Comprensione e risoluzione dei problemi relativi agli allarmi di replica dei nodi ISE

Introduzione

Questo documento descrive gli allarmi di replica e la relativa risoluzione dei problemi in Cisco Identity Services Engine® (ISE).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza di Cisco Identity Services Engine® (ISE).

Componenti usati

Le informazioni di questo documento si basano sulle seguenti versioni hardware e software.

• Cisco Identity Services Engine® (ISE) 3.4 e versioni successive.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Allarmi di replica ISE

Gli allarmi di replica in Cisco ISE forniscono visibilità sullo stato e sullo stato di sincronizzazione del framework di replica nell'intera implementazione. Questi allarmi consentono di identificare le condizioni che possono influire sulla coerenza dei dati, sulla comunicazione dei nodi o sui processi di replica, consentendo agli amministratori di rilevare e risolvere i problemi prima che abbiano un impatto sulle operazioni del sistema. Comprendere lo scopo e l'importanza degli allarmi di replica è essenziale per mantenere un'implementazione ISE efficiente e garantire che la configurazione e i dati operativi rimangano sincronizzati su tutti i nodi.

Allarmi ISE Node Replication 

Replica non riuscita

L'allarme Replica non riuscita viene generato quando i nodi secondari nella distribuzione non sono in grado di utilizzare i messaggi replicati dal nodo Amministrazione primaria nella distribuzione. Questo avviso indica che il processo di replica non è riuscito e che il nodo interessato non dispone più della configurazione o dei dati operativi più recenti.

A differenza degli allarmi di replica specifici per i certificati, questo allarme rappresenta un errore nel framework di replica generale e può influire su più oggetti e servizi di configurazione nell'intera implementazione.

Motivo dell'allarme

L'allarme Replica non riuscita può verificarsi quando Cisco ISE non è in grado di trasferire o applicare correttamente i dati replicati. Le cause più comuni sono:

• Problemi di comunicazione di rete: Perdita di pacchetti, latenza di rete elevata, restrizioni del firewall, problemi di routing o mancata corrispondenza delle MTU che interrompono la comunicazione tra i nodi ISE.

• Problemi relativi al servizio di replica: RabbitMQ, JGroups o altri servizi di replica interna non sono disponibili, non vengono riavviati o non funzionano correttamente.

• Problemi di comunicazione dei nodi: Il nodo di destinazione non è in linea, è in fase di riavvio, è stata annullata la registrazione, è stato disconnesso dalla distribuzione o è comunque irraggiungibile.

• Problemi di sincronizzazione del database: Il nodo di destinazione non è in grado di eseguire il commit dei dati replicati a causa di errori del database o di errori di sincronizzazione.

• Vincoli risorse di sistema: Utilizzo elevato della CPU, pressione della memoria, spazio su disco insufficiente o I/O su disco pesante che ritardano l'elaborazione della replica.

• Problemi di risoluzione DNS o nome host: Risoluzione DNS diretta o inversa errata che impedisce la corretta comunicazione tra i nodi.

• Incoerenze di versione o distribuzione: La replica ha esito negativo se i nodi non funzionano con le versioni software supportate o se la distribuzione si trova in uno stato incoerente dopo un aggiornamento o una registrazione del nodo.

• Scadenza certificato amministratore: il certificato amministratore per i nodi ISE è scaduto /danneggiato / non valido a causa del quale è in gioco la comunicazione tra i nodi che causa l'errore di replica. 

• Errori collegamento coda: nella distribuzione o nei nodi interessati vengono visualizzati gli errori di collegamento alla coda in cui il certificato di messaggistica ISE o la catena di CA radice ISE è danneggiata o non valida sulla porta 8671. 

• Il servizio Stunnel è disabilitato/offline: il servizio Stunnel viene eseguito in tutti i nodi della distribuzione distribuita. Lo stato disabilitato/non in esecuzione del servizio Stunnel determina un errore nella replica degli allarmi. 

