ISEノードレプリケーションアラームの理解およびトラブルシューティング

はじめに

このドキュメントでは、Cisco Identity Services Engine®(ISE)での複製アラームとそのトラブルシューティングについて説明します。

前提条件

要件

Cisco Identity Services Engine®(ISE)に関する知識があることが推奨されます。

使用するコンポーネント

このドキュメントの情報は、次のハードウェアとソフトウェアのバージョンに基づくものです。

• Cisco Identity Services Engine®(ISE)3.4以降のバージョン

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ISEレプリケーションアラーム

Cisco ISEのレプリケーションアラームは、導入環境全体のレプリケーションフレームワークの状態と同期ステータスを可視化します。これらのアラームは、データの整合性、ノードの通信、または複製プロセスに影響を与える可能性がある状態を特定するのに役立ち、管理者はシステムの運用に影響が及ぶ前に問題を検出して解決できます。正常なISE導入を維持し、設定データと運用データがすべてのノード間で確実に同期されるようにするためには、レプリケーションアラームの目的と重要性を理解することが不可欠です。

ISEノードレプリケーションアラーム 

レプリケーション失敗

Replication Failedアラームは、導入環境内のセカンダリノードが、導入環境内のプライマリ管理ノードによって複製されたメッセージを使用できない場合に生成されます。このアラームは、複製プロセスが失敗し、影響を受けるノードに最新の設定または動作データがないことを示します。

証明書固有の複製アラームとは異なり、このアラームは一般的な複製フレームワークの障害を表し、導入環境全体で複数の設定オブジェクトとサービスに影響を与える可能性があります。

アラームの理由

Replication Failedアラームは、Cisco ISEが複製されたデータを正常に転送または適用できない場合に発生します。一般的な原因には次のものがあります。

• ネットワーク通信の問題：パケット損失、高いネットワーク遅延、ファイアウォールの制限、ルーティングの問題、ISEノード間の通信を中断するMTUの不一致などがあります。

• 複製サービスの問題：RabbitMQ、JGroups、またはその他の内部複製サービスが利用できないか、再起動しているか、または正しく機能していません。

• ノード通信の問題：宛先ノードがオフライン、再起動、登録解除、展開から切断されている、またはその他の方法で到達不能である。

• データベース同期の問題：データベースエラーまたは同期エラーが発生したため、宛先ノードはレプリケートされたデータをコミットできません。

• システムリソースの制約：CPU使用率が高い、メモリに負荷がかかる、ディスク領域が不足している、またはディスクI/Oが多すぎてレプリケーション処理が遅れる。

• DNSまたはホスト名の解決の問題：前方解決または逆引きDNS解決が正しくないため、ノード間の通信が成功しません。

• バージョンまたは展開の不整合：ノードがサポートされているソフトウェアバージョンで動作していない場合、またはアップグレードやノードの登録後に展開が不整合な状態になった場合、レプリケーションは失敗します。

• 管理証明書の期限切れ：ISEノードの管理証明書が期限切れ、破損、または無効になっているため、ノード間の通信に問題が生じ、レプリケーション障害が発生します。 

• キューリンクエラー：展開または影響を受けるノードに、ポート8671でISEメッセージング証明書/ISEルートCAチェーンが破損しているか無効なキューリンクエラーが表示されています。 

• Stunnel service is disabled / offline:Stunnel serviceは、分散導入のすべてのノードで実行されます。StunnelサービスのステータスがDisabledまたはnot runningの場合は、Replication failedアラームが発生します。 

• レプリケーションポートがブロックされる：展開でシームレスなレプリケーション手順を実行するには、展開のノードとネットワークのノード間でポート12001、8671、443、8443、および6379を開く必要があります。

アラームの影響

この影響は、レプリケートされるデータのタイプによって異なります。レプリケーションの失敗は、ISEノード間の構成の不整合、管理変更の伝搬遅延、古いポリシー、ネットワークデバイスまたはID情報の欠落、証明書の同期エラー、およびエンドポイントデータの不整合を引き起こす可能性があります。レプリケーションが長時間にわたって失敗した場合は、導入環境全体にわたる管理操作とポリシーの整合性に影響が及ぶ可能性があります。

レプリケーション停止

「Replication Stopped」アラームは、プライマリ管理ノードが展開のセカンダリノードに情報を複製できない場合に生成されます。このアラームは、複製プロセスが失敗し、影響を受けるノードに最新の設定または運用データがないことを示します。

