Inhalt

Einführung

Voraussetzungen

Hintergrundinformationen

Konfigurieren

Einführung

In diesem Dokument wird beschrieben, wann bei der Erstellung oder Teilnahme an einem Cluster bei einer Cisco E-Mail Security Appliance (ESA) Fehler mit Zeitüberschreitung auftreten, wenn keine Datensätze für den DNS-Zeiger (PTR) verfügbar sind und wie das Problem behoben werden kann.

Voraussetzungen

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- AsyncOS für Email Security Version 8.0 und höher

Hintergrundinformationen

Wenn der Cluster über Cluster Communication Security (CSS) oder Secure Shell (SSH) mit der IP-Adresse verbunden wird, ist der PTR-Datensatz erforderlich. Andernfalls fordert die ESA "timed out"-Fehler auf, und die Cluster-Verbindung schlägt fehl.

Manchmal sind DNS-Datensatzänderungen nicht möglich oder nicht zulässig, um PTR-Datensätze korrekt zu erstellen.

Folgende Situationen können auftreten:

- IP-Adressen der Appliances verwenden interne IP-Adressen

- Es sind keine PTR-Datensätze für beide Appliances vorhanden.

- Root DNS oder Local DNS können nicht beide lokalen Hostnamen auflösen

- Root DNS oder lokaler DNS können nicht bearbeitet oder geändert werden.

- Sowohl Port 22 (SSH) als auch Port 222 (CSS) werden auf beiden Seiten geöffnet.

- Fehlerzeitüberschreitung auf beiden Seiten

- NXDOMAIN kann für diese IP-Adressen nicht auf dem Root-DNS konfiguriert werden.

Konfigurieren

Es gibt eine Lösung, bei der die lokale ESA als DNS-Quelle verwendet wird.  Fügen Sie in der Appliance-CLI eine lokale DNS-Auflösung hinzu. Wenn es beispielsweise Appliance esa1.example.com (192.168.10.1) und esa2.example.com (192.168.10.2) gab, für die der PTR-Datensatz nicht aufgelöst werden kann, führen Sie folgende Schritte aus:

esa1.example.com> dnsconfig

Choose the operation you want to perform:

- NEW - Add a new server.

- EDIT - Edit a server

- DELETE - Remove a server

- SETUP - Configure general settings.

[]> new

Currently using the local DNS cache servers:

1. Priority: 0 192.168.1.53

Do you want to add a new local DNS cache server or an alternate domain server?

1. Add a new local DNS cache server.

2. Add a new alternate domain server.

[]> 2

Please enter the domain this server is authoritative for. (Ex: "com").

[]> 2.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example for esa2]

Please enter the fully qualified hostname of the DNS server for the domain

"1.10.10.10.in-addr.arpa".

(Ex: "dns.example.168.192.in-addr.arpa").

[]> esa1.example.com [enter the hostname of the ESA you are configuring this on]

Please enter the IP address of machinea.example.com.

[]> 192.168.10.1 [enter the IP of the ESA you are configuring this on]

esa2.example.com> dnsconfig

Choose the operation you want to perform:

- NEW - Add a new server.

- EDIT - Edit a server

- DELETE - Remove a server

- SETUP - Configure general settings.

[]> new

Currently using the local DNS cache servers:

1. Priority: 0 192.168.1.53

Do you want to add a new local DNS cache server or an alternate domain server?

1. Add a new local DNS cache server.

2. Add a new alternate domain server.

[]> 2

Please enter the domain this server is authoritative for. (Ex: "com").

[]> 1.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example esa1]

Please enter the fully qualified hostname of the DNS server for the domain

"1.10.10.10.in-addr.arpa".

(Ex: "dns.example.168.192.in-addr.arpa").

[]> esa2.example.com [enter the hostname of the ESA you are configuring this on]

Please enter the IP address of machinea.example.com.

[]> 192.168.10.2 [enter the IP of the ESA you are configuring this on]

Drücken Sie die Eingabetaste, bis Sie zur Hauptaufforderung gelangen und Commit ausführen, um die Konfigurationsänderungen zu speichern und zu aktivieren.

Hinweis: In den obigen Beispielen gibt die oben eingegebene Domäne für Bitte geben Sie die Domäne ein, für die dieser Server maßgebend ist, die umgekehrte DNS-Suche oder IP-Adresse 192.168.10.1 und 192.168.10.2.  Stellen Sie sicher, dass die IP-Adressen auf esa1.example.com und esa2.example.com konfiguriert und erreichbar sind.