Stato disconnesso connettore risorse di accesso sicuro

Problema

In un connettore delle risorse di accesso protetto è visualizzato uno stato disconnesso con il messaggio di errore "Questo connettore è disconnesso. Eseguire la diagnostica per identificare il problema. Ciò implica spesso il controllo delle regole del firewall per garantire che il connettore possa raggiungere l'accesso protetto. Se i problemi persistono, contattare il supporto tecnico." Il problema influisce sulla capacità del connettore di funzionare, influendo potenzialmente sull'accesso degli utenti tramite l'accesso protetto.

Ambiente

• Cisco Secure Access

• Tecnologia: Secure Access Resource Connector

• Più connettori di risorse nello stesso ambiente

• Firewall upstream

Risoluzione

L'approccio alla risoluzione prevedeva una diagnostica di rete completa e l'installazione di un nuovo connettore di risorse in sostituzione dell'unità difettosa.

Analisi del traffico di rete

Se è presente un firewall a monte, è possibile eseguire le acquisizioni dei pacchetti + tcpdump sul connettore di risorse guasto per analizzare l'handshake TLS e la connettività di rete.

Verifica certificato

È possibile recuperare le informazioni sul certificato per api.sse.cisco.com utilizzando questo comando:

echo | openssl s_client -servername api.sse.cisco.com -connect api.sse.cisco.com:443 -showcerts 2>/dev/null | openssl x509 -text -noout -issuer -dates -fingerprint

Distribuzione nuovo connettore di risorse

Se si osservano le risposte TCP RST e i problemi di connettività a livello di rete specifici della scheda RC difettosa, distribuire un nuovo connettore risorse per sostituire l'unità che presenta il problema.

Causa

La causa principale è stata identificata come un problema di connettività a livello di rete specifico del connettore risorse guasto. Le risposte TCP RST ricevute durante il tentativo di connessione agli indirizzi IP 35.165.184.17 di Secure Access (us.controller.acgw.sse.cisco.com), combinate con i modelli di traffico unidirezionale osservati sul firewall a monte, indicano un errore di comunicazione tra il connettore specifico e l'infrastruttura di accesso sicuro. Il corretto funzionamento di un'altra RFC nello stesso ambiente ha confermato che il problema era isolato al singolo connettore piuttosto che essere un problema di configurazione di una rete più ampia o di un firewall.

Contenuto correlato

• Supporto tecnico Cisco e download