アラームの理由

「Replication Stopped」アラームは、プライマリ管理ノードがレプリケートされたデータを正常に転送できない場合に発生する可能性があります。一般的な原因には次のものがあります。

• ネットワーク通信の問題：パケット損失、高いネットワーク遅延、ファイアウォールの制限、ルーティングの問題、ISEノード間の通信を中断するMTUの不一致などがあります。

• 複製サービスの問題：RabbitMQ、JGroups、またはその他の内部複製サービスがプライマリ管理ノードで利用できないか、再起動するか、または正しく機能していません。

• システムリソースの制約：プライマリ管理ノードでCPU使用率が高い、メモリ不足、ディスク領域不足、またはディスクI/Oの負荷が高いためにレプリケーション処理が遅くなる。

• DNSまたはホスト名の解決の問題：前方解決または逆引きDNS解決が正しくないため、ノード間の通信が成功しません。

• バージョンまたは展開の不整合：ノードがサポートされているソフトウェアバージョンで動作していない場合、またはアップグレードやノードの登録後に展開が不整合な状態になった場合、レプリケーションは失敗します。

• 管理証明書の期限切れ：ISEノードの管理証明書が期限切れ、破損、または無効になっているため、ノード間の通信に問題が生じ、レプリケーション障害が発生します。 

• キューリンクエラー：展開または影響を受けるノードに、ポート8671でISEメッセージング証明書/ISEルートCAチェーンが破損しているか無効なキューリンクエラーが表示されています。 

• Stunnel service is disabled / offline:Stunnel serviceは、分散導入のすべてのノードで実行されます。StunnelサービスのステータスがDisabledまたはnot runningの場合は、Replication failedアラームが発生します。 

• レプリケーションポートがブロックされる：展開でシームレスなレプリケーション手順を実行するには、展開のノードとネットワークのノード間でポート12001、8671、443、8443、および6379を開く必要があります。

アラームの影響

レプリケーションが停止すると、展開のノードはプライマリ管理ノードから構成の更新を受信しなくなります。その結果、ポリシーの一貫性が失われたり、ネットワークデバイス定義が古くなったり、エンドポイント情報が失われたり、証明書の同期に遅延が生じたり、導入環境全体で設定の不一致が発生したりする可能性があります。レプリケーションが長期間停止したままの場合、プライマリPANで行われた管理上の変更は、同期が復元されるまで影響を受けるノードに反映されません。

Replication Failed and Replication Stoppedアラームのトラブルシューティング

Slow Replicationアラーム 

プライマリPANで設定変更が行われるたびに、Cisco ISEは変更をレプリケーションキューに入れ、セカンダリノードに同期します。通常の状態では、レプリケーションは短時間で完了します。ただし、レプリケーションキューの構築が始まったり、宛先ノードがレプリケーション要求の処理に予想以上に時間がかかる場合、Cisco ISEはSlow Replicationアラームを生成します。

Cisco ISEは、これらのアラームを3つの重大度レベルに分類します。

• 低速レプリケーション情報
• 低速レプリケーションの警告
• 低速レプリケーションエラー

アラームの理由

「Slow Replication」アラームは、通常、レプリケーション処理を遅延させる一時的な条件のために生成されます。一般的な原因には次のものがあります。

• 一時的なシステムリソース使用率：短期間の高CPU使用率、メモリ使用率、またはディスクI/Oの増加により、レプリケーション処理が遅延する可能性があります。

• ネットワーク遅延：ISEノード間でネットワーク遅延が短く増加したり、パケット損失が軽度であると、データ転送が遅くなる可能性があります。

• 大規模な設定変更：エンドポイントの一括インポート、ポリシーの更新、証明書のインポート、またはその他の大規模な管理上の変更によって、複製されるデータの量が増加します。

• バックグラウンドシステム操作：バックアップ、復元、パージ、パッチインストール、またはアップグレードのアクティビティによって、システムの負荷が一時的に増加します。

• レプリケーションキューバックログ：短期間に複数の設定変更を実行すると、レプリケーションキューが一時的に増加することがあります。

• 一時的なサービス遅延：RabbitMQ、JGroups、またはデータベースサービスで、正常に機能し続けながら短い処理遅延が発生します。

低速レプリケーションアラーム – 情報

保留中のメッセージ数が10000を超えた場合、またはメッセージの複製にかかった時間が1時間を超えた場合に、低速レプリケーションまたは停滞レプリケーションが検出されます。 

