Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Problem

Lösung 1

Lösung 2

AnyConnect-Anfragen an mus.cisco.com

Konfigurieren

Netzwerkdiagramm

Fehlerbehebung

Einleitung

Dieses Dokument beschreibt das Verhalten des AnyConnect VPN Core-Moduls, wenn es in bestimmten Szenarien den vollqualifizierten Domänennamen (FQDN) mus.cisco.com anfragt. Diese Abfrage tritt auf, wenn der AnyConnect-Client versucht festzustellen, ob der Endpunkt über Internetzugriff verfügt und kein VPN verwendet wird.

Mitarbeiter von Peter Giang, Cisco BU.

Mitarbeiter von Steve Sargent, technischer Leiter der Cisco BU.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Installation des AnyConnect-Moduls

- Erstellung von AnyConnect Diagnostic and Reporting Tool (DART)-Paketen

- Wireshark Sniffer erfasst.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- AnyConnect-Core-VPN-Modul Version 4.8.03052

- Windows 10 Enterprise 10.0.18363 Build 18363

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Dieses Dokument kann auch mit den folgenden Hardware- und Softwareversionen verwendet werden:

- Beliebiges Betriebssystem (MacOS, Windows, Linux).

- Alle AnyConnect-Versionen vor 4.10.

Hintergrundinformationen

AnyConnect-Abfragen an mus.cisco.com werden standardmäßig erwartet.

Anmerkung: Für dieses Verhalten wurde ein Verbesserungsfehler erstellt. Cisco Bug-ID CSCvu39643. Abfragen von mus.cisco.com vom VPN-Core dürfen nicht ausgeführt werden, wenn kein VPN-Modul verwendet wird.

Problem

Wenn das AnyConnect VPN-Kernmodul nicht verwendet wird (für VPN-Verbindungen ist kein XML-Profil konfiguriert), werden alle 15 Sekunden Abfragen an mus.cisco.com generiert.

Lösung 1

Fügen Sie auf Ihrem DNS-Server einen DNS-Eintrag (Domain Name System) hinzu, um Namensabfragen an mus.cisco.com aufzulösen. Wenn Sie keinen DNS-Server verwalten, leiten Sie solche Anfragen an einen öffentlichen DNS-Server weiter.

Sobald der FQDN auf mus.cisco.com aufgelöst werden kann, beendet AnyConnect den Abfrageversuch.

Lösung 2

Fügen Sie Ihrer Hostrefile Operative System (OS) einen DNS-Eintrag hinzu, um FQDN mus.cisco.com aufzulösen.

Windows

1. Drücken Sie die Windows-Taste.

2. Geben Sie Editor in das Suchfeld ein.

3. Klicken Sie in den Suchergebnissen mit der rechten Maustaste auf Editor und wählen Sie Als Administrator ausführen aus.

4. Öffnen Sie im Editor die Datei: "C:\Windows\System32\Drivers\etc\hosts".

5. Nehmen Sie die erforderlichen Änderungen an der Datei vor.

6. Wählen Sie Datei > Speichern, um die Änderungen zu speichern.

Mac

1. Öffnen Sie ein Terminal-Fenster.

2. Geben Sie diesen Befehl ein, um die Hosts-Datei mit dem Nano-Texteditor zu öffnen, der in das Betriebssystem eingebettet ist: "sudo nano /etc/hosts".

3. Geben Sie Ihren Domänenbenutzer und Ihr Kennwort ein.

4. Nehmen Sie die erforderlichen Änderungen an der Datei vor.

Linux

1. Öffnen Sie ein Terminal-Fenster.

2. Geben Sie diesen Befehl ein, um die Hosts-Datei mit dem Nano-Texteditor zu öffnen, der im Betriebssystem eingebettet ist: "sudo nano /etc/hosts".

3. Geben Sie Ihren Domänenbenutzer und Ihr Kennwort ein.

4. Nehmen Sie die erforderlichen Änderungen an der Datei vor.

AnyConnect-Anfragen an mus.cisco.com

Konfigurieren

Installation des AnyConnect VPN-Kernmoduls.

Netzwerkdiagramm

******************************************

Date : 06/17/2020

Time : 20:21:57

Type : Warning

Source : acvpnagent

Description : Function : CDNSRequest::OnSocketReadComplete

File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp

Line: 1147

Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)

******************************************

Fehlerbehebung

Um den ordnungsgemäßen Betrieb zu bestätigen, können Sie eine Paketerfassung auf der Ausgangsschnittstelle des Endpunkts mithilfe von Wireshark aktivieren.

Auf der grafischen Benutzeroberfläche (GUI) des AnyConnect-Clients wird die Meldung "Netzwerkfehler" angezeigt. Host-Namen konnten nicht gesucht werden" wird angezeigt (wie im Bild gezeigt).

Wenn eine der Workarounds angewendet wird, können Sie auch eine Paketerfassung auf Wireshark vornehmen und den DNS-Filter verwenden, um die permanenten Abfragen auf mus.cisco.com zu bestätigen:

Auf der GUI-Schnittstelle des AnyConnect-Clients wird die Meldung "Ready to connect" (Verbindungsbereitschaft) angezeigt (wie im Bild gezeigt).

Tipp: Auch wenn das AnyConnect VPN-Kernmodul auf der GUI-Schnittstelle nicht angezeigt wird, bedeutet dies nicht, dass das VPN-Kernmodul nicht in Betrieb ist, suchen Sie im Verzeichnis "C:\programdata\cisco on Windows" nach der Datei VPNDisable_ServiceProfile.xml und auf Apple-Geräten nach "/opt/cisco/anyconnect/profile". Unter Linux wird dies nicht unterstützt.