• Le porte di replica sono bloccate: le porte 12001, 8671, 443, 8443 e 6379 devono essere aperte tra i nodi nella distribuzione e nella rete per garantire procedure di replica ottimali nella distribuzione.

Impatto dell'allarme

L'impatto dipende dal tipo di dati replicati. Gli errori di replica possono determinare una configurazione incoerente nei nodi ISE, un ritardo nella propagazione delle modifiche amministrative, policy obsolete, dispositivi di rete o informazioni sull'identità mancanti, errori di sincronizzazione dei certificati e dati dell'endpoint incoerenti. Se la replica non riesce per un periodo di tempo prolungato, le operazioni amministrative e la coerenza delle policy possono risultare compromesse.

Replica interrotta

L'allarme "Replica interrotta" viene generato quando il nodo di amministrazione principale non è in grado di replicare le informazioni sui nodi secondari dell'implementazione. Questo avviso indica che il processo di replica non è riuscito e che i nodi interessati non dispongono più della configurazione o dei dati operativi più recenti.

Motivo dell'allarme

L'allarme "Replica interrotta" può verificarsi quando il nodo di amministrazione primario non è in grado di trasferire correttamente i dati replicati. Le cause più comuni sono:

• Problemi di comunicazione di rete: Perdita di pacchetti, latenza di rete elevata, restrizioni del firewall, problemi di routing o mancata corrispondenza delle MTU che interrompono la comunicazione tra i nodi ISE.

• Problemi relativi al servizio di replica: RabbitMQ, JGroups o altri servizi di replica interna non sono disponibili, non vengono riavviati o non funzionano correttamente nel nodo Amministrazione primaria.

• Vincoli risorse di sistema: Utilizzo elevato della CPU, pressione della memoria, spazio su disco insufficiente o I/O su disco pesante che ritardano l'elaborazione della replica nel nodo di amministrazione principale.

• Problemi di risoluzione DNS o nome host: Risoluzione DNS diretta o inversa errata che impedisce la corretta comunicazione tra i nodi.

• Incoerenze di versione o distribuzione: La replica ha esito negativo se i nodi non funzionano con le versioni software supportate o se la distribuzione si trova in uno stato incoerente dopo un aggiornamento o una registrazione del nodo.

• Scadenza certificato amministratore: il certificato amministratore per i nodi ISE è scaduto /danneggiato / non valido a causa del quale è in gioco la comunicazione tra i nodi che causa l'errore di replica. 

• Errori collegamento coda: nella distribuzione o nei nodi interessati vengono visualizzati gli errori di collegamento alla coda in cui il certificato di messaggistica ISE o la catena di CA radice ISE è danneggiata o non valida sulla porta 8671. 

• Il servizio Stunnel è disabilitato/offline: il servizio Stunnel viene eseguito in tutti i nodi della distribuzione distribuita. Lo stato disabilitato/non in esecuzione del servizio Stunnel determina un errore nella replica degli allarmi. 

• Le porte di replica sono bloccate: le porte 12001, 8671, 443, 8443 e 6379 devono essere aperte tra i nodi nella distribuzione e nella rete per garantire procedure di replica ottimali nella distribuzione.

Impatto dell'allarme

Quando la replica viene interrotta, i nodi della distribuzione non ricevono più gli aggiornamenti della configurazione dal nodo di amministrazione primario. Ciò può causare criteri incoerenti, definizioni dei dispositivi di rete obsolete, informazioni sugli endpoint mancanti, ritardi nella sincronizzazione dei certificati e mancate corrispondenze di configurazione nell'intera distribuzione. Se la replica rimane interrotta per un periodo di tempo prolungato, le modifiche amministrative apportate nel PAN primario non possono avere effetto sul nodo interessato finché non viene ripristinata la sincronizzazione.

