Problemen met paraplufouten voor Active Directory en VA's oplossen

Inleiding

In dit document worden overkoepelende fouten beschreven voor Active Directory en Virtual Appliances.

uitgifte

In dit document worden veelvoorkomende fouten-, waarschuwings- en informatieberichten op de pagina Sites en Active Directory beschreven en worden stappen voor het oplossen van problemen beschreven.

Een of meer foutmeldingen, waarschuwingen of informatieve berichten worden weergegeven op de pagina Umbrella Settings > Sites en AD voor Virtual Appliances, Active Directory (AD) Connectors of Domain Controllers (DC's).

milieu

De pagina Overkoepelende sites en Active Directory bevindt zich op Instellingen > Sites en AD.

• De getroffen componenten zijn onder meer virtuele apparaten (VA's), AD-connectors en DC's.
• DNSCrypt ondersteuning is beschikbaar in VA versie 1.5.x of hoger.
• Als de connector is geïmplementeerd op Windows Server (WS) 2012 of hoger en de synchronisatie met Umbrella is gestopt, moet u ervoor zorgen dat de connector versie 1.6.31 of hoger uitvoert.
• Connectors versie 1.6.31 of hoger werken op WS 2008/2008 R2 als .NET 4.5.2 of hoger wordt uitgevoerd, maar herimplementatie op een ondersteunde server wordt aanbevolen.
• Cisco kondigde End of Life (EOL) van Transport Layer Security (TLS) 1.0/1.1 aan. Niet-ondersteunde Windows-versies (Windows Server 2008, 2008 R2 of Windows 7) ondersteunen TLS 1.2 standaard niet. Installeer de connector opnieuw op een ondersteunde serverversie (Windows Server 2012 of hoger).
• Als u inloggegevens naar een virtueel apparaat wilt verzenden, moet op de domeincontroller (DC) een connector op dezelfde site zijn geïnstalleerd.
• Sites moeten ten minste één van elk componenttype bevatten, indien aangegeven in het bericht.
• De Umbrella Connector-service wordt getest om 10 middelen (domeincontrollers en virtuele apparaten) per CPU te ondersteunen.
• De Umbrella Connector-service wordt getest om ongeveer 850 continue gebeurtenissen (geen harde limiet) per seconde te ondersteunen in alle domeincontrollers op een Umbrella-site.

resolutie

Gebruik de sectie die overeenkomt met het componenttype dat wordt weergegeven op Instellingen > Sites en AD, en selecteer vervolgens de exacte berichttekst.

• Virtuele apparaten: VA-registratie/synchronisatiestatus, connectorkoppeling, DNSCrypt, lokale domeinen, redundantie en DNS-queryfoutberichten.
• AD-connectors: connectorregistratie-/synchronisatiestatus, DC/VA-connectiviteit, time-outs, parallelle verwerking en dropberichten voor gebeurtenissen.
• Domeincontrollers: connectorkoppeling en WMI-connectiviteitsberichten.

Virtuele apparaten

"Deze VA is geregistreerd, maar nog nooit gesynchroniseerd"

1. Laat tot 10 minuten voor synchronisatie te voltooien.
2. Zorg ervoor dat aan de netwerkvereisten wordt voldaan. Zie Gids voor Active Directory-communicatiestroom: Connectors > Virtuele apparaten > DC's en de cloud.
3. Als het probleem zich blijft voordoen, verzamelt u logboeken en opent u een supportcase.

"Deze VA was op een gegeven moment aan het synchroniseren, maar is sindsdien gestopt"

Gebruik deze stappen om de VA-synchronisatie te herstellen en de vereiste connectiviteit te bevestigen.

1. Als de VA is verwijderd, verwijdert u deze van het Umbrella-dashboard: Verwijderingsinstructies - Umbrella Insights.
2. Bevestig de netwerkvereisten. Zie Gids voor Active Directory-communicatiestroom: Connectors > Virtuele apparaten > DC's en de cloud.
3. Open een supportcase als het probleem zich blijft voordoen.

 "Deze VA was eerder verbonden met een of meer connectors, maar is nu verbonden met geen enkele connector."

1. Als er connectors zijn verwijderd, negeert u dit bericht en verwijdert u de oude connector-vermelding van het dashboard.
2. Bevestig de netwerkvereisten. Zie Gids voor Active Directory-communicatiestroom: Connectors > Virtuele apparaten > DC's en de cloud.
3. Open een supportcase als het probleem zich blijft voordoen.

