Erkennung und Fehlerbehebung bei ISE Node-Replikations-Alarmen

Einleitung

Dieses Dokument beschreibt die Replikations-Alarme und deren Fehlerbehebung in Cisco Identity Services Engine® (ISE).

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse der Cisco Identity Services Engine® (ISE) verfügen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf folgenden Hardware- und Software-Versionen.

• Cisco Identity Services Engine® (ISE) 3.4 und höher

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

ISE-Replikationswarnungen

Replikationswarnungen in der Cisco ISE bieten Transparenz hinsichtlich des Status und der Synchronisierung des Replikations-Frameworks in der gesamten Bereitstellung. Diese Alarme helfen, Bedingungen zu identifizieren, die die Datenkonsistenz, Knotenkommunikation oder Replikationsprozesse beeinträchtigen können, sodass Administratoren Probleme erkennen und beheben können, bevor sie sich auf den Systembetrieb auswirken. Um eine intakte ISE-Bereitstellung aufrechtzuerhalten und sicherzustellen, dass Konfigurations- und Betriebsdaten über alle Knoten hinweg synchronisiert bleiben, ist es wichtig, den Zweck und die Bedeutung von Replikationswarnungen zu kennen.

ISE-Knotenreplikations-Alarme 

Replikation fehlgeschlagen

Der Alarm "Replication Failed" (Replikation fehlgeschlagen) wird generiert, wenn die sekundären Knoten in der Bereitstellung nicht in der Lage sind, die Nachrichten zu verarbeiten, die vom Knoten "Primary Administration" in der Bereitstellung repliziert werden. Dieser Alarm zeigt an, dass der Replikationsprozess fehlgeschlagen ist und der betroffene Knoten nicht mehr über die neuesten Konfigurations- oder Betriebsdaten verfügt.

Im Gegensatz zu zertifikatspezifischen Replikationswarnungen stellt dieser Alarm einen Fehler im allgemeinen Replikations-Framework dar und kann sich auf mehrere Konfigurationsobjekte und -dienste in der gesamten Bereitstellung auswirken.

Grund für Alarm

Der Alarm "Replication Failed" (Replikation fehlgeschlagen) kann ausgelöst werden, wenn die Cisco ISE die replizierten Daten nicht erfolgreich übertragen oder anwenden kann. Zu den häufigen Ursachen gehören:

• Probleme bei der Netzwerkkommunikation: Paketverlust, hohe Netzwerklatenz, Firewall-Beschränkungen, Routing-Probleme oder MTU-Diskrepanzen, die die Kommunikation zwischen ISE-Knoten unterbrechen.

• Probleme mit dem Replikationsdienst: RabbitMQ, JGroups oder andere interne Replikationsdienste sind nicht verfügbar, werden neu gestartet oder funktionieren nicht ordnungsgemäß.

• Probleme bei der Knotenkommunikation: Der Zielknoten ist offline, wird neu gestartet, ist nicht registriert, nicht mit der Bereitstellung verbunden oder nicht erreichbar.

• Probleme bei der Datenbanksynchronisierung: Der Zielknoten kann die replizierten Daten aufgrund von Datenbankfehlern oder Synchronisierungsfehlern nicht übertragen.

• Systemressourcenbeschränkungen: Hohe CPU-Auslastung, hoher Arbeitsspeicherdruck, unzureichender Festplattenspeicher oder hohe Festplatten-E/A, die die Replikationsverarbeitung verzögern.

• Auflösungsprobleme bei DNS oder Hostnamen: Falsche DNS-Auflösung für Vorwärts- oder Rückwärtsrichtung verhindert eine erfolgreiche Kommunikation zwischen Knoten.

• Versions- oder Bereitstellungsinkonsistenzen: Die Replikation schlägt fehl, wenn die Knoten nicht mit unterstützten Softwareversionen arbeiten oder wenn sich die Bereitstellung nach einem Upgrade oder einer Knotenregistrierung in einem inkonsistenten Zustand befindet.

• Ablauf des Admin-Zertifikats: Das Admin-Zertifikat für die ISE-Knoten ist abgelaufen/beschädigt/ungültig, da die Kommunikation zwischen den Knoten gefährdet ist, was zu einem Replikationsfehler führt. 

