Entender e solucionar problemas de alarmes de replicação de nós do ISE

Introdução

Este documento descreve os alarmes de replicação e sua solução de problemas no Cisco Identity Services Engine® (ISE).

Pré-requisitos

Requisitos

A Cisco recomenda que você conheça o Cisco Identity Services Engine® (ISE).

Componentes Utilizados

As informações neste documento são baseadas nas seguintes versões de hardware e software.

• Cisco Identity Services Engine® (ISE) 3.4 e versões posteriores.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Alarmes de replicação do ISE

Os alarmes de replicação no Cisco ISE oferecem visibilidade do estado e do status de sincronização da estrutura de replicação durante a implantação. Esses alarmes ajudam a identificar condições que podem afetar a consistência de dados, a comunicação de nós ou os processos de replicação, permitindo que os administradores detectem e resolvam problemas antes que eles afetem as operações do sistema. Entender a finalidade e o significado dos alarmes de replicação é essencial para manter uma implantação saudável do ISE e garantir que a configuração e os dados operacionais permaneçam sincronizados em todos os nós.

Alarmes de replicação de nó do ISE 

Falha na Replicação

O alarme de Falha na Replicação é gerado quando os nós secundários na implantação não podem consumir as mensagens que são replicadas pelo nó de Administração Primária na implantação. Esse alarme indica que o processo de replicação falhou e que o nó afetado não tem mais a configuração ou os dados operacionais mais recentes.

Diferentemente dos alarmes de replicação específicos de certificado, esse alarme representa uma falha na estrutura de replicação geral e pode afetar vários objetos e serviços de configuração na implantação.

Motivo do alarme

O alarme Replication Failed pode ocorrer quando o Cisco ISE não pode transferir ou aplicar com êxito os dados replicados. As causas comuns incluem:

• Problemas de comunicação de rede: Perda de pacotes, alta latência de rede, restrições de firewall, problemas de roteamento ou incompatibilidades de MTU que interrompem a comunicação entre os nós do ISE.

• Problemas do serviço de replicação: RabbitMQ, JGroups ou outros serviços de replicação interna não estão disponíveis, estão sendo reiniciados ou não estão funcionando corretamente.

• Problemas de comunicação de nó: O nó de destino está offline, reiniciando, com registro cancelado, desconectado da implantação ou inacessível.

• Problemas de sincronização do banco de dados: O nó de destino não pode confirmar os dados replicados devido a erros de banco de dados ou falhas de sincronização.

• Restrições de recursos do sistema: Alta utilização da CPU, pressão de memória, espaço em disco insuficiente ou E/S de disco pesado atrasando o processamento da replicação.

• Problemas de resolução de DNS ou nome de host: Resolução de DNS direta ou reversa incorreta que impede a comunicação bem-sucedida entre os nós.

• Inconsistências de versão ou implantação: A replicação falhará se os nós não estiverem operando em versões de software com suporte ou se a implantação estiver em um estado inconsistente após uma atualização ou um registro de nó.

• Expiração do Certificado Admin: o certificado Admin para os nós ISE expirou /corrompido / inválido, por causa do qual a comunicação entre os nós está em jogo, levando à falha de replicação. 

• Erros de enlace de fila: a implantação ou o(s) nó(s) afetado(s) estão mostrando os erros de enlace de fila em que o certificado de mensagens do ISE/cadeia de CA raiz do ISE está corrompido ou é inválido na porta 8671. 

• O serviço de túnel está desabilitado/offline: o serviço de túnel é executado em todos os nós da implantação distribuída. O status Desabilitado/Não em execução do serviço de Túnel resulta nos alarmes de falha de Replicação. 

• Portas de replicação são bloqueadas: as portas 12001, 8671,443, 8443 e 6379 devem estar abertas entre os nós na implantação e na rede para procedimentos de Replicação sem falhas na implantação.

Impacto do alarme

O impacto depende do tipo de dados que está sendo replicado. As falhas de replicação podem resultar em configuração inconsistente nos nós do ISE, propagação atrasada de alterações administrativas, políticas desatualizadas, dispositivos de rede ou informações de identidade ausentes, falhas de sincronização de certificados e dados de endpoint inconsistentes. Se a replicação não for bem-sucedida por um longo período, as operações administrativas e a consistência de políticas em toda a implantação poderão ser afetadas.

Replicação Interrompida

O alarme "Replicação interrompida" é gerado quando o nó primário de administração não pode replicar as informações para os nós secundários da implantação. Esse alarme indica que o processo de replicação falhou e que o(s) nó(s) afetado(s) não tem(têm) mais a configuração ou os dados operacionais mais recentes.

