uitgeven
Pogingen om de Secure Access Resource Connector op Docker te implementeren zijn mislukt.
Hoewel de connector correct is geïnstalleerd, kon geen verbinding met Cisco Secure Access worden gemaakt.
Diagnostische controles meldden tunnelverbreking en fouten in de servercommunicatie.
De omgeving maakt gebruik van Red Hat 9 virtuele machines gehost in Google Cloud, verbonden via een Fortinet-firewall met een "any" -regel.
Problemen oplossen onthulde potentiële MTU-mismatches tussen netwerkinterfaces als een bijdragende factor.
milieu
- Technologie: oplossingsondersteuning (SSPT - contract vereist)
- Subtechnologie: Veilige toegang - Bronaansluiting (installeren, upgraden, registreren, connectiviteit, Privé-bron)
- Red Hat 9 Virtual Machines op Google Cloud
- Netwerk: Fortinet-firewall tussen Secure Access en VM ("elke" regel is van kracht)
- Connectorregio: iuvz83r.mxc1.acgw.sse.cisco.com
- Google Cloud VPC standaard MTU: 1460 bytes
- Docker bridge (docker0) standaard MTU: 1500 bytes (vóór wijziging)
- Eén netwerkinterface (eth0) per VM
resolutie
Volg deze stappen om connectiviteitsproblemen met Secure Access Resource Connector in een Docker/Google Cloud-omgeving te diagnosticeren en op te lossen:
Controleer de DNS-resolutie voor het connectorgebied
Gebruik nslookup om te bevestigen dat het beveiligde toegangsgebied kan worden opgelost vanaf de VM.
nslookup iuvz83r.mxc1.acgw.sse.cisco.com
Voorbeeld van uitvoer:
Server: 64.102.6.247
Address: 64.102.6.247#53
Non-authoritative answer:
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.72
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.70
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.66
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.68
Controleer de netwerkconnectiviteit voor veilige toegang
Gebruik ping en telnet om de connectiviteit met Secure Access van de VM te valideren.
ping iuvz83r.mxc1.acgw.sse.cisco.com
Voorbeeld van uitvoer:
PING iuvz83r.mxc1.acgw.sse.cisco.com (163.129.128.66) 56(84) bytes of data.
64 bytes from 163.129.128.66: icmp_seq=1 ttl=57 time=44.7 ms
64 bytes from 163.129.128.66: icmp_seq=2 ttl=57 time=43.8 ms
...
telnet iuvz83r.mxc1.acgw.sse.cisco.com 443
Voorbeeld van uitvoer:
Trying 163.129.128.66...
Connected to iuvz83r.mxc1.acgw.sse.cisco.com.
Escape character is '^]'.
Controleren op tunnelconnectiviteit en diagnostiek uitvoeren
Voer het diagnosehulpprogramma van de connector uit om de tunnelstatus te controleren.
/opt/connector/data/bin/diagnostic
Voorbeeld van uitvoer:
###check tunnel connection:
error: tunnel is not connected
Netwerkinterface en MTU-instellingen controleren
Controleer IP-adressen en MTU van alle interfaces met behulp van ifconfig en een ip.
ifconfig
ip a
Voorbeelduitvoer voor eth0 en docker0:
[root@degcpprcra02 ~]# ifconfig
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet x.x.x.x netmask x.x.x.x broadcast x.x.x.x
inet6 fe80::1c66:46ff:fe1d:8bed prefixlen 64 scopeid 0x20<link>
ether 1e:66:46:1d:8b:ed txqueuelen 0 (Ethernet)
RX packets 974 bytes 119775 (116.9 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 848 bytes 161554 (157.7 KiB)
TX errors 0 dropped 2 overruns 0 carrier 0 collisions 0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1460
inet x.x.x.x netmask x.x.x.x broadcast 0.0.0.0
ether 42:01:c0:a8:80:b0 txqueuelen 1000 (Ethernet)
RX packets 20175 bytes 7755728 (7.3 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 21550 bytes 31402300 (29.9 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
Controleer of TCP-verkeer is vastgelegd
Gebruik tcpdump om verkeer tussen de VM en de Secure Access-regio vast te leggen.
tcpdump -i eth0 host iuvz83r.mxc1.acgw.sse.cisco.com
Voorbeeld uitvoer (geen vastgelegde pakketten weergeven):
listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes
^C
0 packets captured
6 packets received by filter
0 packets dropped by kernel
Vernietig en installeer de connector indien nodig opnieuw
Stop en vernietig de connector als de diagnostiek en technische ondersteuning niet werken:
/opt/connector/install/connector.sh stop --destroy
cd /opt
rm -rf connector
Installeer de connector opnieuw en genereer de uitvoer voor technische support
Genereer na het opnieuw installeren technische ondersteuning om foutlogboeken vast te leggen:
/opt/connector/data/bin/techsupport > techsupport.txt
Sample output showing connection errors:
2026-02-13 23:48:20.398772500 >> warning: Connection attempt has failed.
2026-02-13 23:48:20.398775500 >> warning: Unable to contact iuvz83r.mxc1.acgw.sse.cisco.com.
2026-02-13 23:48:20.398775500 >> error: Connection attempt has failed due to server communication errors. Please retry the connection.
2026-02-13 23:48:20.398887500 >> state: Disconnected
Docker MTU aanpassen aan Google Cloud VPC en VM-interface
Wijzig de MTU op de Docker Bridge-interface om overeen te komen met de Google Cloud VPC-standaard (1460 bytes):
ip link set dev docker0 mtu 1460
MTU-wijziging controleren:
ip a
Voorbeeld van uitvoer:
docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc noqueue state UP group default
link/ether 1e:66:46:1d:8b:ed brd ff:ff:ff:ff:ff:ff
inet x.x.x.x brd x.x.x.x scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::1c66:46ff:fe1d:8bed/64 scope link
valid_lft forever preferred_lft forever
Aanhoudende verandering van Docker MTU in /etc/docker/daemon.json
Bewerk /etc/docker/daemon.json en voeg de mtu-waarde toe of werk deze bij:
{
...
"mtu": 1460
}
Start de VM opnieuw op om de MTU-configuratie toe te passen
Start de volledige VM opnieuw op om ervoor te zorgen dat de MTU-instellingen volledig worden toegepast. Dit is noodzakelijk, omdat het mogelijk is dat alleen het opnieuw opstarten van de Docker-service de MTU-wijziging niet afdwingt voor alle netwerkcomponenten.
Na het volgen van deze stappen kon de verbinding met Secure Access tot stand worden gebracht en kon de configuratie worden voltooid.
Oorzaak
De hoofdoorzaak was een MTU-mismatch tussen de Docker-bruginterface (docker0) en de Google Cloud VPC/VM-netwerkinterface (eth0). De Google Cloud VPC en VM interfaces standaard een MTU van 1460 bytes, terwijl de Docker standaard MTU is 1500 bytes.
Deze mismatch veroorzaakte fragmentatie of gedropte pakketten, waardoor de Secure Access Resource Connector geen tunnel kon opzetten. Het uitlijnen van de MTU-waarden loste het connectiviteitsprobleem op.
Verwante inhoud
- https://securitydocs.cisco.com/docs/csa/olh/120695.dita
- https://securitydocs.cisco.com/docs/csa/olh/120776.dita
- https://securitydocs.cisco.com/docs/csa/olh/120727.dita
- https://securitydocs.cisco.com/docs/csa/olh/120772.dita
- https://securitydocs.cisco.com/docs/csa/olh/120762.dita
- https://securitydocs.cisco.com/docs/csa/olh/120685.dita
- Cisco Technical Support en downloads
Feedback