• Queue Link Errors (Verbindungsfehler in Warteschlange): Die Bereitstellung oder die betroffenen Knoten zeigen die Verbindungsfehler in der Warteschlange an, bei denen das ISE-Messaging-Zertifikat/die ISE Root-Zertifizierungsstellenkette auf dem Port 8671 beschädigt oder ungültig ist. 

• Der Stunnel-Dienst ist deaktiviert/offline: Der Stunnel-Dienst wird auf allen Knoten der verteilten Bereitstellung ausgeführt. Der Status "Deaktiviert/Nicht ausgeführt" des Stunnel-Service führt zu Fehlalarmen bei der Replikation. 

• Replikations-Ports sind blockiert: Die Ports 12001, 8671,443,8443 und 6379 müssen zwischen den Knoten in der Bereitstellung und im Netzwerk offen sein, um nahtlose Replikationsverfahren in der Bereitstellung zu ermöglichen.

Auswirkungen des Alarms

Die Auswirkungen hängen vom Typ der replizierten Daten ab. Replikationsfehler können zu inkonsistenten Konfigurationen auf ISE-Knoten, verzögerter Weitergabe von administrativen Änderungen, veralteten Richtlinien, fehlenden Netzwerkgeräten oder Identitätsdaten, Zertifikatsynchronisierungsfehlern und inkonsistenten Endpunktdaten führen. Bleibt die Replikation über einen längeren Zeitraum erfolglos, kann dies die administrativen Abläufe und die Richtlinienkonsistenz in der gesamten Bereitstellung beeinträchtigen.

Replikation angehalten

Der Alarm "Replication Stopped" wird generiert, wenn der primäre Administrationsknoten die Informationen nicht auf die sekundären Knoten der Bereitstellung replizieren kann. Dieser Alarm zeigt an, dass der Replikationsprozess fehlgeschlagen ist und die betroffenen Knoten nicht mehr über die neuesten Konfigurations- oder Betriebsdaten verfügen.

Grund für Alarm

Der Alarm "Replication Stopped" kann ausgelöst werden, wenn der primäre Administrationsknoten die replizierten Daten nicht erfolgreich übertragen kann. Zu den häufigen Ursachen gehören:

• Probleme bei der Netzwerkkommunikation: Paketverlust, hohe Netzwerklatenz, Firewall-Beschränkungen, Routing-Probleme oder MTU-Diskrepanzen, die die Kommunikation zwischen ISE-Knoten unterbrechen.

• Probleme mit dem Replikationsdienst: RabbitMQ, JGroups oder andere interne Replikationsdienste sind im Knoten für die primäre Administration nicht verfügbar, werden neu gestartet oder funktionieren nicht ordnungsgemäß.

• Systemressourcenbeschränkungen: Hohe CPU-Auslastung, hoher Arbeitsspeicherdruck, unzureichender Festplattenspeicher oder hohe Festplatten-E/A verzögern die Replikationsverarbeitung im primären Administrationsknoten.

• Auflösungsprobleme bei DNS oder Hostnamen: Falsche DNS-Auflösung für Vorwärts- oder Rückwärtsrichtung verhindert eine erfolgreiche Kommunikation zwischen Knoten.

• Versions- oder Bereitstellungsinkonsistenzen: Die Replikation schlägt fehl, wenn die Knoten nicht mit unterstützten Softwareversionen arbeiten oder wenn sich die Bereitstellung nach einem Upgrade oder einer Knotenregistrierung in einem inkonsistenten Zustand befindet.

• Ablauf des Admin-Zertifikats: Das Admin-Zertifikat für die ISE-Knoten ist abgelaufen/beschädigt/ungültig, da die Kommunikation zwischen den Knoten gefährdet ist, was zu einem Replikationsfehler führt. 

• Queue Link Errors (Verbindungsfehler in Warteschlange): Die Bereitstellung oder die betroffenen Knoten zeigen die Verbindungsfehler in der Warteschlange an, bei denen das ISE-Messaging-Zertifikat/die ISE Root-Zertifizierungsstellenkette auf dem Port 8671 beschädigt oder ungültig ist. 

