Problema
As tentativas de implantar o Conector de Recursos de Acesso Seguro no Docker não tiveram êxito.
Embora o conector tenha sido instalado corretamente, não foi possível estabelecer a conectividade com o Cisco Secure Access.
As verificações de diagnóstico relataram erros de desconexão de túnel e de comunicação do servidor.
O ambiente usa máquinas virtuais Red Hat 9 hospedadas no Google Cloud, conectadas através de um firewall Fortinet com uma regra "any any".
A identificação e solução de problemas revelou possíveis incompatibilidades de MTU entre as interfaces de rede como um fator contribuinte.
Ambiente
- Tecnologia: suporte à solução (SSPT - contrato necessário)
- Subtecnologia: Acesso seguro - Conector de recursos (instalação, atualização, registro, conectividade, recurso privado)
- Plataforma: Red Hat 9 Máquinas Virtuais no Google Cloud
- Rede: firewall Fortinet entre acesso seguro e VM (qualquer regra "qualquer um" em vigor)
- Região do Conector: iuvz83r.mxc1.acgw.sse.cisco.com
- MTU padrão do VPC do Google Cloud: 1460 bytes
- MTU padrão da Docker Bridge (docker0): 1500 bytes (antes da alteração)
- Interface de rede única (eth0) por VM
Resolução
Siga estas etapas para diagnosticar e resolver problemas de conectividade do Secure Access Resource Connector em um ambiente de nuvem Docker/Google:
Verificar a Resolução DNS para a Região do Conector
Use nslookup para confirmar se a região de Acesso Seguro pode ser resolvida na VM.
nslookup iuvz83r.mxc1.acgw.sse.cisco.com
Saída de exemplo:
Server: 64.102.6.247
Address: 64.102.6.247#53
Non-authoritative answer:
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.72
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.70
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.66
Name: iuvz83r.mxc1.acgw.sse.cisco.com
Address: 163.129.128.68
Verificar a conectividade de rede para acesso seguro
Use ping e telnet para validar a conectividade para acesso seguro da VM.
ping iuvz83r.mxc1.acgw.sse.cisco.com
Saída de exemplo:
PING iuvz83r.mxc1.acgw.sse.cisco.com (163.129.128.66) 56(84) bytes of data.
64 bytes from 163.129.128.66: icmp_seq=1 ttl=57 time=44.7 ms
64 bytes from 163.129.128.66: icmp_seq=2 ttl=57 time=43.8 ms
...
telnet iuvz83r.mxc1.acgw.sse.cisco.com 443
Saída de exemplo:
Trying 163.129.128.66...
Connected to iuvz83r.mxc1.acgw.sse.cisco.com.
Escape character is '^]'.
Verifique a conectividade do túnel e execute o diagnóstico
Execute o utilitário de diagnóstico do conector para verificar o status do túnel.
/opt/connector/data/bin/diagnostic
Saída de exemplo:
###check tunnel connection:
error: tunnel is not connected
Verifique a interface de rede e as configurações de MTU
Verifique os endereços IP e a MTU de todas as interfaces usando ifconfig e ip a.
ifconfig
ip a
Exemplo de saída para eth0 e docker0:
[root@degcpprcra02 ~]# ifconfig
docker0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1500
inet x.x.x.x netmask x.x.x.x broadcast x.x.x.x
inet6 fe80::1c66:46ff:fe1d:8bed prefixlen 64 scopeid 0x20<link>
ether 1e:66:46:1d:8b:ed txqueuelen 0 (Ethernet)
RX packets 974 bytes 119775 (116.9 KiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 848 bytes 161554 (157.7 KiB)
TX errors 0 dropped 2 overruns 0 carrier 0 collisions 0
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST> mtu 1460
inet x.x.x.x netmask x.x.x.x broadcast 0.0.0.0
ether 42:01:c0:a8:80:b0 txqueuelen 1000 (Ethernet)
RX packets 20175 bytes 7755728 (7.3 MiB)
RX errors 0 dropped 0 overruns 0 frame 0
TX packets 21550 bytes 31402300 (29.9 MiB)
TX errors 0 dropped 0 overruns 0 carrier 0 collisions 0
Verificar se o tráfego TCP é capturado
Use tcpdump para capturar o tráfego entre a VM e a região Secure Access.
