فهم نسخ ISE واستكشاف أخطائها وإصلاحها

المقدمة

يصف هذا المستند النسخ المتماثل واستكشاف أخطائه وإصلاحها في Cisco Identity Services Engine® (ISE).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بمحرك خدمات الهوية (ISE) من Cisco®.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات المكونات المادية والبرامج التالية.

• Cisco Identity Services Engine 3.4 والإصدارات الأحدث.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

النسخ المتماثل في Cisco ISE

النسخ المماثل في ISE هو عملية مزامنة بيانات التكوين والتشغيل عبر عقد متعددة في عملية نشر للحفاظ على تناسقها.

تعد "عقدة الإدارة الأساسية" مسؤولة عن نسخ التغييرات التي تم إجراؤها في النشر إلى جميع العقد (الثانوية) الأخرى في النشر.

يستخدم Cisco ISE JGroups، وهو إطار اتصال مجموعة موثوق به، كجزء من بنية النسخ المتماثل الخاصة به. تتيح JGroups للعقد الموجودة في نشر ISE إمكانية الاتصال ببعضها البعض وبيانات النسخ المتماثل ل Exchange. وهو يوفر إطار عمل المراسلة الذي يساعد في إجراء تحديثات للتكوين وقواعد البيانات بين العقد مع الحفاظ على المزامنة عبر النشر.

• JGroups هو إطار اتصال مستخدم من قبل Cisco ISE للنسخ المتماثل؛ فهي لا تقوم بتخزين البيانات المنسوخة نسخا متماثلا بحد ذاتها.

• لا يتم نسخ كل البيانات ضمن Cisco ISE من خلال JGroups. تستخدم الخدمات المختلفة آليات اتصال مختلفة استنادا إلى نوع البيانات التي يتم نقلها.

• إذا تم مقاطعة النسخ المتماثل مؤقتا، فيمكن لبعض خدمات Cisco ISE مواصلة العمل باستخدام البيانات المتاحة محليا حتى يتم إستعادة المزامنة.

أمثلة على طرق نقل البيانات

البيانات	أسلوب الاتصال
رسائل التكوين والنسخ المتماثل	JGroups
مجموعة دعم	واجهة برمجة تطبيقات HTTPS (منفذ TCP رقم 443)
تصحيح التكوين	واجهة برمجة تطبيقات HTTPS (منفذ TCP رقم 443)
السجلات والتقارير المباشرة	RabbitMQ أو UDP، حسب تكوين النشر

المتطلبات الأساسية الأساسية وفحوصات التحقق من الصحة لنسخ Cisco ISE المتماثل

• حل DNS: يجب حل عمليات بحث DNS الأمامية والعكسية بنجاح لجميع عقد Cisco ISE المشاركة في النشر. يلزم توفر دقة DNS مناسبة لعمليات الاتصال والنسخ المتماثل للعقدة. 

• مزامنة NTP: يجب مزامنة جميع عقد Cisco ISE إلى مصدر NTP موثوق به للحفاظ على وقت النظام المتناسق عبر النشر. تعد مزامنة الوقت ضرورية للنسخ المتماثل والتحقق من صحة الشهادة.

• الشهادات: يجب أن تكون شهادة المسؤول المثبتة على كل عقدة Cisco ISE صحيحة وموثوق بها. تعتمد عمليات النسخ المتماثل على شهادة "الإدارة" لتأمين الاتصال بين العقد.

• متطلبات المنفذ: يجب أن يسمح اتصال الشبكة بالاتصال عبر المنافذ المطلوبة للنسخ المتماثل والخدمات بين العقد:

الخدمة	البروتوكول / المنفذ
HTTPS (SOAP)	بروتوكول TCP/443
مزامنة البيانات ونسخها (JGroups)	بروتوكول TCP/12001
الوصول الإداري	بروتوكول TCP/8443
خدمة مراسلة ISE (SSL)	بروتوكول TCP/8671
مزامنة ملكية نقطة نهاية محلل	بروتوكول TCP/6379

• إمكانية الوصول إلى الشبكة: يجب أن يكون اتصال الشبكة بين عقد Cisco ISE مستقرا، ويجب ألا يتجاوز زمن الوصول 300 مللي ثانية. يساعد التحقق من زمن الوصول وفقدان الحزم بين العقد على ضمان النسخ المتطابق الذي يمكن الاعتماد عليه.