• Der Stunnel-Dienst ist deaktiviert/offline: Der Stunnel-Dienst wird auf allen Knoten der verteilten Bereitstellung ausgeführt. Der Status "Deaktiviert/Nicht ausgeführt" des Stunnel-Service führt zu Fehlalarmen bei der Replikation. 

• Replikations-Ports sind blockiert: Die Ports 12001, 8671,443,8443 und 6379 müssen zwischen den Knoten in der Bereitstellung und im Netzwerk offen sein, um nahtlose Replikationsverfahren in der Bereitstellung zu ermöglichen.

Auswirkungen des Alarms

Wenn die Replikation beendet wird, erhalten die Knoten in der Bereitstellung keine Konfigurationsaktualisierungen mehr vom primären Administrationsknoten. Dies kann zu inkonsistenten Richtlinien, veralteten Definitionen von Netzwerkgeräten, fehlenden Endpunktinformationen, Verzögerungen bei der Zertifikatsynchronisierung und Konfigurationskonflikten in der gesamten Bereitstellung führen. Wenn die Replikation für einen längeren Zeitraum angehalten bleibt, können administrative Änderungen, die am primären PAN vorgenommen werden, erst nach der Wiederherstellung der Synchronisierung auf dem betroffenen Knoten wirksam werden.

Fehlerbehebung bei fehlgeschlagener Replikation und Alarm "Replikation beendet"

Warnung bei langsamer Replikation 

Bei jeder Konfigurationsänderung am primären PAN speichert die Cisco ISE die Änderung in der Replikationswarteschlange und synchronisiert sie mit den sekundären Knoten. Unter normalen Bedingungen ist die Replikation innerhalb kurzer Zeit abgeschlossen. Wenn jedoch die Replikationswarteschlange aufgebaut wird oder der Zielknoten mehr Zeit benötigt als erwartet, um Replikationsanforderungen zu verarbeiten, generiert die Cisco ISE einen Alarm für eine langsame Replikation.

Die Cisco ISE unterteilt diese Alarme in drei Schweregrade:

• Langsame Replikationsinformationen
• Langsame Replikation
• Langsamer Replikationsfehler

Grund für Alarm

Der Alarm "Langsame Replikation" wird in der Regel aufgrund temporärer Bedingungen generiert, die die Replikationsverarbeitung verzögern. Zu den häufigen Ursachen gehören:

• Temporäre Systemressourcennutzung: Kurze Zeiträume mit hoher CPU-Auslastung, Speicherauslastung oder erhöhter Festplatten-E/A können die Replikationsverarbeitung verzögern.

• Netzwerklatenz: Kurze Erhöhungen der Netzwerklatenz oder geringfügige Paketverluste zwischen ISE-Knoten können die Datenübertragung verlangsamen.

• Umfangreiche Konfigurationsänderungen: Durch Massenimporte von Endpunkten, Richtlinienaktualisierungen, Zertifikatimporte oder andere umfangreiche administrative Änderungen wird die Menge der zu replizierenden Daten erhöht.

• Betrieb des Hintergrundsystems: Backup-, Wiederherstellungs-, Bereinigungs-, Patch-Installations- oder Upgrade-Aktivitäten erhöhen vorübergehend die Systemlast.

• Replikationswarteschlangen-Rückstand: Mehrere Konfigurationsänderungen, die innerhalb eines kurzen Zeitraums durchgeführt werden, können die Replikationswarteschlange vorübergehend vergrößern.

• Vorübergehende Serviceverzögerungen: Bei RabbitMQ, JGroups oder Datenbankdiensten treten kurze Verzögerungen bei der Verarbeitung auf, während der normale Betrieb fortgesetzt wird.

Warnung bei langsamer Replikation - Info

Eine langsame oder unterbrochene Replikation wird erkannt, wenn die Anzahl der ausstehenden Nachrichten 10000 übersteigt oder die für die Replikation von Nachrichten benötigte Zeit länger als eine Stunde beträgt. 