Risoluzione dei problemi di replica non riuscita e avviso di interruzione della replica

Allarme replica lenta 

Ogni volta che viene apportata una modifica alla configurazione sulla PAN primaria, Cisco ISE inserisce la modifica nella coda di replica e la sincronizza con i nodi secondari. In condizioni normali, la replica viene completata in un breve periodo. Tuttavia, se la coda di replica inizia a crescere o se il nodo di destinazione impiega più tempo del previsto per elaborare le richieste di replica, Cisco ISE genera un allarme di replica lenta.

Cisco ISE classifica questi allarmi in tre livelli di gravità:

• Informazioni sulla replica lenta
• Avviso replica lenta
• Errore di replica lenta

Motivo dell'allarme

L'allarme di "replica lenta" viene in genere generato a causa di condizioni temporanee che ritardano l'elaborazione della replica. Le cause più comuni sono:

• Utilizzo risorse di sistema temporanee: Brevi periodi di elevato utilizzo della CPU, della memoria o di maggiore I/O su disco possono ritardare l'elaborazione della replica.

• Latenza di rete: Piccoli aumenti della latenza di rete o una perdita di pacchetti minima tra i nodi ISE possono rallentare il trasferimento dei dati.

• Grandi modifiche alla configurazione: Le importazioni in blocco degli endpoint, gli aggiornamenti dei criteri, le importazioni dei certificati o altre modifiche amministrative di grandi dimensioni aumentano la quantità di dati da replicare.

• Operazioni di sistema in background: Le attività di backup, ripristino, eliminazione, installazione di patch o aggiornamento aumentano temporaneamente il carico del sistema.

• Backlog coda di replica: Più modifiche alla configurazione eseguite in un breve periodo possono aumentare temporaneamente la coda di replica.

• Ritardi temporanei del servizio: RabbitMQ, JGroups o servizi di database sperimentano brevi ritardi di elaborazione mentre continuano a funzionare normalmente.

Allarme replica lenta - Informazioni

La replica lenta o bloccata viene rilevata quando il numero di messaggi in sospeso supera 10000 o il tempo impiegato per replicare i messaggi è superiore a un'ora. 

Verifica: verificare il conteggio dei messaggi di sincronizzazione in sospeso. Passare a Amministrazione > Sistema > Distribuzione, selezionare il nodo interessato e fare clic sull'icona Informazioni (i) per esaminare il numero di messaggi di replica in sospeso.

Avviso replica lenta - Avviso

La replica lenta o bloccata viene rilevata quando il numero di messaggi in sospeso è maggiore di 20000 o quando il tempo necessario per replicare i messaggi supera le tre ore.

Verifica: verificare il conteggio dei messaggi di sincronizzazione in sospeso. Passare a Amministrazione > Sistema > Distribuzione, selezionare il nodo interessato e fare clic sull'icona Informazioni (i) per esaminare il numero di messaggi di replica in sospeso.

Avviso replica lenta - Errore

La replica lenta o bloccata viene rilevata quando il numero di messaggi in sospeso è maggiore di 40000 o quando il tempo necessario per replicare i messaggi supera le cinque ore.

Verifica: verificare il conteggio dei messaggi di sincronizzazione in sospeso. Passare a Amministrazione > Sistema > Distribuzione, selezionare il nodo interessato e fare clic sull'icona Informazioni (i) per esaminare il numero di messaggi di replica in sospeso.

Risoluzione dei problemi relativi agli allarmi di replica dei nodi

1. Verificare lo stato della distribuzione per il nodo

Affinché la replica dei certificati abbia esito positivo, il nodo secondario deve essere in stato Connected all'interno dell'implementazione di Cisco ISE. Passare a Amministrazione > Sistema > Distribuzione e verificare lo stato del nodo interessato. Posizionare il puntatore del mouse sull'icona Informazioni (i) accanto allo stato del nodo per esaminare i dettagli della sincronizzazione ed eventuali messaggi di replica in sospeso.

