Introduction
Ce document décrit quand les expériences des appareils de sécurité du courrier électronique de Cisco (ESA) « ont chronométré » des erreurs quand essayant de créer ou joindre une batterie, si les enregistrements du pointeur de DN (PTR) ne sont pas disponibles, et comment au contournement la question.
Conditions préalables
Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :
- AsyncOS pour la version 8.0 et plus récentes de sécurité du courrier électronique
En employant la sécurité des communications de batterie (CSS) ou le Protocole Secure Shell (SSH) pour joindre la batterie avec l'adresse IP, l'enregistrement PTR est exigé, autrement l'ESA incitera « chronométrées » des erreurs, et la batterie se joignent échouera.
Il y a des périodes où les modifications d'enregistrement DNS peuvent ne pas être possibles ou laissées afin de créer correctement des enregistrements PTR.
Les situations suivantes peuvent s'appliquer :
- Adresses IP des adresses IP internes d'utilisation d'appareils
- Il n'y a aucun enregistrement PTR pour les deux appliances
- Les DN de racine ou les DN locaux ne peuvent pas résoudre les deux noms d'hôte local
- Des DN de racine ou les DN locaux ne peuvent pas être édités ou modifiés
- Le port 22 (SSH) et le port 2222 (CSS) sont ouverts des deux côtés
- Obtenir « a chronométré » des erreurs des deux côtés
- Ne peut pas configurer NXDOMAIN sur les DN de racine pour ces adresses IP
Configurez
Il y a un contournement qui utilise les gens du pays ESA comme source de DN. De l'appliance CLI, ajoutez une résolution locale de DN. Par exemple s'il y avait appliance esa1.example.com (192.168.10.1) et esa2.example.com (192.168.10.2) pour lequel l'enregistrement PTR ne peut pas être résolu exécutent ce qui suit :
esa1.example.com> dnsconfig
Choose the operation you want to perform:
- NEW - Add a new server.
- EDIT - Edit a server
- DELETE - Remove a server
- SETUP - Configure general settings.
[]> new
Currently using the local DNS cache servers:
1. Priority: 0 192.168.1.53
Do you want to add a new local DNS cache server or an alternate domain server?
1. Add a new local DNS cache server.
2. Add a new alternate domain server.
[]> 2
Please enter the domain this server is authoritative for. (Ex: "com").
[]> 2.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example for esa2]
Please enter the fully qualified hostname of the DNS server for the domain
"1.10.10.10.in-addr.arpa".
(Ex: "dns.example.168.192.in-addr.arpa").
[]> esa1.example.com [enter the hostname of the ESA you are configuring this on]
Please enter the IP address of machinea.example.com.
[]> 192.168.10.1 [enter the IP of the ESA you are configuring this on]
esa2.example.com> dnsconfig
Choose the operation you want to perform:
- NEW - Add a new server.
- EDIT - Edit a server
- DELETE - Remove a server
- SETUP - Configure general settings.
[]> new
Currently using the local DNS cache servers:
1. Priority: 0 192.168.1.53
Do you want to add a new local DNS cache server or an alternate domain server?
1. Add a new local DNS cache server.
2. Add a new alternate domain server.
[]> 2
Please enter the domain this server is authoritative for. (Ex: "com").
[]> 1.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example esa1]
Please enter the fully qualified hostname of the DNS server for the domain
"1.10.10.10.in-addr.arpa".
(Ex: "dns.example.168.192.in-addr.arpa").
[]> esa2.example.com [enter the hostname of the ESA you are configuring this on]
Please enter the IP address of machinea.example.com.
[]> 192.168.10.2 [enter the IP of the ESA you are configuring this on]
<Enter> de hit jusqu'à ce que vous obteniez à la validation d'invite principale et de passage de sauvegarder et lancer les modifications de configuration.
Note: Dans les exemples ci-dessus, le domaine écrit ci-dessus pour s'il vous plaît entrent dans le domaine que ce serveur est bien fondé pour est la consultation ou l'adresse IP inverse 192.168.10.1 et 192.168.10.2 de DN. Assurez-vous que les adresses IP sont configurées sur esa1.example.com et esa2.example.com et accessible.
Commentaires