Risolvere i problemi relativi agli errori ombrello per Active Directory e i VA

Introduzione

In questo documento viene descritto come risolvere gli errori Umbrella per Active Directory e le appliance virtuali.

Problema

In questo documento vengono descritti i messaggi di errore, di avvertenza e informativi più comuni disponibili nella pagina Siti e Active Directory e vengono illustrati i passaggi per la risoluzione.

Nella pagina Impostazioni ombrello > Siti e Active Directory per Appliance virtuali, connettori Active Directory (AD) o Controller di dominio (DC) sono visualizzati uno o più messaggi di errore, avviso o informativi.

Ambiente

La pagina Siti ombrello e Active Directory si trova in Impostazioni > Siti e Active Directory.

• I componenti interessati includono appliance virtuali (VA), connettori AD e controller di dominio.
• Il supporto per DNSCrypt è disponibile nella versione VA 1.5.x o successiva.
• Se il connettore è distribuito in Windows Server (WS) 2012 o versione successiva e la sincronizzazione con Umbrella è stata interrotta, verificare che sul connettore sia in esecuzione la versione 1.6.31 o successiva.
• Connettori versione 1.6.31 o successiva funzionano su WS 2008/2008 R2 se si esegue .NET 4.5.2 o versione successiva, ma è consigliabile ridistribuire su un server supportato.
• Cisco ha annunciato la fine del ciclo di vita (EOL) di Transport Layer Security (TLS) 1.0/1.1. Le versioni di Windows non supportate (Windows Server 2008, 2008 R2 o Windows 7) non supportano TLS 1.2 per impostazione predefinita. Reinstallare il connettore in una versione server supportata (Windows Server 2012 o versione successiva).
• Per inviare le informazioni sugli eventi di accesso a un'appliance virtuale, è necessario che il controller di dominio disponga di un connettore installato nello stesso sito.
• Nei siti deve essere presente almeno un componente di ogni tipo indicato dal messaggio.
• Il servizio Umbrella Connector viene testato per supportare 10 risorse (controller di dominio e appliance virtuali) per CPU.
• Il servizio Umbrella Connector viene testato per supportare circa 850 eventi continui (senza limiti hardware) al secondo in tutti i controller di dominio in un sito Umbrella.

Risoluzione

Utilizzare la sezione che corrisponde al tipo di componente mostrato in Impostazioni > Siti e Active Directory, quindi selezionare il testo esatto del messaggio.

• Appliance virtuali: Registrazione VSA/stato sincronizzazione, associazione connettore, DNSCrypt, domini locali, ridondanza e messaggi di errore query DNS.
• Connettori AD: Registrazione del connettore/stato di sincronizzazione, connettività DC/VA, timeout, elaborazione parallela e messaggi di perdita di eventi.
• Controller di dominio: Messaggi relativi all'associazione del connettore e alla connettività WMI.

Appliance virtuali

"Questa VA è stata registrata ma non è mai stata sincronizzata"

1. Attendere fino a 10 minuti per il completamento della sincronizzazione.
2. Verificare che i requisiti di rete siano soddisfatti. Vedere la Guida al flusso di comunicazione con Active Directory: Connettori > Appliance virtuali > DC e cloud.
3. Se il problema persiste, raccogliere i log e aprire una richiesta di assistenza.

"Questa VA era in fase di sincronizzazione a un certo punto, ma da allora si è arrestata"

Utilizzare questi passaggi per ripristinare la sincronizzazione VA e confermare la connettività richiesta.

1. Se la VA è stata eliminata, rimuoverla dal dashboard Umbrella: Istruzioni per la rimozione - Umbrella Insights.
2. Confermare i requisiti di rete. Vedere la Guida al flusso di comunicazione con Active Directory: Connettori > Appliance virtuali > DC e cloud.
3. Se il problema persiste, aprire una richiesta di assistenza.

 "Questa VA era precedentemente collegata a uno o più connettori, ma ora non è collegata a nessuno"

1. Se sono stati rimossi dei connettori, ignorare questo messaggio e rimuovere la voce Connettore obsoleta dal dashboard.
2. Confermare i requisiti di rete. Vedere la Guida al flusso di comunicazione con Active Directory: Connettori > Appliance virtuali > DC e cloud.
3. Se il problema persiste, aprire una richiesta di assistenza.

