Inhalt

Problem

Nach dem Klicken auf "Weiter" auf der Warnungsseite eines sicheren Web-Gateways (SWG) treten bei Benutzern zeitweilig 404 Fehler auf, anstatt wie beabsichtigt zugelassen zu werden. Dieses Problem tritt während des normalen Richtlinienflusses auf, wenn SWG-Warnungsseiten ausgelöst werden, was sich auf den Webzugriff der Benutzer auswirkt. Das Problem tritt auf, wenn Benutzer die SWG-Warnungsseite über die gewünschte Richtlinienimplementierung erreichen. Nach dem Klicken auf "Weiter" erhalten sie jedoch 404 Fehler, anstatt zum beabsichtigten Ziel zu gelangen.

Umwelt

- Technologie: Solution Support (SSPT - Vertrag erforderlich)

- Untertechnologie: Sicherer Zugriff

- Produktfamilie: SECACS

- Betroffene Domäne: block.sse.cisco.com

Auflösung

Das Problem wurde in der CSC-Version 5.1.16 behoben, die jetzt auf CCO (Cisco Connection Online) verfügbar ist. Die Auflösung beinhaltete Änderungen der DNS-Verarbeitung und Antwortverarbeitung für die betroffene Domäne.

Lösungsschritte

Schritt 1: Upgrade auf CSC 5.1.16

Laden Sie die CSC-Version 5.1.16 von CCO herunter, die das Problem bei der Behandlung von DNS-Datensätzen behebt.

Phase 2: Überprüfung der DNS-Antwortänderungen

Die DNS-AAAA-Antwort für block.sse.cisco.com wurde dahingehend geändert, dass keine zugeordneten IP-Adressen verwendet werden. Damit wird die Ursache des Problems beseitigt.

Schritt 3: SWG-Warnungsseitenfunktion testen

Vergewissern Sie sich, dass die Benutzer auf den SWG-Warnungsseiten ohne 404 Fehler erfolgreich auf "Weiter" klicken können.

Fehlerbehebung Datensammlung

Wenn das Problem weiterhin besteht oder zu Diagnosezwecken, sammeln Sie die folgenden Protokolle.

https://www.cisco.com/c/en/us/support/docs/security/secure-access/221240-troubleshoot-and-collect-basic-informati.html

- DART-Protokolle mit aktiviertem maximalen Debugging

- Netzwerkpaketerfassung (pcap)

- KDF-Protokolle

- HAR-Dateien (HTTP Archive) aus Browsersitzungen

Ursache

Das Problem ist aufgetreten, weil DNS-Einträge für block.sse.cisco.com im internen DNS-Cache durch doppelte DNS-Einträge mit randomisierten TTLs (Time To Live-Werte) überschrieben wurden. Diese DNS-Beschädigung hat dazu geführt, dass der SWG-Umleitungsmechanismus für die Warnungsseite fehlschlug. Das Ergebnis waren 404 Fehler, als Benutzer versuchten, die Warnungsseite weiter zu durchlaufen. Aufgrund der Inkonsistenzen bei der DNS-Verarbeitung konnte die für die Warnungsseitenfunktionalität verwendete Domäne nicht ordnungsgemäß aufgelöst werden.

Verwandte Inhalte

- Technischer Support und Downloads von Cisco