• حالة إرتباط قائمة الانتظار: تستخدم شهادات مراسلة Cisco ISE لتأمين الاتصال بين العقد عبر منفذ TCP 8671. قد تؤدي شهادات المراسلة غير الصالحة أو التالفة إلى حدوث أخطاء في إرتباط قائمة الانتظار وفشل في النسخ المتماثل. في مثل هذه السيناريوهات، يجب إعادة إنشاء شهادة المرجع المصدق الجذر (ISE) أو شهادات مراسلة ISE حسب الاقتضاء.

• خدمة شاشة ISE:تعمل خدمة شاشة ISE من Cisco في عمليات النشر الموزعة وتيسر الاتصال الآمن بين العقد. يجب تشغيل الخدمة على جميع العقد القابلة للتطبيق لدعم النسخ المتماثل. يمكن التحقق من حالة الخدمة من Cisco ISE CLI باستخدام الأمر:
  إظهار الدعم الفني | شمول المخاطر

• ISE Patch and Version:يجب أن يكون لعقدة الإدارة الأساسية والعقدة المرتبطة (العقدة المستقلة) نفس الإصدار ومستوى التصحيح لتسجيل العقدة ومزامنتها حتى تعمل بسلاسة.

مراحل النسخ المتماثل في Cisco ISE

يتكون النسخ المماثل في Cisco ISE من ثلاث مراحل متميزة تعمل معا لإنشاء مزامنة وصيانتها عبر جميع العقد في النشر. تخدم كل مرحلة غرضا محددا، بدءا من ضم العقد إلى بعضها البعض، ثم تليها المزامنة الأولية لقاعدة البيانات، وأخيرا التبادل المستمر للتحديثات التزايدية للحفاظ على مزامنة كافة العقد.

• تسجيل العقد 
• مزامنة كاملة لأعلى 
• المزامنة التزايدية لأعلى

فهم تسجيل العقد في Cisco ISE

تسجيل العقدة هي العملية التي تنضم من خلالها عقدة Cisco ISE إلى نشر موجود وتنشئ الاتصال بعقدة الإدارة الأساسية (PAN).

أثناء تسجيل العقد:

الخطوة 1: تقوم عقدة الربط (العقدة المستقلة) ببدء الاتصال بعقدة الإدارة الأساسية. 

الخطوة 2: يتم إجراء التحقق من الشهادة المتبادلة باستخدام شهادة مسؤول Cisco ISE. 

الخطوة 3: يتم التحقق من دقة DNS ومزامنة NTP وإمكانية الوصول إلى الشبكة وإمكانية الوصول إلى المنفذ المطلوبة كجزء من عملية الاتصال. 

الخطوة 4: تتحقق عقدة الإدارة الأساسية من أن العقدة المستقلة / العقدة المرتبطة تقوم بتشغيل إصدار وتصحيح متوافق من Cisco ISE. 

الخطوة 5: يتم تبادل معلومات النشر وأدوار العقد وعلاقات الثقة. 

الخطوة 6: تم تهيئة خدمات النسخ المتماثل لقاعدة البيانات وإعدادها للمزامنة. 

يؤدي الإكمال الناجح لتسجيل العقدة إلى إنشاء العقدة كعضو موثوق به في النشر ويسمح ببدء عمليات النسخ المتماثل.

الخصائص الرئيسية

• يحدث عند إضافة عقدة جديدة إلى النشر.

• تنشئ الثقة وقنوات التواصل.

• لا يقوم على الفور بنقل قاعدة بيانات التكوين الكاملة.

• يعد بمثابة شرط مسبق لعمليات المزامنة اللاحقة.

راجع فهم عملية تسجيل العقدة في Cisco ISE للحصول على شرح تفصيلي لعملية تسجيل العقدة.

عملية تسجيل العقد

فهم المزامنة الكاملة في Cisco ISE

المزامنة الكاملة هي عملية نسخ مكتمل لقاعدة البيانات يتم من خلالها نقل قاعدة بيانات التكوين بالكامل من وحدة PAN الأساسية إلى عقدة أخرى. لا تقوم المزامنة الكاملة بنقل السجلات المعدلة فقط. وبدلا من ذلك، تتم إعادة إنشاء مجموعة بيانات التكوين بالكامل على العقدة المتلقية.