Überprüfung: Überprüfen Sie die Anzahl der ausstehenden Synchronisierungsnachrichten. Navigieren Sie zu Administration > System > Deployment, wählen Sie den betroffenen Knoten aus, und klicken Sie auf das Informationssymbol (i), um die Anzahl der ausstehenden Replikationsmeldungen zu überprüfen.

Warnung bei langsamer Replikation - Warnung

Eine langsame oder unterbrochene Replikation wird erkannt, wenn die Anzahl der ausstehenden Nachrichten größer als 20000 ist oder die Zeit, die für die Replikation von Nachrichten benötigt wird, drei Stunden überschreitet.

Überprüfung: Überprüfen Sie die Anzahl der ausstehenden Synchronisierungsnachrichten. Navigieren Sie zu Administration > System > Deployment, wählen Sie den betroffenen Knoten aus, und klicken Sie auf das Informationssymbol (i), um die Anzahl der ausstehenden Replikationsmeldungen zu überprüfen.

Warnung bei langsamer Replikation - Fehler

Eine langsame oder unterbrochene Replikation wird erkannt, wenn die Anzahl der ausstehenden Nachrichten größer als 40000 ist oder die Zeit, die für die Replikation von Nachrichten benötigt wird, fünf Stunden überschreitet.

Überprüfung: Überprüfen Sie die Anzahl der ausstehenden Synchronisierungsnachrichten. Navigieren Sie zu Administration > System > Deployment, wählen Sie den betroffenen Knoten aus, und klicken Sie auf das Informationssymbol (i), um die Anzahl der ausstehenden Replikationsmeldungen zu überprüfen.

Fehlerbehebung bei Node-Replikationswarnungen

1. Überprüfen des Bereitstellungsstatus für den Knoten

Damit die Zertifikatreplikation erfolgreich ist, muss sich der sekundäre Knoten in der Cisco ISE-Bereitstellung im Status Verbunden befinden. Navigieren Sie zu Administration > System > Deployment, und überprüfen Sie den Status des betroffenen Knotens. Bewegen Sie den Mauszeiger über das Informationssymbol (i) neben dem Knotenstatus, um die Synchronisierungsdetails und alle ausstehenden Replikationsmeldungen anzuzeigen.

Der für jeden Knoten angezeigte Synchronisierungsstatus gibt den aktuellen Replikations- und Verbindungsstatus an:

• Grün - Der Knoten ist mit der Bereitstellung synchronisiert, und die Replikation funktioniert normal.
• Gelb - Der Knoten ist nicht synchronisiert, die Knotenregistrierung ist fehlgeschlagen oder die Clusterverbindung ist unterbrochen. Dieser Status zeigt an, dass der Knoten vom Cluster in den letzten fünf Minuten nicht erreichbar war.
• Rot - Der Knoten ist nicht erreichbar und kann nicht durch Netzwerkverbindungsprüfungen wie ICMP-Ping oder HTTPS kontaktiert werden.

Wenn der Knoten einen gelben oder roten Status anzeigt, weist er auf ein Replikations- oder Verbindungsproblem hin, das diesen Knoten betrifft. Überprüfen Sie außerdem die Anzahl der Replikationsmeldungen, die in den Knoteninformationen angezeigt wird. Die Anzahl ausstehender Nachrichten muss 5.000 oder weniger betragen. Eine Warteschlange mit mehr als 5.000 ausstehenden Nachrichten zeigt an, dass sich die Replikationswarteschlange angesammelt hat, was eine erfolgreiche Replikation verzögern oder verhindern kann.

2. Überprüfen Sie den Warteschlangenverbindungsalarm in der Bereitstellung. 

Die erfolgreiche Replikation in der Cisco ISE hängt von der Verfügbarkeit und Kommunikation des RabbitMQ-Messaging-Services und des Cluster-Kommunikations-Frameworks von JGroups ab. Wenn bei einer der Komponenten Kommunikationsprobleme auftreten, generiert die Cisco ISE Warteschlangenverbindungsfehler, die die Replikation zwischen Bereitstellungsknoten unterbrechen können.

Um den Alarmstatus zu überprüfen, navigieren Sie zu Operations > Dashboard > Alarms, und überprüfen Sie die betroffenen Knoten auf Queue Link Errors (Verbindungsfehler in der Warteschlange).

