Sommario

Problema

Tentativi di distribuzione di Secure Access Resource Connector nel Docker non riusciti.

Sebbene il connettore sia installato correttamente, non è stato possibile stabilire la connettività a Cisco Secure Access.

I controlli di diagnostica hanno segnalato la disconnessione del tunnel e errori di comunicazione del server.

L'ambiente utilizza macchine virtuali Red Hat 9 ospitate in Google Cloud, connesse tramite un firewall Fortinet con una regola "any any".

La risoluzione dei problemi ha rivelato potenziali mancata corrispondenza dell'MTU tra le interfacce di rete come fattore che contribuisce.

Ambiente

- Tecnologia: supporto per la soluzione (SPPT - contratto obbligatorio)

- Sottotecnologia: accesso sicuro - connettore risorse (installazione, aggiornamento, registrazione, connettività, risorse private)

- Piattaforma: Red Hat 9 Virtual Machines su Google Cloud

- Rete: firewall tra Secure Access e la VM (regola "any any" in place)

- Area connettore: iuvz83r.mxc1.acgw.sse.cisco.com

- MTU predefinita Google Cloud VPC: 1460 byte

- MTU predefinita Docker Bridge (docker0): 1500 byte (prima della modifica)

- Interfaccia di rete singola (eth0) per VM

Risoluzione

Per diagnosticare e risolvere i problemi di connettività di Secure Access Resource Connector in un ambiente Docker/Google Cloud, attenersi alla procedura seguente:

Verifica risoluzione DNS per l'area del connettore

Utilizzare nslookup per confermare che l'area Accesso sicuro può essere risolta dalla macchina virtuale.

nslookup iuvz83r.mxc1.acgw.sse.cisco.com

Output di esempio:

Server:         64.102.6.247

Address:        64.102.6.247#53

Non-authoritative answer:

Name:   iuvz83r.mxc1.acgw.sse.cisco.com

Address: 163.129.128.72

Name:   iuvz83r.mxc1.acgw.sse.cisco.com

Address: 163.129.128.70

Name:   iuvz83r.mxc1.acgw.sse.cisco.com

Address: 163.129.128.66

Name:   iuvz83r.mxc1.acgw.sse.cisco.com

Address: 163.129.128.68

Verifica della connettività di rete per l'accesso protetto

Utilizzare ping e telnet per convalidare la connettività per l'accesso sicuro dalla macchina virtuale.

ping iuvz83r.mxc1.acgw.sse.cisco.com

Output di esempio:

PING iuvz83r.mxc1.acgw.sse.cisco.com (163.129.128.66) 56(84) bytes of data.

64 bytes from 163.129.128.66: icmp_seq=1 ttl=57 time=44.7 ms

64 bytes from 163.129.128.66: icmp_seq=2 ttl=57 time=43.8 ms

...

telnet iuvz83r.mxc1.acgw.sse.cisco.com 443

Output di esempio:

Trying 163.129.128.66...

Connected to iuvz83r.mxc1.acgw.sse.cisco.com.

Escape character is '^]'.

Verifica connettività tunnel ed esegui diagnostica

Eseguire l'utilità di diagnostica del connettore per controllare lo stato del tunnel.

/opt/connector/data/bin/diagnostic

Output di esempio:

###check tunnel connection:

error: tunnel is not connected

Verifica delle impostazioni dell'interfaccia di rete e dell'MTU

Controllare gli indirizzi IP e la MTU di tutte le interfacce con ifconfig e ip a.

ifconfig

ip a

Output di esempio per eth0 e docker0:

[root@degcpprcra02 ~]# ifconfig

docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500

inet x.x.x.x netmask x.x.x.x broadcast x.x.x.x

inet6 fe80::1c66:46ff:fe1d:8bed prefixlen 64 scopeid 0x20<link>

ether 1e:66:46:1d:8b:ed txqueuelen 0 (Ethernet)

RX packets 974 bytes 119775 (116.9 KiB)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 848 bytes 161554 (157.7 KiB)

