Sommario

Introduzione

Prerequisiti

Premesse

Configurazione

Introduzione

In questo documento vengono descritti i casi in cui Cisco Email Security Appliance (ESA) rileva un errore di "timeout" durante il tentativo di creare un cluster o di aggiungersi a un cluster, se i record puntatore DNS (PTR) non sono disponibili e viene spiegato come risolvere il problema.

Prerequisiti

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- AsyncOS for Email Security versione 8.0 e successive

Premesse

Quando si utilizza Cluster Communication Security (CSS) o Secure Shell (SSH) per aggiungere il cluster all'indirizzo IP, il record PTR è obbligatorio. In caso contrario, l'ESA visualizzerà un messaggio di errore di "timeout" e l'unione del cluster non riuscirà.

In alcuni casi, le modifiche ai record DNS potrebbero non essere possibili o consentite per creare correttamente i record PTR.

Possono verificarsi le seguenti situazioni:

- Gli indirizzi IP degli accessori utilizzano indirizzi IP interni

- Nessun record PTR per entrambi gli accessori

- Il DNS radice o il DNS locale non è in grado di risolvere entrambi i nomi host locali

- Impossibile modificare il DNS radice o il DNS locale

- Entrambe le porte 22 (SSH) e 222 (CSS) sono aperte su entrambi i lati

- Visualizzazione di errori di timeout su entrambi i lati

- Impossibile configurare NXDOMAIN nel DNS radice per questi indirizzi IP

Configurazione

È disponibile una soluzione che utilizza l'ESA locale come origine DNS.  Dalla CLI dell'accessorio, aggiungere una risoluzione DNS locale. Ad esempio, se per l'accessorio esa1.example.com (192.168.10.1) e esa2.example.com (192.168.10.2) non è possibile risolvere il record PTR, effettuare le seguenti operazioni:

esa1.example.com> dnsconfig

Choose the operation you want to perform:

- NEW - Add a new server.

- EDIT - Edit a server

- DELETE - Remove a server

- SETUP - Configure general settings.

[]> new

Currently using the local DNS cache servers:

1. Priority: 0 192.168.1.53

Do you want to add a new local DNS cache server or an alternate domain server?

1. Add a new local DNS cache server.

2. Add a new alternate domain server.

[]> 2

Please enter the domain this server is authoritative for. (Ex: "com").

[]> 2.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example for esa2]

Please enter the fully qualified hostname of the DNS server for the domain

"1.10.10.10.in-addr.arpa".

(Ex: "dns.example.168.192.in-addr.arpa").

[]> esa1.example.com [enter the hostname of the ESA you are configuring this on]

Please enter the IP address of machinea.example.com.

[]> 192.168.10.1 [enter the IP of the ESA you are configuring this on]

esa2.example.com> dnsconfig

Choose the operation you want to perform:

- NEW - Add a new server.

- EDIT - Edit a server

- DELETE - Remove a server

- SETUP - Configure general settings.

[]> new

Currently using the local DNS cache servers:

1. Priority: 0 192.168.1.53

Do you want to add a new local DNS cache server or an alternate domain server?

1. Add a new local DNS cache server.

2. Add a new alternate domain server.

[]> 2

Please enter the domain this server is authoritative for. (Ex: "com").

[]> 1.10.168.192.in-addr.arpa [enter the in-addr-arpa which serves as PTR, in this example esa1]

Please enter the fully qualified hostname of the DNS server for the domain

"1.10.10.10.in-addr.arpa".

(Ex: "dns.example.168.192.in-addr.arpa").

[]> esa2.example.com [enter the hostname of the ESA you are configuring this on]

Please enter the IP address of machinea.example.com.

[]> 192.168.10.2 [enter the IP of the ESA you are configuring this on]

Premere <Enter> fino a visualizzare il prompt principale ed eseguire il comando commit per salvare e attivare le modifiche alla configurazione.

Nota: Negli esempi precedenti, il dominio immesso in precedenza per Immettere il dominio di cui il server è autorevole è la ricerca DNS inversa o l'indirizzo IP 192.168.10.1 e 192.168.10.2. Verificare che gli indirizzi IP siano configurati on esa1.example.com e esa2.example.com e raggiungibili.