Begrijpen en oplossen van ISE Node Replication Alarms

Inleiding

In dit document worden de replicatiealarmen en de probleemoplossing in Cisco Identity Services Engine® (ISE) beschreven.

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben van Cisco Identity Services Engine® (ISE).

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende hardware- en softwareversies.

• Cisco Identity Services Engine® (ISE) 3.4 en hogere versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

ISE-replicatiealarmen

Replicatiealarmen in Cisco ISE bieden inzicht in de status van de status en synchronisatie van het replicatieframework in de implementatie. Deze alarmen helpen bij het identificeren van omstandigheden die van invloed kunnen zijn op de consistentie van gegevens, knooppuntcommunicatie of replicatieprocessen, waardoor beheerders problemen kunnen detecteren en oplossen voordat ze van invloed zijn op systeemactiviteiten. Inzicht in het doel en de betekenis van replicatiealarmen is essentieel voor het handhaven van een gezonde ISE-implementatie en ervoor te zorgen dat configuratie- en operationele gegevens over alle knooppunten gesynchroniseerd blijven.

ISE-node replicatiealarmen 

Replicatie mislukt

Het alarm Replication Failed wordt gegenereerd wanneer de secundaire knooppunten in de implementatie de berichten niet kunnen opgebruiken die worden gerepliceerd door de node Primary Administration in de implementatie. Dit alarm geeft aan dat het replicatieproces is mislukt en dat de getroffen node niet langer over de nieuwste configuratie- of operationele gegevens beschikt.

In tegenstelling tot certificaatspecifieke replicatiealarmen, vertegenwoordigt dit alarm een fout in het algemene replicatiekader en kan het meerdere configuratieobjecten en -services in de implementatie beïnvloeden.

Reden voor alarm

Het alarm Replicatie mislukt kan optreden wanneer Cisco ISE niet in staat is om gerepliceerde gegevens over te dragen of toe te passen. Veel voorkomende oorzaken zijn:

• Problemen met netwerkcommunicatie: pakketverlies, hoge netwerklatentie, firewallbeperkingen, routeringsproblemen of MTU-mismatches die de communicatie tussen ISE-knooppunten verstoren.

• Problemen met replicatieservices: RabbitMQ, JGroups of andere interne replicatieservices zijn niet beschikbaar, worden opnieuw gestart of functioneren niet correct.

• Problemen met knooppuntcommunicatie: het doelknooppunt is offline, opnieuw opgestart, gedeactiveerd, losgekoppeld van de implementatie of anderszins onbereikbaar.

• Problemen met databasesynchronisatie: de doelnode kan de gerepliceerde gegevens niet vastleggen vanwege databasefouten of synchronisatiefouten.

• Beperkingen van systeembronnen: hoog CPU-gebruik, geheugendruk, onvoldoende schijfruimte of I/O van zware schijf die replicatieverwerking vertraagt.

• Problemen met de DNS- of hostnaamoplossing: onjuiste DNS-oplossing voor doorsturen of omkeren waardoor communicatie tussen knooppunten niet mogelijk is.

• Versie- of implementatieinconsistenties: Replicatie mislukt als knooppunten niet werken op ondersteunde softwareversies of als de implementatie na een upgrade of registratie van knooppunten inconsistent is.

• Vervaldatum beheercertificaat: beheercertificaat voor de ISE-knooppunten is verlopen / beschadigd / ongeldig waardoor de communicatie tussen de knooppunten op het spel staat, wat leidt tot de replicatiefout. 

• Queue Link Fouten: De implementatie of de getroffen node(s) tonen de queue link fouten waarbij het ISE berichtencertificaat / ISE Root CA keten is beschadigd of ongeldig op de poort 8671. 

• Stunnel-service is uitgeschakeld / offline: Stunnel-service wordt uitgevoerd in alle knooppunten van de gedistribueerde implementatie. Uitgeschakeld / niet actief status van de Stunnel service resulteert in de Replicatie mislukt alarmen. 

• Replicatiepoorten zijn geblokkeerd: de poorten 12001, 8671, 443, 8443 en 6379 moeten open zijn tussen de knooppunten in de implementatie en het netwerk voor naadloze replicatieprocedures in de implementatie.

