お問い合わせ内容
DockerにSecure Access Resource Connectorを展開しようとしましたが、失敗しました。
コネクタは正しくインストールされましたが、Cisco Secure Accessへの接続を確立できませんでした。
診断チェックでは、トンネルの接続解除とサーバ通信エラーが報告されました。
この環境では、Google Cloudでホストされ、Fortinetファイアウォールを介して「any any」ルールで接続されたRed Hat 9仮想マシンを使用します。
トラブルシューティングの結果、ネットワークインターフェイス間の潜在的なMTUの不一致が原因であることが判明しました。
環境
- テクノロジー：ソリューションサポート（SSPT – 契約が必要）
- サブテクノロジー：セキュアアクセス – リソースコネクタ（インストール、アップグレード、登録、接続、プライベートリソース）
- プラットフォーム：Google Cloud上のRed Hat 9仮想マシン
- ネットワーク：Secure AccessとVM間のFortinetファイアウォール（「any any」ルールが適用）
- コネクタ領域： iuvz83r.mxc1.acgw.sse.cisco.com
- Google Cloud VPCデフォルトMTU:1460バイト
- Docker bridge(docker0)デフォルトMTU:1500バイト（変更前）
- VMごとに1つのネットワークインターフェイス(eth0)
解決策
次の手順に従って、Docker/Google Cloud環境でのSecure Access Resource Connectorの接続の問題を診断して解決します。
コネクタ領域のDNS解決の確認
nslookupを使用して、セキュアアクセス領域をVMから解決できることを確認します。
nslookup iuvz83r.mxc1.acgw.sse.cisco.com
出力例：
Server: 64.102.6.247
Address: 64.102.6.247#53
Non-authoritative answer:
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.72
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.70
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.66
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.68
セキュアなアクセスのためのネットワーク接続の確認
pingとtelnetを使用して、VMからセキュアアクセスへの接続を確認します。
ping iuvz83r.mxc1.acgw.sse.cisco.com
出力例：
PING iuvz83r.mxc1.acgw.sse.cisco.com (163.129.128.66) 56(84) bytes of data.
64 bytes from 163.129.128.66: icmp_seq=1 ttl=57 time=44.7 ms
64 bytes from 163.129.128.66: icmp_seq=2 ttl=57 time=43.8 ms
...
telnet iuvz83r.mxc1.acgw.sse.cisco.com 443
出力例：
Trying 163.129.128.66...
Connected to iuvz83r.mxc1.acgw.sse.cisco.com.
Escape character is '^]'.
トンネル接続の確認と診断の実行
コネクタ診断ユーティリティを実行して、トンネルステータスを確認します。
/opt/connector/data/bin/diagnostic
出力例：
###check tunnel connection:
error: tunnel is not connected
ネットワークインターフェイスとMTU設定の確認
ifconfigとip aを使用して、すべてのインターフェイスのIPアドレスとMTUを確認します。
ifconfig
ip a
eth0およびdocker0の出力例：
[root@degcpprcra02 ~]# ifconfig
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet x.x.x.x netmask x.x.x.x broadcast x.x.x.x
inet6 fe80::1c66:46ff:fe1d:8bed prefixlen 64 scopeid 0x20<link>
ether 1e:66:46:1d:8b:ed txqueuelen 0 (Ethernet)
RX packets 974 bytes 119775 (116.9 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 848 bytes 161554 (157.7 KiB)
TX errors 0 dropped 2 overruns 0 carrier 0 collisions 0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1460
inet x.x.x.x netmask x.x.x.x broadcast 0.0.0.0
ether 42:01:c0:a8:80:b0 txqueuelen 1000 (Ethernet)
RX packets 20175 bytes 7755728 (7.3 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 21550 bytes 31402300 (29.9 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
TCPトラフィックがキャプチャされたかどうかの確認
tcpdumpを使用して、VMとセキュアアクセスリージョン間のトラフィックをキャプチャします。
tcpdump -i eth0 host iuvz83r.mxc1.acgw.sse.cisco.com
出力例（キャプチャされたパケットがないことを示す）:
listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes
^C
0 packets captured
6 packets received by filter
0 packets dropped by kernel
必要に応じてコネクタを破棄して再インストールする
Diagnosticsとtechsupportが機能しない場合は、コネクタを停止して破棄します。
/opt/connector/install/connector.sh stop --destroy
cd /opt
rm -rf connector
コネクタを再インストールし、テクニカルサポートの出力を生成する
再インストール後、エラーログをキャプチャするテクニカルサポートを生成します。
/opt/connector/data/bin/techsupport > techsupport.txt
Sample output showing connection errors:
2026-02-13 23:48:20.398772500 >> warning: Connection attempt has failed.
2026-02-13 23:48:20.398775500 >> warning: Unable to contact iuvz83r.mxc1.acgw.sse.cisco.com.
2026-02-13 23:48:20.398775500 >> error: Connection attempt has failed due to server communication errors. Please retry the connection.
2026-02-13 23:48:20.398887500 >> state: Disconnected
Google Cloud VPCおよびVMインターフェイスに合わせたDocker MTUの調整
Google Cloud VPCのデフォルト（1460バイト）に一致するように、DockerブリッジインターフェイスのMTUを変更します。
ip link set dev docker0 mtu 1460
MTUの変更を確認します。
ip a
出力例：
docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc noqueue state UP group default
link/ether 1e:66:46:1d:8b:ed brd ff:ff:ff:ff:ff:ff
inet x.x.x.x brd x.x.x.x scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::1c66:46ff:fe1d:8bed/64 scope link
valid_lft forever preferred_lft forever
/etc/docker/daemon.jsonでのDocker MTU変更の永続化
/etc/docker/daemon.jsonを編集し、mtu値を追加または更新します。
{
...
"mtu": 1460
}
MTU設定を適用するためのVMの再起動
MTU設定が完全に適用されるように、VM全体を再起動します。 Dockerサービスだけを再起動しても、すべてのネットワークコンポーネントに対して最大伝送ユニットの変更が強制されるわけではないため、これが必要になります。
これらの手順を実行すると、セキュアアクセスへの接続が正常に確立され、設定を完了できます。
原因
根本的な原因は、Dockerブリッジインターフェイス(docker0)とGoogle Cloud VPC/VMネットワークインターフェイス(eth0)の間のMTUの不一致でした。 Google Cloud VPCおよびVMインターフェイスのデフォルトのMTUは1460バイトですが、DockerのデフォルトMTUは1500バイトです。
この不一致により、パケットの断片化または破棄が発生し、Secure Access Resource Connectorによるトンネルの確立が妨げられました。 MTU値を揃えることで、接続の問題は解決しました。
関連コンテンツ
- https://securitydocs.cisco.com/docs/csa/olh/120695.dita
- https://securitydocs.cisco.com/docs/csa/olh/120776.dita
- https://securitydocs.cisco.com/docs/csa/olh/120727.dita
- https://securitydocs.cisco.com/docs/csa/olh/120772.dita
- https://securitydocs.cisco.com/docs/csa/olh/120762.dita
- https://securitydocs.cisco.com/docs/csa/olh/120685.dita
- シスコのテクニカルサポートとダウンロード
フィードバック