Comprensión y solución de problemas de alarmas de replicación de nodos ISE

Introducción

Este documento describe las alarmas de replicación y su solución de problemas en Cisco Identity Services Engine® (ISE).

Prerequisites

Requirements

Cisco recomienda que tenga conocimientos sobre Cisco Identity Services Engine® (ISE).

Componentes Utilizados

La información de este documento se basa en estas versiones de hardware y software.

• Cisco Identity Services Engine® (ISE) 3.4 y versiones posteriores.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Alarmas de replicación de ISE

Las alarmas de replicación de Cisco ISE proporcionan visibilidad del estado y el estado de sincronización del marco de replicación en toda la implementación. Estas alarmas ayudan a identificar las condiciones que pueden afectar a la coherencia de los datos, la comunicación de los nodos o los procesos de replicación, lo que permite a los administradores detectar y resolver problemas antes de que afecten a las operaciones del sistema. Comprender el propósito y la importancia de las alarmas de replicación es esencial para mantener una implementación de ISE saludable y garantizar que la configuración y los datos operativos permanezcan sincronizados en todos los nodos.

Alarmas de replicación de nodos ISE 

Error de replicación

La alarma Replication Failed se genera cuando los nodos secundarios en la implementación no pueden consumir los mensajes que son replicados por el nodo de administración principal en la implementación. Esta alarma indica que el proceso de replicación ha fallado y que el nodo afectado ya no tiene la configuración más reciente ni los datos operativos.

A diferencia de las alarmas de replicación específicas de certificados, esta alarma representa un error en el marco de replicación general y puede afectar a varios objetos y servicios de configuración a lo largo de la implementación.

Motivo de la alarma

La alarma Replication Failed puede producirse cuando Cisco ISE no puede transferir o aplicar correctamente los datos replicados. Las causas comunes incluyen:

• Problemas de comunicación de red: Pérdida de paquetes, alta latencia de red, restricciones de firewall, problemas de routing o discordancias de MTU que interrumpen la comunicación entre nodos ISE.

• Problemas con el servicio de replicación: RabbitMQ, JGgroups u otros servicios de replicación interna no están disponibles, se están reiniciando o no funcionan correctamente.

• Problemas de comunicación del nodo: El nodo de destino está desconectado, reiniciándose, anulando el registro, desconectado de la implementación o, de lo contrario, inaccesible.

• Problemas de sincronización de base de datos: El nodo de destino no puede confirmar los datos replicados debido a errores de base de datos o de sincronización.

• Restricciones de recursos del sistema: Uso elevado de la CPU, presión de memoria, espacio insuficiente en el disco o E/S de disco pesado que retrasa el procesamiento de replicación.

• Problemas de resolución de DNS o nombre de host: Resolución de DNS inversa o de reenvío incorrecta que impide una comunicación correcta entre nodos.

• Incoherencias de versión o implementación: La replicación falla si los nodos no funcionan en las versiones de software compatibles o si la implementación se encuentra en un estado incoherente después de una actualización o un registro de nodo.

• Caducidad del certificado de administrador: el certificado de administrador para los nodos de ISE ha caducado, está dañado o no es válido, por lo que está en juego la comunicación entre los nodos y se ha producido un error de replicación. 

• Errores de enlace de cola: La implementación o los nodos afectados muestran los errores de enlace de cola en los que el certificado de mensajería ISE/cadena de CA raíz ISE está dañado o no es válido en el puerto 8671. 

• El servicio de túnel está desactivado / sin conexión: el servicio de túnel se ejecuta en todos los nodos de la implementación distribuida. El estado Desactivado/No en ejecución del servicio de túnel provoca alarmas de replicación fallida. 

• Los puertos de replicación están bloqueados: los puertos 12001, 8671, 443, 8443 y 6379 deben estar abiertos entre los nodos de la implementación y la red para que los procedimientos de replicación de la implementación sean fluidos.

Impacto de la alarma

El impacto depende del tipo de datos que se replican. Los fallos de replicación pueden dar lugar a una configuración incoherente en los nodos ISE, a una propagación retrasada de los cambios administrativos, a políticas obsoletas, a dispositivos de red o información de identidad faltantes, a fallos de sincronización de certificados y a datos de terminales incoherentes. Si la replicación sigue sin tener éxito durante un período prolongado, las operaciones administrativas y la coherencia de las políticas en toda la implementación pueden verse afectadas.

Replicación detenida

La alarma "Replicación detenida" se genera cuando el nodo de administración principal no puede replicar la información en los nodos secundarios de la implementación. Esta alarma indica que el proceso de replicación ha fallado y que los nodos afectados ya no tienen la configuración más reciente ni los datos operativos.