يمكن أن تحدث المزامنة الكاملة في سيناريوهات مثل:

• المزامنة الأولية بعد تسجيل العقدة.
• الاسترداد من حالات فشل النسخ المتماثل.
• عدم تناسق كبير لقاعدة البيانات.
• إعادة انضمام عقدة إلى النشر.
• تم بدء المزامنة اليدوية من خلال إجراءات أستكشاف الأخطاء وإصلاحها الخاصة ب Cisco TAC.
• آليات النسخ المتماثل الداخلية التي تحدد أن المزامنة التزايدية لم تعد قادرة على إستعادة تناسق قاعدة البيانات.

أثناء المزامنة الكاملة:

الخطوة 1: تقوم عقدة الإدارة الأساسية بإعداد لقطة قاعدة بيانات كاملة.

الخطوة 2: يتم حزم بيانات التكوين في ملف .dmp وترسل إلى العقدة المتلقية.

الخطوة 3: تم التحقق من صحة البيانات المنسوخة نسخا متماثلا الموجودة على العقدة المتلقية وتحديثها. 

الخطوة 4: تتم إعادة إنشاء قاعدة بيانات التكوين بالكامل لتطابق عقدة Primary Admin. 

الخطوة 5: يتم التحقق من حالة النسخ المتماثل عند الاكتمال.

نظرا لأن المزامنة الكاملة تتضمن بيانات أكثر بكثير من المزامنة التزايدية، فإنها تتطلب وقت معالجة إضافي وموارد شبكة إضافية.

خصائص المزامنة الكاملة

• نقل قاعدة بيانات التكوين الكاملة.
• يستهلك المزيد من عرض النطاق الترددي وموارد النظام.
• يستغرق وقتا أطول من المزامنة التزايدية.
• إسترداد تناسق قاعدة البيانات عند الكشف عن وجود تناقضات.
• يحدث بشكل نموذجي بشكل أقل تكرارا من المزامنة التزايدية.

عملية المزامنة الكاملة

فهم المزامنة التزايدية في Cisco ISE

المزامنة التزايدية هي آلية النسخ المتماثل المستمر التي تستخدمها Cisco ISE لتوزيع تغييرات التكوين بعد انضمام العقد بنجاح إلى النشر. عندما يقوم المسؤول بإجراء تغيير في التكوين على PAN، لا يقوم Cisco ISE بنقل قاعدة البيانات بالكامل. بدلا من ذلك، يتم نسخ السجلات المعدلة فقط نسخا متماثلا إلى عقد المشترك.

تشمل أمثلة التغييرات المنسوخة نسخا متماثلا من خلال المزامنة التزايدية ما يلي:

• تعديلات السياسة

• إضافات أو تحديثات جهاز الشبكة

• تغييرات مجموعة نقاط النهاية

• تحديثات ملف تعريف التخويل

• تغييرات التكوين المتعلقة بالشهادة

• تحديثات تكوين مصدر الهوية

تعمل عملية المزامنة التزايدية بشكل مستمر، كما تم تصميمها للحفاظ على التناسق عبر جميع العقد مع تقليل إستخدام النطاق الترددي العريض والنسخ المتماثل في نفس الوقت.

فوائد المزامنة التزايدية

• تعمل على تقليل حركة مرور النسخ المتماثل.

• تقليل وقت المزامنة إلى الحد الأدنى.

• السماح بالنشر السريع لتغييرات التكوين.

• يحافظ على التناسق في الوقت الفعلي تقريبا عبر عملية النشر.

سير عمل النسخ المتماثل

الخطوة 1: يحدث تغيير التكوين على عقدة الإدارة الأساسية. 

الخطوة 2: تمت كتابة التغيير إلى قاعدة بيانات عقدة الإدارة الأساسية. 

الخطوة 3: تعريف خدمات النسخ المتماثل للسجلات المعدلة.

الخطوة 4: تقوم عقدة الإدارة الأساسية بكتابة الأحداث / التغييرات الجديدة في جدول الحركات. 

الخطوة 5: قم بفصل مؤشرات الترابط من PAN بنشر المعلومات / التغييرات إلى العقد الثانوية في النشر. 

الخطوة 6: تتلقى العقد الثانوية في النشر التغييرات من عقدة الإدارة الأساسية. 

