Beheben von Umbrella-Fehlern für Active Directory und VAs

Einleitung

In diesem Dokument wird die Behebung von Umbrella-Fehlern für Active Directory und virtuelle Appliances beschrieben.

Problem

Dieses Dokument beschreibt häufige Fehler-, Warn- und Informationsmeldungen auf der Seite Sites und Active Directory und enthält Lösungsschritte.

Auf der Seite Umbrella Settings > Sites and AD (Umbrella-Einstellungen > Standorte und AD) werden eine oder mehrere Fehler-, Warn- oder Informationsmeldungen für virtuelle Appliances, Active Directory (AD)-Connectors oder Domänencontroller (DCs) angezeigt.

Umwelt

Die Seite Umbrella-Standorte und Active Directory befindet sich unter Einstellungen > Standorte und AD.

• Betroffene Komponenten sind virtuelle Appliances (VAs), AD-Anschlüsse und Rechenzentren.
• Die DNSCrypt-Unterstützung ist in VA-Version 1.5.x oder höher verfügbar.
• Wenn der Connector unter Windows Server (WS) 2012 oder höher bereitgestellt wurde und die Synchronisierung mit Umbrella beendet wurde, stellen Sie sicher, dass auf dem Connector Version 1.6.31 oder höher ausgeführt wird.
• Connectors Version 1.6.31 oder höher funktionieren auf WS 2008/2008 R2, wenn .NET 4.5.2 oder höher ausgeführt wird. Es wird jedoch empfohlen, die Bereitstellung auf einem unterstützten Server zu erneuern.
• Cisco hat das Ende des Lebenszyklus (EOL) von Transport Layer Security (TLS) 1.0/1.1 angekündigt. Nicht unterstützte Windows-Versionen (Windows Server 2008, 2008 R2 oder Windows 7) unterstützen TLS 1.2 standardmäßig nicht. Installieren Sie den Connector auf einer unterstützten Serverversion (Windows Server 2012 oder höher) neu.
• Um Anmeldeinformationen an eine virtuelle Appliance zu senden, muss auf dem Domänencontroller (DC) am gleichen Standort ein Connector installiert sein.
• Die Standorte müssen mindestens einen der Komponententypen enthalten, auf die in der Meldung hingewiesen wird.
• Der Umbrella Connector-Service wurde auf die Unterstützung von 10 Ressourcen (Domänencontroller und virtuelle Appliances) pro CPU getestet.
• Der Umbrella Connector-Service wurde auf die Unterstützung von ca. 850 Ereignissen (ohne feste Grenze) pro Sekunde bei allen Domänencontrollern an einem Umbrella-Standort getestet.

Auflösung

Verwenden Sie den Abschnitt, der mit dem Komponententyp übereinstimmt, der unter Einstellungen > Standorte und AD angezeigt wird, und wählen Sie dann den genauen Nachrichtentext aus.

• Virtuelle Appliances: VA-Registrierungs-/Synchronisierungsstatus, Connector-Zuordnung, DNSCrypt, lokale Domänen, Redundanz und Fehlermeldungen bei DNS-Abfragen.
• AD-Anschlüsse: Connector-Registrierung/Synchronisierungsstatus, DC/VA-Verbindung, Timeouts, Parallelverarbeitung und Ereignislöschmeldungen.
• Domänencontroller: Verbindungszuordnung und WMI-Verbindungsmeldungen.

Virtuelle Appliances

"Diese VA wurde registriert, aber noch nie synchronisiert."

1. Die Synchronisierung kann bis zu 10 Minuten in Anspruch nehmen.
2. Stellen Sie sicher, dass die Netzwerkanforderungen erfüllt werden. Siehe Leitfaden zum Active Directory-Kommunikationsfluss: Connectors > Virtual Appliances > RZs und die Cloud.
3. Wenn das Problem weiterhin besteht, sammeln Sie Protokolle, und öffnen Sie ein Support-Ticket.

"Dieses VA wurde zu einem Zeitpunkt synchronisiert, ist aber seitdem nicht mehr aktiv."

