ISE 3.4 VPN 및 RADIUS 인증 실패 문제 해결
목차
문제
ISE 3.4 패치 4 구축에서는 SAN(보조 관리 노드)에 장애가 발생하면 인증이 실패합니다. PPAN(Primary Policy Administration Node)으로 전달되는 인증 요청도 실패하여 ASA VPN 연결 및 RADIUS 인증이 중단됩니다. SAN 노드는 ISE 구축 대시보드에서 연결이 끊긴 것으로 표시되고 로그는 EAP/TLS 관련 오류 및 세션 추적 문제를 나타냅니다.
환경
Cisco ISE(Identity Services Engine)
NAD(Network Access Device): Meraki 디바이스 및/또는 ASA 방화벽 포함
토폴로지: SAN 및 PPAN을 사용하는 다중 노드 ISE 구축
해결
1.- Cisco ISE 관리 인터페이스를 통해 SAN 노드에서 모든 페르소나를 제거하려면 Administration(관리) > System(시스템) > Deployment(구축)로 이동합니다. 그러면 실패한 노드에 대한 인증 시도가 중단되고 영향을 받지 않은 노드가 처리를 다시 시작할 수 있습니다.
참고: 페르소나를 제거한 후에도 SAN 노드는 구축 대시보드에서 연결이 끊긴 상태(빨간색 X)로 계속 표시됩니다.
2.- 수동으로 ASA 방화벽에 SAN 노드를 FAILED로 간주하여 추가 인증 시도가 사용할 수 없는 SAN으로 전달되지 않도록 합니다. 이 작업은 ASA 컨피그레이션에서 수행되어 작동 중인 ISE 노드로 장애 조치를 보장합니다.
3.- 적절한 동기화를 위해 ISE 구축을 검토하고 CPU, 메모리, 디스크 사용률을 비롯한 상태 메트릭을 모니터링합니다.
4. - 새 Dot1x 및 RADIUS 요청이 영향을 받지 않는 ISE 노드에서 처리되는지 확인하여 인증 서비스가 작동하는지 확인합니다.
5. - 인증 실패 시 DEBUG 로그 및 패킷 캡처를 수집하여 EAP/TLS 협상 타이밍 및 세션 재설정을 분석합니다.
6. - SAN 장애 조치 이벤트 후 ISE 시스템 상태 메트릭 및 인증 동작을 계속 모니터링합니다.
7.- ISE가 서버 가용성 탐지를 위해 "Status-Server" RADIUS 패킷을 지원하지 않음을 언급하면서 Meraki RADIUS 장애 조치 동작을 검증합니다.
로그 메시지 예
Accounting start was received for non-existing session
Error getting peer certificate from SSL Connection
packet for this endpoint 58-6D-67-XX-XX-XX is being processed right now so drop the new EAP session
Long step latency ;2=57290
Endpoint 58-6D-67-XX-XX-XX abandoned EAP session xxxxxxxxx/552628443/4183334 and started EAP session
원인
근본 원인은 ISP 링크 실패로 인한 SAN 노드 중단이며, 이로 인해 서 플리 컨 트, NAD 및 ISE 노드 간의 세션 추적 불일치 및 EAP/TLS 협상 오류가 발생합니다. 또한 Meraki 디바이스는 장애 조치 탐지를 위해 "Status-Server" RADIUS 패킷을 사용합니다. 이 패킷은 Cisco ISE에서 지원하지 않으므로 실패한 SAN 노드에 대한 인증 시도가 계속됩니다.
관련 콘텐츠
개정 이력
| 개정 | 게시 날짜 | 의견 |
|---|---|---|
1.0 |
10-Jul-2026
|
최초 릴리스 |
피드백