Wenn Verbindungsfehler in der Warteschlange vorhanden sind, erneuern Sie das Cisco ISE Root CA-Zertifikat, da Kommunikationsfehler aufgrund von Zertifikaten in der Regel zu Verbindungsfehlern in der Warteschlange führen. Sobald das Zertifikatproblem behoben ist, wird die Replikation in der Regel automatisch ohne zusätzlichen Eingriff fortgesetzt.

3. Überprüfung der Netzwerklatenz und -anbindung

Die Cisco ISE-Replikation basiert auf einer stabilen Netzwerkverbindung zwischen Bereitstellungsknoten. Hohe Netzwerklatenz oder intermittierende Verbindungen können die Replikation verzögern und zu Synchronisierungsfehlern führen, insbesondere in geografisch verteilten Bereitstellungen.

Überprüfen Sie die Netzwerklatenz zwischen den betroffenen Knoten mithilfe von Verbindungstests wie Ping. Für eine zuverlässige Replikation muss die Round-Trip-Latenz zwischen Knoten innerhalb von ca. 300 ms bleiben. Eine konsistente Latenz, die diesen Schwellenwert überschreitet, kann sich negativ auf die Replikations-Performance und die Synchronisierung auswirken.Stellen Sie außerdem sicher, dass es keine intermittierenden Netzwerkausfälle, Paketverluste oder Firewall-Beschränkungen gibt, die die Kommunikation zwischen den Bereitstellungsknoten beeinträchtigen.

4. Überprüfen der Auslastung der Systemressourcen 

Eine hohe Auslastung der Systemressourcen kann die Leistung der Cisco ISE beeinträchtigen und Replikationsaufgaben verzögern. Eine übermäßige CPU-, Arbeitsspeicher- oder Festplattennutzung kann den erfolgreichen Abschluss von Replikationsprozessen verhindern.

Überprüfen Sie, ob der betroffene Knoten über ausreichende Systemressourcen verfügt und die Ressourcenauslastung innerhalb der empfohlenen Betriebsgrenzen bleibt. Wenn die Ressourcenauslastung konstant hoch ist, weisen Sie zusätzliche Ressourcen zu oder reduzieren die Arbeitslast auf dem Knoten, um die normale Replikations-Performance wiederherzustellen.

5. Überprüfen der Portverfügbarkeit in der Bereitstellung und im Netzwerk

Für die Cisco ISE-Replikation müssen bestimmte TCP-Ports zwischen allen Knoten in der Bereitstellung offen bleiben, um eine unterbrechungsfreie Kommunikation und eine erfolgreiche Replikation zu gewährleisten. Wenn einer dieser Ports durch eine Firewall, eine Zugriffskontrollrichtlinie oder ein Netzwerkgerät blockiert wird, können Replikationsfehler oder Synchronisierungsprobleme auftreten.

Stellen Sie sicher, dass diese TCP-Ports offen sind und zwischen allen Cisco ISE-Knoten erreichbar sind:

• TCP 443 - HTTPS-Kommunikation
• TCP 8443 - Administrative Kommunikation
• TCP 12001 - Clusterkommunikation und Replikation von Gruppen
• TCP 6379 - Interne Messaging-Services
• TCP 8671 - Cisco ISE Messaging (RabbitMQ)

Melden Sie sich bei der Cisco ISE CLI an, und führen Sie den Befehl show ports aus, um die im Knoten zulässigen Ports zu überprüfen.

Vergewissern Sie sich, dass die erforderlichen Ports auf dem Cisco ISE-Knoten aktiviert sind, und stellen Sie sicher, dass sie über den Netzwerkpfad zugelassen sind. Vergewissern Sie sich, dass keine zwischengeschalteten Firewalls, Sicherheitsgeräte oder Netzwerkrichtlinien die Kommunikation zwischen den Bereitstellungsknoten auf diesen Ports blockieren.

6. DNS-Auflösung überprüfen 

Die Cisco ISE-Replikation ist von einer erfolgreichen Kommunikation zwischen allen Knoten in der Bereitstellung abhängig. Damit die Kommunikation zwischen den Knoten richtig funktioniert, müssen die Knoten erreichbar sein, und die DNS-Auflösung für Vorwärts- und Rückwärtsrichtung muss konfiguriert sein und ordnungsgemäß funktionieren. DNS-Auflösungsprobleme können die Kommunikation von Knoten verhindern, was zu Replikationsfehlern führt.