Führen Sie diese Schritte aus, um die VA-Synchronisierung wiederherzustellen und die erforderliche Verbindung zu bestätigen.

1. Wenn die VA gelöscht wurde, entfernen Sie sie aus dem Umbrella Dashboard: Hinweise zum Entfernen - Umbrella Insights.
2. Bestätigen der Netzwerkanforderungen Siehe Leitfaden zum Active Directory-Kommunikationsfluss: Connectors > Virtual Appliances > RZs und die Cloud.
3. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

 "Diese VA war zuvor mit einem oder mehreren Anschlüssen verbunden, ist jetzt jedoch mit keinem verbunden."

1. Wenn Anschlüsse entfernt wurden, ignorieren Sie diese Meldung, und entfernen Sie den veralteten Anschluss-Eintrag aus dem Dashboard.
2. Bestätigen der Netzwerkanforderungen Siehe Leitfaden zum Active Directory-Kommunikationsfluss: Connectors > Virtual Appliances > RZs und die Cloud.
3. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Diese virtuelle Appliance ist mit einigen, aber nicht mit allen Connectors für diesen Standort verbunden."

1. Wenn Anschlüsse entfernt wurden, ignorieren Sie diese Meldung, und entfernen Sie den Anschluss aus dem Dashboard.
2. Voraussetzungen bestätigen: Benutzerhandbuch zur virtuellen Appliance: Voraussetzungen.
3. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
4. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Von dieser VA an Umbrella weitergeleitete DNS-Abfragen werden nicht verschlüsselt"

DNSCrypt verschlüsselt DNS-Pakete, die von der virtuellen Appliance (VA) an öffentliche Umbrella DNS-Resolver weitergeleitet werden und ist standardmäßig aktiviert.

1. Vergewissern Sie sich, dass die VA Version 1.5.x oder höher ausführt. Die DNSCrypt-Unterstützung ist ab Version 1.5.x verfügbar. Wenn nur ein VA vorhanden ist und kein Upgrade durchgeführt wird, führen Sie ein Upgrade durch: Virtuelle Appliances aktualisieren.
2. Überprüfen Sie die Firewall- und Überprüfungsrichtlinien, um sicherzustellen, dass die DNSCrypt-Überprüfung auf Port 53 (UDP/TCP) nicht blockiert oder geändert wird. Wenn ein Intrusion Prevention System (IPS) oder ein Intrusion Detection System (IDS) eine eingehende Paketprüfung durchführt und nur DNS-Datenverkehr erwartet, kann die Überprüfung fehlschlagen.
3. Bei Adaptive Security Appliance (ASA)-Bereitstellungen lesen Sie die Anweisungen zur Paketprüfung, auf die in der Bereitstellungsdokumentation verwiesen wird.
4. Wenn die Warnung weiterhin besteht, sammeln Sie Protokolle: Unterstützung von AD-Steckverbinderprotokollen und anschließendes Öffnen eines Supportgehäuses
5. Vergewissern Sie sich, dass die Warnung unter Einstellungen > Standorte und AD für die betroffene VA gelöscht wird.

Weitere Informationen: Neue VA-Warnung: Aktivieren von DNSCrypt auf Ihrer virtuellen Appliance.

"Für diese VA sind keine lokalen Domänen konfiguriert."

1. Stellen Sie sicher, dass lokale Domänen konfiguriert sind: Lokale DNS-Weiterleitung.

"Dieses VA ist am Standort nicht redundant (pro Standort sind mehr als 2 VA erforderlich)."

1. Installieren einer zweiten VA für hohe Verfügbarkeit In der Bereitstellungsdokumentation für die Umbrella Virtual Appliance finden Sie Hinweise zur Ausführung von zwei virtuellen Appliances pro Standort.

"Ein großer Prozentsatz der DNS-Abfragen an diese VA ist fehlerhaft."