tcpdump -i eth0 host iuvz83r.mxc1.acgw.sse.cisco.com
Exemplo de saída (não mostrando pacotes capturados):
listening on eth0, link-type EN10MB (Ethernet), snapshot length 262144 bytes
^C
0 packets captured
6 packets received by filter
0 packets dropped by kernel
Destrua e reinstale o conector, se necessário
Pare e destrua o conector se o diagnóstico e o suporte técnico não estiverem funcionando:
/opt/connector/install/connector.sh stop --destroy
cd /opt
rm -rf connector
Reinstale o conector e gere saída de suporte técnico
Após a reinstalação, gere suporte técnico para capturar logs de erros:
/opt/connector/data/bin/techsupport > techsupport.txt
Sample output showing connection errors:
2026-02-13 23:48:20.398772500 >> warning: Connection attempt has failed.
2026-02-13 23:48:20.398775500 >> warning: Unable to contact iuvz83r.mxc1.acgw.sse.cisco.com.
2026-02-13 23:48:20.398775500 >> error: Connection attempt has failed due to server communication errors. Please retry the connection.
2026-02-13 23:48:20.398887500 >> state: Disconnected
Ajustar o MTU do Docker para corresponder ao VPC da nuvem do Google e à interface da VM
Altere o MTU na interface da ponte do Docker para corresponder ao padrão do VPC do Google Cloud (1460 bytes):
ip link set dev docker0 mtu 1460
Verificar alteração de MTU:
ip a
Saída de exemplo:
docker0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1460 qdisc noqueue state UP group default
link/ether 1e:66:46:1d:8b:ed brd ff:ff:ff:ff:ff:ff
inet x.x.x.x brd x.x.x.x scope global docker0
valid_lft forever preferred_lft forever
inet6 fe80::1c66:46ff:fe1d:8bed/64 scope link
valid_lft forever preferred_lft forever
Persistir Alteração de MTU do Docker em /etc/docker/daemon.json
Edite /etc/docker/daemon.json e adicione ou atualize o valor mtu:
{
...
"mtu": 1460
}
Reinicie a VM para aplicar a configuração de MTU
Reinicie a VM completa para garantir que as configurações de MTU sejam totalmente aplicadas. Isso é necessário, pois é possível que reiniciar apenas o serviço Docker não imponha a alteração de MTU para todos os componentes de rede.
Depois de seguir essas etapas, a conectividade com o Acesso seguro foi estabelecida com êxito e a configuração pôde ser concluída.
Causa
A causa raiz foi uma incompatibilidade de MTU entre a interface de ponte do Docker (docker0) e a interface de rede VPC/VM do Google Cloud (eth0). As interfaces VPC e VM do Google Cloud assumem como padrão um MTU de 1460 bytes, enquanto o MTU padrão do Docker é de 1500 bytes.
Essa incompatibilidade causou fragmentação ou pacotes descartados, impedindo que o Conector de Recursos de Acesso Seguro estabelecesse um túnel. O alinhamento dos valores de MTU resolveu o problema de conectividade.
Conteúdo relacionado
- https://securitydocs.cisco.com/docs/csa/olh/120695.dita
- https://securitydocs.cisco.com/docs/csa/olh/120776.dita
- https://securitydocs.cisco.com/docs/csa/olh/120727.dita
- https://securitydocs.cisco.com/docs/csa/olh/120772.dita
- https://securitydocs.cisco.com/docs/csa/olh/120762.dita
- https://securitydocs.cisco.com/docs/csa/olh/120685.dita
- Suporte técnico e downloads da Cisco
Feedback