Solución de problemas de errores de paraguas para Active Directory y VA

Introducción

Este documento describe la solución de problemas de errores de Umbrella para Active Directory y Virtual Appliances.

Problema

Este documento describe los mensajes comunes de error, advertencia e información en la página Sitios y Active Directory y proporciona los pasos de resolución.

Uno o más mensajes de error, advertencia o información aparecen en la página Configuración de Umbrella > Sitios y AD para Virtual Appliances, Active Directory (AD) Connectors o Domain Controllers (DC).

Entorno

La página Sitios de paraguas y Active Directory se encuentra en Configuración > Sitios y AD.

• Los componentes afectados incluyen dispositivos virtuales (VA), conectores AD y DC.
• La compatibilidad con DNSCrypt está disponible en la versión 1.5.x o posterior de VA.
• Si el conector está implementado en Windows Server (WS) 2012 o posterior y ha dejado de sincronizarse con Umbrella, asegúrese de que el conector esté ejecutando la versión 1.6.31 o posterior.
• Los conectores versión 1.6.31 o superior funcionan en WS 2008/2008 R2 si se ejecuta .NET 4.5.2 o superior, pero se recomienda la reimplementación en un servidor compatible.
• Cisco anunció el fin del ciclo de vida (EOL) de la seguridad de la capa de transporte (TLS) 1.0/1.1. Las versiones de Windows no compatibles (Windows Server 2008, 2008 R2 o Windows 7) no admiten TLS 1.2 de forma predeterminada. Vuelva a instalar el conector en una versión de servidor compatible (Windows Server 2012 o posterior).
• Para enviar información de eventos de inicio de sesión a un dispositivo virtual, el controlador de dominio (DC) debe tener un conector instalado en el mismo sitio.
• Los sitios deben contener al menos uno de cada tipo de componente donde se indique en el mensaje.
• El servicio Umbrella Connector se prueba para admitir 10 recursos (controladores de dominio y dispositivos virtuales) por CPU.
• El servicio Umbrella Connector se prueba para admitir aproximadamente 850 eventos continuos (sin límite máximo) por segundo en todos los controladores de dominio de un sitio Umbrella.

Resolución

Utilice la sección que coincida con el tipo de componente que se muestra en Configuración > Sitios y AD, y luego seleccione el texto exacto del mensaje.

• Dispositivos virtuales: Estado de registro/sincronización de VA, asociación de conector, DNSCrypt, dominios locales, redundancia y mensajes de error de consulta de DNS.
• Conectores AD: Registro/estado de sincronización del conector, conectividad DC/VA, tiempos de espera, procesamiento paralelo y mensajes de descarte de eventos.
• Controladores de dominio: Asociación de conectores y mensajes de conectividad WMI.

Dispositivos virtuales

"Este dispositivo virtual se ha registrado, pero nunca se ha sincronizado"

1. Espere hasta 10 minutos para completar la sincronización.
2. Asegúrese de que se cumplen los requisitos de red. Consulte Guía para el flujo de comunicación de Active Directory: Conectores > Dispositivos virtuales > DC y la nube.
3. Si el problema continúa, recopile los registros y abra un caso de soporte.

"Este dispositivo virtual se sincronizó en un momento determinado, pero se ha detenido desde entonces"

Siga estos pasos para restaurar la sincronización del dispositivo virtual y confirmar la conectividad necesaria.

1. Si se ha eliminado el AV, retírelo del panel Umbrella: Instrucciones de eliminación - Umbrella Insights.
2. Confirme los requisitos de red. Consulte Guía para el flujo de comunicación de Active Directory: Conectores > Dispositivos virtuales > DC y la nube.
3. Abra un caso de soporte si el problema continúa.

 "Este dispositivo virtual estaba conectado anteriormente a uno o más conectores, pero ahora no lo está a ninguno"

1. Si se quitó algún conector, ignore este mensaje y elimine la entrada del conector obsoleto del panel.
2. Confirme los requisitos de red. Consulte Guía para el flujo de comunicación de Active Directory: Conectores > Dispositivos virtuales > DC y la nube.
3. Abra un caso de soporte si el problema continúa.