Um die DNS-Auflösung in den ISE-Knoten zu überprüfen, melden Sie sich bei der Cisco ISE CLI an, und verwenden Sie den Befehl nslookup, um die DNS-Auflösung für jeden Knoten in der Bereitstellung sowohl vorwärts als auch rückwärts zu überprüfen.

Beispiele:

• Forward DNS lookup: Der Befehl nslookup www.example.com muss die IP-Adresse des entsprechenden Cisco ISE-Knotens zurückgeben.

• Reverse DNS lookup: Der Befehl nslookup 10.x.x.1 muss den vollqualifizierten Domänennamen (FQDN) des entsprechenden Cisco ISE-Knotens zurückgeben.

7. Überprüfung von Admin- und ISE-Messaging-Zertifikaten

Die Cisco ISE verwendet das Admin-Zertifikat und das ISE Messaging-Zertifikat, um eine sichere Kommunikation zwischen den Knoten herzustellen, die für die Replikation erforderlich ist. Wenn eines der Zertifikate ungültig, abgelaufen, beschädigt oder nicht vertrauenswürdig ist, kann die Replikation zwischen den Bereitstellungsknoten fehlschlagen.

Um den Zertifikatsstatus zu überprüfen, navigieren Sie zu Administration > System > Certificates, wählen Sie den betroffenen Knoten aus, und überprüfen Sie die Admin- und ISE Messaging-Zertifikate. Überprüfen Sie, ob die Zertifikate gültig sind, nicht abgelaufen sind, vertrauenswürdig sind und sich in einem einwandfreien Zustand befinden.

Wenn entweder das Administratorzertifikat oder das ISE Messaging-Zertifikat ungültig, beschädigt oder abgelaufen ist, ersetzen oder erneuern Sie das Zertifikat. Sobald das Zertifikatproblem behoben ist, wird die Replikation wieder aufgenommen, nachdem die sichere Kommunikation zwischen den Knoten wiederhergestellt ist.

8. Überprüfen Sie den Status des ISE-Stunnel-Service.

Der Stunnel-Service in der Cisco ISE ist ein interner Service, der ein sicheres SSL/TLS-Tunneling für die Kommunikation zwischen ISE-Komponenten und externen Services bietet. Anstatt die TLS-Verschlüsselung in jeder Anwendung separat zu implementieren, verwendet die ISE Stunnel als Wrapper, der Services, die über reines TCP kommunizieren, eine SSL/TLS-Verschlüsselung hinzufügt. Dies erhöht die Sicherheit und vereinfacht gleichzeitig die Implementierung einer sicheren Kommunikation.

Der Stunnel-Dienst muss sich auf allen Knoten in der Cisco ISE-Bereitstellung im Running-Status befinden, damit die Replikation ordnungsgemäß funktioniert. Der Dienst benötigt gültige ISE-Admin- und ISE-Messaging-Zertifikate, um während des Replikationsprozesses eine sichere TLS-Kommunikation zwischen Knoten herzustellen. Der Dienststatus kann mithilfe des Befehls show tech-support über die Cisco ISE CLI überprüft werden. | Stunnel einschließen

Protokollerfassung für Replikationswarnungen

Dies sind die allgemeinen Komponenten, die im Debug-Modus eingerichtet werden müssen, um Replikationswarnungen in der Cisco ISE zu isolieren und Probleme damit zu beheben.

• Replication-Deployment (Replication.log und ise-psc.log)
• Replication-JGroup (Replication.log und ise-psc.log)
• Replication Tracker (tracking.log)
• hibernate (hibernate.log)
• JMS (replikation.log)

Referenz

• Administratoranleitung für die Cisco Identity Services Engine, Version 3.5
• Fehlerbehebung und Aktivieren von Debuggen auf der ISE
• Collect Support-Paket auf der Identity Services Engine

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
1.0	06-Jul-2026	Erstveröffentlichung