Problema
Il portale guest di Cisco Identity Services Engine (ISE) versione 3.2, patch 7 e versione 3.3 beta, interrompe a intermittenza il funzionamento nei nodi PSN (Policy Service Nodes) all'interno della distribuzione con alcuni nodi in una macchina virtuale (VM) e altri in Azure. In questo caso, l'arresto/avvio dei servizi ISE o la sincronizzazione manuale dei nodi dalla GUI facilita il ripristino della funzionalità del portale. Questo problema si verifica in più nodi dell'ambiente.
Ambiente
- Prodotto: Cisco Identity Services Engine (ISE)
- Versione software: 3.2 patch 7 e 3.3_BETA
- Modifiche recenti: migrazione dei nodi in un ambiente separato; migrazione di PAN e MNT da Azure ad appliance hardware (SNS 3795)
- Rete: è necessaria la comunicazione tra nodi sulla porta TCP 8671.
Risoluzione
1. Verificare che per ogni nodo PSN siano allocate risorse di CPU e memoria sufficienti, in particolare per i nodi che hanno presentato errori del servizio o un peggioramento delle prestazioni.Se vengono rilevati vincoli di risorse, aumentare l'allocazione della CPU e/o della memoria in base alle esigenze.
2. Confermare che tutti i nodi PSN possano comunicare tramite la porta TCP 8671, che è fondamentale per la sincronizzazione dei nodi. Verificare la connettività tra i nodi sulla porta TCP 8671 utilizzando telnet. Se la connessione viene stabilita correttamente, la porta è aperta e raggiungibile. Se la connessione non riesce, controllare le impostazioni del firewall, il routing e gli ACL di rete tra i nodi.
3. Sincronizzare manualmente il nodo PSN tramite l'interfaccia utente grafica di ISE:
- Passare a Amministrazione > Sistema > Distribuzione.
- Selezionare il PSN interessato e fare clic su Syncup (servizi del nodo PSN ISE, quindi riavviare).
4. Creare un nuovo portale hotspot:
- Passare a Centro di lavoro > Accesso guest > Portali e componenti.
- Fare clic su Crea e selezionare Portale hotspot.
- Configurare le impostazioni di base, aggiungere una semplice pianificazione automatica e impostare un URL di reindirizzamento dopo l'accesso.
- Salvare e testare il nuovo portale per convalidarne la funzionalità. Se il nuovo portale funziona normalmente, potrebbero verificarsi problemi di configurazione con il portale originale.
5. Se nei nodi sono presenti avvisi relativi alla coda del profiler o alle risorse, ad esempio errori relativi all'utilizzo elevato della CPU o al collegamento alla coda, aumentare le risorse hardware in base alle esigenze. Ad esempio, aumentare l'allocazione della CPU da 8 a 16 vCPU.
Nota: questo passaggio viene eseguito tramite l'interfaccia di virtualizzazione o di gestione del cloud.
6. Dopo la regolazione delle risorse, monitorare il sistema per una maggiore stabilità.
7. Continuare a monitorare gli errori di collegamento alla coda o avvisi simili. Se tali errori persistono ma sono sporadici e collegati a problemi di ISP o di rete (non di configurazione interna o firewall), documentare le occorrenze per la revisione continua. Se gli errori vengono tracciati a problemi di ISP esterni, coordinarsi con i provider di servizi di rete, se necessario.
Causa
La causa principale della mancata risposta del portale guest ISE è dovuta ai vincoli delle risorse (CPU/memoria) sui nodi PSN interessati e ai problemi di comunicazione tra nodi (porta TCP 8671). Gli errori di collegamento alla coda vengono attribuiti a problemi ISP esterni anziché a configurazioni errate della rete interna o del firewall. La migrazione dei nodi e le regolazioni delle risorse hardware determinano una maggiore stabilità.
Contenuto correlato
Feedback