検証：保留中の同期メッセージ数を確認します。Administration > System > Deploymentの順に移動し、影響を受けるノードを選択して、Information (i)アイコンをクリックし、保留中のレプリケーションメッセージの数を確認します。

低速レプリケーションアラーム – 警告

保留中のメッセージ数が20000を超えるか、メッセージの複製にかかった時間が3時間を超えると、低速またはスタック状態の複製が検出されます。

検証：保留中の同期メッセージ数を確認します。Administration > System > Deploymentの順に移動し、影響を受けるノードを選択して、Information (i)アイコンをクリックし、保留中のレプリケーションメッセージの数を確認します。

低速レプリケーションアラーム – エラー

保留中のメッセージ数が40000を超えるか、メッセージの複製にかかった時間が5時間を超えると、低速またはスタック状態の複製が検出されます。

検証：保留中の同期メッセージ数を確認します。Administration > System > Deploymentの順に移動し、影響を受けるノードを選択して、Information (i)アイコンをクリックし、保留中のレプリケーションメッセージの数を確認します。

ノード複製アラームのトラブルシューティング

1. ノードの展開ステータスの確認

証明書のレプリケーションを正常に行うには、Cisco ISE導入環境内でセカンダリノードがConnected状態になっている必要があります。Administration > System > Deploymentの順に選択し、該当するノードのステータスを確認します。ノードのステータスの横にある情報(i)アイコンにカーソルを合わせると、同期の詳細と保留中の複製メッセージが表示されます。

各ノードについて表示される同期ステータスは、現在のレプリケーションと接続の状態を示します。

• 緑：ノードが導入と同期され、レプリケーションが正常に動作しています。
• 黄：ノードが同期されていない、ノード登録に失敗した、またはクラスタ接続が失われた。このステータスは、過去5分間にクラスタからノードに到達できなかったことを示します。
• 赤 – ノードは到達不能であり、ICMP pingやHTTPSなどのネットワーク接続チェックを通じて接続できません。

ノードのステータスが黄色または赤色の場合は、そのノードに影響を与えているレプリケーションまたは接続の問題を示しています。さらに、ノード情報に表示されるレプリケーションメッセージ数を確認します。保留中のメッセージ数は5,000以下にする必要があります。保留中のメッセージが5,000個を超えるキューは、レプリケーションキューが累積されていることを示します。これにより、レプリケーションの成功が遅れたり、妨げられたりする可能性があります。

2. 展開でのキューリンクアラームの確認 

Cisco ISEで正常に複製を行うには、RabbitMQメッセージングサービスとJGroupsクラスタ通信フレームワークが使用可能で通信している必要があります。どちらかのコンポーネントで通信の問題が発生すると、Cisco ISEによってキューリンクエラーが生成され、導入ノード間のレプリケーションが中断される可能性があります。

アラームのステータスを確認するには、Operations > Dashboard > Alarmsの順に移動し、該当するノードでQueue Link Errorsを確認します。

キューリンクエラーがある場合は、Cisco ISE ルートCA証明書を更新してください。証明書関連の通信エラーは通常、キューリンクエラーの原因となります。証明書の問題が解決されると、通常は追加の介入を必要とせずにレプリケーションが自動的に再開されます。

3. ネットワーク遅延と接続の確認

Cisco ISEレプリケーションは、導入ノード間の安定したネットワーク接続に依存します。ネットワークの遅延や断続的な接続が多いと、レプリケーションに遅延が発生し、特に地理的に分散した環境で同期障害が発生する可能性があります。

pingなどの接続テストを使用して、影響を受けるノード間のネットワーク遅延を確認します。信頼性の高いレプリケーションを行うには、ノード間のラウンドトリップ遅延を約300 ms以内に抑える必要があります。このしきい値を一貫して超える遅延は、レプリケーションのパフォーマンスと同期に悪影響を与える可能性があります。また、展開ノード間の通信に影響を与える、断続的なネットワーク停止、パケット損失、またはファイアウォールの制限がないことも確認してください。

4. システムリソース使用率の確認 

システムリソースの使用率が高いと、Cisco ISEのパフォーマンスに影響を与え、レプリケーションタスクが遅延する可能性があります。CPU、メモリ、またはディスクの過剰な使用率により、レプリケーション・プロセスが正常に完了しない場合があります。

影響を受けるノードに使用可能なシステムリソースが十分にあり、リソースの使用率が推奨動作制限内であることを確認します。リソース使用率が常に高い場合は、ノード上で追加のリソースを割り当てるか、ワークロードを削減して、通常のレプリケーション・パフォーマンスをリストアします。

