Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Problema

Solução 1

Solução 2

Consultas do AnyConnect para mus.cisco.com

Configurar

Diagrama de Rede

Troubleshoot

Introduction

Este documento descreve o comportamento do módulo Anyconnect VPN Core quando consulta o nome de domínio totalmente qualificado (FQDN) mus.cisco.com em cenários específicos. Essa consulta ocorre quando o cliente AnyConnect tenta determinar se o endpoint tem acesso à Internet e se não há VPN em uso.

Contribuído por Peter Giang, Cisco BU.

Contribuído por Steve Sargent, líder técnico da Cisco BU.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Instalação do módulo AnyConnect.

- Criação de pacote do AnyConnect Diagnostic and Reporting Tool (DART).

- O sniffer do Wireshark captura.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Módulo VPN do núcleo Anyconnect versão 4.8.03052

- Windows 10 Enterprise 10.0.18363 Build 18363

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Este documento também pode ser usado com as seguintes versões de hardware e software:

- Qualquer sistema operacional (MacOS, Windows, Linux).

- Qualquer versão do AnyConnect anterior à 4.10.

Informações de Apoio

As consultas do AnyConnect para mus.cisco.com são esperadas por design.

Note: Há um defeito de aprimoramento criado para esse comportamento. ID de bug da Cisco CSCvu39643. As consultas a mus.cisco.com a partir do núcleo da VPN não devem ser realizadas se o módulo da VPN não for usado.

Problema

Quando o módulo central do AnyConnect VPN não está em uso (nenhum perfil XML está configurado para conexões VPN), as consultas a mus.cisco.com são geradas a cada 15 segundos.

Solução 1

Adicione uma entrada de Sistema de Nome de Domínio (DNS) no servidor DNS para resolver consultas de nome em mus.cisco.com. Se você não gerenciar um servidor DNS, encaminhe essas solicitações para um servidor DNS público.

Quando mus.cisco.com FQDN puder ser resolvido, o AnyConnect interrompe a tentativa de consulta.

Solução 2

Adicione uma entrada de DNS ao arquivo de hosts do sistema operacional (OS) para resolver o FQDN mus.cisco.com.

Windows

1. Pressione a tecla Windows.

2. Digite Bloco de Notas no campo de pesquisa.

3. Nos resultados da pesquisa, clique com o botão direito do mouse em Bloco de Notas e selecione Executar como administrador.

4. No Bloco de Notas, abra o arquivo: "C:\Windows\System32\Drivers\etc\hosts".

5. Faça as alterações necessárias no arquivo.

6. Selecione Arquivo > Salvar para salvar suas alterações.

Mac

1. Abra uma janela do terminal.

2. Digite este comando para abrir o arquivo hosts com o editor de texto nano incorporado ao SO: "sudo nano /etc/hosts".

3. Digite seu usuário de domínio e senha.

4. Faça as alterações necessárias no arquivo.

Linux

1. Abra uma janela do terminal.

2. Insira este comando para abrir o arquivo hosts com o editor de texto nano incorporado ao SO: "sudo nano /etc/hosts".

3. Digite seu usuário de domínio e senha.

4. Faça as alterações necessárias no arquivo.

Consultas do AnyConnect para mus.cisco.com

Configurar

A instalação do módulo central do AnyConnect VPN.

Diagrama de Rede

******************************************

Date : 06/17/2020

Time : 20:21:57

Type : Warning

Source : acvpnagent

Description : Function : CDNSRequest::OnSocketReadComplete

File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp

Line: 1147

Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)

******************************************

Troubleshoot

Para confirmar a operação correta, você pode habilitar uma captura de pacote na interface de saída do endpoint com o uso do Wireshark.

Na interface gráfica do usuário (GUI) do cliente AnyConnect, a mensagem "Erro de rede. Unable to lookup host names" é exibido (como mostrado na imagem).

Quando qualquer solução alternativa é aplicada, você também pode fazer uma captura de pacote no Wireshark e usar o filtro DNS para confirmar as consultas constantes para mus.cisco.com:

Na interface GUI do cliente AnyConnect, a mensagem "Ready to connect" é exibida (como mostrado na imagem).

Tip: Mesmo que você não veja o módulo central do AnyConnect VPN na interface GUI, isso não significa que o módulo central do vpn não está em operação, procure o arquivo VPNDisable_ServiceProfile.xml no diretório "C:\programdata\cisco on Windows" e "/opt/cisco/anyconnect/profile" em dispositivos Apple. No Linux isso não é suportado.