Sommario

Problema

Due appliance virtuali Umbrella (VA) nella stessa regione hanno riscontrato cambi di stato intermittenti dal verde al rosso. Una VA è rimasta stabile mentre l'altra ha perso a intermittenza la connettività con Umbrella

Ambiente

- Tecnologia: Sicurezza - Protezione della rete

- Sottotecnologia: Umbrella - Appliance virtuale (VA)

- Due appliance virtuali Umbrella installate nella stessa area geografica

- Infrastruttura di rete con configurazione edge router

- Connettività ISP per accesso a Internet

Risoluzione

La risoluzione prevedeva l'identificazione e la risoluzione di un problema di configurazione a livello di rete che bloccava il traffico UDP sulla porta 5353. Sono state effettuate le seguenti operazioni di diagnostica e risoluzione:

Passi diagnostici eseguiti

Passaggio 1: Raccolta iniziale dei dati di diagnostica

Sono stati raccolti screenshot traceroute e bundle show-tech per entrambi i VA per confrontare i loro modelli di connettività e identificare l'ambito del problema.

Passaggio 2: Test della connettività di rete

Sono stati condotti test sul firewall e sul router perimetrale per verificare la raggiungibilità della porta UDP 5353, che ha costantemente restituito risposte "destinazione non raggiunta" per il traffico interessato.

Passaggio 3: Verifica del processo del servizio

L'analisi del bundle show-tech ha confermato che il processo del connettore ombrello funzionava correttamente sul VA interessato, indicando che il problema non era con i processi VA interni ma con la connettività di rete.

Passaggio 4: Indagine ISP

È stato aperto un caso con il provider di servizi Internet per indagare sui problemi di raggiungibilità della porta UDP 5353 a livello di rete.

Identificazione e risoluzione della root cause

La causa sottostante è stata identificata come porta UDP 5353 non abilitata sulla configurazione del router perimetrale. Questo blocco a livello di rete ha impedito al VA interessato di stabilire una corretta connettività ai servizi Umbrella DNS sulla porta UDP 5353, mentre il traffico sulla porta TCP 443 è rimasto invariato.

Passaggio 5: Correzione della configurazione del router perimetrale

La configurazione dei router perimetrali è stata aggiornata per abilitare la porta UDP 5353, consentendo una corretta comunicazione tra la Umbrella VA e l'endpoint Umbrella DNS-over-UDP.

Causa

La causa principale dei problemi intermittenti di connettività di Umbrella Virtual Appliance è stata un problema di configurazione della rete in cui la porta UDP 5353 non è stata abilitata sul router perimetrale. Questo blocco ha impedito al VA interessato di stabilire una corretta connettività DNS-over-UDP ai servizi Umbrella, mentre il traffico TCP sulla porta 443 è rimasto invariato. Il problema si è verificato come errore intermittente del controllo di integrità perché il VSA non è riuscito a raggiungere l'endpoint DNS Umbrella tramite il protocollo UDP 5353 richiesto.

Contenuto correlato

- Supporto tecnico Cisco e download