Verbindungsprobleme bei der Content Security Appliance

Einleitung

In diesem Dokument wird die Fehlerbehebung bei Problemen beschrieben, die auftreten, wenn Sie nicht in der Lage sind, über das Netzwerk eine Verbindung zur Cisco E-Mail Security Appliance (ESA) oder zur Cisco Security Management Appliance (SMA) herzustellen.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco ESA
• Cisco SMA
• AsyncOS

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco ESA AsyncOS - alle Versionen
• Cisco SMA AsyncOS - alle Versionen

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Problem

Es ist nicht möglich, eine Verbindung zur ESA oder SMA über das Netzwerk herzustellen. Sie versuchen, eine Verbindung über die Webschnittstelle und die CLI über Secure Shell (SSH) herzustellen, aber die Appliance scheint die Anfragen nicht zu beantworten.

Vorsicht: Es ist sehr wichtig, dass Sie das System nicht aus- und wieder einschalten, wenn Sie nicht vom technischen Support von Cisco dazu aufgefordert werden. Wenn Sie die Appliance aus- und wieder einschalten, kann dies zu Datenbeschädigungen führen, die zu verlorenen Nachrichten, Datenbankbeschädigungen, verlorenen Protokolldaten oder Schäden am Dateisystem führen können. Wenn Sie die Appliance aus- und wieder einschalten, kann die Bereitstellung der Dateisysteme nicht fehlerfrei aufgehoben werden. Aus diesem Grund empfiehlt Cisco, den Befehl shutdown oder reboot aus der CLI oder die Option shutdown/reboot zu verwenden, die auf der Registerkarte "Systemverwaltung" der grafischen Benutzeroberfläche der Appliance angezeigt wird.

Lösung

In den meisten Fällen ist die Appliance nicht gesperrt. Möglicherweise befindet es sich in einem Zustand, in dem es nicht möglich ist, auf Netzwerkanfragen wie gewohnt zu reagieren. Dieser Abschnitt enthält Richtlinien, die Sie verwenden können, um das Problem zu diagnostizieren und Ihr System möglicherweise wiederherzustellen, sodass es ausgeführt wird oder sich in einem funktionsfähigen Zustand befindet.

Wenn Sie die Appliance richtig neu starten und dennoch keinen Zugriff über das Netzwerk erhalten, überprüfen Sie die Kontrollleuchten und die akustischen Codes der Appliance:

• Prüfen Sie die Anzeigeleuchten am Gerät. Sind irgendwelche Lichter an?
  
  
• Sind die LEDs für die Festplatten an? Blinken sie?
  
  
• Gibt es auf der Vorderseite der Appliance Statuscodes?
  
  
• Hat die Appliance beim Start Signaltöne ausgegeben?
  
  

In vielen Fällen können Sie einfach das Netzwerkkabel austauschen oder an einen anderen Port des Switches wechseln, um das Verbindungsproblem zu beheben:

• Überprüfen Sie den Status der Anzeigen am Switch-Port, sofern diese verfügbar sind.
  
  
• Überprüfen Sie den Status der Anzeigen an der Appliance. Sind sie dran? Blinken sie?
  
  
• Können Sie eine direkte Verbindung mit der Appliance über ein Netzwerk-Crossover-Kabel herstellen?
  
  

Ein Netzwerk-Crossover-Kabel ermöglicht die direkte Verbindung mit den Ethernet-Ports der Appliance. Sie müssen den verbindenden Host jedoch so konfigurieren, dass er sich im gleichen Subnetz befindet wie die Schnittstelle, mit der Sie eine Verbindung herstellen. Die Verwendung eines Netzwerk-Crossover-Kabels kann bei der Diagnose von Situationen hilfreich sein, die mit Ihrem LAN zusammenhängen, z. B. wenn ein anderer Host die gleiche IP-Adresse im gleichen Subnetz hat. Überprüfen Sie, ob Ihre Appliance auf Netzwerkanforderungen reagiert:

• Reagiert Ihre Appliance nicht auf Netzwerkanfragen oder reagiert sie einfach nicht auf Serviceanfragen? Sie können einen Ping verwenden, um dies zu ermitteln: Wenn Sie die Appliance pingen können, aber keine SSH-Verbindung herstellen können, dann wissen Sie, dass sie über das Internet Control Message Protocol (ICMP) abhört und der SSH-Dienst nicht reagiert oder nicht zugänglich ist.
  
  
• Haben Sie alle Netzwerkschnittstellen getestet? Überprüfen Sie, ob Sie mit dem zuvor beschriebenen Verfahren eine Verbindung zu einer der anderen Schnittstellen der Appliance herstellen können.
  
  

Wenn Ihr System nicht auf Netzwerkanforderungen reagiert und sofortiger Zugriff erforderlich ist, können Sie eine Verbindung zum seriellen Anschluss auf der Geräterückseite herstellen. Dieser Port ist ein DB9-Standardanschluss und kann mit dem seriellen Kabel verwendet werden, das im Lieferumfang der Einheit enthalten ist. Wenn Sie nicht über das serielle Kabel verfügen, das im Lieferumfang der Einheit enthalten ist, müssen Sie eines erwerben, das als Nullmodemkabel konfiguriert ist.

Optional können Sie ein serielles Standardkabel mit einem Nullmodemadapter verwenden. Sobald Sie das Kabel an die Einheit anschließen, können Sie das andere Ende des Kabels an ein anderes System, z. B. einen Laptop, anschließen. Sie müssen ein Terminalprogramm wie Hyperterm oder Procom verwenden. Sie müssen auch Ihr Terminalprogramm für 9600 Baud 8N1 konfigurieren. Sobald Sie Ihr Terminalprogramm starten, sollten Sie in der Lage sein, sich zu verbinden und sich anzumelden. Wenn der serielle Port nicht reagiert, sollten Sie überprüfen, ob das Kabel angeschlossen ist und das Gerät eingeschaltet ist. Wenn Sie sich immer noch nicht anmelden können, sollten Sie sich an den Kundensupport wenden, um weitere Unterstützung zu erhalten.