Lo stato di sincronizzazione visualizzato per ogni nodo indica lo stato corrente di replica e connettività:

• Verde: il nodo è sincronizzato con la distribuzione e la replica funziona normalmente.
• Giallo: il nodo non è sincronizzato, la registrazione del nodo non è riuscita o la connettività del cluster è stata persa. Questo stato indica che il nodo non è stato raggiungibile dal cluster negli ultimi cinque minuti.
• Rosso: il nodo non è raggiungibile e non può essere contattato tramite controlli della connettività di rete, ad esempio ping ICMP o HTTPS.

Se nel nodo viene visualizzato lo stato Giallo o Rosso, significa che si è verificato un problema di replica o di connettività che interessa il nodo. Verificare inoltre il conteggio dei messaggi di replica visualizzato nelle informazioni sul nodo. Il numero di messaggi in sospeso deve essere minore o uguale a 5.000. Una coda contenente più di 5.000 messaggi in sospeso indica che la coda di replica è stata accumulata, con il rischio di ritardare o impedire il completamento della replica.

2. Verificare l'allarme del collegamento alla coda nella distribuzione 

Il successo della replica in Cisco ISE dipende dalla disponibilità e dalla comunicazione del servizio di messaggistica RabbitMQ e della struttura di comunicazione del cluster JGroups. Se uno dei componenti incontra problemi di comunicazione, Cisco ISE genera errori di collegamento coda, che possono interrompere la replica tra i nodi di implementazione.

Per verificare lo stato dell'allarme, selezionare Operazioni > Dashboard > Allarmi e controllare la presenza di errori di collegamento coda sui nodi interessati.

Se sono presenti errori di collegamento coda, rinnovare il certificato CA radice Cisco ISE, in quanto errori di comunicazione relativi al certificato in genere causano errori di collegamento coda. Una volta risolto il problema del certificato, la replica viene in genere ripresa automaticamente senza richiedere ulteriori interventi.

3. Verifica della latenza e della connettività della rete

La replica di Cisco ISE si basa su una connettività di rete stabile tra i nodi di implementazione. Un'elevata latenza di rete o una connettività intermittente possono ritardare la replica e causare errori di sincronizzazione, in particolare in installazioni distribuite in aree geografiche diverse.

Verificare la latenza di rete tra i nodi interessati utilizzando test di connettività, ad esempio ping. Per una replica affidabile, la latenza di andata e ritorno tra i nodi deve rimanere entro circa 300 ms. Il costante superamento di questa soglia può influire negativamente sulle prestazioni e sulla sincronizzazione della replica. Verificare inoltre che non vi siano interruzioni intermittenti della rete, perdita di pacchetti o limitazioni del firewall che influiscono sulla comunicazione tra i nodi di distribuzione.

4. Verifica dell'utilizzo delle risorse di sistema 

Un elevato utilizzo delle risorse di sistema può influire sulle prestazioni di Cisco ISE e ritardare le attività di replica. Un utilizzo eccessivo della CPU, della memoria o del disco può impedire il corretto completamento dei processi di replica.

Verificare che il nodo interessato disponga di risorse di sistema sufficienti e che l'utilizzo delle risorse rimanga entro i limiti operativi consigliati. Se l'utilizzo delle risorse è costantemente elevato, allocare risorse aggiuntive o ridurre il carico di lavoro sul nodo per ripristinare le normali prestazioni di replica.

5. Verificare la disponibilità delle porte nella distribuzione e nella rete

La replica di Cisco ISE richiede porte TCP specifiche che rimangano aperte tra tutti i nodi dell'implementazione per garantire una comunicazione ininterrotta e la riuscita della replica. Se una di queste porte è bloccata da un firewall, da un criterio di controllo dell'accesso o da un dispositivo di rete, possono verificarsi errori di replica o problemi di sincronizzazione.

Verificare che le porte TCP siano aperte e raggiungibili tra tutti i nodi Cisco ISE:

• TCP 443 - Comunicazione HTTPS
• TCP 8443 - Comunicazione amministrativa
• TCP 12001 - Comunicazione e replica cluster JGroups
• TCP 6379 - Servizi di messaggistica interna
• TCP 8671 - Cisco ISE Messaging (RabbitMQ)

Accedere alla CLI di Cisco ISE ed eseguire il comando show ports per verificare le porte consentite nel nodo.

