Problemen oplossen met het detectieproces van Cisco ISE Domeincontroller tijdens Active Directory Join

Downloadopties

PDF (344.7 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (163.3 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (126.8 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:26 augustus 2026

Document-id:226475

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

uitgifte

Cisco Identity Services Engine (ISE) kan uw domeincontrollers (DC's) niet vinden en de ISE Active Directory (AD) -verbinding mislukt.

milieu

Cisco Identity Services Engine (ISE) – 3.x en hoger
Microsoft Active Directory (AD) – 2016 en hoger
Domeinnaamsysteem (DNS) – UDP/TCP 53
Lightweight Directory Access Protocol (LDAP) – TCP 389; TCP 636 als Secure LDAP (LDAPS) wordt gebruikt
Connectionless Lightweight Directory Access Protocol (CLDAP) – UDP 389

resolutie

Cisco ISE ontdekt DC's tijdens het AD-join-proces en gebruikt meerdere criteria om te beslissen welke DC moet worden gekozen.

DNS-detectie:

ISE maakt gebruik van SRV-recordquery's (DNS Service) om beschikbare DC's, Global Catalogs (GC's) en Key Distribution Center (KDC's) te ontdekken. De DNS-server geeft de lijst met beschikbare DC's, GC's en KDC's terug
Als ISE deze informatie niet ontvangt, kan het niet doorgaan met het AD-aanmeldingsproces en rapporteert het een DNS-gerelateerde fout.
Controleer vanuit de ISE CLI de AD SRV-records met behulp van:
```
nslookup
```

Voorbeeld:

nslookup ldap.tcp.example.com querytype SRV

nslookup kerberos.tcp.example.com querytype SRV 

nslookup ldap.tcp.dc._msdcs.example.com querytype SRV

De query's moeten geldige DC-hostnamen retourneren. Controleer vervolgens of de geretourneerde DC-hostnaam is opgelost naar het juiste IP-adres:
```
nslookup dc01.example.com
```
De DNS-server die in de ISE-configuratie is geconfigureerd, retourneert de lijst met beschikbare servers.
Controleer de configuratie van de ISE DNS-server door deze opdracht uit te voeren
```
show running-config
```

ISE DNS Configuration

Gebruik voor CLDAP een pakketopname op ISE tijdens het uitvoeren van de AD-join of het uitvoeren van de desbetreffende AD-diagnose.

Leg bijvoorbeeld het verkeer tussen ISE en de DC vast en controleer:

ISE → DC01 : UDP/389  CLDAP Request 
DC01 → ISE : UDP/389  CLDAP Response

Het antwoord moet worden ontvangen van elke bereikbare DC. Als ISE het CLDAP-verzoek verzendt maar geen antwoord ontvangt, controleert u de firewall/ACL-regels, routering en UDP 389-connectiviteit tussen ISE en de DC.

site-identificatie

ISE gebruikt CLDAP-informatie om DC's waar mogelijk in dezelfde Active Directory-site te identificeren en te prefereren.
Controleer of het ISE-subnet tot de juiste AD-site behoort. Controleer ook of de verwachte DC's tot dezelfde AD-site behoren.

Connectiviteitsbewaking

ISE maakt periodiek gebruik van CLDAP om de beschikbaarheid van DC te monitoren.
Controleer op intermitterende UDP 389-connectiviteit, pakketverlies of vertraagde CLDAP-responsen tussen ISE en de DC's met pakketopnamen.
Een CLDAP-respons die meer dan 2,5 seconden duurt, genereert een waarschuwing. Als er geen DC reageert, mislukt de AD-join.