"Questa appliance virtuale è collegata ad alcuni, ma non a tutti i connettori di questo sito"

1. Se sono stati rimossi dei connettori, ignorare questo messaggio e rimuovere il connettore dal dashboard.
2. Conferma prerequisiti: Guida per l'utente di Virtual Appliance: Prerequisiti.
3. Raccogli log: Fornire supporto con i registri del connettore AD.
4. Se il problema persiste, aprire una richiesta di assistenza.

"Le query DNS inoltrate da questa VA a Umbrella non sono crittografate"

DNSCrypt crittografa i pacchetti DNS inoltrati dall'appliance virtuale (VA) ai resolver DNS pubblici Umbrella ed è abilitato per impostazione predefinita.

1. Verificare che la versione di VA sia 1.5.x o successiva. Il supporto per DNSCrypt è disponibile nella versione 1.5.x o successive. Se esiste un solo VA e non è stato aggiornato, aggiornarlo: Aggiornare le appliance virtuali.
2. Esaminare i criteri firewall e di ispezione per verificare che la sonda DNSCrypt sulla porta 53 (UDP/TCP) non sia bloccata o modificata. Se un sistema di prevenzione delle intrusioni (IPS) o un sistema di rilevamento delle intrusioni (IDS) esegue un'ispezione approfondita dei pacchetti e si aspetta solo il traffico DNS, la sonda può avere esito negativo.
3. Per le implementazioni di Adaptive Security Appliance (ASA), consultare le linee guida per l'ispezione dei pacchetti a cui fa riferimento la documentazione sulla distribuzione.
4. Se l'avviso persiste, raccogliere i registri: Fornire supporto con i registri del connettore AD, quindi aprire una richiesta di assistenza.
5. Verificare che l'avvertenza venga cancellata in Impostazioni > Siti e Active Directory per il VAR interessato.

Ulteriori informazioni: Nuovo avviso VA: Abilitazione di DNSCrypt sull'appliance virtuale.

"Nessun dominio locale configurato per questa VA"

1. Verificare che i domini locali siano configurati: Inoltro DNS locale.

"Questo VA non è ridondante all'interno del suo sito (sono necessari 2+ VA per sito)"

1. Installare un secondo VA per un'elevata disponibilità. Per istruzioni sull'esecuzione di due appliance virtuali per sito, consultare la documentazione relativa all'installazione di Umbrella Virtual Appliance.

"Un'ampia percentuale di query DNS a questo VA ha esito negativo"

1. Raccogliere i registri VA e Connector rilevanti e aprire una richiesta di assistenza.
2. Verificare che la frequenza degli errori di query DNS torni alla normalità e che l'errore venga cancellato in Impostazioni > Siti e Active Directory per il VA interessato.

Connettori AD

"Questo connettore è stato registrato ma non è mai stato sincronizzato"

Utilizzare questi controlli per confermare il completamento della sincronizzazione iniziale:

1. Attendere fino a 10 minuti per il completamento della sincronizzazione.
2. Verificare che i requisiti di rete siano soddisfatti: Integrazioni delle identità: Prerequisiti.
3. Raccogli log: Fornire supporto con i registri del connettore AD.
4. Se il problema persiste, aprire una richiesta di assistenza.

"Questo connettore era in fase di sincronizzazione in un determinato momento, ma da allora si è arrestato"

1. Verificare che i requisiti di rete siano soddisfatti. Vedere la Guida al flusso di comunicazione con Active Directory: Connettori > Appliance virtuali > DC e cloud.
2. Cisco ha annunciato la fine del ciclo di vita di TLS 1.0/1.1. Le versioni di Windows non supportate (Windows Server 2008, 2008 R2 o Windows 7) non supportano TLS 1.2 per impostazione predefinita. Reinstallare il connettore in una versione server supportata (Windows Server 2012 o versione successiva).
3. Se il connettore è distribuito in WS 2012 o versione successiva e la sincronizzazione con Umbrella è stata interrotta, verificare che il connettore sia in esecuzione nella versione 1.6.31 o successiva.
4. Connettori versione 1.6.31 o successiva funzionano su WS 2008/2008 R2 se si esegue .NET 4.5.2 o versione successiva, ma è consigliabile ridistribuire su un server supportato.
5. Raccogli log: Fornire supporto con i registri del connettore AD.
6. Se il problema persiste, aprire una richiesta di assistenza.

"Questo connettore non ha VA o CC a cui collegarsi"

1. Verificare che il sito contenga almeno un componente di ogni tipo.
2. Consultare la documentazione relativa all'installazione: Integrazioni delle identità: Prerequisiti e Integrazione con Active Directory > Passaggio 2: Preparare l'ambiente Active Directory.