Impact van het alarm

De impact hangt af van het type gegevens dat wordt gerepliceerd. Replicatiefouten kunnen leiden tot inconsistente configuratie in ISE-knooppunten, vertraagde verspreiding van beheerwijzigingen, verouderd beleid, ontbrekende netwerkapparaten of identiteitsinformatie, fouten in de synchronisatie van certificaten en inconsistente eindpuntgegevens. Als replicatie gedurende een langere periode niet succesvol is, kunnen de administratieve bewerkingen en de beleidsconsistentie in de implementatie worden beïnvloed.

Replicatie gestopt

Het "Replication Stopped"-alarm wordt gegenereerd wanneer de primaire beheernode de informatie niet kan repliceren naar de secundaire nodes van de implementatie. Dit alarm geeft aan dat het replicatieproces is mislukt en dat de getroffen node(s) niet langer over de nieuwste configuratie- of operationele gegevens beschikken.

Reden voor alarm

Het "Replication Stopped"-alarm kan optreden wanneer de primaire beheernode de gerepliceerde gegevens niet met succes kan overbrengen. Veel voorkomende oorzaken zijn:

• Problemen met netwerkcommunicatie: pakketverlies, hoge netwerklatentie, firewallbeperkingen, routeringsproblemen of MTU-mismatches die de communicatie tussen ISE-knooppunten verstoren.

• Problemen met de replicatieservice: RabbitMQ, JGroups of andere interne replicatieservices zijn niet beschikbaar, worden opnieuw gestart of werken niet correct in de primaire beheernode.

• Beperkingen van systeembronnen: hoog CPU-gebruik, geheugendruk, onvoldoende schijfruimte of I/O van zware schijf die replicatieverwerking in de primaire beheernode vertraagt.

• Problemen met de DNS- of hostnaamoplossing: onjuiste DNS-oplossing voor doorsturen of omkeren waardoor communicatie tussen knooppunten niet mogelijk is.

• Versie- of implementatieinconsistenties: Replicatie mislukt als knooppunten niet werken op ondersteunde softwareversies of als de implementatie na een upgrade of registratie van knooppunten inconsistent is.

• Vervaldatum beheercertificaat: beheercertificaat voor de ISE-knooppunten is verlopen / beschadigd / ongeldig waardoor de communicatie tussen de knooppunten op het spel staat, wat leidt tot de replicatiefout. 

• Queue Link Fouten: De implementatie of de getroffen node(s) tonen de queue link fouten waarbij het ISE berichtencertificaat / ISE Root CA keten is beschadigd of ongeldig op de poort 8671. 

• Stunnel-service is uitgeschakeld / offline: Stunnel-service wordt uitgevoerd in alle knooppunten van de gedistribueerde implementatie. Uitgeschakeld / niet actief status van de Stunnel service resulteert in de Replicatie mislukt alarmen. 

• Replicatiepoorten zijn geblokkeerd: de poorten 12001, 8671, 443, 8443 en 6379 moeten open zijn tussen de knooppunten in de implementatie en het netwerk voor naadloze replicatieprocedures in de implementatie.

Impact van het alarm

Wanneer de replicatie stopt, ontvangen de knooppunten in de implementatie geen configuratie-updates meer van de primaire beheerknooppunt. Dit kan leiden tot inconsistent beleid, verouderde netwerkapparaatdefinities, ontbrekende eindpuntinformatie, vertragingen bij de synchronisatie van certificaten en configuratieproblemen in de implementatie. Als de replicatie gedurende een langere periode wordt gestopt, kunnen beheerwijzigingen die in het primaire PAN zijn aangebracht, geen effect hebben op de betreffende node totdat de synchronisatie is hersteld.

Problemen met replicatie oplossen is mislukt en het alarm voor replicatie is gestopt

Alarm voor langzame replicatie 

Wanneer een configuratiewijziging wordt aangebracht op het primaire PAN, plaatst Cisco ISE de wijziging in de replicatiewachtrij en synchroniseert deze met de secundaire knooppunten. Onder normale omstandigheden wordt de replicatie binnen een korte periode voltooid. Als de replicatiewachtrij echter begint op te bouwen of als de bestemmingsnode langer dan verwacht nodig heeft om replicatieverzoeken te verwerken, genereert Cisco ISE een Slow Replication-alarm.

