Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Problema

Solución 1

Solución 2

Consultas de AnyConnect a mus.cisco.com

Configurar

Diagrama de la red

Troubleshoot

Introducción

Este documento describe el comportamiento del módulo Anyconnect VPN Core cuando consulta el nombre de dominio completo (FQDN) mus.cisco.com en escenarios específicos. Esta consulta se produce cuando el cliente de AnyConnect intenta determinar si el terminal tiene acceso a Internet y no hay ninguna VPN en uso.

Contribuido por Peter Giang, Cisco BU.

Contribuido por Steve Sargent, líder técnico de Cisco BU.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Instalación del módulo AnyConnect.

- Creación del paquete de la herramienta de diagnóstico e informes (DART) de AnyConnect.

- Capturas del sabueso Wireshark.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Módulo VPN de núcleo Anyconnect versión 4.8.03052

- Windows 10 Enterprise 10.0.18363 Build 18363

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Este documento también puede utilizarse con estas versiones de software y hardware:

- Cualquier sistema operativo (MacOS, Windows, Linux).

- Cualquier versión de AnyConnect anterior a la 4.10.

Antecedentes

Las consultas de AnyConnect a mus.cisco.com se esperan por diseño.

Nota: Se ha creado un defecto de mejora para este comportamiento. Id. de bug Cisco CSCvu39643. Las consultas a mus.cisco.com desde el núcleo VPN no deben realizarse si no se utiliza el módulo VPN.

Problema

Cuando el módulo de núcleo VPN de AnyConnect no está en uso (no hay ningún perfil XML configurado para conexiones VPN), las consultas a mus.cisco.com se generan cada 15 segundos.

Solución 1

Agregue una entrada del sistema de nombres de dominio (DNS) en el servidor DNS para resolver las consultas de nombres a mus.cisco.com. Si no administra un servidor DNS, reenvíe dichas solicitudes a un servidor DNS público.

Una vez que se puede resolver el FQDN de mus.cisco.com, AnyConnect detiene el intento de consulta.

Solución 2

Agregue una entrada DNS al archivo de hosts del sistema operativo (OS) para resolver el FQDN mus.cisco.com.

Windows:

1. Pulse la tecla Windows.

2. Escriba el Bloc de notas en el campo de búsqueda.

3. En los resultados de la búsqueda, haga clic con el botón derecho del ratón en Bloc de notas y seleccione Ejecutar como administrador.

4. En el Bloc de notas, abra el archivo: "C:\Windows\System32\Drivers\etc\hosts".

5. Realice los cambios necesarios en el archivo.

6. Seleccione Archivo > Guardar para guardar los cambios.

Mac

1. Abra una ventana Terminal.

2. Ingrese este comando para abrir el archivo host con el editor de texto nano incrustado en el sistema operativo: "sudo nano /etc/hosts".

3. Introduzca el usuario y la contraseña del dominio.

4. Realice los cambios necesarios en el archivo.

Linux

1. Abra una ventana Terminal.

2. Ingrese el siguiente comando para abrir el archivo host con el editor de texto nano incrustado en el sistema operativo: "sudo nano /etc/hosts".

3. Introduzca el usuario y la contraseña del dominio.

4. Realice los cambios necesarios en el archivo.

Consultas de AnyConnect a mus.cisco.com

Configurar

La instalación del módulo de núcleo AnyConnect VPN.

Diagrama de la red

******************************************

Date : 06/17/2020

Time : 20:21:57

Type : Warning

Source : acvpnagent

Description : Function : CDNSRequest::OnSocketReadComplete

File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp

Line: 1147

Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)

******************************************

Troubleshoot

Para confirmar el funcionamiento adecuado, puede habilitar una captura de paquetes en la interfaz de salida del terminal con el uso de Wireshark.

En la interfaz gráfica de usuario (GUI) del cliente AnyConnect, el mensaje "Error de red". No se pueden buscar los nombres de host" (como se muestra en la imagen).

Cuando se aplica alguna de las soluciones alternativas, también puede realizar una captura de paquetes en Wireshark y utilizar el filtro DNS para confirmar las consultas constantes a mus.cisco.com:

En la interfaz GUI del cliente AnyConnect, se muestra el mensaje "Ready to connect" (preparado para la conexión) (como se muestra en la imagen).

Consejo: Incluso si no ve el módulo de núcleo VPN de AnyConnect en la interfaz GUI, no significa que el módulo de núcleo de vpn no esté en funcionamiento, busque el archivo VPNDisable_ServiceProfile.xml en el directorio "C:\programdata\cisco on Windows" y "/opt/cisco/anyconnect/profile" en los dispositivos Apple. En Linux esto no se soporta.