"Questo connettore non ha un controller di dominio a cui collegarsi"

1. Verificare che il sito contenga almeno un componente di ogni tipo.
2. Consultare la documentazione relativa all'installazione: Preparare l'ambiente Active Directory.

"Il connettore potrebbe connettersi a uno o più controller di dominio, ma non è ancora stato connesso ad alcun controller di dominio"

1. Attendere fino a 10 minuti per il completamento della sincronizzazione.
2. Verificare che i prerequisiti siano soddisfatti: Integrazioni delle identità: Prerequisiti.
3. Raccogli log: Fornire supporto con i registri del connettore AD.
4. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore è collegato ad alcuni, ma non a tutti i controller di dominio"

1. Conferma prerequisiti: Integrazioni delle identità: Prerequisiti.
2. Raccogli log: Fornire supporto con i registri del connettore AD.
3. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore una volta era connesso, ma al momento non è connesso ad alcun controller di dominio disponibile"

1. Conferma prerequisiti: Integrazioni delle identità: Prerequisiti.
2. Raccogli log: Fornire supporto con i registri del connettore AD.
3. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore potrebbe collegarsi a una o più VA, ma non è ancora stato collegato ad alcuna VA"

1. Rimuovete dal quadro comandi tutti i VA non utilizzati.
2. Attendere fino a 10 minuti per la sincronizzazione dopo la rimozione.
3. Verificare che i requisiti di rete siano soddisfatti: Integrazioni delle identità: Prerequisiti.
4. Raccogli log: Fornire supporto con i registri del connettore AD.
5. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore segnala errori di timeout durante il tentativo di connessione ad alcuni VA"

1. Se l'appliance virtuale non si trova sulla stessa LAN del connettore, valutare la possibilità di separare l'installazione utilizzando i siti Umbrella: Connetti più domini Active Directory a Umbrella.
2. Rimuove i VA non utilizzati dal dashboard.
3. Attendere fino a 10 minuti per la sincronizzazione dopo la rimozione.
4. Verificare che i requisiti di rete siano soddisfatti: Integrazioni delle identità: Prerequisiti.
5. Raccogli log: Fornire supporto con i registri del connettore AD.
6. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore è collegato ad alcuni, ma non a tutti, i VA"

1. Rimuove i VA non utilizzati dal dashboard.
2. Attendere fino a 10 minuti per la sincronizzazione dopo la rimozione.
3. Verificare che i requisiti di rete siano soddisfatti. Vedere la Guida al flusso di comunicazione con Active Directory: Connettori > Appliance virtuali > DC e cloud.
4. Raccogli log: Fornire supporto con i registri del connettore AD.
5. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore una volta era connesso ma attualmente non è collegato ad alcuno dei VA disponibili"

1. Rimuove i VA non utilizzati dal dashboard.
2. Attendere fino a 10 minuti per la sincronizzazione dopo la rimozione.
3. Verificare che i requisiti di rete siano soddisfatti: Guida al flusso di comunicazione con Active Directory: Connettori > Appliance virtuale > DC e cloud.
4. Raccogli log: Fornire supporto con i registri del connettore AD.
5. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore non sincronizza eventi in parallelo ai VA. L'elaborazione degli eventi può essere più lenta del previsto"

1. Si noti che il servizio Umbrella Connector viene testato per supportare 10 risorse (controller di dominio e appliance virtuali) per CPU.
2. Aggiornare il server con il numero di CPU richiesto in base al numero di controller di dominio e di appliance virtuali presenti nel sito Umbrella.
3. Raccogli log: Fornire supporto con i registri del connettore AD.
4. Se il problema persiste, aprire una richiesta di assistenza.

"Il connettore segnala perdite durante il tentativo di inviare eventi ad alcuni VA"

Utilizzare questi passaggi per ridurre le perdite di eventi e ripristinare la stabilità del recapito degli eventi.

1. Verificare se la frequenza di eventi totale in tutti i controller di dominio nel sito ombrello supera la capacità continua testata di circa 850 eventi al secondo.
2. Se la frequenza degli eventi supera la capacità testata, aumentare i core CPU sull'host del connettore per migliorare la velocità di elaborazione.
3. Se le interruzioni persistono, abilitare il bilanciamento del carico con due o più connettori per condividere il carico del controller di dominio. Per abilitare questa funzionalità avanzata, è necessario aprire una richiesta di assistenza con il supporto Umbrella.