Motivo do alarme

O alarme "Replicação interrompida" pode ocorrer quando o Nó de administração primário não consegue transferir com êxito os dados replicados. As causas comuns incluem:

• Problemas de comunicação de rede: Perda de pacotes, alta latência de rede, restrições de firewall, problemas de roteamento ou incompatibilidades de MTU que interrompem a comunicação entre os nós do ISE.

• Problemas do serviço de replicação: RabbitMQ, JGroups ou outros serviços de replicação interna estão indisponíveis, sendo reiniciados ou não estão funcionando corretamente no nó Administração primária.

• Restrições de recursos do sistema: Alta utilização da CPU, pressão de memória, espaço em disco insuficiente ou E/S de disco pesado atrasando o processamento da replicação no nó de administração principal.

• Problemas de resolução de DNS ou nome de host: Resolução de DNS direta ou reversa incorreta que impede a comunicação bem-sucedida entre os nós.

• Inconsistências de versão ou implantação: A replicação falhará se os nós não estiverem operando em versões de software com suporte ou se a implantação estiver em um estado inconsistente após uma atualização ou um registro de nó.

• Expiração do Certificado Admin: o certificado Admin para os nós ISE expirou /corrompido / inválido, por causa do qual a comunicação entre os nós está em jogo, levando à falha de replicação. 

• Erros de enlace de fila: a implantação ou o(s) nó(s) afetado(s) estão mostrando os erros de enlace de fila em que o certificado de mensagens do ISE/cadeia de CA raiz do ISE está corrompido ou é inválido na porta 8671. 

• O serviço de túnel está desabilitado/offline: o serviço de túnel é executado em todos os nós da implantação distribuída. O status Desabilitado/Não em execução do serviço de Túnel resulta nos alarmes de falha de Replicação. 

• Portas de replicação são bloqueadas: as portas 12001, 8671,443, 8443 e 6379 devem estar abertas entre os nós na implantação e na rede para procedimentos de Replicação sem falhas na implantação.

Impacto do alarme

Quando a replicação é interrompida, os nós na implantação não recebem mais atualizações de configuração do Nó de Administração Primário. Isso pode resultar em políticas inconsistentes, definições de dispositivo de rede desatualizadas, informações de endpoint ausentes, atrasos na sincronização de certificados e incompatibilidades de configuração na implantação. Se a replicação permanecer interrompida por um longo período, as alterações administrativas feitas no PAN principal não poderão ser efetivadas no nó afetado até que a sincronização seja restaurada.

Solucionar Problemas de Falha de Replicação e Alarme de Replicação Interrompida

Alarme de replicação lenta 

Sempre que uma alteração de configuração é feita no PAN primário, o Cisco ISE coloca a alteração na fila de replicação e a sincroniza com os nós secundários. Em condições normais, a replicação é concluída em um curto período. No entanto, se a fila de replicação começar a se acumular ou o nó de destino demorar mais do que o esperado para processar solicitações de replicação, o Cisco ISE gera um alarme de Replicação lenta.

O Cisco ISE classifica esses alarmes em três níveis de gravidade:

• Informações de Replicação Lenta
• Aviso de replicação lenta
• Erro de replicação lenta

Motivo do alarme

O alarme de "Replicação lenta" é normalmente gerado devido a condições temporárias que atrasam o processamento da replicação. As causas comuns incluem:

• Utilização temporária de recursos do sistema: Períodos curtos de alta utilização de CPU, uso de memória ou aumento de I/O de disco podem atrasar o processamento da replicação.

• Latência de rede: Aumentos breves na latência da rede ou perda de pacotes menor entre os nós do ISE podem retardar a transferência de dados.

• Grandes alterações de configuração: As importações em massa de endpoints, atualizações de políticas, importações de certificados ou outras grandes alterações administrativas aumentam a quantidade de dados a serem replicados.

• Operações do sistema em segundo plano: Atividades de backup, restauração, limpeza, instalação de patches ou atualização aumentam temporariamente a carga do sistema.

• Backlog da fila de replicação: Várias alterações de configuração executadas em um curto período podem aumentar temporariamente a fila de replicação.

• Atrasos de serviço temporários: RabbitMQ, JGroups ou serviços de banco de dados sofrem breves atrasos de processamento enquanto continuam funcionando normalmente.

Alarme de Replicação Lenta - Info

A replicação lenta ou interrompida é detectada quando a contagem de mensagens pendentes excede 10000 ou quando o tempo necessário para replicar as mensagens é superior a uma hora. 

