Ablaufdatum des Zertifikats für den Connector der sicheren Zugriffsressource und Betriebssystem-Upgrade-Warnungen

Problem

Ressource

Connectors, die auf VMware ESXi bereitgestellt wurden, zeigen folgende Fehler an:

1. Dieser Connector ist angeschlossen, seine Konfiguration kann jedoch nicht synchronisiert werden. Führen Sie eine Diagnose aus, und überprüfen Sie die Firewall-Einstellungen, um Verbindungsprobleme zu beheben.

2. Konfigurationsstatus: DNS-Konfigurationen oder Konfigurationsstatus können nicht abgerufen werden. Überprüfen Sie Ihre Firewall-Einstellungen.

3. Anschlussausführung:

• Unbekannt

• Version 2.0.85

• (Version 2.0.93)

The data can be out-of-date.
Added
Jan 20, 2026 7:15 AM UTC

Betriebssystemversion

• Unbekannt

• 2509300328

• (2601240447)

• Die Daten können veraltet sein.

Umwelt

• Cisco Secure Access Resource Connectors Version 2.0.85

• Virtualisierungsplattform VMware ESXi

• Ressourcen-Connectors in HA-Paaren bereitgestellt

• CSG-Firewall ohne Firewall-Drops

• Netzwerkverbindung ohne Routing- oder NAT-Änderungen bestätigt

• Mehrere Ressourcen-Connector-Paare in derselben Umgebung mit identischen Firewall-, Routing-, NAT- und Sicherheitsrichtlinien

• Wiederkehrendes Fehlermuster etwa alle 5 Wochen

Auflösung

Ursache

Beide RCs zeigen diesen Fehler an: Fehler beim Einrichten der Controller-Verbindung. Fehler="SetupControllerConnection::Fehler beim Erstellen der Controller-Verbindung. Fehler: Netzwerkfehler: Kontext-Frist überschritten"

Es wurden keine Probleme mit der Konnektivität von RC erkannt. Der DNS ist in Ordnung. Ports sind zulässig, PING NUR an diese URLs ist jedoch fehlgeschlagen:

2026-02-12 14:26:39.736869500 SSE API -> [0;31mFAILED
2026-02-12 14:26:39.736870500 SSE ACME PureCA OCSP -> [0;31mFAILED
2026-02-12 14:26:39.736924500 =====================================

2026-02-12 14:10:21.892855500
2026-02-12 14:10:21.892856500 ###ping SSE API: ping -w 5 -c 3 api.sse.cisco.com
2026-02-12 14:10:26.899046500 PING api.sse.cisco.com (146.112.59.20) 56(84) bytes of data.
2026-02-12 14:10:26.899047500
2026-02-12 14:10:26.899048500 --- api.sse.cisco.com ping statistics ---
2026-02-12 14:10:26.899048500 5 packets transmitted, 0 received, 100% packet loss, time 4082ms


2026-02-12 14:10:30.922958500 ###ping SSE ACME PureCA OCSP: ping -w 5 -c 3 ssepki-prd.pureca.cryptosvcs.cisco.com
2026-02-12 14:10:35.926673500 PING ssepki-prd.pureca.cryptosvcs.cisco.com (3.225.142.190) 56(84) bytes of data.
2026-02-12 14:10:35.926674500
2026-02-12 14:10:35.926709500 --- ssepki-prd.pureca.cryptosvcs.cisco.com ping statistics ---
2026-02-12 14:10:35.926709500 5 packets transmitted, 0 received, 100% packet loss, time 4078ms


2026-02-12 14:15:54.892666500 =========== Ping ============
2026-02-12 14:15:54.892823500 self -> [0;32mSUCCESS
2026-02-12 14:15:54.892879500 gateway -> 0;32mSUCCESS
2026-02-12 14:15:54.892964500 SSE API -> 0;31mFAILED
2026-02-12 14:15:54.893022500 SSE Certificate API ->[0;32mSUCCESS
2026-02-12 14:15:54.893071500 SSE AC Headend -> SUCCESS
2026-02-12 14:15:54.893144500 SSE ACME PureCA OCSP -> [0;31mFAILED
2026-02-12 14:15:54.893168500 =====================================

Bei den vorhergehenden Meldungen handelt es sich um Fehlalarme.

Das fragliche Zertifikat wurde aufgrund von OCSP-Fehlern erneuert, wenn der RC versucht, OCSP auf die SSE-API zu überprüfen. In den Protokollen wird der Status HTTP 403 zurückgegeben:

026-02-12T14:23:26Z ERR could not check for certificate revocation error="error validating cert revocation status err=exit status

Die folgenden Debug-Zeilen können hilfreich sein:

 Error querying OCSP responder\n807BB6508C770000:error:1E800069:HTTP routines:parse_http_line1:received error:../crypto/http/http_client.c:440:code=403, reason=Forbidden\n807BB6508C770000:error:1E800076:HTTP routines:OSSL_HTTP_REQ_CTX_nbio:unexpected content type:../crypto/http/http_client.c:676:expected=application/ocsp-response, actual=text/html; charset=\"utf-8\"\n807BB6508C770000:error:1E800067:HTTP routines:OSSL_HTTP_REQ_CTX_exchange:error receiving:../crypto/http/http_client.c:874:server=http://ssepki.cryptosvcs.cisco.com:80\n" func=VerifyCertificateStatus

2026-02-12T14:23:26Z INF setting up controller connection

Wenn Sie Blöcke in der Firewall haben, kann der Datenverkehr nach http://ssepki.cryptosvcs.cisco.com:80\n weitere Zertifikatfehler verhindern.

Betriebssystem-Updates

Weitere Informationen finden Sie unter https://securitydocs.cisco.com/docs/csa/olh/120729.dita

Die Ressourcenkonnektoren funktionieren weiterhin, werden aber nicht mehr unterstützt.

Verwandte Inhalte

• Technischer Support und Downloads von Cisco

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	17-Jul-2026	Rezertifizierung
1.0	12-Mar-2026	Erstveröffentlichung