Motivo de la alarma

La alarma "Replicación detenida" puede producirse cuando el nodo de administración principal no puede transferir correctamente los datos replicados. Las causas comunes incluyen:

• Problemas de comunicación de red: Pérdida de paquetes, alta latencia de red, restricciones de firewall, problemas de routing o discordancias de MTU que interrumpen la comunicación entre nodos ISE.

• Problemas con el servicio de replicación: RabbitMQ, JGgroups u otros servicios de replicación interna no están disponibles, se están reiniciando o no funcionan correctamente en el nodo de administración principal.

• Restricciones de recursos del sistema: Uso elevado de la CPU, presión de memoria, espacio insuficiente en el disco o E/S de disco pesado que retrasa el procesamiento de replicación en el nodo de administración principal.

• Problemas de resolución de DNS o nombre de host: Resolución de DNS inversa o de reenvío incorrecta que impide una comunicación correcta entre nodos.

• Incoherencias de versión o implementación: La replicación falla si los nodos no funcionan en las versiones de software compatibles o si la implementación se encuentra en un estado incoherente después de una actualización o un registro de nodo.

• Caducidad del certificado de administrador: el certificado de administrador para los nodos de ISE ha caducado, está dañado o no es válido, por lo que está en juego la comunicación entre los nodos y se ha producido un error de replicación. 

• Errores de enlace de cola: La implementación o los nodos afectados muestran los errores de enlace de cola en los que el certificado de mensajería ISE/cadena de CA raíz ISE está dañado o no es válido en el puerto 8671. 

• El servicio de túnel está desactivado / sin conexión: el servicio de túnel se ejecuta en todos los nodos de la implementación distribuida. El estado Desactivado/No en ejecución del servicio de túnel provoca alarmas de replicación fallida. 

• Los puertos de replicación están bloqueados: los puertos 12001, 8671, 443, 8443 y 6379 deben estar abiertos entre los nodos de la implementación y la red para que los procedimientos de replicación de la implementación sean fluidos.

Impacto de la alarma

Cuando se detiene la replicación, los nodos de la implementación ya no reciben actualizaciones de configuración del nodo de administración principal. Esto puede dar lugar a políticas incoherentes, definiciones de dispositivos de red obsoletas, información de terminales que falta, retrasos en la sincronización de certificados y discrepancias de configuración en toda la implementación. Si la replicación permanece detenida durante un período prolongado, los cambios administrativos realizados en la PAN principal no tendrán efecto en el nodo afectado hasta que se restaure la sincronización.

Resolución de Problemas de Replicación Fallida y Replicación Detenida Alarma

Alarma de replicación lenta 

Siempre que se realiza un cambio de configuración en el PAN principal, Cisco ISE coloca el cambio en la cola de replicación y lo sincroniza con los nodos secundarios. En condiciones normales, la replicación se completa en un breve período. Sin embargo, si la cola de replicación comienza a acumularse o el nodo de destino tarda más tiempo del esperado en procesar las solicitudes de replicación, Cisco ISE genera una alarma de replicación lenta.

Cisco ISE clasifica estas alarmas en tres niveles de gravedad:

• Información de replicación lenta
• Advertencia sobre replicación lenta
• Error de replicación lenta

Motivo de la alarma

La alarma de "replicación lenta" se suele generar debido a condiciones temporales que retrasan el procesamiento de replicación. Las causas comunes incluyen:

• Utilización temporal de recursos del sistema: Los breves períodos de uso elevado de la CPU, el uso de memoria o el aumento de E/S del disco pueden retrasar el procesamiento de replicación.

• Latencia de red: Los breves aumentos en la latencia de red o la pérdida de paquetes de menor importancia entre los nodos ISE pueden ralentizar la transferencia de datos.

• Grandes cambios de configuración: Las importaciones masivas de terminales, las actualizaciones de políticas, las importaciones de certificados u otros cambios administrativos de gran envergadura aumentan la cantidad de datos que se replicarán.

• Operaciones del sistema en segundo plano: Las actividades de copia de seguridad, restauración, depuración, instalación de parches o actualización aumentan temporalmente la carga del sistema.

• Retraso en la cola de replicación: Varios cambios de configuración realizados en un período corto pueden aumentar temporalmente la cola de replicación.

• Retrasos temporales del servicio: RabbitMQ, JGgroups o servicios de bases de datos experimentan breves retrasos en el procesamiento mientras continúan funcionando normalmente.

Alarma de replicación lenta - Información

La replicación lenta o bloqueada se detecta cuando el recuento de mensajes pendientes supera 10000 o cuando el tiempo que se tarda en replicar los mensajes es superior a una hora. 