"Dit virtuele apparaat is verbonden met sommige, maar niet alle, connectors voor deze site"

1. Als er connectors zijn verwijderd, negeert u dit bericht en verwijdert u de connector uit het dashboard.
2. Vereisten bevestigen: Gebruikershandleiding voor virtueel apparaat: vereisten.
3. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
4. Open een supportcase als het probleem zich blijft voordoen.

"DNS-vragen die door deze VA naar Umbrella worden doorgestuurd, zijn niet versleuteld"

DNSCrypt versleutelt DNS-pakketten die worden doorgestuurd van het virtuele toestel (VA) naar Umbrella publieke DNS-resolvers en is standaard ingeschakeld.

1. Bevestig dat de VA versie 1.5.x of hoger uitvoert. DNSCrypt-ondersteuning is beschikbaar in 1.5.x of hoger. Als er slechts één VA bestaat en er geen upgrade is uitgevoerd, moet u deze upgraden: Virtuele apparaten bijwerken.
2. Controleer het firewall- en inspectiebeleid om ervoor te zorgen dat de DNSCrypt-probe op poort 53 (UDP/TCP) niet wordt geblokkeerd of gewijzigd. Als een inbraakpreventiesysteem (IPS) of inbraakdetectiesysteem (IDS) een grondige pakketinspectie uitvoert en alleen DNS-verkeer verwacht, kan de sonde uitvallen.
3. Raadpleeg voor implementaties van Adaptive Security Appliance (ASA) de richtlijnen voor pakketinspectie waarnaar in de implementatiedocumentatie wordt verwezen.
4. Als de waarschuwing blijft bestaan, verzamelt u logboeken: ondersteuning bieden met AD-connectorlogboeken, open dan een ondersteuningscase.
5. Controleer of de waarschuwing is gewist op Instellingen > Sites en AD voor de betreffende VA.

Meer details: Nieuwe VA-waarschuwing: DNSCrypt inschakelen op uw virtuele apparaat.

"Deze VA heeft geen lokale domeinen geconfigureerd"

1. Zorg ervoor dat lokale domeinen zijn geconfigureerd: Local DNS Forwarding.

"Deze VA is niet overbodig binnen de site (2+ VA vereist per site)"

1. Installeer een tweede VA voor hoge beschikbaarheid. Raadpleeg de implementatiedocumentatie van uw Umbrella Virtual Appliance voor informatie over het gebruik van twee virtuele apparaten per site.

"Een groot percentage van de DNS-query's naar deze VA faalt"

1. Verzamel relevante VA- en connectorlogboeken en open een supportcase.
2. Controleer of het percentage mislukte DNS-query's weer normaal is en de fout wordt gewist op Instellingen > Sites en AD voor de betreffende VA.

AD-connectors

"Deze connector is geregistreerd, maar nog nooit gesynchroniseerd"

Gebruik deze controles om te bevestigen dat de eerste synchronisatie is voltooid:

1. Laat tot 10 minuten voor synchronisatie te voltooien.
2. Zorg ervoor dat aan de netwerkvereisten wordt voldaan: Identiteitsintegraties: vereisten.
3. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
4. Open een supportcase als het probleem zich blijft voordoen.

"Deze connector werd op een gegeven moment gesynchroniseerd, maar is sindsdien gestopt"

1. Zorg ervoor dat aan de netwerkvereisten wordt voldaan. Zie Gids voor Active Directory-communicatiestroom: Connectors > Virtuele apparaten > DC's en de cloud.
2. Cisco kondigde EOL van TLS 1.0/1.1 aan. Niet-ondersteunde Windows-versies (Windows Server 2008, 2008 R2 of Windows 7) ondersteunen TLS 1.2 standaard niet. Installeer de connector opnieuw op een ondersteunde serverversie (Windows Server 2012 of hoger).
3. Als de connector is geïmplementeerd op WS 2012 of hoger en de synchronisatie met Umbrella is gestopt, moet u ervoor zorgen dat de connector versie 1.6.31 of hoger uitvoert.
4. Connectors versie 1.6.31 of hoger werken op WS 2008/2008 R2 als .NET 4.5.2 of hoger wordt uitgevoerd, maar herimplementatie op een ondersteunde server wordt aanbevolen.
5. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
6. Open een supportcase als het probleem zich blijft voordoen.

"Deze connector heeft geen VA of geen DC om op aan te sluiten"

1. Zorg ervoor dat de site ten minste één van elk componenttype bevat.
2. Documentatie over de installatie controleren: Identiteitsintegraties: vereisten en Active Directory-integratie > Stap 2: uw Active Directory-omgeving voorbereiden.

