Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Problema

Soluzione 1

Soluzione 2

AnyConnect esegue una query su mus.cisco.com

Configurazione

Esempio di rete

Risoluzione dei problemi

Introduzione

Questo documento descrive il comportamento del modulo Anyconnect VPN Core quando esegue query sul nome di dominio completo (FQDN) mus.cisco.com in scenari specifici. Questa query viene eseguita quando il client AnyConnect cerca di determinare se l'endpoint ha accesso a Internet e se non è in uso alcuna VPN.

Contributo di Peter Giang, Cisco BU.

Contributo di Steve Sargent, Cisco BU Technical Leader.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Installazione del modulo AnyConnect.

- Creazione di bundle AnyConnect Diagnostic and Reporting Tool (DART).

- Catture di sniffer Wireshark.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Anyconnect core VPN module versione 4.8.03052

- Windows 10 Enterprise 10.0.18363 Build 18363

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Il presente documento può essere utilizzato anche per le seguenti versioni hardware e software:

- Qualsiasi sistema operativo (MacOS, Windows, Linux).

- AnyConnect versione precedente alla 4.10.

Premesse

Le query AnyConnect su mus.cisco.com sono previste per progettazione.

Nota: Per questo comportamento è stato creato un difetto di miglioramento. ID bug Cisco CSCvu39643. Se non si usa il modulo VPN, non eseguire query su mus.cisco.com dal core VPN.

Problema

Quando il modulo principale della VPN AnyConnect non è in uso (non è configurato alcun profilo XML per le connessioni VPN), le query su mus.cisco.com vengono generate ogni 15 secondi.

Soluzione 1

Aggiungere una voce DNS (Domain Name System) nel server DNS per risolvere le query dei nomi in mus.cisco.com. Se non si gestisce un server DNS, inoltrare tali richieste a un server DNS pubblico.

Quando è possibile risolvere il mus.cisco.com FQDN, AnyConnect interrompe il tentativo di query.

Soluzione 2

Aggiungere una voce DNS al file degli host del sistema operativo per risolvere il nome di dominio completo mus.cisco.com.

Windows

1. Premere il tasto Windows.

2. Digitare Blocco note nel campo di ricerca.

3. Nei risultati della ricerca, fare clic con il pulsante destro del mouse su Blocco note e selezionare Esegui come amministratore.

4. Dal Blocco note aprire il file: "C:\Windows\System32\Drivers\etc\hosts".

5. Apportare le modifiche necessarie al file.

6. Per salvare le modifiche, selezionare File > Salva.

Mac

1. Aprire una finestra di Terminal.

2. Immettere questo comando per aprire il file hosts con l'editor di testo nano incorporato nel sistema operativo: "sudo nano /etc/hosts".

3. Immettere l'utente e la password di dominio.

4. Apportare le modifiche necessarie al file.

Linux

1. Aprire una finestra di Terminal.

2. Immettere questo comando per aprire il file hosts con l'editor di testo nano incorporato nel sistema operativo: "sudo nano /etc/hosts".

3. Immettere l'utente e la password di dominio.

4. Apportare le modifiche necessarie al file.

AnyConnect esegue una query su mus.cisco.com

Configurazione

L'installazione del modulo principale AnyConnect VPN.

Esempio di rete

******************************************

Date : 06/17/2020

Time : 20:21:57

Type : Warning

Source : acvpnagent

Description : Function : CDNSRequest::OnSocketReadComplete

File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp

Line: 1147

Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)

******************************************

Risoluzione dei problemi

Per verificare il corretto funzionamento, è possibile abilitare l'acquisizione di un pacchetto sull'interfaccia di uscita dell'endpoint con Wireshark.

Sull'interfaccia grafica del client AnyConnect, viene visualizzato il messaggio "Network error. Unable to lookup host names" (Impossibile cercare nomi host), come mostrato nell'immagine.

Quando si applica una delle soluzioni indicate, è possibile anche acquisire un pacchetto su Wireshark e usare il filtro DNS per confermare le query costanti su mus.cisco.com:

Sull'interfaccia GUI del client AnyConnect, viene visualizzato il messaggio "Ready to connect" (pronto per la connessione), come mostrato nell'immagine.

Suggerimento: Anche se non si vede il modulo principale AnyConnect VPN sull'interfaccia GUI, non significa che il modulo principale vpn non sia in funzione. Cercare il file VPNDisable_ServiceProfile.xml nella directory "C:\programdata\cisco su Windows" e "/opt/cisco/anyconnect/profile" sui dispositivi Apple. Su Linux questo non è supportato.