Sommario

Problema

Risorsa

I connettori implementati su VMware ESXi mostrano i seguenti errori:

1. Il connettore è connesso, ma non è possibile sincronizzarne la configurazione. Eseguire gli strumenti di diagnostica e controllare le impostazioni del firewall per risolvere i problemi di connettività

2. Stato della configurazione

Impossibile recuperare le configurazioni DNS o lo stato della configurazione. Controllare le impostazioni del firewall.

3. Versione connettore

Sconosciuto

v2.0.85

(v2.0.93)

I dati possono essere obsoleti.

Aggiunto

20 gen 2026 7:15 UTC

Versione del sistema operativo

Sconosciuto

2509300328

(2601240447)

- I dati possono essere obsoleti.

Ambiente

- Cisco Secure Access Resource Connector versione 2.0.85

- Piattaforma di virtualizzazione VMware ESXi

- Connettori di risorse distribuiti in coppie HA

- Firewall CSG con nessuna perdita confermata del firewall

- Connettività di rete confermata senza routing o modifiche NAT

- Più coppie di connettori di risorse nello stesso ambiente con identici criteri di firewall, routing, NAT e sicurezza

- Modello di problema ricorrente che si verifica approssimativamente ogni 5 settimane

Causa

Errore visualizzato da entrambe le RFC: impossibile configurare la connessione del controller errore="SetupControllerConnection::Failed to create controller connection - err=failed to create connection: network Error : context limit exceeded" (errore di rete: scadenza contesto superata)

Non sono stati rilevati problemi di connettività da RC. Il DNS funziona correttamente. Le porte sono consentite, ma il PING SOLO per questi URL non è riuscito:

2026-02-12 14:26:39.736869500 SSE API -> [0;31mFAILED]

2026-02-12 14:26:39.736870500 SSE ACME PureCA OCSP -> [0;31mFAILED

2026-02-12 14:26:39.736924500 ===========================================

2026-02-12 14:10:21,892855500

2026-02-12 14:10:21.892856500 ###ping SSE API: ping -w 5 -c 3 api.sse.cisco.com

2026-02-12 14:10:26.89046500 PING api.sse.cisco.com (146.112.59.20) 56(84) byte di dati.

2026-02-12 14:10:26,899047500

2026-02-12 14:10:26.899048500 — statistiche di ping api.sse.cisco.com —

2026-02-12 14:10:26,899048500 5 pacchetti trasmessi, 0 ricevuti, 100% perdita di pacchetti, tempo 4082ms

2026-02-12 14:10:30.922958500 ###ping SSE ACME PureCA OCSP: ping -w 5 -c 3 ssepki-prd.pureca.cryptosvcs.cisco.com

2026-02-12 14:10:35.926673500 PING ssepki-prd.pureca.cryptosvcs.cisco.com (3.225.142.190) 56(84) byte di dati.

2026-02-12 14:10:35,926674500

2026-02-12 14:10:35.926709500 — ssepki-prd.pureca.cryptosvcs.cisco.com statistiche di ping —

2026-02-12 14:10:35,926709500 5 pacchetti trasmessi, 0 ricevuti, 100% perdita di pacchetti, tempo 4078 ms

2026-02-12 14:15:54.892666500 ======= Ping ===========================================================

2026-02-12 14:15:54.892823500 self -> [0;32mSUCCESS

2026-02-12 14:15:54.892879500 gateway -> 0;32mSUCCESS

2026-02-12 14:15:54.892964500 SSE API -> 0;31mFAILED

2026-02-12 14:15:54.893022500 SSE Certificate API ->[0;32mSUCCESS

2026-02-12 14:15:54.893071500 SSE Headend AC -> SUCCESSO

2026-02-12 14:15:54.893144500 SSE ACME PureCA OCSP -> [0;31mFAILED

2026-02-12 14:15:54.893168500 =========================================

I messaggi precedenti sono falsi positivi.

Il certificato in questione è stato rinnovato a causa di errori OCSP durante il tentativo da parte di RC di controllare OCSP per l'API SSE. Nei registri è possibile verificare che lo stato restituito è HTTP 403:

026-02-12T14:23:26Z ERR non è stato in grado di verificare la presenza di un errore di revoca del certificato="errore di convalida dello stato di revoca del certificato err=stato di uscita

Le righe di debug seguenti possono essere utili:

Errore durante la query sul risponditore OCSP\n807BB6508C770000:error:1E800069:HTTP routines:parse_http_line1:received error:../crypto/http/http_client.c:440:code=403, reason=Forbidden\n807BB6508C770000:error:1E800076:HTTP routine:OSSL_HTTP_REQ_CTX_nbio:tipo di contenuto imprevisto:../crypto/http/http_client.c:676:EXPECTED=application/ocsp-response, actual=text/html; charset=\"utf-8\"\n807BB6508C770000:error:1E800067:HTTP routines:OSSL_HTTP_REQ_CTX_exchange:error receive:../crypto/http/http_client.c:874:server=http://ssepki.cryptosvcs.cisco.com:80\Certificaten"

2026-02-12T14:23:26Z INF impostazione connessione controller

Se nel firewall sono presenti blocchi, consentendo al traffico di http://ssepki.cryptosvcs.cisco.com:80\n è possibile eliminare un numero maggiore di errori relativi ai certificati.

Aggiornamenti del sistema operativo

La mancanza di aggiornamenti del sistema operativo è dovuta a limitazioni tecniche e ad altri fattori che hanno contribuito a far sì che il team ENG decidesse di non tentare gli aggiornamenti del sistema operativo su RC basati su VM.

Per evitare di dover ridistribuire RFC basati su VM su base regolare, si consiglia di eseguire distribuzioni basate su container che consentano al team di gestire gli aggiornamenti e la manutenzione del sistema operativo host del contenitore in modo indipendente.

Contenuto correlato

- Supporto tecnico Cisco e download