الخطوة 7: تقوم العقد الثانوية في النشر بتطبيق التغييرات التي تم تلقيها من عقدة الإدارة الأساسية. 

الخطوة 8: يتم تحديث حالة النسخ المتماثل عند الاكتمال الناجح. 

في ظروف التشغيل العادية، تحدث معظم أنشطة النسخ المتماثل في Cisco ISE من خلال المزامنة التزايدية.

نظرة عامة على تسلسل النسخ المتماثل وحالة المزامنة

يمكن تلخيص سير عمل النسخ المتماثل الإجمالي في نشر Cisco ISE كما يلي:

1. تسجيل العقد: إنشاء الثقة وإضافة العقدة إلى النشر. 

2. المزامنة الكاملة الأولية: نقل قاعدة بيانات التكوين الكامل إلى العقدة المسجلة حديثا. 

3. المزامنة التزايدية: نشر تغييرات التكوين بشكل مستمر خلال العملية العادية. 

4. المزامنة الكاملة (عند الحاجة): إعادة إنشاء تناسق قاعدة البيانات إذا تم الكشف عن مشاكل النسخ المتماثل أو عدم تطابق قاعدة البيانات. 

يتيح هذا النهج التدريجي لشركة Cisco ISE الحفاظ على قاعدة بيانات تكوين متناسقة عبر جميع العقد مع تحسين إستخدام الشبكة وأداء النسخ المتماثل في الوقت نفسه.

حالة المزامنة

تشير حالة المزامنة المعروضة لكل عقدة إلى حالة النسخ المتماثل والاتصال الحالية الخاصة بها:

• اللون الأخضر - تتم مزامنة العقدة مع النشر، وتعمل النسخ المتماثل بشكل طبيعي.
• أصفر - لم يتم مزامنة العقدة أو فشل تسجيل العقدة أو فقد اتصال نظام المجموعة (لم يتمكن نظام المجموعة من الوصول إلى العقدة خلال الدقائق الخمس الماضية).
• Red - يتعذر الوصول إلى العقدة فعليا ولا يمكن الاتصال بها من خلال عمليات التحقق من اتصال الشبكة (على سبيل المثال، إختبار اتصال ICMP و HTTPS).

النسخ المماثل لنقطة النهاية

Endpoint Replication هي العملية التي يقوم من خلالها ISE بمزامنة معلومات قاعدة بيانات النقطة الطرفية عبر جميع عقد خدمة السياسة (PSN) وعقدة الإدارة الأساسية (PAN) للحفاظ على طريقة عرض متناسقة لهوية النقطة الطرفية طوال عملية النشر.

• يحتفظ Cisco ISE بقاعدة بيانات مركزية لنقطة النهاية تقوم بتخزين المعلومات حول الأجهزة المتصلة بالشبكة. تتضمن هذه المعلومات كل من نقاط النهاية المكونة بشكل ثابت ونقاط النهاية التي تم التعرف عليها بشكل ديناميكي من خلال المصادقة أو إنشاء ملفات التعريف أو تقييم الموقف أو الدمج مع مصادر الهوية الخارجية.

• عند إنشاء معلومات نقطة النهاية أو تعديلها، يقوم Cisco ISE بنسخ التغييرات إلى العقد الأخرى في النشر. تمكن هذه المزامنة كل "عقدة خدمة نهج" من تقييم طلبات المصادقة والتفويض باستخدام نفس معلومات نقطة النهاية، بغض النظر عن أي من PSN يقوم بمعالجة الطلب.

• تتم معالجة النسخ المتماثل لنقطة النهاية تلقائيا بواسطة Cisco ISE وتشكل جزءا من آلية النسخ المتماثل لقاعدة البيانات الشاملة. لا يلزم على المسؤولين بدء مزامنة نقطة النهاية يدويا أثناء العمليات العادية.

كيفية عمل النسخ المتماثل لنقطة النهاية

• تحديث نقطة النهاية: يتم إنشاء نقطة نهاية أو تحديثها من خلال المصادقة أو إنشاء ملف التعريف أو الوضع أو التكوين اليدوي.

• اكتشاف التغيير: يكتشف Cisco ISE تغيير نقطة النهاية ويجهزه للنسخ المتماثل.

• النسخ المتماثل: يتم نسخ معلومات نقطة النهاية المحدثة نسخا متماثلا إلى العقد الأخرى في النشر باستخدام إطار عمل ISE للنسخ المتماثل.

