보안 클라이언트 ZTNA DNS 확인 및 macOS 절전 모드 후 연결 손실
목차
문제
macOS 엔드포인트의 Cisco SecureClient ZTNA는 시스템이 절전 또는 최대 절전 모드에서 다시 시작된 후 DNS 확인 실패 및 ZTA 연결 손실을 경험합니다. 이 문제는 ZTNA IA(Identity Access) 및 ZTNA PA(Private Access) 기능에 모두 영향을 미칩니다. 기본 IP 연결은 계속 작동하지만(8.8.8.8 및 208.67.222.222와 같은 외부 IP 주소에 대한 ICMP ping이 정상적으로 작동함) DNS 이름 확인에 완전히 실패하여 ZTNA를 통해 구성된 인터넷 리소스와 개인 리소스 모두에 액세스할 수 없습니다.
관찰된 특정 증상은 다음과 같습니다.
DNS 조회는 nslookup 명령을 사용하여 실패합니다(8.8.8.8 및 208.67.222.222를 통한 www.cisco.com의 nslookup이 작동하지 않음).
ZTNA IA 및 ZTNA PA 연결을 사용할 수 없게 됩니다.
엔드포인트 절전 모드 및 절전 모드 해제 주기 이후에도 지속적으로 문제가 발생합니다.
디바이스가 활성 상태일 때도 무작위로 문제가 발생할 수 있습니다.
ZTNA 프로세스를 종료하면 즉시 재시작되지만 일반적으로 연결 문제가 지속됩니다.
전체 시스템 재부팅만 하면 전체 DNS 확인 및 ZTNA 연결이 복원됩니다.
환경
운영 체제: macOS(경우에 따라 문서화된 버전 26.3)
Cisco 보안 클라이언트: 버전 5.1.14.x(5.1.16 이전의 영향 받는 버전)
ZTNA 모듈: IA(Identity Access) 및 PA(Private Access) 컨피그레이션으로 활성
네트워크 모니터링: Sentinel One과 같은 서드파티 보안 솔루션을 포함할 수 있음
추가 보안 소프트웨어: Cisco Secure Endpoint를 포함할 수 있음
DNS 서버: ICMP를 통해 액세스할 수 있는 외부 DNS 서버(8.8.8.8, 208.67.222.222)이지만 DNS 확인에 실패함
UMB 모듈: 사용 중이 아님
해결
이 문제는 Cisco Engineering에서 제공한 소프트웨어 수정을 통해 해결되었습니다. 해결 프로세스에는 다음 섹션에 설명된 단계가 포함됩니다.
1단계: 문제 식별 및 버그 추적
Cisco Engineering은 이를 알려진 결함으로 식별하여 Cisco 버그 ID CSCwt24392에 "macOS: DNS는 ZTA SIA-all 및 NVM active와의 작동을 중지합니다."
2단계: 진단 데이터 수집
엔지니어링 분석을 지원하기 위해 이 진단 정보를 수집했습니다.
영향을 받는 엔드포인트의 DART(진단 및 보고 툴) 번들
패킷 캡처 파일(ZTNA Issue1.pcapng).
연결 실패를 보여주는 스크린샷.
문제 재생을 보여 주는 화면 녹화
com.cisco.secureclient.zta.app.service 및 시스템 확장 프로세스 동작을 보여 주는 프로세스 상호 작용 로그
3단계: 엔지니어링 수정 개발
Cisco Engineering은 CSCwt24392에 대한 표적 수정을 개발하여 SecureClient 릴리스 버전 5.1.16에 포함시켰습니다. 이 수정은 특히 슬립/하이버네이션 사이클 후 macOS 시스템에서 ZTA SIA-all 및 NVM이 활성화될 때 발생하는 DNS 확인 실패를 해결합니다.
4단계: 소프트웨어 업데이트 설치
영향을 받는 macOS 엔드포인트에 Cisco SecureClient 버전 5.1.16 이상을 설치합니다. 이 버전에는 DNS 확인 및 ZTA 연결 문제에 대한 수정 사항이 포함되어 있습니다.
5단계: 검증 테스트
SecureClient 5.1.16을 설치한 후 다음 검증 단계를 수행합니다.
1.- macOS 엔드포인트가 절전 모드 또는 절전 모드로 들어가도록 허용합니다.
2.- 시스템을 절전 또는 최대 절전 모드에서 해제하십시오.
3.- nslookup 명령을 사용하여 DNS 확인 테스트
4.- 구성된 리소스에 대한 ZTNA IA 및 ZTNA PA 연결을 확인합니다.
5.- 시스템을 재부팅하지 않고도 인터넷 액세스와 개인 리소스 액세스가 모두 정상적으로 작동하는지 확인합니다.
이전 버전의 해결 방법
SecureClient 5.1.16으로 즉시 업그레이드할 수 없는 환경에서는 다음과 같은 임시 해결 방법을 사용할 수 있습니다.
각 절전/휴면 주기 후에 전체 시스템 재부팅을 수행하여 DNS 확인 및 ZTNA 연결을 복원합니다.
수면/절전 문제가 생산성에 큰 영향을 미치는 경우 ZTNA에서 일시적으로 등록을 취소하는 것을 고려하십시오(ZTNA 보호가 제거됨).
원인
이 문제의 근본 원인은 5.1.16 이전 버전의 Cisco SecureClient 소프트웨어 결함이며, 구체적으로 Cisco 버그 ID CSCwt24392으로 추적됩니다. 이 결함은 ZTA(Zero Trust Access) SIA-all(Secure Internet Access) 및 NVM(Network Visibility Module) 구성 요소가 macOS 시스템에서 활성 상태일 때 발생합니다. 절전 또는 절전 모드 및 절전 모드 해제 주기 동안 이러한 구성 요소는 기본 IP 연결을 유지하면서 DNS 확인 기능을 제대로 복원하지 못합니다. 이렇게 하면 ICMP 트래픽(ping)이 정상적으로 작동하지만 DNS 쿼리가 실패하는 상태가 만들어져 인터넷 리소스 및 ZTNA로 보호된 개인 리소스에 대한 액세스를 효과적으로 차단합니다. 이 문제는 시스템 상태 전환 중에 com.cisco.secureclient.zta.app.service 프로세스와 시스템 확장 프로세스 간의 부적절한 상호 작용과 관련이 있습니다.
관련 콘텐츠
Cisco 버그 ID CSCwt24392 - macOS: DNS가 ZTA SIA-all 및 NVM active와의 작동을 중지합니다.
개정 이력
| 개정 | 게시 날짜 | 의견 |
|---|---|---|
1.0 |
20-Aug-2026
|
최초 릴리스 |
피드백