أستكشاف أخطاء عملية اكتشاف وحدة التحكم بالمجال Cisco ISE ؛ ؛عملية اكتشاف وحدة التحكم بالمجال أثناء الانضمام إلى خدمة Active Directory

مسألة

يتعذر على محرك خدمات الهوية (ISE) من Cisco اكتشاف وحدات التحكم في المجال (DCs) وفشل الانضمام إلى خدمة ISE Active Directory (AD).

البيئة

• محرك خدمات الهوية من Cisco (ISE) - الإصدار 3.x والإصدارات الأحدث

• Microsoft Active Directory (AD) - 2016 وأعلى

• نظام اسم المجال (DNS) - UDP/TCP 53

• البروتوكول الخفيف للوصول للدليل (LDAP) - TCP 389؛ بروتوكول TCP 636 إذا تم إستخدام بروتوكول LDAP الآمن (LDAPs)

• البروتوكول الخفيف للوصول للدليل (CLDAP) غير المتصل - UDP 389

قرار

يكتشف Cisco ISE DCs أثناء عملية الانضمام إلى AD، ويستخدم معايير متعددة لتحديد DC الذي سيتم إختياره.

اكتشاف DNS:

• يستخدم ISE استعلامات سجل خدمة DNS (SRV) لاكتشاف DCs المتوفرة والكتالوجات العمومية (GCs) ومركز توزيع المفاتيح (KDCs). يقوم خادم DNS بإرجاع قائمة وحدات التحكم بالمجال DC و GC و KDCs المتوفرة

• إذا لم يستلم ISE هذه المعلومات، فلا يمكنه متابعة عملية الانضمام إلى AD والإبلاغ عن خطأ متعلق ب DNS.

• من واجهة سطر أوامر (CLI) ISE، تحقق من سجلات AD SRV باستخدام :

  nslookup

• مثال:

  nslookup ldap.tcp.example.com querytype SRV
  
  nslookup kerberos.tcp.example.com querytype SRV 
  
  nslookup ldap.tcp.dc._msdcs.example.com querytype SRV

• يجب أن ترجع الاستعلامات أسماء مضيفات DC صالحة. ثم تحقق من أن اسم مضيف DC الذي تم إرجاعه قد تم حله إلى عنوان IP الصحيح:

  nslookup dc01.example.com

• يرجع خادم DNS الذي تم تكوينه في ISE الذي يقوم بتشغيل التكوين قائمة الخوادم المتوفرة.

• تحقق من تكوين خادم ISE DNS لديك من خلال تشغيل هذا الأمر

  show running-config

• بالنسبة ل CLDAP، أستخدم التقاط الحزمة على ISE أثناء تنفيذ الانضمام إلى AD أو تشغيل تشخيص AD المناسب.

• على سبيل المثال، التقاط حركة مرور البيانات بين ISE و DC والتحقق من:

  ISE → DC01 : UDP/389  CLDAP Request 
  DC01 → ISE : UDP/389  CLDAP Response 

• يجب تلقي الاستجابة من كل وحدة تحكم في الوصول (DC) يمكن الوصول إليها. إذا قام ISE بإرسال طلب CLDAP ولكنه لا يتلقى أي إستجابة، فتحقق من قواعد جدار الحماية/قائمة التحكم في الوصول والتوجيه واتصال UDP 389 بين ISE و DC.

تعريف الموقع

• يستخدم ISE معلومات CLDAP لتحديد DCs في نفس موقع Active Directory وتفضيله كلما أمكن.

• تحقق من أن الشبكة الفرعية ISE تنتمي إلى موقع AD الصحيح. تحقق أيضا من أن DCs المتوقعة تنتمي إلى نفس موقع AD.

مراقبة الاتصال

• يستخدم ISE CLDAP بشكل دوري لمراقبة توفر وحدة التحكم بالمجال DC.

• تحقق من اتصال UDP 389 المتقطع أو فقدان الحزمة أو استجابات CLDAP المتأخرة بين ISE و DCs باستخدام التقاط الحزم.

• تقوم إستجابة CLDAP التي تستغرق أكثر من 2.5 ثانية بإنشاء تحذير. في حالة عدم إستجابة وحدة التحكم في الوصول (DC)، يفشل انضمام AD.

السبب

• يتعذر على ISE اكتشاف DC.

• لا يقوم DNS بإرجاع سجلات AD المطلوبة.

• يتعذر على ISE الوصول إلى وحدات DC المكتشفة.

• لا تستجيب وحدات التحكم بالمجال (DC) لطلبات CLDAP.

• تقوم الشبكة الفرعية ISE بتعيين موقع AD غير صحيح.

• لا يقبل DC المحدد اتصال LDAP.

المحتوى ذي الصلة

• Identity Service Engine (ISE) ودليل تكامل Active Directory
• الدعم الفني والتنزيلات من Cisco