Cisco ISE classificeert deze alarmen in drie prioriteitsniveaus:

• Informatie over langzame replicatie
• Waarschuwing voor langzame replicatie
• Langzame replicatiefout

Reden voor alarm

Het "Slow Replication" -alarm wordt meestal gegenereerd vanwege tijdelijke omstandigheden die de replicatieverwerking vertragen. Veel voorkomende oorzaken zijn:

• Tijdelijk gebruik van systeembronnen: Korte perioden van hoog CPU-gebruik, geheugengebruik of toegenomen I/O van schijven kunnen de replicatieverwerking vertragen.

• Netwerklatentie: Korte toenames in netwerklatentie of klein pakketverlies tussen ISE-nodes kunnen de gegevensoverdracht vertragen.

• Grote configuratiewijzigingen: Bulk-endpointimport, beleidsupdates, certificaatimport of andere grote administratieve wijzigingen verhogen de hoeveelheid gegevens die moet worden gerepliceerd.

• Achtergrondsysteembewerkingen: back-up-, herstel-, opschonings-, patchinstallatie- of upgradeactiviteiten verhogen de systeembelasting tijdelijk.

• Achterstand in de replicatiewachtrij: meerdere configuratiewijzigingen die binnen een korte periode worden uitgevoerd, kunnen de replicatiewachtrij tijdelijk verhogen.

• Tijdelijke vertragingen in de dienstverlening: RabbitMQ, JGroups of databaseservices ondervinden korte verwerkingsvertragingen terwijl ze normaal blijven functioneren.

Alarm voor langzame replicatie - Info

Langzame of vastzittende replicatie wordt gedetecteerd wanneer het aantal berichten in behandeling meer dan 10000 bedraagt of wanneer de replicatietijd van berichten meer dan een uur bedraagt. 

Verificatie: Controleer het aantal synchronisatieberichten in behandeling. Navigeer naar Beheer > Systeem > Implementatie, selecteer het betreffende knooppunt en klik op het pictogram Informatie (i) om het aantal openstaande replicatieberichten te bekijken.

Alarm voor langzame replicatie - Waarschuwing

Langzame of vastzittende replicatie wordt gedetecteerd wanneer het aantal berichten in behandeling groter is dan 20000 of wanneer de tijd die nodig is om berichten te repliceren langer is dan drie uur.

Verificatie: Controleer het aantal synchronisatieberichten in behandeling. Navigeer naar Beheer > Systeem > Implementatie, selecteer het betreffende knooppunt en klik op het pictogram Informatie (i) om het aantal openstaande replicatieberichten te bekijken.

Alarm voor langzame replicatie - Fout

Langzame of vastzittende replicatie wordt gedetecteerd wanneer het aantal berichten in behandeling groter is dan 40000 of wanneer de tijd die nodig is om berichten te repliceren langer is dan vijf uur.

Verificatie: Controleer het aantal synchronisatieberichten in behandeling. Navigeer naar Beheer > Systeem > Implementatie, selecteer het betreffende knooppunt en klik op het pictogram Informatie (i) om het aantal openstaande replicatieberichten te bekijken.

Problemen met knooppuntreplicatiealarmen oplossen

1. De implementatiestatus voor de node controleren

Om de replicatie van certificaten te laten slagen, moet het secundaire knooppunt zich in een Connected-toestand bevinden binnen de Cisco ISE-implementatie. Navigeer naar Beheer > Systeem > Implementatie en controleer de status van de betreffende node. Beweeg de muis over het pictogram Informatie (i) naast de knooppuntstatus om de synchronisatiedetails en eventuele replicatieberichten in behandeling te bekijken.

De synchronisatiestatus die voor elk knooppunt wordt weergegeven, geeft de huidige replicatie- en connectiviteitsstatus aan:

• Groen – De node wordt gesynchroniseerd met de implementatie en de replicatie werkt normaal.
• Geel – De node is niet meer gesynchroniseerd, de registratie van de node is mislukt of de clusterconnectiviteit is verloren gegaan. Deze status geeft aan dat het knooppunt de afgelopen vijf minuten niet bereikbaar is geweest voor het cluster.
• Rood – De node is onbereikbaar en kan niet worden gecontacteerd via netwerkconnectiviteitscontroles, zoals ICMP-ping of HTTPS.

