uitgeven

Logboekregistratie van verbindingsgebeurtenissen is niet meer weergegeven in de gebeurtenislogboekregistratie van Cisco Defense Orchestrator (CDO) en de door de cloud geleverde pagina's van het Firewall Management Center (cdFMC) voor gebeurtenissen voor één Firewall Threat Defense (FTD). Het getroffen apparaat kon geen logboeken van verbindingsgebeurtenissen naar het cloudbeheerplatform verzenden, waardoor de zichtbaarheid van de productie en de mogelijkheden voor probleemoplossing werden beïnvloed. Analyse toonde aan dat de FTD herhaaldelijk problemen ondervond om verbinding te maken met Cisco-eventingservices vanwege tijdelijke naamoplossingsfouten, waarbij de tijdstempel van DNS-resolutiefouten precies correleerde met wanneer verbindingsgebeurtenissen niet meer op eventingpagina's verschenen.

milieu

- Cisco Secure Firewall FTD beheerd door CDO met cdFMC

- DNS-server geconfigureerd via FTD-beheerinterface

- Productieomgeving die zichtbaarheid van verbindingsgebeurtenissen vereist voor probleemoplossing

resolutie

1: Controleer de pagina's CDO Event Logging en cdFMC Unified/Connection Event om het tijdstip van gebeurtenisverlies te bepalen.

inline_image_0.png

inline_image_0.png

inline_image_1.png

inline_image_1.png

2: Zorg ervoor dat de nodige FTD-processen worden uitgevoerd om het genereren en verzenden van gebeurtenissen mogelijk te maken:

root@ftd-device:/ngfw/var/log# pmtool status | grep Event

Required by: SFDataCorrelator,expire-session,TSS_Daemon,snapshot_manager,fpcollect,Syncd,Pruner,ActionQueueScrape,rotate_stats,sfestreamer,tomcat,EventHandler

EventHandler (normal) - Running 17453

Command: /ngfw/usr/local/sf/bin/EventHandler

LD_LIBRARY_PATH=/ngfw/usr/local/sf/lib64/EventHandlerModules

PID File: /ngfw/var/sf/run/EventHandler.pid

Enable File: /ngfw/etc/sf/EventHandler.run

--

root@ftd-device:/ngfw/var/log# pmtool status | grep SSE

SSEConnector (system) - Running 20697

Required by: ngfwManager,ASAConfig,tomcat,SSEConnector,rsyncd,hmdaemon,srt,UUID

3: Controleer de FTD om de correlerende loggegevens van EventHandler en Connector te vinden die de oorzaak aangeven:

/ngfw/var/log/EventHandlerStat.* | grep -E "TotalEvents|SSEConnector"

{"Time": "2026-03-10T16:00:25Z", "TotalEvents": 104659, "PerSec": 348, "UserCPUSec": 9.242, "SysCPUSec": 1.497, "%CPU": 3.6, "MemoryKB": 78984}

{"Time": "2026-03-10T16:00:25Z", "Consumer": "SSEConnector", "Events": 104649, "PerSec": 348, "CPUSec": 9.924, "%CPU": 3.3}

{"Time": "2026-03-10T16:00:25Z", "ConsumerEvent": "SSEConnector-ConnectionEvent", "InTransforms": 104649, "OutTransforms": 104649}

{"Time": "2026-03-10T16:05:25Z", "TotalEvents": 57651, "PerSec": 192, "UserCPUSec": 5.382, "SysCPUSec": 1.329, "%CPU": 2.2, "MemoryKB": 78984}

{"Time": "2026-03-10T16:05:25Z", "Consumer": "SSEConnector", "Events": 57641, "PerSec": 192, "CPUSec": 5.900, "%CPU": 2.0, "OutputWaitSec": 132.792}

{"Time": "2026-03-10T16:05:25Z", "ConsumerEvent": "SSEConnector-ConnectionEvent", "InTransforms": 57641, "OutTransforms": 57641}

{"Time": "2026-03-10T16:10:25Z", "TotalEvents": 24, "PerSec": 0, "UserCPUSec": 0.314, "SysCPUSec": 0.545, "%CPU": 0.3, "MemoryKB": 78984}

{"Time": "2026-03-10T16:10:25Z", "Consumer": "SSEConnector", "Events": 14, "PerSec": 0, "CPUSec": 0.046, "%CPU": 0.0, "OutputWaitSec": 300.223, "ProcessingWaitSec": 286.117}

{"Time": "2026-03-10T16:10:25Z", "ConsumerEvent": "SSEConnector-ConnectionEvent", "InTransforms": 14, "OutTransforms": 14}

{"Time": "2026-03-10T16:15:25Z", "TotalEvents": 10, "PerSec": 0, "UserCPUSec": 0.214, "SysCPUSec": 0.603, "%CPU": 0.3, "MemoryKB": 78984}

