Solucionar problemas de portal de invitados que no responde en nodos de servicio de políticas ISE

Problema

El portal de invitados de la versión beta de Cisco Identity Services Engine (ISE) versión 3.2, parche 7 y 3.3 deja de funcionar de forma intermitente en los nodos de servicios de políticas (PSN) dentro de la implementación con algunos nodos en una máquina virtual (VM) y otros en Azure. Cuando esto ocurre, la detención/inicio de los servicios de ISE o la sincronización manual de los nodos desde la GUI ayuda a restaurar la funcionalidad del portal. Este problema se observa en varios nodos del entorno. 

Entorno

• Producto: Cisco Identity Services Engine (ISE)
• Versión del software: 3.2 parche 7 y 3.3_BETA
• Cambios recientes: migración de nodos a un entorno independiente; migración de PAN y MNT de Azure a dispositivos de hardware (SNS 3795)
• Red: se requiere comunicación entre nodos a través del puerto TCP 8671.

Resolución

1. Asegúrese de que cada nodo PSN tenga suficientes recursos de CPU y memoria asignados, especialmente aquellos nodos que hayan mostrado fallos de servicio o una degradación del rendimiento.Si se detectan restricciones de recursos, aumente la asignación de CPU y/o memoria según sea necesario.

2. Confirme que todos los nodos PSN se puedan comunicar a través del puerto TCP 8671, que es crítico para la sincronización de nodos. Pruebe la conectividad entre nodos en el puerto TCP 8671 mediante telnet. Una conexión correcta indica que el puerto está abierto y accesible. Si la conexión falla, compruebe la configuración del firewall, el enrutamiento y las ACL de red entre nodos.

3. Sincronice manualmente el nodo PSN a través de la GUI de ISE:

1. Vaya a Administration > System > Deployment.
2. Seleccione el PSN afectado y haga clic en Syncup (ISE PSN node services then restart).

4. Cree un nuevo portal de zonas Wi-Fi públicas:

1. Vaya a Centro de trabajo > Acceso de invitado > Portales y componentes.
2. Haga clic en Create y seleccione Hotspot Portal.
3. Configure los parámetros básicos, agregue una AUP simple y establezca una URL de redirección posterior al inicio de sesión.
4. Guarde y pruebe el nuevo portal para validar la funcionalidad. Si el nuevo portal funciona con normalidad, esto puede indicar problemas de configuración con el portal original.

5. Si hay alertas de cola de generador de perfiles o relacionadas con recursos en los nodos, como un uso elevado de la CPU o errores de enlace de cola, aumente los recursos de hardware según sea necesario. Por ejemplo, aumente la asignación de CPU de 8 a 16vCPU.

Nota: este paso se realiza a través de la interfaz de gestión de la nube o la virtualización.

6. Después del ajuste de los recursos, supervisar el sistema para mejorar la estabilidad.

7. Continúe supervisando los errores de enlace de cola o advertencias similares. Si tales errores persisten pero son esporádicos y están vinculados a problemas de ISP o de red (no a la configuración interna o al firewall), documente las apariciones para su revisión continua. Si los errores se rastrean a problemas externos de ISP, coordine con los proveedores de servicios de red según sea necesario.

Causa

La causa principal de la falta de respuesta del portal de invitados de ISE es la limitación de recursos (CPU/memoria) en los nodos PSN afectados, así como los problemas de comunicación entre nodos (puerto TCP 8671). Los errores de enlace de cola se atribuyen a problemas de ISP externos en lugar de a errores de configuración en la red interna o el firewall. La migración de nodos y ajustes de recursos de hardware da como resultado una mayor estabilidad.

Contenido relacionado

• Guía de instalación de Cisco ISE 3.2
• Soporte técnico y descargas de Cisco