Als de node een gele of rode status weergeeft, duidt dit op een probleem met replicatie of connectiviteit dat van invloed is op die node. Controleer bovendien het aantal replicatieberichten dat wordt weergegeven in de knooppuntinformatie. Het aantal in behandeling zijnde berichten moet 5.000 of minder bedragen. Een wachtrij met meer dan 5.000 openstaande berichten geeft aan dat de replicatiewachtrij zich heeft verzameld, wat succesvolle replicatie kan vertragen of voorkomen.

2. Controleer het koppelingsalarm in de wachtrij in de implementatie 

Succesvolle replicatie in Cisco ISE is afhankelijk van de beschikbaarheid en communicatie van de RabbitMQ-berichtenservice en het JGroups-clustercommunicatiekader. Als een van beide componenten communicatieproblemen ondervindt, genereert Cisco ISE Queue Link-fouten, die de replicatie tussen implementatieknooppunten kunnen onderbreken.

Om de alarmstatus te controleren, navigeert u naar Bewerkingen > Dashboard > Alarmen en controleert u op Queue Link-fouten op de getroffen knooppunten.

Als er fouten in de wachtrijkoppeling aanwezig zijn, verlengt u het Cisco ISE Root CA-certificaat, omdat communicatiefouten met betrekking tot certificaten vaak leiden tot fouten in de wachtrijkoppeling. Zodra het probleem met het certificaat is opgelost, wordt de replicatie doorgaans automatisch hervat zonder dat extra interventie nodig is.

3. Netwerklatentie en -connectiviteit controleren

Cisco ISE-replicatie is gebaseerd op stabiele netwerkconnectiviteit tussen implementatiemodes. Hoge netwerklatentie of intermitterende connectiviteit kan replicatie vertragen en kan leiden tot synchronisatiefouten, met name in geografisch gedistribueerde implementaties.

Controleer de netwerklatentie tussen de getroffen knooppunten met behulp van connectiviteitstests zoals ping. Voor betrouwbare replicatie moet de heen en weer geschakelde latentie tussen nodes binnen ongeveer 300 ms blijven. Latentie die deze drempel consequent overschrijdt, kan een negatieve invloed hebben op de replicatieprestaties en synchronisatie. Controleer ook of er geen intermitterende netwerkuitval, pakketverlies of firewallbeperkingen zijn die de communicatie tussen de implementatieknooppunten beïnvloeden.

4. Het gebruik van systeembronnen controleren 

Een hoog gebruik van systeembronnen kan de Cisco ISE-prestaties beïnvloeden en replicatietaken vertragen. Overmatig CPU-, geheugen- of schijfgebruik kan voorkomen dat replicatieprocessen met succes worden voltooid.

Controleer of het getroffen knooppunt over voldoende systeembronnen beschikt en of het gebruik van bronnen binnen de aanbevolen operationele limieten blijft. Als het bronnengebruik constant hoog is, wijst u extra bronnen toe of verlaagt u de werklast op de node om de normale replicatieprestaties te herstellen.

5. De beschikbaarheid van poorten in de implementatie en het netwerk controleren

Cisco ISE-replicatie vereist dat specifieke TCP-poorten open blijven tussen alle knooppunten in de implementatie om ononderbroken communicatie en succesvolle replicatie te garanderen. Als een van deze poorten wordt geblokkeerd door een firewall, toegangscontrolebeleid of netwerkapparaat, kunnen zich replicatiefouten of synchronisatieproblemen voordoen.

Controleer of deze TCP-poorten open en bereikbaar zijn tussen alle Cisco ISE-knooppunten:

• TCP 443 – HTTPS-communicatie
• TCP 8443 – Administratieve communicatie
• TCP 12001 – Groepen voor clustercommunicatie en -replicatie
• TCP 6379 – Interne berichtenservices
• TCP 8671 – Cisco ISE Messaging (RabbitMQ)

Meld u aan bij de Cisco ISE CLI en voer de opdracht Show Ports uit om te controleren of de genoemde poorten in de node zijn toegestaan.