• مزامنة قاعدة البيانات: تقوم العقد الثانوية بتحديث قاعدة بيانات نقاط النهاية المحلية الخاصة بها بالمعلومات المنسوخة نسخا متماثلا.

• تطبيق السياسات بشكل متسق: بمجرد اكتمال المزامنة، تستخدم كافة عقد خدمة النهج نفس معلومات نقطة النهاية لقرارات المصادقة والتفويض.

من الإصدار 3.3 من Cisco ISE، لا يتم نسخ نقاط النهاية التي تم اكتشافها ديناميكيا تلقائيا إلى جميع العقد. يمكن تمكين هذه الميزة أو تعطيلها من نافذة "النسخ المتماثل لنقطة النهاية". انتقل إلى إدارة > نظام > إعدادات > نسخ نقطة النهاية المتماثل، قم بتمكين أو تعطيل حسب المتطلب.

مشاكل النسخ المتماثل للعقدة المشتركة

السيناريو 1: فشل تسجيل العقدة بسبب فشل تحليل DNS

فشل تسجيل العقدة بسبب الخطأ حيث "يتعذر تحليل اسم المضيف. الرجاء التحقق من تكوين DNS".

خطوات التحقق من الصحة

• تأكد من تكوين خادم DNS الصحيح في عقدة الإدارة الأساسية والعقدة المستقلة. تحقق من تكوين خادم DNS باستخدام الأمر show running-config | تضمين خادم الاسم
• تحقق من صحة تحليل DNS العكسي والتقديم في عقدة الإدارة الأساسية والعقدة المستقلة باستخدام الأمر nslookup FQDN للعقدة لإعادة توجيه بحث DNS وعنوان NSLOOKUP للعقدة للبحث العكسي في DNS.
• تحقق من إمكانية الوصول إلى خادم DNS من عقدة الإدارة الأساسية والعقدة المستقلة باستخدام الأمر ping DNS server IP من واجهة سطر الأوامر (CLI) لعقد ISE.

السيناريو الثاني: فشل تسجيل العقدة بسبب انتهاء صلاحية شهادة المسؤول 

فشل تسجيل العقدة مع ظهور سبب الخطأ ك "خطأ في تحميل الشهادات. يتعذر الوصول إلى العقدة في هذا الوقت. حاول مرة أخرى لاحقا.

خطوات التحقق من الصحة

• تحقق من صحة شهادات الإدارة الخاصة بعقدة الإدارة الأساسية والعقدة المستقلة لضمان صحة الشهادة وحالتها. انتقل إلى إدارة > نظام > شهادات، وحدد العقدة، وتحقق من صحة شهادة الإدارة وحالتها.
• في حالة انتهاء صلاحية شهادة المسؤول، قم باستبدال الشهادة أو تجديدها وتأكد من تعيين إستخدام المسؤول.

السيناريو 3: فشل تسجيل العقدة بسبب عدم تطابق الإصدار

فشل تسجيل العقدة مع ظهور سبب الخطأ ك "عدم تطابق تفاصيل الإصدار/التصحيح".

خطوات التحقق من الصحة

• تحقق من إصدار البرنامج مع تصحيح عقدة Primary Admin والعقدة المستقلة باستخدام الأمر show version لضمان تطابق تفاصيل الإصدار.

مكونات سجلات التصحيح

هذه هي المكونات الشائعة التي يجب تعيينها في وضع تصحيح الأخطاء لعزل النسخ المتماثل واستكشاف أخطائه وإصلاحها في Cisco ISE.

• Replication-Deployment (replication.log and ise-psc.log)
• Replication-JGgroup (replication.log and ise-psc.log)
• متتبع النسخ المتماثل (tracking.log)
• الإسبات (Hibernate.log)
• JMS (replication.log)
• خدمة ca-service (caservice.log)
• admin-ca (ise-psc.log)

المرجع

• أستكشاف أخطاء ISE وإصلاحها وتمكين تصحيح الأخطاء
• ISE- خطأ إرتباط قائمة الانتظار
• دليل مسؤول محرك خدمات الهوية من Cisco، الإصدار 3.4
• دليل مسؤول محرك خدمات الهوية من Cisco، إصدار 3.5

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	07-Jul-2026	الإصدار الأولي