Verificación: Verifique el conteo de mensajes de sincronización pendientes. Vaya a Administration > System > Deployment, seleccione el nodo afectado y haga clic en el icono Information (i) para revisar el número de mensajes de replicación pendientes.

Alarma de replicación lenta - Advertencia

La replicación lenta o bloqueada se detecta cuando el recuento de mensajes pendientes es mayor que 20000 o cuando el tiempo que se tarda en replicar los mensajes supera las tres horas.

Verificación: Verifique el conteo de mensajes de sincronización pendientes. Vaya a Administration > System > Deployment, seleccione el nodo afectado y haga clic en el icono Information (i) para revisar el número de mensajes de replicación pendientes.

Alarma de replicación lenta - Error

La replicación lenta o bloqueada se detecta cuando el recuento de mensajes pendientes es mayor que 40000 o cuando el tiempo que se tarda en replicar los mensajes supera las cinco horas.

Verificación: Verifique el conteo de mensajes de sincronización pendientes. Vaya a Administration > System > Deployment, seleccione el nodo afectado y haga clic en el icono Information (i) para revisar el número de mensajes de replicación pendientes.

Solucionar problemas de alarmas de replicación de nodos

1. Compruebe el estado de implementación del nodo

Para que la replicación de certificados se realice correctamente, el nodo secundario debe estar en el estado Conectado dentro de la implementación de Cisco ISE. Vaya a Administration > System > Deployment y verifique el estado del nodo afectado. Pase el cursor sobre el icono Information (i) situado junto al estado del nodo para revisar los detalles de sincronización y cualquier mensaje de replicación pendiente.

El estado de sincronización mostrado para cada nodo indica su estado actual de replicación y conectividad:

• Verde: El nodo está sincronizado con la implementación y la replicación funciona con normalidad.
• Amarillo: el nodo no está sincronizado, el registro del nodo ha fallado o se ha perdido la conectividad del clúster. Este estado indica que el clúster no ha podido alcanzar el nodo en los últimos cinco minutos.
• Rojo: el nodo es inalcanzable y no se puede establecer contacto con él mediante comprobaciones de conectividad de red, como ping ICMP o HTTPS.

Si el nodo muestra un estado Amarillo o Rojo, indica un problema de replicación o conectividad que afecta a ese nodo. Además, compruebe el recuento de mensajes de replicación que se muestra en la información del nodo. El recuento de mensajes pendientes debe ser 5000 o menos. Una cola que contiene más de 5.000 mensajes pendientes indica que la cola de replicación se ha acumulado, lo que puede retrasar o impedir la replicación correcta.

2. Verifique la alarma de link de cola en la implementación 

La replicación correcta en Cisco ISE depende de la disponibilidad y la comunicación del servicio de mensajería RabbitMQ y del marco de comunicación del clúster JGgroups. Si alguno de los componentes encuentra problemas de comunicación, Cisco ISE genera Errores de enlace de cola, que pueden interrumpir la replicación entre los nodos de implementación.

Para verificar el estado de alarma, navegue hasta Operaciones > Panel > Alarmas y verifique si hay Errores de Link de Cola en los nodos afectados.

Si hay errores de enlace de cola, renueve el certificado de CA raíz de Cisco ISE, ya que los errores de comunicación relacionados con el certificado suelen dar lugar a errores de enlace de cola. Una vez resuelto el problema del certificado, la replicación suele reanudarse automáticamente sin necesidad de intervención adicional.

3. Verificar la latencia y conectividad de la red

La replicación de Cisco ISE se basa en una conectividad de red estable entre nodos de implementación. La alta latencia de red o la conectividad intermitente pueden retrasar la replicación y provocar fallos de sincronización, especialmente en implementaciones distribuidas geográficamente.

Verifique la latencia de red entre los nodos afectados mediante pruebas de conectividad como ping. Para una replicación confiable, la latencia de ida y vuelta entre los nodos debe permanecer dentro de aproximadamente 300 ms. La latencia que supere constantemente este umbral puede afectar negativamente al rendimiento y la sincronización de la replicación.Compruebe también que no haya interrupciones intermitentes en la red, pérdida de paquetes o restricciones de firewall que afecten a la comunicación entre los nodos de implementación.

4. Verificar la utilización de recursos del sistema 

La alta utilización de recursos del sistema puede afectar al rendimiento de Cisco ISE y retrasar las tareas de replicación. Un uso excesivo de la CPU, la memoria o el disco puede impedir que los procesos de replicación se completen correctamente.

Verifique que el nodo afectado tenga suficientes recursos del sistema disponibles y que la utilización de los recursos se mantenga dentro de los límites operativos recomendados. Si la utilización de recursos es siempre alta, asigne recursos adicionales o reduzca la carga de trabajo en el nodo para restaurar el rendimiento normal de replicación.

