خطأ انتهاء مهلة مصادقة مفتاح ISE SFTP RSA

مسألة

يعمل مستودع SFTP الذي تم تكوينه بمصادقة مفتاح RSA بنجاح على عقدة ISE واحدة (ISE1) ولكنه يفشل على عقدة ISE أخرى (ISE2) تشغل ISE 3. 4. على العقدة الفاشلة، يتم بنجاح إكمال مصافحة SSH والتحقق من صحة الخادم، ولكن لا تنتهي مصادقة المفتاح العام وتنتهي مهلة جلسة SFTP باستخدام خطأ SFTP_SELECT: المهلة! رسالة الخطأ.

عند محاولة سرد محتويات مستودع SFTP باستخدام الأمر show repository sftp على عقدة ISE المتأثرة، يحدث تسلسل الأخطاء هذا:

device/admin# show repository SFTP
6 [4005534]:[info] transfer: cars_xfer.c[333] [system]: sftp dir of repository SFTP requested
6 [4005534]:[info] transfer: cars_xfer_util.c[2654] [system]: Server validation successful 10.50.60.200
7 [4005534]:[debug] transfer: sftp_handler.c[1295] [system]: Running sftp command: 10.50.60.200 will.king *** /users/will.king/ise/ ls -l /users/will.king/ise/
6 [4005534]:[info] transfer: sftp_handler.c[695] [system]: DEBUG: local user: admin UID: 0 sftp_run_parent FD: 7 remote host: 10.50.60.200 remote user: will.king command: ls -l /users/will.king/ise/
7 [4005534]:[debug] transfer: sftp_handler.c[705] [system]: fd is:7
7 [4005535]:[debug] transfer: sftp_handler.c[327] [system]: Executing SFTP command: 0 admin /usr/bin/sftp -oIdentityFile=/home/admin/.ssh/id_rsa -oUserKnownHostsFile=/home/admin/.ssh/known_hosts -oPasswordAuthentication=no will.king@10.50.60.200
3 [4005534]:[error] transfer: sftp_handler.c[417] [system]: sftp_select Error: timeout!
7 [4005534]:[debug] transfer: sftp_handler.c[1136] [system]: sftp parent status -999
% Failure occurred during request

وهذا يؤدي إلى منع إستخدام مستودع SFTP من عقدة ISE المتأثرة لوظائف ISE الحيوية مثل عمليات النسخ الاحتياطي.

البيئة

• Cisco Identity Services Engine (ISE)، الإصدار 3.4.0

• نشر ISE متعدد العقد مع عقدتين على الأقل (ISE1 و ISE2)

• مستودع SFTP المكون بمصادقة مفتاح RSA

• المصادقة المستندة إلى مفاتيح SSH باستخدام مفتاح RSA الخاص (/home/admin/.ssh/id_rsa)

• يمكن الوصول إلى خادم SFTP

• تم تعطيل مصادقة كلمة المرور (-oPasswordAuthentication=no)

قرار

ويجري حاليا التحقيق في هذه القضية من قبل الفريق الهندسي. تم تصعيد المشكلة لتحليل سجل الجذر لتحديد السبب الأساسي لتعطيل SFTP على عقدة ISE المتأثرة.

استنادا إلى إخراج تصحيح الأخطاء، قم بتنفيذ خطوات أستكشاف الأخطاء وإصلاحها الموضحة في الأقسام التالية لجمع معلومات إضافية.

الخطوة 1: التحقق من تناسق تكوين مستودع SFTP بين العقد

قارن تكوين مستودع SFTP على كلا عقدتي ISE للتأكد من أنهما متطابقان.

الخطوة 2: تحقق من أذونات ملف مفتاح SSH وملكيته

تحقق من أن ملف مفتاح SSH الخاص (/home/admin/.ssh/id_rsa) لديه الأذونات والملكية الصحيحة على العقدة المتأثرة.

الخطوة 3: إختبار اتصال الشبكة

تأكد من أنه يمكن لعقدة ISE المتأثرة الوصول إلى خادم SFTP على المنفذ 22 وأنه لا توجد مشاكل حظر على مستوى الشبكة.

الخطوة 4: تمكين تصحيح الأخطاء الإضافي

قم بتمكين المزيد من تصحيح أخطاء SSH/SFTP الإصطناعي لالتقاط معلومات تفصيلية حول فشل المصادقة.

من واجهة سطر الأوامر (CLI) الخاصة بالعقدة المتأثرة:

1.- قم بتمكين عمليات تصحيح الأخطاء هذه باستخدام الأوامر:

• debug copy 7

• debug transfer 7

2.- أستخدم الأمر show repository xxxxx بعد تمكين تصحيح الأخطاء من التقاط مزيد من المعلومات.

الخطوة 5: مقارنة بصمات مفاتيح SSH

تحقق من تطابق مفتاح SSH العام على خادم SFTP مع المفتاح الخاص الذي يتم إستخدامه بواسطة عقدة ISE المتأثرة.

تم حل المشكلة بتعريف عبارة المرور الصحيحة المستخدمة لإنشاء مفتاح RSA على فسحة بين دعامتين العقدة وإعادة تكوين إعدادات المستودع للمحاذاة مع بيانات الاعتماد الصالحة.

حل بديل مؤقت

يوصى بالتحقق يدويا من عبارة المرور باستخدام ssh-keygen -y -f /home/admin/.ssh/id_rsa على واجهة سطر الأوامر (CLI) لتأكيد كلمة المرور التي تم إلغاء تأمين المفتاح الخاص بنجاح قبل إعادة تطبيق تكوين المستودع في واجهة المستخدم الرسومية (GUI).

خطوات إعادة إنشاء مفتاح RSA:

1.- فتح واجهة سطر الأوامر (CLI) الخاصة بالعقدة المتأثرة.

2.- احذف مفتاح RSA القديم باستخدام الأمر crypto key delete rsa.

3.- قم بإنشاء مفتاح RSA جديد باستخدام عبارة المرور المطلوبة باستخدام الأمر crypto key generate rsa password xxxxxxxxxx.

4.- احصل على المفتاح العمومي RSA الجديد لاستيراده إلى النظام الآخر باستخدام الأمر show crypto key.

السبب

خطأ المستخدم / خطأ في التكوين. قرر التحقيق أن فشل مصادقة المستودع على العقدة الثانوية كان بسبب عدم تطابق بين عبارة المرور المتوقعة وعبارة المرور المستخدمة لتأمين مفتاح RSA الخاص المخزن. منع هذا النظام الفرعي للتشفير من فك تشفير المفتاح بنجاح لتوقيع تحدي مصادقة SSH.

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	06-Oct-2026	الإصدار الأولي