Verificação: Verificar a contagem de mensagens de sincronização pendente. Navegue para Administração > Sistema > Disponibilização, selecione o nó afetado e clique no ícone Informações (i) para revisar o número de mensagens de replicação pendentes.

Alarme de Replicação Lenta - Aviso

A replicação lenta ou interrompida é detectada quando a contagem de mensagens pendentes é maior que 20000 ou quando o tempo necessário para replicar mensagens excede três horas.

Verificação: Verificar a contagem de mensagens de sincronização pendente. Navegue para Administração > Sistema > Disponibilização, selecione o nó afetado e clique no ícone Informações (i) para revisar o número de mensagens de replicação pendentes.

Alarme de Replicação Lenta - Erro

A replicação lenta ou interrompida é detectada quando a contagem de mensagens pendentes é maior que 40000 ou quando o tempo necessário para replicar mensagens excede cinco horas.

Verificação: Verificar a contagem de mensagens de sincronização pendente. Navegue para Administração > Sistema > Disponibilização, selecione o nó afetado e clique no ícone Informações (i) para revisar o número de mensagens de replicação pendentes.

Solucionar problemas de alarmes de replicação de nó

1. Verificar Status de Implantação para o Nó

Para que a replicação do certificado tenha êxito, o nó secundário deve estar em um estado Conectado na implantação do Cisco ISE. Navegue até Administração > Sistema > Implantação e verifique o status do nó afetado. Passe o mouse sobre o ícone Information (i) ao lado do status do nó para revisar os detalhes da sincronização e quaisquer mensagens de replicação pendentes.

O status de sincronização exibido para cada nó indica seu estado atual de replicação e conectividade:

• Verde - o nó é sincronizado com a implantação e a replicação está operando normalmente.
• Amarelo - O nó está fora de sincronização, o registro do nó falhou ou a conectividade do cluster foi perdida. Esse status indica que o nó não pode ser acessado pelo cluster nos últimos cinco minutos.
• Vermelho - O nó está inacessível e não pode ser contatado por meio de verificações de conectividade de rede, como ping ICMP ou HTTPS.

Se o nó exibir um status Amarelo ou Vermelho, ele indicará um problema de replicação ou conectividade que afeta esse nó. Além disso, verifique a contagem de mensagens de replicação exibida nas informações do nó. A contagem de mensagens pendentes deve ser 5.000 ou menos. Uma fila contendo mais de 5.000 mensagens pendentes indica que a fila de replicação foi acumulada, o que pode atrasar ou impedir a replicação bem-sucedida.

2. Verificar o Alarme de Enlace de Fila na Implantação 

A replicação bem-sucedida no Cisco ISE depende da disponibilidade e da comunicação do serviço de mensagens RabbitMQ e da estrutura de comunicação de cluster JGroups. Se qualquer componente encontrar problemas de comunicação, o Cisco ISE gera Erros de enlace de fila, que podem interromper a replicação entre os nós de implantação.

Para verificar o status do alarme, navegue até Operations > Dashboard > Alarms e verifique Queue Link Errors nos nós afetados.

Se houver erros de enlace de fila, renove o certificado CA raiz do Cisco ISE, pois falhas de comunicação relacionadas ao certificado geralmente resultam em erros de enlace de fila. Quando o problema do certificado é resolvido, a replicação normalmente é retomada automaticamente sem exigir intervenção adicional.

3. Verificar a Latência e a Conectividade da Rede

A replicação do Cisco ISE depende de uma conectividade de rede estável entre os nós de implantação. A alta latência de rede ou a conectividade intermitente pode atrasar a replicação e pode resultar em falhas de sincronização, particularmente em implantações distribuídas geograficamente.

Verifique a latência de rede entre os nós afetados usando testes de conectividade como ping. Para replicação confiável, a latência de ida e volta entre os nós deve permanecer dentro de aproximadamente 300 ms. A latência que excede consistentemente esse limite pode afetar negativamente o desempenho e a sincronização da replicação. Verifique também se não há interrupções intermitentes da rede, perda de pacotes ou restrições de firewall que afetem a comunicação entre os nós de implantação.

4. Verificar a Utilização de Recursos do Sistema 

A alta utilização de recursos do sistema pode afetar o desempenho do Cisco ISE e atrasar as tarefas de replicação. Uma utilização excessiva de CPU, memória ou disco pode impedir que os processos de replicação sejam concluídos com êxito.

Verifique se o nó afetado tem recursos de sistema suficientes disponíveis e se a utilização de recursos permanece dentro dos limites operacionais recomendados. Se a utilização de recursos for consistentemente alta, aloque recursos adicionais ou reduza a carga de trabalho no nó para restaurar o desempenho de replicação normal.

