Risolvi timeout della connessione LDAP per migrazione cloud di Secure Email Gateway

Problema

Dopo la migrazione dell'ambiente Cisco Secure Email Gateway (SEG) alla piattaforma Amazon Web Services (AWS) Cloud-hosted SEG, gli amministratori riscontrano persistenti problemi di accesso e prestazioni.

Sintomi inclusi:

• Ritardi significativi nell'accesso a SEG sia nella GUI sia nella CLI

• Tempo eccessivo richiesto per l'autenticazione dopo l'immissione di nome utente e password

• Caricamento molto lento del dashboard/pagina principale

• La velocità di risposta complessiva della piattaforma è stata estremamente lenta

• Problemi più evidenti durante l'accesso autenticato tramite LDAP

L'analisi dell'acquisizione dei pacchetti indica che le sessioni TCP SEG ai server LDAP vengono chiuse da GWLB (Gateway Load Balancer) dopo circa 350 secondi di inattività, causando ritardi e timeout dell'autenticazione.

Ambiente

• Migrazione di Cisco Secure Email Gateway (SEG) alla piattaforma ospitata dal cloud AWS

• Versione AsyncOS: 16.0.4-016

• autenticazione LDAP configurata con Active Directory

• GWLB (AWS Gateway Load Balancer) nel percorso di rete

• Anche Cisco Secure Email e Web Manager sono interessati dallo stesso problema

• Crittografia SSL/TLS abilitata per le connessioni LDAP sulla porta 3269

Risoluzione

Modificare le impostazioni della durata della connessione LDAP per evitare timeout di sessione inattiva causati dal servizio di bilanciamento del carico del gateway AWS attenendosi alla seguente procedura:

1. Connettersi alla CLI di SEG e accedere alla configurazione LDAP:

device# ldapconfig

2. Individuare il profilo del server LDAP e modificare l'impostazione "Durata massima per connessione al server (in secondi)". Modificare questo valore in 300 secondi per assicurarsi che le connessioni vengano aggiornate prima della soglia di timeout di inattività di 350 secondi del servizio di bilanciamento del carico del gateway.

Configurazione originale:

Max lifetime per connection: 1800

Configurazione aggiornata:

Max lifetime per connection: 300

3. Eseguire il commit delle modifiche alla configurazione e consentire al sistema di applicare le nuove impostazioni.

4. Applicare la stessa modifica della durata della connessione LDAP a Cisco Secure Email e Web Manager utilizzando la stessa configurazione da 300 secondi.

5. Testare la funzionalità di accesso GUI e CLI. Dopo l'implementazione delle modifiche, i tempi di accesso dovrebbero essere ridotti a circa 5 secondi e i ritardi di autenticazione dovrebbero cessare.

6. Monitorare l'ambiente per rilevare eventuali ricorrenze del problema e raccogliere le acquisizioni dei pacchetti se il problema persiste.

Causa

L'analisi dell'acquisizione dei pacchetti ha mostrato che GWLB (AWS Gateway Load Balancer) stava terminando le sessioni TCP inattive dopo circa 350 secondi. La durata predefinita della connessione LDAP del SEG è di 1800 secondi, che supera la soglia di timeout di inattività di GWLB di 350 secondi. Quando le connessioni LDAP sono rimaste inattive per più di 350 secondi, GWLB avrebbe interrotto le sessioni TCP, causando ritardi di autenticazione e timeout quando gli utenti tentavano di accedere. Riducendo la durata della connessione LDAP a 300 secondi, SEG aggiorna proattivamente le connessioni prima che si verifichi il timeout GWLB e previene i ritardi di autenticazione.

Contenuto correlato

• Guida per l'utente di AsyncOS 16.5 per Cisco Secure Email Cloud Gateway - GD (General Deployment)

• Guida per l'utente di AsyncOS 16.5 for Cisco Secure Email and Web Manager - GD (General Deployment)

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
1.0	08-Oct-2026	Versione iniziale