"Este dispositivo virtual está conectado a algunos de los conectores de este sitio, pero no a todos"

1. Si se ha desmontado algún conector, ignore este mensaje y extraiga el conector del salpicadero.
2. Confirmar requisitos previos: Guía del usuario del dispositivo virtual: Prerrequisitos.
3. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
4. Abra un caso de soporte si el problema continúa.

"Las consultas de DNS reenviadas por este VA a Umbrella no están cifradas"

DNSCrypt cifra los paquetes DNS reenviados desde el dispositivo virtual (VA) a los resolvers DNS públicos de Umbrella y está habilitado de forma predeterminada.

1. Confirme que el VA esté ejecutando la versión 1.5.x o posterior. La compatibilidad con DNSCrypt está disponible en la versión 1.5.x o posterior. Si sólo existe un VA y no se actualiza, actualícelo: Actualizar dispositivos virtuales.
2. Revise las políticas de firewall e inspección para asegurarse de que la sonda DNSCrypt en el puerto 53 (UDP/TCP) no esté bloqueada o alterada. Si un sistema de prevención de intrusiones (IPS) o un sistema de detección de intrusiones (IDS) realizan una inspección profunda de paquetes y solo esperan tráfico DNS, la sonda puede fallar.
3. En el caso de implementaciones de dispositivos de seguridad adaptable (ASA), revise las directrices de inspección de paquetes a las que hace referencia la documentación de implementación.
4. Si la advertencia persiste, recopile los registros: Proporcionar soporte con los registros del conector AD y, a continuación, abrir un caso de soporte.
5. Verifique que se borre la advertencia en Settings > Sites y AD para el VA afectado.

Más detalles: Advertencia sobre el nuevo AV: Habilitación de DNSCrypt en su dispositivo virtual.

"Este dispositivo virtual no tiene ningún dominio local configurado"

1. Asegúrese de que los dominios locales estén configurados: Reenvío de DNS local.

"Este AV no es redundante en su emplazamiento (se necesitan más de 2 AV por emplazamiento)"

1. Instale un segundo dispositivo virtual para obtener una alta disponibilidad. Consulte la documentación de implementación del appliance virtual Umbrella para obtener orientación sobre la ejecución de dos appliances virtuales por sitio.

"Un gran porcentaje de consultas de DNS a este dispositivo virtual está fallando"

1. Recopile los registros relevantes del VA y del conector y abra un caso de soporte.
2. Verifique que la tasa de falla de consulta DNS vuelva a la normalidad y que el error se borre en Settings > Sites y AD para el VA afectado.

Conectores AD

"Este conector se ha registrado pero nunca se ha sincronizado"

Utilice estas comprobaciones para confirmar que la sincronización inicial se ha completado correctamente:

1. Espere hasta 10 minutos para completar la sincronización.
2. Asegúrese de que se cumplen los requisitos de red: Integraciones de identidad: Prerrequisitos.
3. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
4. Abra un caso de soporte si el problema continúa.

"Este conector se estaba sincronizando en un punto, pero se ha detenido desde entonces"

1. Asegúrese de que se cumplen los requisitos de red. Consulte Guía para el flujo de comunicación de Active Directory: Conectores > Dispositivos virtuales > DC y la nube.
2. Cisco ha anunciado el EOL de TLS 1.0/1.1. Las versiones de Windows no compatibles (Windows Server 2008, 2008 R2 o Windows 7) no admiten TLS 1.2 de forma predeterminada. Vuelva a instalar el conector en una versión de servidor compatible (Windows Server 2012 o posterior).
3. Si el conector se implementa en WS 2012 o posterior y se ha detenido la sincronización con Umbrella, asegúrese de que el conector esté ejecutando la versión 1.6.31 o posterior.
4. Los conectores versión 1.6.31 o superior funcionan en WS 2008/2008 R2 si se ejecuta .NET 4.5.2 o superior, pero se recomienda la reimplementación en un servidor compatible.
5. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
6. Abra un caso de soporte si el problema continúa.

"Este conector no tiene VA ni DC a los que conectarse"

1. Asegúrese de que el sitio contiene al menos uno de cada tipo de componente.
2. Revise la documentación de configuración: Integraciones de identidad: Prerrequisitos e Integración de Active Directory > Paso 2: Prepare su entorno de Active Directory.