1. Erfassung relevanter VA- und Connector-Protokolle und Erstellung eines Support-Tickets
2. Vergewissern Sie sich, dass die DNS-Abfragefehlerrate wieder auf "Normal" gesetzt wird und der Fehler unter "Einstellungen > Standorte" und "AD" für die betroffene VA gelöscht wird.

AD-Anschlüsse

"Dieser Connector wurde registriert, aber noch nie synchronisiert."

Verwenden Sie diese Prüfungen, um den erfolgreichen Abschluss der ersten Synchronisierung zu bestätigen:

1. Die Synchronisierung kann bis zu 10 Minuten in Anspruch nehmen.
2. Stellen Sie sicher, dass die Netzwerkanforderungen erfüllt sind: Identitätsintegrationen: Voraussetzungen.
3. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
4. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Dieser Connector wurde zu einem bestimmten Zeitpunkt synchronisiert, ist aber seitdem nicht mehr verfügbar."

1. Stellen Sie sicher, dass die Netzwerkanforderungen erfüllt werden. Siehe Leitfaden zum Active Directory-Kommunikationsfluss: Connectors > Virtual Appliances > RZs und die Cloud.
2. Cisco hat das EOL von TLS 1.0/1.1 angekündigt. Nicht unterstützte Windows-Versionen (Windows Server 2008, 2008 R2 oder Windows 7) unterstützen TLS 1.2 standardmäßig nicht. Installieren Sie den Connector auf einer unterstützten Serverversion (Windows Server 2012 oder höher) neu.
3. Wenn der Connector auf WS 2012 oder höher bereitgestellt wird und die Synchronisierung mit Umbrella beendet wurde, stellen Sie sicher, dass der Connector Version 1.6.31 oder höher ausführt.
4. Connectors Version 1.6.31 oder höher funktionieren auf WS 2008/2008 R2, wenn .NET 4.5.2 oder höher ausgeführt wird. Es wird jedoch empfohlen, die Bereitstellung auf einem unterstützten Server zu erneuern.
5. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
6. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Dieser Anschluss muss entweder nicht über VA oder DC angeschlossen werden."

1. Stellen Sie sicher, dass die Site mindestens einen Komponententyp enthält.
2. Überprüfen Sie die Einrichtungsdokumentation: Identitätsintegrationen: Voraussetzungen und Active Directory-Integration > Schritt 2: Vorbereiten der Active Directory-Umgebung

"Dieser Anschluss hat kein Rechenzentrum, mit dem eine Verbindung hergestellt werden kann"

1. Stellen Sie sicher, dass die Site mindestens einen Komponententyp enthält.
2. Überprüfen Sie die Einrichtungsdokumentation: Bereiten Sie Ihre Active Directory-Umgebung vor.

"Es gibt einen oder mehrere RZs, mit denen der Connector verbunden werden kann, aber noch keine Verbindung hergestellt hat."

1. Die Synchronisierung kann bis zu 10 Minuten in Anspruch nehmen.
2. Stellen Sie sicher, dass die Voraussetzungen erfüllt sind: Identitätsintegrationen: Voraussetzungen.
3. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
4. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector ist mit einigen, aber nicht mit allen Rechenzentren verbunden."

1. Voraussetzungen bestätigen: Identitätsintegrationen: Voraussetzungen.
2. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
3. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector war einmal angeschlossen, ist jedoch derzeit mit keinem der verfügbaren Rechenzentren verbunden."

1. Voraussetzungen bestätigen: Identitätsintegrationen: Voraussetzungen.
2. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
3. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector kann eine oder mehrere VAs anschließen, hat aber noch keine Verbindung hergestellt."

1. Entfernen Sie alle nicht verwendeten VAs aus dem Dashboard.
2. Nach dem Entfernen lassen Sie bis zu 10 Minuten für die Synchronisierung auf.
3. Stellen Sie sicher, dass die Netzwerkanforderungen erfüllt sind: Identitätsintegrationen: Voraussetzungen.
4. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
5. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector meldet Timeout-Fehler, während versucht wird, eine Verbindung mit einigen VAs herzustellen."