"Deze connector heeft geen gelijkstroom om op aan te sluiten"

1. Zorg ervoor dat de site ten minste één van elk componenttype bevat.
2. Installatiedocumentatie controleren: uw Active Directory-omgeving voorbereiden.

"Er zijn een of meer DC's waarmee de connector verbinding kan maken, maar deze heeft nog geen verbinding met een DC."

1. Laat tot 10 minuten voor synchronisatie te voltooien.
2. Zorg ervoor dat aan de voorwaarden wordt voldaan: Identiteitsintegraties: Voorwaarden.
3. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
4. Open een supportcase als het probleem zich blijft voordoen.

"De connector is verbonden met sommige, maar niet alle, DC's"

1. Voorwaarden bevestigen: Identiteitsintegraties: Voorwaarden.
2. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
3. Open een supportcase als het probleem zich blijft voordoen.

"De connector was ooit aangesloten, maar is momenteel niet verbonden met een van de beschikbare DC's."

1. Voorwaarden bevestigen: Identiteitsintegraties: Voorwaarden.
2. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
3. Open een supportcase als het probleem zich blijft voordoen.

"Er zijn een of meer VA's waarmee de connector verbinding kan maken, maar deze is nog niet verbonden met een VA."

1. Verwijder alle ongebruikte VA's van het dashboard.
2. Laat tot 10 minuten voor synchronisatie na verwijdering.
3. Zorg ervoor dat aan de netwerkvereisten wordt voldaan: Identiteitsintegraties: vereisten.
4. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
5. Open een supportcase als het probleem zich blijft voordoen.

"De connector rapporteert time-outfouten terwijl hij probeert verbinding te maken met sommige VA's"

1. Als het virtuele toestel niet op hetzelfde LAN staat als de connector, overweeg dan om implementatie te scheiden met behulp van Umbrella-sites: Meerdere Active Directory-domeinen verbinden met Umbrella.
2. Verwijder ongebruikte VA's van het dashboard.
3. Laat tot 10 minuten voor synchronisatie na verwijdering.
4. Zorg ervoor dat aan de netwerkvereisten wordt voldaan: Identiteitsintegraties: vereisten.
5. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
6. Open een supportcase als het probleem zich blijft voordoen.

"De connector is verbonden met een aantal, maar niet alle, VA's"

1. Verwijder ongebruikte VA's van het dashboard.
2. Laat tot 10 minuten voor synchronisatie na verwijdering.
3. Zorg ervoor dat aan de netwerkvereisten wordt voldaan. Zie Gids voor Active Directory-communicatiestroom: Connectors > Virtuele apparaten > DC's en de cloud.
4. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
5. Open een supportcase als het probleem zich blijft voordoen.

"De connector was ooit aangesloten, maar is momenteel niet verbonden met een van de beschikbare VA's."

1. Verwijder ongebruikte VA's van het dashboard.
2. Laat tot 10 minuten voor synchronisatie na verwijdering.
3. Zorg ervoor dat aan de netwerkvereisten wordt voldaan: Guide to Active Directory Communication Flow: Connectors > Virtual Appliances > DC's en de cloud.
4. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
5. Open een supportcase als het probleem zich blijft voordoen.

"De connector synchroniseert geen gebeurtenissen parallel aan VA's. De verwerking van gebeurtenissen kan trager verlopen dan verwacht."

1. Merk op dat de Umbrella Connector-service is getest om 10 assets (Domain Controllers en Virtual Appliances) per CPU te ondersteunen.
2. Upgrade de server met het vereiste aantal CPU's op basis van het aantal domeincontrollers en virtuele apparaten in de overkoepelende site.
3. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
4. Open een supportcase als het probleem zich blijft voordoen.

"De connector rapporteert valpartijen bij het verzenden van gebeurtenissen naar sommige VA's"

Gebruik deze stappen om de gebeurtenisdrops te verminderen en de stabiele gebeurtenislevering te herstellen.

1. Controleer of het totale aantal gebeurtenissen in alle domeincontrollers op de overkoepelende site de geteste continue capaciteit van ongeveer 850 gebeurtenissen per seconde overschrijdt.
2. Als de gebeurtenissnelheid hoger is dan deze geteste capaciteit, verhoogt u de CPU-cores op de Connector-host om de verwerkingsdoorvoer te verbeteren.
3. Als de druppels aanhouden, schakelt u load-balancing in met twee of meer connectors om de belasting van de domeincontroller te delen. Deze geavanceerde functie moet worden ingeschakeld door een supportcase te openen met ondersteuning voor Umbrella.