Verificare che le porte richieste siano abilitate sul nodo Cisco ISE e che siano consentite sul percorso di rete. Verificare che nessun firewall intermedio, dispositivo di sicurezza o criterio di rete blocchi la comunicazione tra i nodi di distribuzione su queste porte.

6. Verifica risoluzione DNS 

La replica di Cisco ISE si basa sulla comunicazione efficace tra tutti i nodi nell'implementazione. Affinché la comunicazione tra nodi funzioni correttamente, è necessario che i nodi siano raggiungibili e che la risoluzione DNS di inoltro e inverso sia configurata e funzioni correttamente. I problemi di risoluzione DNS possono impedire la comunicazione tra i nodi e causare errori di replica.

Per verificare la risoluzione DNS nei nodi ISE, accedere alla CLI di Cisco ISE e utilizzare il comando nslookup per verificare la risoluzione DNS sia diretta che inversa per ogni nodo della distribuzione.

Ad esempio:

• Ricerca DNS diretta: il comando nslookup www.example.com deve restituire l'indirizzo IP del nodo Cisco ISE corrispondente.

• Ricerca DNS inversa: il comando nslookup 10.x.x.1 deve restituire il nome di dominio completo (FQDN) del corrispondente nodo Cisco ISE.

7. Verifica del certificato di messaggistica di Admin & ISE

Cisco ISE utilizza il certificato Admin e il certificato ISE Messaging per stabilire la comunicazione sicura tra i nodi richiesta per la replica. Se uno dei certificati è non valido, scaduto, danneggiato o non attendibile, la replica tra i nodi di distribuzione può non riuscire.

Per verificare lo stato del certificato, passare ad Amministrazione > Sistema > Certificati, selezionare il nodo interessato ed esaminare i certificati Admin e ISE Messaging. Verificare che i certificati siano validi, non scaduti, attendibili e in stato integro.

Se il certificato di amministrazione o il certificato di messaggistica ISE non è valido, è danneggiato o è scaduto, sostituire o rinnovare il certificato. Una volta risolto il problema del certificato, la replica riprende dopo che è stata ristabilita la comunicazione protetta tra i nodi.

8. Verificare lo stato del servizio ISE Stunnel

Il servizio Stunnel di Cisco ISE è un servizio interno che fornisce il tunneling SSL/TLS sicuro per la comunicazione tra i componenti ISE e i servizi esterni. Anziché implementare la crittografia TLS in modo indipendente in ogni applicazione, ISE utilizza Stunnel come wrapper per l'aggiunta della crittografia SSL/TLS ai servizi che comunicano su TCP normale. Ciò migliora la sicurezza e semplifica l'implementazione di comunicazioni sicure.

Affinché la replica funzioni correttamente, il servizio Stunnel deve essere in esecuzione su tutti i nodi dell'implementazione di Cisco ISE. Il servizio dipende da certificati ISE Admin e ISE Messaging validi per stabilire una comunicazione TLS sicura tra i nodi durante il processo di replica. Lo stato del servizio può essere verificato da Cisco ISE CLI usando il comando show tech-support | comprendono lo storno

Raccolta log per avvisi di replica

Questi sono i componenti comuni da impostare in modalità debug per isolare e risolvere gli allarmi di replica in Cisco ISE.

• Replication-Deployment (replication.log e ise-psc.log)
• Replication-JGroup (replication.log e ise-psc.log)
• Tracker repliche (tracking.log)
• ibernazione (hibernate.log)
• JMS (replication.log)

Riferimento

• Guida dell'amministratore di Cisco Identity Services Engine, versione 3.5
• Risoluzione dei problemi e abilitazione dei debug su ISE
• Raccogli pacchetto di supporto su Identity Services Engine

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
1.0	06-Jul-2026	Versione iniziale