5. 配置およびネットワークでのポートの可用性の確認

Cisco ISEレプリケーションでは、中断のない通信とレプリケーションの成功を保証するために、展開内のすべてのノード間で特定のTCPポートを開いたままにしておく必要があります。これらのポートのいずれかがファイアウォール、アクセスコントロールポリシー、またはネットワークデバイスによってブロックされると、複製の失敗や同期の問題が発生する可能性があります。

すべてのCisco ISEノード間で次のTCPポートが開いていて到達可能であることを確認します。

• TCP 443 - HTTPS通信
• TCP 8443：管理通信
• TCP 12001:JGroupsクラスタの通信および複製
• TCP 6379：内部メッセージングサービス
• TCP 8671:Cisco ISEメッセージング(RabbitMQ)

Cisco ISE CLIにログインし、コマンドshow portsを実行して、ノードで許可されている上記のポートを確認します。

必要なポートがCisco ISEノードで有効になっていることを確認し、ネットワークパスで許可されていることを確認します。中間ファイアウォール、セキュリティデバイス、またはネットワークポリシーが、展開ノード間のこれらのポートで通信をブロックしていないことを確認します。

6. DNS解決の確認 

Cisco ISEのレプリケーションは、導入のすべてのノード間の正常な通信に依存します。ノード間通信が正常に機能するには、ノードが到達可能で、転送およびリバースDNS解決が正しく設定され、機能している必要があります。DNS解決の問題により、ノード間の通信が妨げられ、レプリケーションが失敗する可能性があります。

ISEノードのDNS解決を確認するには、Cisco ISE CLIにログインし、nslookupコマンドを使用して、導入環境内の各ノードのDNS解決の正引きおよび逆引きを確認します。

例：

• DNS前方参照：コマンドnslookup www.example.comは、対応するCisco ISEノードのIPアドレスを返す必要があります。

• 逆DNSルックアップ：コマンドnslookup 10.x.x.1 は、対応するCisco ISEノードの完全修飾ドメイン名(FQDN)を返す必要があります。

7. 管理およびISEメッセージング証明書の検証

Cisco ISEは、管理証明書とISEメッセージング証明書を使用して、レプリケーションに必要なセキュアなノード間通信を確立します。証明書が無効、期限切れ、破損、信頼できないの場合に、導入ノード間のレプリケーションが失敗することがあります。

証明書のステータスを確認するには、Administration > System > Certificatesの順に移動し、影響を受けるノードを選択して、AdminおよびISE Messaging証明書を確認します。証明書が有効であること、期限切れでないこと、信頼されていること、および正常な状態であることを確認します。

管理証明書またはISEメッセージング証明書が無効、破損、または期限切れの場合は、証明書を置き換えるか更新します。証明書の問題が解決されると、ノード間のセキュアな通信が再確立された後、複製が再開されます。

8. ISE Stunnelサービスのステータスの確認

Cisco ISEのStunnelサービスは、ISEコンポーネントと外部サービス間の通信にセキュアなSSL/TLSトンネリングを提供する内部サービスです。ISEでは、すべてのアプリケーションで個別にTLS暗号化を実装するのではなく、単純なTCP経由で通信するサービスにSSL/TLS暗号化を追加するラッパーとしてStunnelを使用します。これにより、セキュリティが向上すると同時に、セキュアな通信の実装が簡素化されます。

レプリケーションが正常に機能するには、Cisco ISE環境のすべてのノードでStunnelサービスがRunning状態になっている必要があります。このサービスは、レプリケーションプロセス中にノード間でセキュアなTLS通信を確立するために、有効なISE管理者証明書およびISEメッセージング証明書に依存します。 サービスステータスは、Cisco ISE CLIからshow tech-support | include stunnelコマンドを使用して確認できます。

複製アラームのログ収集

Cisco ISEの複製アラームを切り分けてトラブルシューティングするために、debugモードで設定する必要がある一般的なコンポーネントを次に示します。

• Replication-Deployment（replication.logおよびise-psc.log）
• Replication-JGroup（replication.logおよびise-psc.log）
• レプリケーショントラッカー(tracking.log)
• hibernate (hibernate.log)
• JMS(replication.log)

参考

• Cisco Identity Services Engine 管理ガイド リリース 3.5
• ISEでのデバッグのトラブルシューティングと有効化
• Identity Services Engineのサポートバンドルの収集

更新履歴

改定	発行日	コメント
1.0	06-Jul-2026	初版