المحتويات

مسألة

يختبر Cisco SecureClient ZTNA على نقاط نهاية MacOS فشل تحليل DNS وفقدان اتصال ZTA بعد إستئناف النظام من وضع السكون أو الإسبات. تؤثر هذه المشكلة على وظائف ZTNA IA (الوصول إلى الهوية) و ZTNA PA (الوصول الخاص). بينما يظل اتصال IP الأساسي فعالا (يعمل اتصال ICMP بعناوين IP الخارجية مثل 8.8.8.8 و 208.67.222.222 بنجاح)، يفشل تحليل اسم DNS بالكامل، مما يمنع الوصول إلى كل من موارد الإنترنت والموارد الخاصة التي تم تكوينها من خلال ZTNA.

وتشمل الأعراض المحددة التي لوحظت ما يلي:

- فشل عمليات بحث DNS باستخدام أوامر NSLOOKUP (مثل NSLOOKUP ل www.cisco.com via 8.8.8.8 و 208.67.222.222 لا يعمل).

- تصبح إتصالات ZTNA IA و ZTNA PA غير متوفرة.

- تحدث المشكلة بشكل متسق بعد إسبات نقطة النهاية ودورات التنبيه.

- كما يمكن أن تحدث المشكلة بشكل عشوائي أثناء إستخدام الجهاز النشط.

- يؤدي القضاء على عملية ZTNA إلى إعادة التشغيل الفوري، ولكن مشكلة الاتصال تستمر عادة.

- إستعادة النظام بالكامل فقط لدقة DNS الكاملة واتصال ZTNA.

البيئة

- نظام التشغيل: MacOS (الإصدار 26.3 موثق في حالة)

- Cisco SecureClient: الإصدار 5.1.14.x (الإصدارات المتأثرة قبل 5.1.16)

- وحدة ZTNA النمطية: نشط مع كل من تكوينات الوصول إلى الهوية (IA) والوصول الخاص (PA)

- مراقبة الشبكة: يمكن أن تتضمن حلول أمان خاصة بجهة خارجية مثل Sentinel One

- برامج الأمان الإضافية: يمكن تضمين نقطة نهاية آمنة من Cisco

- خوادم DNS: خوادم DNS الخارجية (8.8.8.8، 208.67.222.22) التي يمكن الوصول إليها عبر بروتوكول ICMP ولكن فشل تحليل DNS

- الوحدة النمطية UMB: غير قيد الاستخدام

قرار

تم حل المشكلة من خلال إصلاح برنامج مقدم من قبل هندسة Cisco. وتشمل عملية الحل الخطوات المبينة في الفروع التالية.

الخطوة 1: تعريف المشكلة وتتبع الأخطاء

عرفت Cisco Engineering هذا كعيب معروف وسجلت هو ضمن cisco بق id CSCwt24392 مع الوصف MacOS: ويتوقف نظام أسماء النطاقات عن العمل باستخدام ZTA SIA-all و NVM active.

الخطوة 2: تجميع البيانات التشخيصية

تم تجميع معلومات التشخيص هذه لدعم التحليل الهندسي:

- يتم تجميع DART (أداة التشخيص وإعداد التقارير) من نقاط النهاية المتأثرة.

- ملفات التقاط الحزمة (ZTNA Issue1.pcapng).

- لقطات شاشة توضح فشل الاتصال.

- تسجيلات الشاشة التي تظهر نسخ المشكلة.

- تظهر سجلات تفاعل العملية سلوك عملية ملحق النظام و com.cisco.securecent.zta.app.service.

الخطوة 3: تطوير الإصلاح الهندسي

طورت Cisco Engineering إصلاحا مستهدفا ل CSCwt24392 وتضمنه في الإصدار 5.1.16 من SecureClient. يعالج الإصلاح بشكل خاص فشل تحليل DNS الذي يحدث عندما يكون ZTA SIA-all و NVM نشطا على أنظمة MacOS بعد دورات السكون/الإسبات.

الخطوة 4: تثبيت تحديث البرامج

قم بتثبيت Cisco SecureClient الإصدار 5.1.16 أو إصدار أحدث على نقاط نهاية MacOS المتأثرة. يحتوي هذا الإصدار على إصلاح مشاكل دقة DNS واتصال ZTA.

الخطوة 5: إختبار التحقق من الصحة

بعد تثبيت SecureClient 5.1.16، قم بتنفيذ خطوات التحقق من الصحة التالية:

1.- السماح لنقطة نهاية MacOS بإدخال وضع السكون أو الإسبات.

2.- تنبيه النظام من النوم أو الإسبات.

3.- إختبار تحليل DNS باستخدام أوامر NSLOOKUP.

4.- التحقق من اتصال ZTNA IA و ZTNA PA بالموارد المكونة.

5.- تأكد من أن الوصول إلى الإنترنت والوصول إلى الموارد الخاصة يعملان بشكل صحيح دون الحاجة إلى إعادة تشغيل النظام.

حل بديل للإصدارات السابقة

بالنسبة للبيئات التي لا يمكن فيها الترقية الفورية إلى SecureClient 5.1.16، يمكن إستخدام هذا الحل المؤقت:

- قم بإجراء إعادة تشغيل النظام بالكامل بعد كل دورة نوم/سبات لاستعادة دقة DNS واتصال ZTNA.

- ضع في اعتبارك إلغاء التسجيل من ZTNA مؤقتا إذا كانت مشكلة النوم/الإسبات تؤثر بشكل كبير على الإنتاجية (لاحظ أن هذا يزيل حماية ZTNA).

السبب

السبب الجذري لهذه المشكلة هو عيب برمجي في cisco SecureClient صيغة قبل 5.1.16، بشكل خاص يتتبع بما أن cisco بق id CSCwt24392. ويحدث الخطأ عندما ال ZTA (zero Trust Access) SIA-all (Secure Internet Access) و NVM (Network Visibility Module) مكون نشط على MacOS نظام. أثناء دورة السكون أو الإسبات والنكبة، تفشل هذه المكونات في إستعادة وظيفة تحليل DNS بشكل صحيح، مع الحفاظ على اتصال IP الأساسي. وهذا يؤدي إلى إنشاء حالة تعمل فيها حركة مرور ICMP (ping) بشكل طبيعي، ولكن تفشل استعلامات DNS، مما يؤدي إلى حظر الوصول إلى موارد الإنترنت والموارد الخاصة المحمية من ZTNA بشكل فعال. تتضمن المشكلة تفاعلا غير صحيح بين عملية com.cisco.secureRecent.zta.app.service وعملية امتداد النظام أثناء عمليات الانتقال إلى حالة النظام.

المحتوى ذي الصلة

- معرف تصحيح الأخطاء من Cisco CSCwt24392 - MacOS: توقف DNS عن العمل باستخدام ZTA SIA-all و NVM نشط

- الدعم الفني والتنزيلات من Cisco