Domeincontrollers

"Was op een gegeven moment verbonden met een of meer connectors, maar is nu verbonden met geen"

1. Als de connector is verwijderd, implementeert u de connector opnieuw of verwijdert u de domeincontroller.
2. Bevestig de netwerkvereisten. Zie Gids voor Active Directory-communicatiestroom: Connectors > Virtuele apparaten > DC's en de cloud.
3. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
4. Open een supportcase als het probleem zich blijft voordoen.

"Deze domeincontroller heeft nog nooit verbinding gemaakt met een connector"

1. Als u informatie over aanmeldingsgebeurtenissen naar een virtueel apparaat wilt verzenden, moet op de domeincontroller (DC) een connector op dezelfde site zijn geïnstalleerd.
2. Voor informatie over de installatie van de connector: de connector installeren.
3. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
4. Open een supportcase als het probleem zich blijft voordoen.

"Deze domeincontroller heeft geen connectors om verbinding mee te maken"

1. Als u informatie over aanmeldingsgebeurtenissen naar een virtueel apparaat wilt verzenden, moet op de domeincontroller (DC) een connector op dezelfde site zijn geïnstalleerd.
2. Voor informatie over de installatie van de connector: de connector installeren.
3. Als u de connector opnieuw installeert of van het ene systeem naar het andere verplaatst, negeert u dit bericht.

"Deze domeincontroller is verbonden met sommige, maar niet alle, connectors."

1. Controleren van machtigingen: vereiste machtigingen voor de Cisco_Connector-gebruiker.
2. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
3. Open een supportcase als het probleem zich blijft voordoen.

"De WMI-status van deze domeincontroller is uitgeschakeld. De domeincontroller reageert niet op de WMI-verbinding van de connector

1. Dit kan een tijdelijk probleem zijn vanwege de belasting op de domeincontroller.
2. Controleer of de Windows Management Instrumentation (WMI)-verbinding kan worden gemaakt met behulp van het WBEMTest-hulpprogramma.
3. Verminder de belasting van de DC door te voorkomen dat andere ongebruikte toepassingen beveiligingsgebeurtenissen bewaken.
4. Start de Connector-service opnieuw om een nieuwe WMI-verbinding te starten nadat de DC-belasting is verlaagd.
5. Logboeken verzamelen: ondersteuning bieden met AD-connectorlogboeken.
6. Open een supportcase als het probleem zich blijft voordoen.

oorzaken

• DNSCrypt-waarschuwingsberichten (VA): DNSCrypt is standaard ingeschakeld om DNS-pakketten te versleutelen die vanuit het virtuele toestel (VA) worden doorgestuurd naar openbare DNS-resolvers van Umbrella. Als het firewall- of inspectiebeleid de DNSCrypt-sonde op poort 53 (UDP/TCP) blokkeert of wijzigt, mislukt de sonde. Als een inbraakpreventiesysteem (IPS) of inbraakdetectiesysteem (IDS) een grondige pakketinspectie uitvoert en alleen DNS-verkeer verwacht, mislukt de sonde.
• Connector sync-stopberichten (AD Connector): Cisco heeft End of Life (EOL) van Transport Layer Security (TLS) 1.0/1.1 aangekondigd. Niet-ondersteunde Windows-versies (Windows Server 2008, 2008 R2 of Windows 7) ondersteunen standaard TLS 1.2 niet, waardoor het synchroniseren van de connector wordt gestopt.
• Connectorprestatieberichten (AD Connector): de Umbrella Connector-service is getest om 10 middelen (domeincontrollers en virtuele apparaten) per CPU te ondersteunen. Wanneer deze grootte wordt overschreden, verloopt de verwerking van gebeurtenissen langzamer dan verwacht.
• Waarschuwingsberichten voor het laten vallen van gebeurtenissen (AD-connector): de Umbrella Connector-service wordt getest om ongeveer 850 continue gebeurtenissen (geen harde limiet) per seconde te ondersteunen in alle domeincontrollers op een overkoepelende site. Als de totale snelheid hoger is dan deze geteste capaciteit, worden gebeurtenissen door de connector verwijderd.
• WMI-down foutmeldingen (Domain Controller): de WMI-status is uitgeschakeld wanneer de Domain Controller wordt geladen en niet reageert op de WMI-verbinding van de connector.

Gerelateerde inhoud

• De integratiestroom van de overkoepelende Active Directory onderzoeken
• Active Directory Connector-logboeken indienen bij Umbrella Support

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	24-Sep-2026	Hercertificering.
1.0	03-Sep-2025	Eerste vrijgave