1. Wenn sich die virtuelle Appliance nicht im selben LAN wie der Connector befindet, erwägen Sie, die Bereitstellung mithilfe von Umbrella-Standorten zu trennen: Verbinden mehrerer Active Directory-Domänen mit Umbrella.
2. Entfernen Sie nicht verwendete VAs aus dem Dashboard.
3. Nach dem Entfernen lassen Sie bis zu 10 Minuten für die Synchronisierung auf.
4. Stellen Sie sicher, dass die Netzwerkanforderungen erfüllt sind: Identitätsintegrationen: Voraussetzungen.
5. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
6. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector ist mit einigen, aber nicht mit allen VAs verbunden"

1. Entfernen Sie nicht verwendete VAs aus dem Dashboard.
2. Nach dem Entfernen lassen Sie bis zu 10 Minuten für die Synchronisierung auf.
3. Stellen Sie sicher, dass die Netzwerkanforderungen erfüllt werden. Siehe Leitfaden zum Active Directory-Kommunikationsfluss: Connectors > Virtual Appliances > RZs und die Cloud.
4. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
5. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector war einmal angeschlossen, ist jedoch derzeit mit keinem der verfügbaren VAs verbunden."

1. Entfernen Sie nicht verwendete VAs aus dem Dashboard.
2. Nach dem Entfernen lassen Sie bis zu 10 Minuten für die Synchronisierung auf.
3. Stellen Sie sicher, dass die Netzwerkanforderungen erfüllt sind: Leitfaden zum Active Directory-Kommunikationsfluss: Connectors > Virtual Appliances > RZs und die Cloud.
4. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
5. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector synchronisiert keine Ereignisse parallel zu VAs. Ereignisverarbeitung kann langsamer als erwartet sein."

1. Beachten Sie, dass der Umbrella Connector-Service auf die Unterstützung von 10 Ressourcen (Domänencontroller und virtuelle Appliances) pro CPU getestet wurde.
2. Aktualisieren Sie den Server mit der erforderlichen Anzahl an CPUs, basierend auf der Anzahl der Domänencontroller und virtuellen Appliances im Umbrella-Standort.
3. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
4. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der Connector meldet Verluste beim Senden von Ereignissen an einige VAs."

Gehen Sie folgendermaßen vor, um das Verwerfen von Ereignissen zu reduzieren und eine stabile Ereignisbereitstellung wiederherzustellen.

1. Überprüfen Sie, ob die Gesamtanzahl der Ereignisse auf allen Domänencontrollern am übergeordneten Standort die getestete kontinuierliche Kapazität von ca. 850 Ereignissen pro Sekunde überschreitet.
2. Wenn die Ereignisrate diese getestete Kapazität übersteigt, erhöhen Sie die CPU-Kerne auf dem Connector-Host, um den Verarbeitungsdurchsatz zu verbessern.
3. Wenn die Auslastung anhält, aktivieren Sie den Lastenausgleich mit zwei oder mehr Connectors, um die Last für den Domänencontroller gemeinsam zu nutzen. Diese erweiterte Funktion muss durch das Öffnen eines Support-Tickets bei Umbrella aktiviert werden.

Domänencontroller

"War zu einem bestimmten Zeitpunkt mit einem oder mehreren Anschlüssen verbunden, ist jetzt jedoch mit keinem verbunden."

1. Wenn der Connector entfernt wurde, stellen Sie entweder den Connector erneut bereit, oder entfernen Sie den Domänencontroller.
2. Bestätigen der Netzwerkanforderungen Siehe Leitfaden zum Active Directory-Kommunikationsfluss: Connectors > Virtual Appliances > RZs und die Cloud.
3. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
4. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Dieser Domänencontroller hat noch nie eine Verbindung mit einem Connector hergestellt."

1. Um Informationen über Anmeldeereignisse an eine virtuelle Appliance zu senden, muss auf dem Domänencontroller (DC) ein Connector am gleichen Standort installiert sein.
2. Informationen zur Installation des Steckverbinders: Installieren Sie den Anschluss.
3. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
4. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Dieser Domänencontroller verfügt über keine Connectors, mit denen eine Verbindung hergestellt werden kann."