Bevestig dat de vereiste poorten zijn ingeschakeld op de Cisco ISE-node en zorg ervoor dat ze zijn toegestaan op het netwerkpad. Controleer of er geen tussenliggende firewalls, beveiligingsapparaten of netwerkbeleidsregels zijn die de communicatie op deze poorten tussen de knooppunten van de implementatie blokkeren.

6. DNS-resolutie controleren 

Cisco ISE-replicatie is gebaseerd op succesvolle communicatie tussen alle knooppunten in de implementatie. Om de communicatie tussen knooppunten correct te laten functioneren, moeten de knooppunten bereikbaar zijn en moet zowel de voorwaartse als de achterwaartse DNS-resolutie worden geconfigureerd en goed functioneren. Problemen met de DNS-oplossing kunnen ervoor zorgen dat knooppunten niet kunnen communiceren, wat leidt tot replicatiefouten.

Als u de DNS-resolutie in de ISE-knooppunten wilt controleren, meldt u zich aan bij de Cisco ISE CLI en gebruikt u de opdracht nslookup om de DNS-resolutie voor elke knooppunt in de implementatie te controleren.

Voorbeeld:

• Doorsturen DNS opzoeken: De opdracht nslookup www.example.com moet het IP-adres van de corresponderende Cisco ISE-node retourneren.

• Omgekeerde DNS-zoekopdracht: De opdracht nslookup 10.x.x.1 moet de volledig gekwalificeerde domeinnaam (FQDN) van de corresponderende Cisco ISE-node retourneren.

7. Verificatie van het ADMIN & ISE-berichtencertificaat

Cisco ISE gebruikt het beheerderscertificaat en het ISE-berichtencertificaat om veilige communicatie tussen knooppunten tot stand te brengen die vereist is voor replicatie. Als een van beide certificaten ongeldig is, verlopen, beschadigd of niet-vertrouwd, kan replicatie tussen de implementatieknooppunten mislukken.

Als u de certificaatstatus wilt controleren, gaat u naar Beheer > Systeem > Certificaten, selecteert u de betreffende node en bekijkt u de certificaten voor beheer en ISE-berichten. Controleer of de certificaten geldig zijn, niet zijn verlopen, vertrouwd zijn en in een gezonde staat verkeren.

Als het beheercertificaat of het ISE-berichtencertificaat ongeldig, beschadigd of verlopen is, vervangt of verlengt u het certificaat. Zodra het probleem met het certificaat is opgelost, wordt de replicatie hervat nadat de beveiligde communicatie tussen de knooppunten is hersteld.

8. Controleer de status van de ISE Stunnel-service

De Stunnel-service in Cisco ISE is een interne service die veilige SSL/TLS-tunneling biedt voor communicatie tussen ISE-componenten en externe services. In plaats van TLS-codering onafhankelijk in elke toepassing te implementeren, gebruikt ISE Stunnel als een wrapper die SSL / TLS-codering toevoegt aan services die communiceren via gewone TCP. Dit verbetert de beveiliging en vereenvoudigt de implementatie van beveiligde communicatie.

De Stunnel-service moet zich in de actieve toestand bevinden op alle knooppunten in de Cisco ISE-implementatie, zodat replicatie correct kan functioneren. De service is afhankelijk van geldige ISE Admin- en ISE Messaging-certificaten om veilige TLS-communicatie tussen nodes tot stand te brengen tijdens het replicatieproces. De servicestatus kan worden geverifieerd vanuit de Cisco ISE CLI met behulp van de opdracht show tech-support | include stunnel

Logboekverzameling voor replicatiealarmen

Dit zijn de gemeenschappelijke componenten die moeten worden ingesteld in de debug-modus om replicatiealarmen in Cisco ISE te isoleren en problemen op te lossen.

• Replication-Deployment (replication.log en ise-psc.log)
• Replication-JGroup (replication.log en ise-psc.log)
• Replication Tracker (tracking.log)
• Sluimerstand (Hibernate.log)
• JMS (replication.log)

referentie

• Beheerdershandleiding voor de Cisco Identity Services-engine, release 3.5
• Troubleshooten en foutsporing inschakelen op ISE
• Verzamel ondersteuningspakket op de Identity Services-engine

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
1.0	06-Jul-2026	Eerste vrijgave