"Este conector no tiene DC al que conectarse"

1. Asegúrese de que el sitio contiene al menos uno de cada tipo de componente.
2. Revise la documentación de configuración: Prepare su entorno de Active Directory.

"Hay uno o más DC a los que se puede conectar el conector, pero aún no se ha conectado a ninguno"

1. Espere hasta 10 minutos para completar la sincronización.
2. Asegúrese de que se cumplen los requisitos previos: Integraciones de identidad: Prerrequisitos.
3. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
4. Abra un caso de soporte si el problema continúa.

"El conector está conectado a algunos DC, pero no a todos"

1. Confirmar requisitos previos: Integraciones de identidad: Prerrequisitos.
2. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
3. Abra un caso de soporte si el problema continúa.

"El conector se conectó una vez, pero actualmente no está conectado a ninguno de los DC disponibles"

1. Confirmar requisitos previos: Integraciones de identidad: Prerrequisitos.
2. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
3. Abra un caso de soporte si el problema continúa.

"Hay una o más AV a las que el conector puede conectarse, pero aún no se ha conectado a ninguna"

1. Retire cualquier AV no utilizado del salpicadero.
2. La sincronización puede tardar hasta 10 minutos después de la extracción.
3. Asegúrese de que se cumplen los requisitos de red: Integraciones de identidad: Prerrequisitos.
4. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
5. Abra un caso de soporte si el problema continúa.

"El conector informa de errores de tiempo de espera al intentar conectarse a algunos dispositivos virtuales"

1. Si el dispositivo virtual no se encuentra en la misma LAN que el conector, considere la posibilidad de separar la implementación mediante los sitios de Umbrella: Conectar varios dominios de Active Directory a Umbrella.
2. Retire los AV no utilizados del salpicadero.
3. La sincronización puede tardar hasta 10 minutos después de la extracción.
4. Asegúrese de que se cumplen los requisitos de red: Integraciones de identidad: Prerrequisitos.
5. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
6. Abra un caso de soporte si el problema continúa.

"El conector está conectado a algunas AV, pero no a todas"

1. Retire los AV no utilizados del salpicadero.
2. La sincronización puede tardar hasta 10 minutos después de la extracción.
3. Asegúrese de que se cumplen los requisitos de red. Consulte Guía para el flujo de comunicación de Active Directory: Conectores > Dispositivos virtuales > DC y la nube.
4. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
5. Abra un caso de soporte si el problema continúa.

"El conector se conectó una vez, pero actualmente no está conectado a ninguna de las AV disponibles"

1. Retire los AV no utilizados del salpicadero.
2. La sincronización puede tardar hasta 10 minutos después de la extracción.
3. Asegúrese de que se cumplen los requisitos de red: Guía del flujo de comunicación de Active Directory: Conectores > Dispositivos virtuales > DC y la nube.
4. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
5. Abra un caso de soporte si el problema continúa.

"El conector no está sincronizando eventos en paralelo a las AV. El procesamiento de eventos puede ser más lento de lo esperado"

1. Tenga en cuenta que el servicio Umbrella Connector se ha probado para admitir 10 recursos (controladores de dominio y dispositivos virtuales) por CPU.
2. Actualice el servidor con el número necesario de CPU en función del número de controladores de dominio y dispositivos virtuales del sitio de sombrilla.
3. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
4. Abra un caso de soporte si el problema continúa.

"El conector está notificando caídas al intentar enviar eventos a algunos VA"

Utilice estos pasos para reducir las caídas de eventos y restaurar la entrega estable de eventos.

1. Compruebe si la velocidad total de eventos de todos los controladores de dominio del sitio de Umbrella supera la capacidad continua probada de aproximadamente 850 eventos por segundo.
2. Si la velocidad del evento supera esta capacidad probada, aumente los núcleos de CPU en el host del conector para mejorar el rendimiento de procesamiento.
3. Si las caídas persisten, habilite el balanceo de carga con dos o más conectores para compartir la carga del controlador de dominio. Esta función avanzada debe habilitarse abriendo un caso de soporte con soporte de Umbrella.

