Inhoud

uitgeven

Context Zichtbaarheid in Cisco Identity Services Engine (ISE) 3.2 geeft een Elasticsearch uitzondering met "alle shards mislukt" fout bij het proberen om toegang te krijgen tot de functie. Bovendien worden eindpunten weergegeven als spookvermeldingen waarbij het toevoegen van een MAC-adres handmatig "Eindpunt bestaat al" retourneert, maar het apparaat niet zichtbaar is in de GUI of zoekfunctionaliteit. Deze corruptie voorkomt dat nieuwe apparaten zich succesvol kunnen verifiëren, waardoor ze falen met het beleid voor standaardweigering omdat ze niet kunnen worden toegewezen aan identiteitsgroepen, waardoor het onboarding van het eindpunt effectief wordt geblokkeerd.

milieu

- Cisco Identity Services Engine (ISE) versie 3.2

- Onderdelen van ISE-bewaking, probleemoplossing en zichtbaarheid

- Elasticsearch-indexeringssysteem

- Contextzichtbaarheid, functie

- ISE Indexing Engine-service actief, maar functioneel beperkt

resolutie

1. Controleer de ISE-toepassingsstatus om de status van de indexeringsengine te bevestigen:

show application status ise

ISE PROCESS NAME                       STATE            PROCESS ID

--------------------------------------------------------------------

Database Listener                      running          4278

Database Server                        running          128 PROCESSES

Application Server                     running          22343

Profiler Database                      running          12130

ISE Indexing Engine                    running          23867

AD Connector                           running          40415

M&T Session Database                   running          18502

M&T Log Processor                      running          22838

Certificate Authority Service          running          36578

EST Service                            running          53105

SXP Engine Service                     disabled

TC-NAC Service                         disabled

PassiveID WMI Service                  running          37050

PassiveID Syslog Service               running          37938

PassiveID API Service                  running          38666

PassiveID Agent Service                running          39356

PassiveID Endpoint Service             running          39737

PassiveID SPAN Service                 running          40239

DHCP Server (dhcpd)                    disabled

DNS Server (named)                     disabled

ISE Messaging Service                  running          8760

ISE API Gateway Database Service       running          11076

ISE API Gateway Service                running          17461

ISE pxGrid Direct Service              running          50936

Segmentation Policy Service            disabled

REST Auth Service                      disabled

SSE Connector                          disabled

Hermes (pxGrid Cloud Agent)            disabled

McTrust (Meraki Sync Service)          disabled

MFA (Duo Sync Service)                 disabled

ISE Node Exporter                      disabled

ISE Prometheus Service                 disabled

ISE Grafana Service                    disabled

ISE MNT LogAnalytics Elasticsearch     disabled

ISE Logstash Service                   disabled

ISE Kibana Service                     disabled

ISE Native IPSec Service               running          47108

MFC Profiler                           running          57620

Opmerking: de verwachte uitvoer toont de ISE Indexing Engine als "Running" ondanks hardnekkige functionele fouten.

2. Voer de procedure voor het opnieuw instellen en synchroniseren van de contextzichtbaarheid uit volgens de gedocumenteerde standaardherstelmethode voor corruptieproblemen met Elasticsearch en Contextzichtbaarheid. Dit proces omvat het resetten van beschadigde indexen, het wissen van spookeindpunten en het opnieuw opbouwen van zichtbaarheidsgegevens voor eindpunten. Verwijs naar de

Contextzichtbaarheid documentatie opnieuw synchroniseren.

3. Controleer na voltooiing van het reset- en hersynchronisatieproces of:

- Uitzonderingen voor Elasticsearch komen niet meer voor bij het openen van Contextzichtbaarheid

- Ghost-eindpunten worden uit het systeem verwijderd

- Nieuwe eindpunten kunnen met succes aan boord worden genomen en geverifieerd

- Het valse conflict "Eindpunt bestaat al" wordt niet meer weergegeven

- De zichtbaarheid van het eindpunt wordt hersteld in de GUI en zoekfunctionaliteit

4. Bevestig dat nieuwe apparaten op de juiste manier aan boord van het netwerk kunnen worden geplaatst, aan de juiste identiteitsgroepen kunnen worden toegewezen en dat ze kunnen worden geverifieerd zonder het standaardbeleid voor weigering te ontvangen

Oorzaak

De hoofdoorzaak is corruptie binnen het ISE Context Visibility Elasticsearch indexeringssysteem. Deze corruptie manifesteert zich als "alle shards mislukt" uitzonderingen en creëert database inconsistenties die resulteren in de geest van het eindpunt vermeldingen. De indexeringsbeschadiging voorkomt een goede zichtbaarheid van het eindpunt en toewijzing aan identiteitsgroepen, waardoor verificatiefouten voor nieuwe apparaten worden veroorzaakt.

Verwante inhoud

- Contextzichtbaarheid van Identity Services Engine (ISE) opnieuw instellen

- Cisco Technical Support en downloads