Controller di dominio

"Era connesso a uno o più connettori, ma ora non è connesso a nessuno"

1. Se il connettore è stato rimosso, ridistribuirlo o rimuovere il controller di dominio.
2. Confermare i requisiti di rete. Vedere la Guida al flusso di comunicazione con Active Directory: Connettori > Appliance virtuali > DC e cloud.
3. Raccogli log: Fornire supporto con i registri del connettore AD.
4. Se il problema persiste, aprire una richiesta di assistenza.

"Questo controller di dominio non si è mai connesso a un connettore"

1. Per inviare informazioni sugli eventi di accesso a un'appliance virtuale, è necessario che nel controller di dominio sia installato un connettore nello stesso sito.
2. Per informazioni sull'installazione di Connector: Installare il connettore.
3. Raccogli log: Fornire supporto con i registri del connettore AD.
4. Se il problema persiste, aprire una richiesta di assistenza.

"Il controller di dominio non dispone di connettori a cui connettersi"

1. Per inviare informazioni sugli eventi di accesso a un'appliance virtuale, è necessario che nel controller di dominio sia installato un connettore nello stesso sito.
2. Per informazioni sull'installazione di Connector: Installare il connettore.
3. Se si reinstalla il connettore o lo si sposta da un computer a un altro, ignorare questo messaggio.

"Questo controller di dominio è connesso ad alcuni connettori, ma non a tutti"

1. Verifica autorizzazioni: Autorizzazioni necessarie per l'utente Cisco_Connector.
2. Raccogli log: Fornire supporto con i registri del connettore AD.
3. Se il problema persiste, aprire una richiesta di assistenza.

"Lo stato WMI di questo controller di dominio è inattivo. Il controller di dominio non risponde alla connessione WMI dal connettore"

1. Questo problema può essere temporaneo a causa del carico sul controller di dominio.
2. Verificare se è possibile stabilire la connessione Strumentazione gestione Windows (WMI) utilizzando lo strumento WBEMTest.
3. Ridurre il carico sul controller di dominio arrestando altre applicazioni inutilizzate che monitorano gli eventi di sicurezza.
4. Riavviare il servizio Connettore per avviare una nuova connessione WMI dopo aver ridotto il carico del controller di dominio.
5. Raccogli log: Fornire supporto con i registri del connettore AD.
6. Se il problema persiste, aprire una richiesta di assistenza.

Cause

• DNSCrypt warning messages (VA): DNSCrypt è abilitato per impostazione predefinita per crittografare i pacchetti DNS inoltrati da Virtual Appliance (VA) ai resolver DNS pubblici Umbrella. Se il firewall o i criteri di ispezione bloccano o modificano la sonda DNSCrypt sulla porta 53 (UDP/TCP), la sonda ha esito negativo. Se un sistema di prevenzione delle intrusioni (IPS) o un sistema di rilevamento delle intrusioni (IDS) esegue un'ispezione approfondita dei pacchetti e si aspetta solo il traffico DNS, la sonda ha esito negativo.
• Messaggi con interruzione della sincronizzazione del connettore (AD Connector): Cisco ha annunciato la fine del ciclo di vita (EOL) di Transport Layer Security (TLS) 1.0/1.1. Le versioni di Windows non supportate (Windows Server 2008, 2008 R2 o Windows 7) non supportano TLS 1.2 per impostazione predefinita, determinando l'interruzione della sincronizzazione del connettore.
• Messaggi relativi alle prestazioni del connettore (AD Connector): Il servizio Umbrella Connector viene testato per supportare 10 risorse (controller di dominio e appliance virtuali) per CPU. Quando si supera questo valore, l'elaborazione degli eventi è più lenta del previsto.
• Messaggi di avviso di eliminazione eventi (AD Connector): Il servizio Umbrella Connector viene testato per supportare circa 850 eventi continui (senza limiti hardware) al secondo in tutti i controller di dominio in un sito Umbrella. Se la velocità complessiva supera la capacità testata, il connettore interrompe gli eventi.
• Messaggi di errore WMI-down (controller di dominio): Lo stato WMI è inattivo quando il controller di dominio è sotto carico e non risponde alla connessione WMI dal connettore.

Contenuto correlato

• Esaminare il flusso di integrazione di Umbrella Active Directory
• Invia i log di Active Directory Connector al supporto Umbrella

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	24-Sep-2026	Certificazione.
1.0	03-Sep-2025	Versione iniziale