Introduzione
In questo documento vengono descritti i casi in cui Cisco Email Security Appliance (ESA) rileva un errore di "timeout" durante il tentativo di creare un cluster o di aggiungersi a un cluster, se i record puntatore DNS (PTR) non sono disponibili e viene spiegato come risolvere il problema.
Prerequisiti
Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:
- AsyncOS for Email Security versione 8.0 e successive
Premesse
Quando si utilizza Cluster Communication Security (CSS) o Secure Shell (SSH) per aggiungere il cluster all'indirizzo IP, il record PTR è obbligatorio. In caso contrario, l'ESA visualizzerà un messaggio di errore di "timeout" e l'unione del cluster non riuscirà.
In alcuni casi, le modifiche ai record DNS potrebbero non essere possibili o consentite per creare correttamente i record PTR.
Possono verificarsi le seguenti situazioni:
- Gli indirizzi IP degli accessori utilizzano indirizzi IP interni
- Nessun record PTR per entrambi gli accessori
- Il DNS radice o il DNS locale non è in grado di risolvere entrambi i nomi host locali
- Impossibile modificare il DNS radice o il DNS locale
- Entrambe le porte 22 (SSH) e 222 (CSS) sono aperte su entrambi i lati
- Recupero degli errori di timeout su entrambi i lati
- Impossibile configurare NXDOMAIN nel DNS radice per questi indirizzi IP
Configurazione
È disponibile una soluzione che utilizza l'ESA locale come origine DNS. Dalla CLI dell'accessorio, aggiungere una risoluzione DNS locale. Ad esempio, se per l'accessorio esa1.example.com (192.168.10.1) e esa2.example.com (192.168.10.2) non è possibile risolvere il record PTR, effettuare le seguenti operazioni:
esa1.example.com> dnsconfig
Choose the operation you want to perform:
- NEW - Add a new server.
- EDIT - Edit a server
- DELETE - Remove a server
- SETUP - Configure general settings.
[]> new
Currently using the local DNS cache servers:
1. Priority: 0 192.168.1.53
Do you want to add a new local DNS cache server or an alternate domain server?
1. Add a new local DNS cache server.
2. Add a new alternate domain server.
[]> 2
Please enter the domain this server is authoritative for. (Ex: "com").
[]> 2.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example for esa2]
Please enter the fully qualified hostname of the DNS server for the domain
"1.10.10.10.in-addr.arpa".
(Ex: "dns.example.168.192.in-addr.arpa").
[]> esa1.example.com [enter the hostname of the ESA you are configuring this on]
Please enter the IP address of machinea.example.com.
[]> 192.168.10.1 [enter the IP of the ESA you are configuring this on]
esa2.example.com> dnsconfig
Choose the operation you want to perform:
- NEW - Add a new server.
- EDIT - Edit a server
- DELETE - Remove a server
- SETUP - Configure general settings.
[]> new
Currently using the local DNS cache servers:
1. Priority: 0 192.168.1.53
Do you want to add a new local DNS cache server or an alternate domain server?
1. Add a new local DNS cache server.
2. Add a new alternate domain server.
[]> 2
Please enter the domain this server is authoritative for. (Ex: "com").
[]> 1.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example esa1]
Please enter the fully qualified hostname of the DNS server for the domain
"1.10.10.10.in-addr.arpa".
(Ex: "dns.example.168.192.in-addr.arpa").
[]> esa2.example.com [enter the hostname of the ESA you are configuring this on]
Please enter the IP address of machinea.example.com.
[]> 192.168.10.2 [enter the IP of the ESA you are configuring this on]
Premere <Enter> fino a visualizzare il prompt principale ed eseguire il comando commit per salvare e attivare le modifiche alla configurazione.
Nota: negli esempi precedenti, il dominio immesso in precedenza per Immettere il dominio di cui il server è autorevole è la ricerca DNS inversa o l'indirizzo IP 192.168.10.1 e 192.168.10.2. Verificare che gli indirizzi IP siano configurati on esa1.example.com e esa2.example.com e raggiungibili.
Feedback