Netzwerkbezogene Befehle

Wenn Sie über den seriellen Anschluss Zugriff erhalten, geben Sie den Befehl status detail ein, um zu überprüfen, ob der Status der Einheit Online anzeigt:

     mail.example.com > status detail

     Status as of:                  Mon Jan 04 12:48:31 2010 CST
     Up since:                      Tue Jul 14 16:50:50 2009 CDT (173d 20h 57m 41s)
     Last counter reset:            Never
     System status:                 Online
     Oldest Message:                24 weeks 16 hours 30 mins 48 secs
     Feature - Centralized Tracking: 833 days
     Feature - Centralized Reporting: 833 days
     Feature - IronPort Centralized Configuration Manager: 60 days
     Feature - Incoming Mail Handling: Perpetual
     Feature - Centralized Spam Quarantine: 833 days

Hinweis: Wenn der Befehl status detail nicht reagiert oder einen Fehler generiert, wenden Sie sich an den Cisco Kundensupport.

Geben Sie den Befehl Version ein, um den RAID-Status zu überprüfen:

     mail.example.com > version

     Current Version
     ===============
     Model: M660
     Version: 6.5.2-101
     Build Date: 2009-05-28
     Install Date: 2009-07-14 17:04:32
     Serial #: 002C999999-J999999
     BIOS: 2.4.3I
     RAID: 1.21.02-0528, 2.01.00, 1.02-014B
     RAID Status: Optimal
     RAID Type: 10
     BMC: 1.77

Wenn das RAID heruntergestuft ist, ist es möglich, dass die Appliance auf einen anderen Fehler gestoßen ist, der möglicherweise nicht mit der scheinbaren Blockierung zusammenhängt.

Hinweis: Wenn der Befehl Version nicht antwortet oder keine Daten bereitstellt, wenden Sie sich an den Cisco Kundensupport.

Geben Sie den Befehl etherconfig ein, um die Netzwerkkonfiguration zu überprüfen:

     mail.example.com > etherconfig

     Choose the operation you want to perform:
     - MEDIA - View and edit ethernet media settings.
     - VLAN - View and configure VLANs.
     - LOOPBACK - View and configure Loopback.
     - MTU - View and configure MTU.
     []> media

     Ethernet interfaces:
     1. Data 1 (Autoselect: <link is down>)) 00:22:19:b0:03:c4
     2. Data 2 (Autoselect: <link is down>)) 00:22:19:b0:03:c6
     3. Management (Autoselect: <1000baseTX full-duplex>) 00:10:18:4e:29:88

     Choose the operation you want to perform:
     - EDIT - Edit an ethernet interface.
     []>

     Choose the operation you want to perform:
     - MEDIA - View and edit ethernet media settings.
     - VLAN - View and configure VLANs.
     - LOOPBACK - View and configure Loopback.
     - MTU - View and configure MTU.
     []> MTU

     Ethernet interfaces:
     1. Data 1 default mtu 1500
     2. Data 2 default mtu 1500
     3. Management default mtu 1500

     Choose the operation you want to perform:
     - EDIT - Edit an ethernet interface.
     []>

Aktuelle Netzwerkänderungen können sich auf die Verbindung zur Appliance auswirken. Geben Sie den Befehl interfaceconfig ein, um die Schnittstelleneinstellungen zu überprüfen:

     mail.example.com > interfaceconfig


     Currently configured interfaces:
     1. Management (192.168.1.33/24 on Management: downside.hometown.net)
     2. outbound_gloop_ISQ_notify (192.168.1.34/24 on Management: inside.hometown.net)

     Choose the operation you want to perform:
     - NEW - Create a new interface.
     - EDIT - Modify an interface.
     - GROUPS - Define interface groups.
     - DELETE - Remove an interface.

     []>

Geben Sie den Diagnosebefehl ein, um den gesamten netzwerkbezogenen Cache zu leeren:

     mail.example.com > diagnostic


     Choose the operation you want to perform:
     - RAID - Disk Verify Utility.
     - DISK_USAGE - Check Disk Usage.
     - NETWORK - Network Utilities.
     - REPORTING - Reporting Utilities.
     - TRACKING - Tracking Utilities.
    []> network


    Choose the operation you want to perform:
    - FLUSH - Flush all network related caches.
    - ARPSHOW - Show system ARP cache.
    - SMTPPING - Test a remote SMTP server.
    - TCPDUMP - Dump ethernet packets.
    []> flush

    Flushing LDAP cache.
    Flushing DNS cache.
    Flushing system ARP cache.
    10.92.152.1 (10.92.152.1) deleted
    10.92.152.18 (10.92.152.18) deleted

    Network reset complete.

    Choose the operation you want to perform:
    - FLUSH - Flush all network related caches.
    - ARPSHOW - Show system ARP cache.
    - SMTPPING - Test a remote SMTP server.
    - TCPDUMP - Dump ethernet packets.
    []>

Hinweis: Wenden Sie sich an den Cisco Kundensupport, wenn einer der netzwerkbezogenen Befehle nicht antwortet. Wenn Sie die in diesem Dokument beschriebenen Schritte zur Fehlerbehebung durchführen und dennoch keinen Zugriff über das Netzwerk erhalten, wenden Sie sich an den Cisco Kundensupport, um weitere Unterstützung zu erhalten.