Sommario

Problema

Quando si implementa Cisco Secure Access VPN, i client Jabber riscontrano problemi di connettività dovuti a conflitti di risoluzione dei record SRV DNS. Il problema si verifica quando Jabber raggiunge due record DNS SRV: una per CUCM (_cisco-UDS) e una per ExpressWay (_collab-edge). Se il record CUCM SRV viene risolto, indipendentemente dal suo funzionamento, Jabber presume che sia in locale e tenta di connettersi a CUCM invece che a ExpressWay. Questo comportamento è evidente nel log di Jabber con bEdgeServerFlag = 0 visualizzato in Jabber.log. Inoltre, il record SRV ExpressWay ha esito negativo perché viene inviato al server DNS privato utilizzato dal client protetto per la risoluzione e il server DNS privato non trova in modo ricorsivo questo record SRV pubblico.

Ambiente

- Cisco Secure Access (in precedenza Cisco AnyConnect Secure Mobility Client)

- Cisco Jabber client

- Cisco Unified Communications Manager (CUCM)

- Cisco ExpressWay per l'accesso remoto e mobile

- Infrastruttura DNS con server DNS pubblici e privati

- Configurazione del tunnel VPN con funzionalità di tunneling suddiviso

Risoluzione

Il problema è stato risolto instradando il traffico Jabber attraverso il tunnel VPN anziché tentare di configurare manualmente il client per la connettività ExpressWay. Questo approccio garantisce che il traffico Jabber utilizzi il percorso di risoluzione DNS appropriato ed evita il conflitto tra record SRV che causa l'utilizzo errato della connettività locale da parte del client.

Procedura di risoluzione dei problemi

Passaggio 1: Analizza le query dei record DNS SRV tramite l'acquisizione di pacchetti wireshark.

Use Wireshark filter: dns.qry.type == 33

Passaggio 2: Esamina i log Jabber per lo stato dei flag di server perimetrale

Check Jabber.log for: bEdgeServerFlag = 0

Passaggio 3: Verifica comportamento risoluzione DNS per entrambi i record SRV

Verifica la risoluzione di:

- Record _cisco-UDS SRV (CUCM)

- Record SRV _collab-edge (ExpressWay)

Implementazione della soluzione

Configurare il client VPN Cisco Secure Access in modo che includa il traffico Jabber nel tunnel anziché consentirgli di risolvere le query DNS tramite il server DNS locale/privato. Ciò garantisce che:

- Il traffico Jabber utilizza il percorso di risoluzione DNS corretto

- Evitare conflitti tra record SRV

- La connettività ExpressWay è stata stabilita correttamente

- Funzionalità Jabber complete mantenute

Questa soluzione è preferibile alla configurazione manuale del client Jabber per ExpressWay, che comporterebbe la perdita di alcune funzionalità.

Causa

La causa principale è la logica di risoluzione dei record DNS SRV nei client Jabber. All'avvio di Jabber viene eseguita una query per due record SRV DNS specifici: _cisco-UDS (per CUCM) e _collab-edge (per ExpressWay). Il processo decisionale del client assegna la priorità al record SRV CUCM: se il record viene risolto correttamente, Jabber presume che funzioni in un ambiente locale e imposta bEdgeServerFlag = 0, indipendentemente dal fatto che la connessione CUCM effettiva funzioni o che anche il record SRV ExpressWay venga risolto.

Negli scenari VPN con tunneling suddiviso, il record SRV ExpressWay (_collab-edge) viene inviato al server DNS privato utilizzato dal client protetto. Poiché si tratta in genere di un record DNS pubblico e il server DNS privato non esegue ricerche ricorsive per i record esterni, la risoluzione di ExpressWay SRV ha esito negativo. A causa di questo problema composto, Jabber non è in grado di stabilire la connettività corretta tramite entrambi i percorsi.

Contenuto correlato

- Supporto tecnico Cisco e download