Risolvere i problemi relativi alle query DNS AnyConnect in mus.cisco.com

Introduzione

Questo documento descrive il comportamento del modulo Anyconnect VPN Core quando esegue query sul nome di dominio completo (FQDN) mus.cisco.com in scenari specifici. Questa query viene eseguita quando il client AnyConnect cerca di determinare se l'endpoint ha accesso a Internet e se non è in uso alcuna VPN.

Contributo di Peter Giang, Cisco BU.

Contributo di Steve Sargent, Cisco BU Technical Leader.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Installazione del modulo AnyConnect.
• Creazione di bundle AnyConnect Diagnostic and Reporting Tool (DART).
• Catture di sniffer di Wireshark.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Anyconnect core VPN module versione 4.8.03052
• Windows 10 Enterprise 10.0.18363 Build 18363

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Il presente documento può essere utilizzato anche per le seguenti versioni hardware e software:

• Qualsiasi sistema operativo (MacOS, Windows, Linux).
• AnyConnect versione precedente alla 4.10.

Premesse

Le query AnyConnect su mus.cisco.com sono previste per progettazione.

Nota: per questo comportamento è stato creato un difetto di miglioramento. ID bug Cisco CSCvu39643. Se non si utilizza il modulo VPN, non è necessario eseguire query su mus.cisco.com dal core VPN.

Problema

Quando il modulo principale della VPN AnyConnect non è in uso (non è configurato alcun profilo XML per le connessioni VPN), le query su mus.cisco.com vengono generate ogni 15 secondi.

Soluzione 1

Aggiungere una voce DNS (Domain Name System) nel server DNS per risolvere le query dei nomi in mus.cisco.com. Se non si gestisce un server DNS, inoltrare tali richieste a un server DNS pubblico.

Quando è possibile risolvere il mus.cisco.com FQDN, AnyConnect interrompe il tentativo di query.

Soluzione 2

Aggiungere una voce DNS al file degli host del sistema operativo per risolvere il nome di dominio completo mus.cisco.com.

AnyConnect esegue una query su mus.cisco.com

Configurazione

L'installazione del modulo principale AnyConnect VPN.

Esempio di rete

******************************************
Date : 06/17/2020
Time : 20:21:57
Type : Warning
Source : acvpnagent
Description : Function : CDNSRequest::OnSocketReadComplete
File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp
Line: 1147
Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)
******************************************

Risoluzione dei problemi

Per verificare il corretto funzionamento, è possibile abilitare l'acquisizione di un pacchetto sull'interfaccia in uscita dell'endpoint con Wireshark.

Sull'interfaccia grafica del client AnyConnect, viene visualizzato il messaggio "Network error. Unable to lookup host names" (Impossibile cercare nomi host), come mostrato nell'immagine.

Quando si applica una delle soluzioni indicate, è possibile anche acquisire un pacchetto su Wireshark e usare il filtro DNS per confermare le query costanti su mus.cisco.com:

Sull'interfaccia GUI del client AnyConnect, viene visualizzato il messaggio "Ready to connect" (Pronto per la connessione), come mostrato nell'immagine.

Suggerimento: anche se non si vede il modulo principale AnyConnect VPN sull'interfaccia GUI, non significa che il modulo principale vpn non sia in funzione. Cercare il file VPNDisable_ServiceProfile.xml nella directory "C:\programdata\cisco on Windows" e "/opt/cisco/anyconnect/profile" sui dispositivi Apple. Su Linux questo non è supportato.