1. Um Informationen über Anmeldeereignisse an eine virtuelle Appliance zu senden, muss auf dem Domänencontroller (DC) ein Connector am gleichen Standort installiert sein.
2. Informationen zur Installation des Steckverbinders: Installieren Sie den Anschluss.
3. Wenn Sie den Connector neu installieren oder von einem Computer auf einen anderen verschieben, ignorieren Sie diese Meldung.

"Dieser Domänencontroller ist mit einigen, aber nicht mit allen Connectors verbunden."

1. Berechtigungen überprüfen: Erforderliche Berechtigungen für den Benutzer Cisco_Connector.
2. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
3. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

"Der WMI-Status dieses Domänencontrollers ist ausgefallen. Der Domänencontroller antwortet nicht auf die WMI-Verbindung über den Connector."

1. Dies kann aufgrund der Auslastung des Domänencontrollers ein vorübergehendes Problem sein.
2. Überprüfen Sie, ob die WMI-Verbindung (Windows Management Instrumentation) mithilfe des WBEMTest-Tools hergestellt werden kann.
3. Reduzieren Sie die Belastung des Rechenzentrums, indem Sie andere nicht verwendete Anwendungen stoppen, die Sicherheitsereignisse überwachen.
4. Starten Sie den Connector-Dienst neu, um eine neue WMI-Verbindung zu initiieren, nachdem Sie die DC-Last reduziert haben.
5. Protokolle sammeln: Unterstützung von AD-Connector-Protokollen.
6. Öffnen Sie ein Support-Ticket, wenn das Problem weiterhin besteht.

Ursachen

• DNSCrypt-Warnmeldungen (VA): DNSCrypt ist standardmäßig aktiviert, um DNS-Pakete zu verschlüsseln, die von der virtuellen Appliance (VA) an öffentliche Umbrella DNS-Resolver weitergeleitet werden. Wenn Firewall- oder Überprüfungsrichtlinien den DNSCrypt-Test auf Port 53 (UDP/TCP) blockieren oder ändern, schlägt der Test fehl. Wenn ein Intrusion Prevention System (IPS) oder ein Intrusion Detection System (IDS) eine eingehende Paketprüfung durchführt und nur DNS-Datenverkehr erwartet, schlägt die Überprüfung fehl.
• Anschlusssynchronisierungsstoppmeldungen (AD-Anschluss): Cisco hat das Ende des Lebenszyklus (EOL) von Transport Layer Security (TLS) 1.0/1.1 angekündigt. Nicht unterstützte Windows-Versionen (Windows Server 2008, 2008 R2 oder Windows 7) unterstützen TLS 1.2 standardmäßig nicht, wodurch die Connector-Synchronisierung beendet wird.
• Leistungsmeldungen des Connectors (AD Connector): Der Umbrella Connector-Service wurde auf die Unterstützung von 10 Ressourcen (Domänencontroller und virtuelle Appliances) pro CPU getestet. Wenn diese Größe überschritten wird, wird die Ereignisverarbeitung langsamer als erwartet.
• Ereigniswarnungsmeldungen (AD Connector): Der Umbrella Connector-Service wurde auf die Unterstützung von ca. 850 Ereignissen (ohne feste Grenze) pro Sekunde bei allen Domänencontrollern an einem Umbrella-Standort getestet. Wenn die Gesamtrate diese getestete Kapazität übersteigt, werden Ereignisse vom Connector verworfen.
• WMI-Down-Fehlermeldungen (Domänencontroller): Der WMI-Status ist ausgefallen, wenn der Domänencontroller geladen ist und nicht auf die WMI-Verbindung über den Connector reagiert.

Verwandte Inhalte

• Untersuchen des Umbrella Active Directory Integration Flow
• Active Directory Connector-Protokolle an Umbrella-Support senden

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	24-Sep-2026	Rezertifizierung.
1.0	03-Sep-2025	Erstveröffentlichung