشبكة. تحقق من عدم حظر أي جدران حماية وسيطة أو أجهزة أمان أو سياسات شبكة الاتصال على هذه المنافذ بين عقد النشر.

مجموعة السجلات لتنبيهات النسخ المتماثل

هذه هي المكونات الشائعة التي يجب تعيينها في وضع تصحيح الأخطاء لعزل أستكشاف أخطاء النسخ المتماثل واستكشاف أخطائها وإصلاحها في Cisco ISE.

• Replication-Deployment (replication.log and ise-psc.log)
• Replication-JGgroup (replication.log and ise-psc.log)
• متتبع النسخ المتماثل (tracking.log)
• الإسبات (Hibernate.log)
• JMS (replication.log)

المرجع

• دليل مسؤول محرك خدمات الهوية من Cisco، إصدار 3.5
• أستكشاف أخطاء ISE وإصلاحها وتمكين تصحيح الأخطاء
• تجميع مجموعة الدعم على محرك خدمات الهوية

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	06-Jul-2026	الإصدار الأولي