Controladores de dominio

"En un momento dado estaba conectado a uno o más conectores, pero ahora no lo está a ninguno"

1. Si se quitó el conector, vuelva a implementar el conector o quite el controlador de dominio.
2. Confirme los requisitos de red. Consulte Guía para el flujo de comunicación de Active Directory: Conectores > Dispositivos virtuales > DC y la nube.
3. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
4. Abra un caso de soporte si el problema continúa.

"Este controlador de dominio nunca se ha conectado a un conector"

1. Para enviar información sobre los eventos de inicio de sesión a un dispositivo virtual, el controlador de dominio (DC) debe tener un conector instalado en el mismo sitio.
2. Para obtener información sobre la instalación del conector: Monte el conector.
3. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
4. Abra un caso de soporte si el problema continúa.

"Este controlador de dominio no tiene conectores a los que conectarse"

1. Para enviar información sobre los eventos de inicio de sesión a un dispositivo virtual, el controlador de dominio (DC) debe tener un conector instalado en el mismo sitio.
2. Para obtener información sobre la instalación del conector: Monte el conector.
3. Si reinstala el conector o lo mueve de una máquina a otra, ignore este mensaje.

"Este controlador de dominio está conectado a algunos conectores, pero no a todos"

1. Comprobar permisos: Permisos necesarios para el usuario de Cisco_Connector.
2. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
3. Abra un caso de soporte si el problema continúa.

"El estado WMI de este controlador de dominio está inactivo. El controlador de dominio no responde a la conexión WMI desde el conector"

1. Esto puede ser un problema temporal debido a la carga en el controlador de dominio.
2. Compruebe si se puede establecer la conexión de Instrumental de administración de Windows (WMI) mediante la herramienta WBEMTest.
3. Reduzca la carga en el DC deteniendo otras aplicaciones no utilizadas que supervisan eventos de seguridad.
4. Reinicie el servicio Conector para iniciar una nueva conexión WMI después de reducir la carga de DC.
5. Recopilar registros: Proporcionar compatibilidad con los registros del conector AD.
6. Abra un caso de soporte si el problema continúa.

Causas

• Mensajes de advertencia DNSCrypt (VA): DNSCrypt está habilitado de forma predeterminada para cifrar paquetes DNS reenviados desde el dispositivo virtual (VA) a los resolvers de DNS público de Umbrella. Si el firewall o las políticas de inspección bloquean o modifican la sonda DNSCrypt en el puerto 53 (UDP/TCP), la sonda falla. Si un sistema de prevención de intrusiones (IPS) o un sistema de detección de intrusiones (IDS) realizan una inspección profunda de paquetes y solo esperan tráfico DNS, la sonda falla.
• Mensajes de sincronización detenida del conector (Conector AD): Cisco anunció el fin del ciclo de vida (EOL) de la seguridad de la capa de transporte (TLS) 1.0/1.1. Las versiones de Windows no compatibles (Windows Server 2008, 2008 R2 o Windows 7) no admiten TLS 1.2 de forma predeterminada, lo que hace que se detenga la sincronización de los conectores.
• Mensajes de rendimiento del conector (Conector AD): El servicio Umbrella Connector se prueba para admitir 10 recursos (controladores de dominio y dispositivos virtuales) por CPU. Cuando se supera este tamaño, el procesamiento de eventos es más lento de lo esperado.
• Mensajes de advertencia de caída de evento (conector AD): El servicio Umbrella Connector se prueba para admitir aproximadamente 850 eventos continuos (sin límite máximo) por segundo en todos los controladores de dominio de un sitio Umbrella. Si la velocidad global supera esta capacidad probada, el conector descarta eventos.
• Mensajes de error de caída de WMI (controlador de dominio): El estado WMI está inactivo cuando el controlador de dominio está cargado y no responde a la conexión WMI desde el conector.

Contenido relacionado

• Examine el flujo de integración de Umbrella Active Directory
• Enviar registros del conector de Active Directory al soporte técnico de Umbrella

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	24-Sep-2026	Recertificación.
1.0	03-Sep-2025	Versión inicial