5. Verificar la disponibilidad de los puertos en la implementación y la red

La replicación de Cisco ISE requiere que determinados puertos TCP permanezcan abiertos entre todos los nodos de la implementación para garantizar una comunicación ininterrumpida y una replicación correcta. Si alguno de estos puertos está bloqueado por un firewall, una directiva de control de acceso o un dispositivo de red, pueden producirse errores de replicación o problemas de sincronización.

Verifique que estos puertos TCP estén abiertos y sean accesibles entre todos los nodos de Cisco ISE:

• TCP 443: comunicación HTTPS
• TCP 8443: comunicación administrativa
• TCP 12001: comunicación y replicación del clúster de JGgroups
• TCP 6379: servicios de mensajería interna
• TCP 8671: mensajería Cisco ISE (RabbitMQ)

Inicie sesión en la CLI de Cisco ISE y ejecute el comando show ports para verificar los puertos mencionados permitidos en el nodo.

Confirme que los puertos requeridos están habilitados en el nodo Cisco ISE y asegúrese de que estén permitidos a través de la trayectoria de red. Verifique que ningún firewall intermedio, dispositivo de seguridad o política de red esté bloqueando la comunicación en estos puertos entre los nodos de implementación.

6. Verificar la resolución DNS 

La replicación de Cisco ISE se basa en una comunicación correcta entre todos los nodos de la implementación. Para que la comunicación entre nodos funcione correctamente, los nodos deben ser accesibles y la resolución de DNS directo e inverso debe estar configurada y funcionar correctamente. Los problemas de resolución de DNS pueden impedir que los nodos se comuniquen, lo que puede dar lugar a errores de replicación.

Para verificar la resolución DNS en los nodos ISE, inicie sesión en la CLI de Cisco ISE y utilice el comando nslookup para verificar la resolución DNS inversa y de reenvío para cada nodo de la implementación.

Por ejemplo:

• Búsqueda de DNS de reenvío: el comando nslookup www.example.com debe devolver la dirección IP del nodo Cisco ISE correspondiente.

• Búsqueda de DNS inversa: el comando nslookup 10.x.x.1 debe devolver el nombre de dominio completo (FQDN) del nodo de Cisco ISE correspondiente.

7. Verificación del certificado de mensajería de administración e ISE

Cisco ISE utiliza el certificado Admin y el certificado ISE Messaging para establecer la comunicación segura entre nodos necesaria para la replicación. Si alguno de los certificados es no válido, expirado, dañado o no fiable, la replicación entre los nodos de implementación puede fallar.

Para verificar el estado del certificado, navegue hasta Administration > System > Certificates, seleccione el nodo afectado y revise los certificados Admin y ISE Messaging. Compruebe que los certificados son válidos, que no han caducado, que son de confianza y que se encuentran en un estado correcto.

Si el certificado Admin o el certificado de mensajería ISE no son válidos, están dañados o han caducado, reemplace o renueve el certificado. Una vez resuelto el problema del certificado, la replicación se reanuda después de restablecer la comunicación segura entre los nodos.

8. Verificar el estado del servicio de túnel ISE

El servicio Stunnel de Cisco ISE es un servicio interno que proporciona tunelación SSL/TLS segura para la comunicación entre los componentes de ISE y los servicios externos. En lugar de implementar el cifrado TLS de forma independiente en cada aplicación, ISE utiliza el túnel como un contenedor que agrega el cifrado SSL/TLS a los servicios que se comunican a través de TCP sencillo. Esto mejora la seguridad al tiempo que simplifica la implementación de comunicaciones seguras.

El servicio Stunnel debe estar en el estado Running en todos los nodos de la implementación de Cisco ISE para que la replicación funcione correctamente. El servicio depende de los certificados ISE Admin y ISE Messaging válidos para establecer una comunicación TLS segura entre los nodos durante el proceso de replicación. El estado del servicio se puede verificar desde Cisco ISE CLI mediante el comando show tech-support | incluir stunnel

Recopilación de registros para alarmas de replicación

Estos son los componentes comunes que se deben configurar en el modo debug para aislar y resolver problemas de alarmas de replicación en Cisco ISE.

• Replicación-Implementación (replication.log e ise-psc.log)
• Replication-JGroup (replication.log y ise-psc.log)
• Rastreador de replicación (tracking.log)
• hibernar (hibernate.log)
• JMS (replication.log)

Referencia

• Guía del administrador de Cisco Identity Services Engine, versión 3.5
• Solucionar problemas y habilitar depuraciones en ISE
• Recopile el paquete de asistencia en Identity Services Engine

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
1.0	06-Jul-2026	Versión inicial