5. Verificar a Disponibilidade da Porta na Implantação e na Rede

A replicação do Cisco ISE requer que portas TCP específicas permaneçam abertas entre todos os nós na implantação para garantir comunicação ininterrupta e replicação bem-sucedida. Se qualquer uma dessas portas for bloqueada por um firewall, uma política de controle de acesso ou um dispositivo de rede, poderão ocorrer falhas de replicação ou problemas de sincronização.

Verifique se essas portas TCP estão abertas e acessíveis entre todos os nós do Cisco ISE:

• TCP 443 - comunicação HTTPS
• TCP 8443 - Comunicação administrativa
• TCP 12001 - Comunicação e replicação de cluster JGroups
• TCP 6379 - Serviços de mensagens internas
• TCP 8671 - Mensagens do Cisco ISE (RabbitMQ)

Faça login na CLI do Cisco ISE e execute o comando show ports para verificar as portas mencionadas permitidas no nó.

Confirme se as portas necessárias estão ativadas no nó do Cisco ISE e assegure-se de que sejam permitidas no caminho da rede. Verifique se nenhum firewall intermediário, dispositivo de segurança ou política de rede está bloqueando a comunicação nessas portas entre os nós de implantação.

6. Verificar a Resolução DNS 

A replicação do Cisco ISE depende da comunicação bem-sucedida entre todos os nós na implantação. Para que a comunicação entre nós funcione corretamente, os nós devem estar acessíveis e a resolução de DNS de encaminhamento e de DNS reverso deve estar configurada e funcionando corretamente. Problemas de resolução de DNS podem impedir que os nós se comuniquem, resultando em falhas de replicação.

Para verificar a resolução de DNS nos nós do ISE, faça login na CLI do Cisco ISE e use o comando nslookup para verificar a resolução de DNS de encaminhamento e reverso para cada nó na implantação.

Por exemplo:

• Pesquisa de DNS direta: o comando nslookup www.example.com deve retornar o endereço IP do nó correspondente do Cisco ISE.

• Pesquisa de DNS reverso: o comando nslookup 10.x.x.1 deve retornar o FQDN (nome de domínio totalmente qualificado) do nó Cisco ISE correspondente.

7. Verificação de Certificado de Mensagens do Admin & ISE

O Cisco ISE usa o certificado Admin e o certificado de mensagens ISE para estabelecer uma comunicação segura entre nós necessária para a replicação. Se qualquer certificado for inválido, expirado, corrompido ou não confiável, a replicação entre os nós de implantação pode falhar.

Para verificar o status do certificado, navegue para Administração > Sistema > Certificados, selecione o nó afetado e revise os certificados Admin e Mensagens do ISE. Verifique se os certificados são válidos, não expiraram, são confiáveis e estão em um estado íntegro.

Se o certificado Admin ou o certificado de mensagens ISE for inválido, corrompido ou expirado, substitua ou renove o certificado. Uma vez resolvido o problema do certificado, a replicação é retomada após o restabelecimento da comunicação segura entre os nós.

8. Verificar o status do serviço de Túnel do ISE

O serviço Stunnel no Cisco ISE é um serviço interno que fornece encapsulamento SSL/TLS seguro para comunicação entre componentes do ISE e serviços externos. Em vez de implementar a criptografia TLS de forma independente em cada aplicativo, o ISE usa o Túnel como um wrapper que adiciona a criptografia SSL/TLS aos serviços que se comunicam por TCP simples. Isso melhora a segurança e simplifica a implementação de comunicações seguras.

O serviço Stunnel deve estar no estado Running em todos os nós na implantação do Cisco ISE para que a replicação funcione corretamente. O serviço depende dos certificados ISE Admin e ISE Messaging válidos para estabelecer comunicação TLS segura entre os nós durante o processo de replicação. O status do serviço pode ser verificado a partir da CLI do Cisco ISE usando o comando show tech-support | inclui o atordoamento

Coleta de logs para alarmes de replicação

Esses são os componentes comuns que devem ser definidos no modo debug para isolar e solucionar problemas de alarmes de replicação no Cisco ISE.

• Implantação de replicação (replication.log e ise-psc.log)
• Replication-JGroup (replication.log e ise-psc.log)
• Replication Tracker (tracking.log)
• hibernar (hibernate.log)
• JMS (replication.log)

Referência

• Guia do Administrador do Cisco Identity Services Engine, Versão 3.5
• Solucionar problemas e ativar depurações no ISE
• Coletar pacote de suporte no Identity Services Engine

Histórico de revisões

Revisão	Data de publicação	Comentários
1.0	06-Jul-2026	Versão inicial