TX errors 0 dropped 2 overruns 0 carrier 0 collisions 0

eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1460

inet x.x.x.x netmask x.x.x.x broadcast 0.0.0.0

ether 42:01:c0:a8:80:b0 txqueuelen 1000 (Ethernet)

RX packets 20175 bytes 7755728 (7.3 MiB)

RX errors 0 dropped 0 overruns 0 frame 0

TX packets 21550 bytes 31402300 (29.9 MiB)

TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0

Controlla se il traffico TCP è stato acquisito

Utilizzare tcpdump per acquisire il traffico tra la VM e l'area Accesso sicuro.

tcpdump -i eth0 host iuvz83r.mxc1.acgw.sse.cisco.com

Output di esempio (nessun pacchetto acquisito):

listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes

^C

0 packets captured

6 packets received by filter

0 packets dropped by kernel

Eliminare e reinstallare il connettore, se necessario

Arrestare e distruggere il connettore se la diagnostica e il supporto tecnico non funzionano:

/opt/connector/install/connector.sh stop --destroy

cd /opt

rm -rf connector

Reinstallare il connettore e generare l'output del supporto tecnico

Dopo la reinstallazione, generare il supporto tecnico per acquisire i log degli errori:

/opt/connector/data/bin/techsupport > techsupport.txt

Sample output showing connection errors:

2026-02-13 23:48:20.398772500  >> warning: Connection attempt has failed.

2026-02-13 23:48:20.398775500  >> warning: Unable to contact iuvz83r.mxc1.acgw.sse.cisco.com.

2026-02-13 23:48:20.398775500  >> error: Connection attempt has failed due to server communication errors. Please retry the connection.

2026-02-13 23:48:20.398887500  >> state: Disconnected

Regolazione dell'MTU del docker in base all'interfaccia VPC e VM di Google Cloud

Modificare l'MTU sull'interfaccia del bridge Docker in modo che corrisponda all'impostazione predefinita di Google Cloud VPC (1460 byte):

ip link set dev docker0 mtu 1460

Verificare la modifica dell'MTU:

ip a

Output di esempio:

docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc noqueue state UP group default

link/ether 1e:66:46:1d:8b:ed brd ff:ff:ff:ff:ff:ff

inet x.x.x.x brd x.x.x.x scope global docker0

valid_lft forever preferred_lft forever

inet6 fe80::1c66:46ff:fe1d:8bed/64 scope link

valid_lft forever preferred_lft forever

Rendi persistente la modifica dell'MTU del Docker in /etc/docker/daemon.json

Modificare /etc/docker/daemon.json e aggiungere o aggiornare il valore mtu:

{

...

"mtu": 1460

}

Riavviare la VM per applicare la configurazione MTU

Riavviare la macchina virtuale completa per verificare che le impostazioni MTU siano state applicate completamente. Questa operazione è necessaria perché è possibile che il riavvio solo del servizio Docker non applichi la modifica MTU per tutti i componenti di rete.

Dopo aver eseguito questi passaggi, è stata stabilita la connettività ad Accesso sicuro ed è stato possibile completare la configurazione.

Causa

La causa principale è una mancata corrispondenza della MTU tra l'interfaccia del bridge Docker (docker0) e l'interfaccia di rete VPC/VM di Google Cloud (eth0). L'impostazione predefinita delle interfacce VPC e VM di Google Cloud è una MTU di 1460 byte, mentre l'MTU predefinita del Docker è di 1500 byte.

Questa mancata corrispondenza ha causato la frammentazione o l'eliminazione di pacchetti, impedendo al connettore delle risorse di accesso sicuro di stabilire un tunnel. L'allineamento dei valori MTU ha risolto il problema di connettività.

Contenuto correlato

- https://securitydocs.cisco.com/docs/csa/olh/120695.dita

- https://securitydocs.cisco.com/docs/csa/olh/120776.dita

- https://securitydocs.cisco.com/docs/csa/olh/120727.dita

- https://securitydocs.cisco.com/docs/csa/olh/120772.dita

- https://securitydocs.cisco.com/docs/csa/olh/120762.dita

- https://securitydocs.cisco.com/docs/csa/olh/120685.dita

- Supporto tecnico Cisco e download