{"Time": "2026-03-10T16:15:25Z", "Consumer": "SSEConnector", "Events": 0, "PerSec": 0, "CPUSec": 0.009, "%CPU": 0.0, "OutputWaitSec": 300.161, "ProcessingWaitSec": 300.161}

{"Time": "2026-03-10T16:10:25Z", "ConsumerEvent": "SSEConnector-ConnectionEvent", "InTransforms": 0, "OutTransforms": 0}

---

/ngfw/var/log/messages | grep "SSEConnector"

Mar 12 11:36:01 ftd-device SF-IMS[62079]: [62112] EventHandler:EventHandler [ERROR] Consumer SSEConnector publishing blocked for 330.801 sec: Resource temporarily unavailable

---

/ngfw/var/log/connector/connector.log | grep "failure in name resolution"

time="2026-03-10T12:02:44.329750985-04:00" level=error msg="[ftd-device][events.go:100 events:connectWebSocket] dial tcp: lookup eventing-ingest.sse.itd.cisco.com: Temporary failure in name resolution"

time="2026-03-10T12:02:44.329830226-04:00" level=warning msg="[ftd-device][events.go:181 events:(*Service).Start] Could not connect to WebSocket endpoint wss://eventing-ingest.sse.itd.cisco.com:443/ingest: dial tcp: lookup eventing-ingest.sse.itd.cisco.com: Temporary failure in name resolution"

4: Controleer de door de FTD's geconfigureerde DNS-server en bereikbaarheid:

> show network

===============[System Information]===============

Hostname                  : ftd-device

DNS Servers               : 10.0.0.10

DNS from router           : enabled

Management port           : 8305

IPv4 Default route

Gateway                 : 10.0.0.1

==================[management0]===================

Admin State               : Enabled

Admin Speed               : 40gbps

Link                      : Up

Channels                  : Management & Events

Mode                      : Non-Autonegotiation

MDI/MDIX                  : Auto/MDIX

MTU                       : 1500

MAC Address               : A1:A2:A3:A4:A5:A6

----------------------[IPv4]----------------------

Configuration             : Manual

Address                   : 10.0.0.2

Netmask                   : 255.255.255.0

Gateway                   : 10.0.0.1

----------------------[IPv6]----------------------

Configuration             : Disabled

> expert

admin@device:~$ sudo su

Password: [enter admin password]

root@device:/Volume/home/admin# ping 10.0.0.10

PING 10.0.0.10 (10.0.0.10) 56(84) bytes of data.

64 bytes from 10.0.0.10: icmp_seq=1 ttl=58 time=1.64 ms

64 bytes from 10.0.0.10: icmp_seq=2 ttl=58 time=1.72 ms

64 bytes from 10.0.0.10: icmp_seq=3 ttl=58 time=1.70 ms

^C

--- 10.0.0.10 ping statistics ---

4 packets transmitted, 4 received, 0% packet loss, time 144ms

rtt min/avg/max/mdev = 1.639/1.678/1.724/0.033 ms

5: Controleer de DNS-resolutie en HTTPS-connectiviteit van de FTD naar Cisco-eventingservices:

root@device:/Volume/home/admin# nslookup eventing-ingest.sse.itd.cisco.com

root@device:/Volume/home/admin# curl -v -k https://eventing-ingest.sse.itd.cisco.com

root@device:/Volume/home/admin# telnet eventing-ingest.sse.itd.cisco.com 443

Acties

De gebruiker heeft een intern probleem met zijn DNS-server geïdentificeerd en opgelost. Nadat de DNS-functionaliteit is hersteld:

- De FTD kon de vereiste Cisco eventing-domeinen oplossen.

- De FTD herstelde automatisch de eventing-connectiviteit.

- Logboeken van verbindingsgebeurtenissen worden opnieuw weergegeven in cdFMC zoals ontworpen.

Alle corrigerende acties werden door de gebruiker uitgevoerd zonder dat er configuratiewijzigingen nodig waren.

Oorzaak

De hoofdoorzaak was een DNS-oplossingsfout op de FTD-beheerinterface, die specifiek werd veroorzaakt door een probleem met de geconfigureerde DNS-server. Omdat de FTD de vereiste Cisco eventing-domeinen, waaronder eventing-ingest.sse.itd.cisco.com, niet kon oplossen, kon deze geen uitgaande eventing-verbindingen tot stand brengen, waardoor verbindingsgebeurtenissen niet werden geleverd aan de Cisco Security Cloud. Nadat de DNS-resolutie was hersteld, bevestigde de gebruiker dat de logboekregistratie van verbindingsgebeurtenissen volledig operationeel was en normaal functioneerde in de productieomgeving.

Verwante inhoud

- Informatie over Secure Firewall Threat Defense en Cisco XDR-integratie

- Cisco Technical Support en downloads

- Mogelijk defect buiten dit artikel: Cisco bug ID CSCwr75332 FTD kan gebeurtenissen niet doorsturen naar Security Cloud Control