Solucionar erros de guarda-chuva para Ative Diretory e VAs

Introdução

Este documento descreve a solução de problemas de erros de guarda-chuva para o Ative Diretory e dispositivos virtuais.

Problema

Este documento descreve mensagens comuns de erro, aviso e informativas na página Sites e Ative Diretory e fornece etapas de resolução.

Uma ou mais mensagens de erro, aviso ou informativas aparecem na página Configurações do Umbrella > Sites e AD para Dispositivos Virtuais, Conectores do Ative Diretory (AD) ou Controladores de Domínio (DCs).

Ambiente

A página "Umbrella Sites and Ative Diretory" está localizada em Settings > Sites and AD.

• Os componentes afetados incluem dispositivos virtuais (VAs), conectores AD e DCs.
• O suporte ao DNSCrypt está disponível na versão 1.5.x ou posterior do VA.
• Se o conector for implantado no Windows Server (WS) 2012 ou posterior e a sincronização com o Umbrella tiver sido interrompida, verifique se o conector está executando a versão 1.6.31 ou posterior.
• Os conectores versão 1.6.31 ou posterior funcionam no WS 2008/2008 R2 se estiverem executando o .NET 4.5.2 ou posterior, mas a reimplantação em um servidor com suporte é recomendada.
• A Cisco anunciou o fim da vida útil (EOL) do Transport Layer Security (TLS) 1.0/1.1. As versões não suportadas do Windows (Windows Server 2008, 2008 R2 ou Windows 7) não suportam o TLS 1.2 por padrão. Reinstale o conector em uma versão de servidor com suporte (Windows Server 2012 ou superior).
• Para enviar informações de eventos de logon a um Virtual Appliance, o Controlador de Domínio (DC) deve ter um Conector instalado no mesmo local.
• Os sites devem conter pelo menos um de cada tipo de componente onde for observado pela mensagem.
• O serviço Umbrella Connector foi testado para oferecer suporte a 10 ativos (controladores de domínio e dispositivos virtuais) por CPU.
• O serviço Umbrella Connector foi testado para suportar aproximadamente 850 eventos contínuos (sem limite rígido) por segundo em todos os controladores de domínio em um site de guarda-chuva.

Resolução

Use a seção que corresponde ao tipo de componente mostrado em Configurações > Sites e AD e selecione o texto exato da mensagem.

• Dispositivos virtuais: Status de registro/sincronização de VA, associação de conector, DNSCrypt, domínios locais, redundância e mensagens de falha de consulta de DNS.
• Conectores AD: Status de registro/sincronização do conector, conectividade DC/VA, tempos limite, processamento paralelo e mensagens de queda de evento.
• Controladores de domínio: Mensagens de associação do conector e conectividade WMI.

Dispositivos virtuais

"Este VA foi registrado, mas nunca foi sincronizado"

1. Aguarde até 10 minutos para que a sincronização seja concluída.
2. Verifique se os requisitos de rede foram atendidos. Consulte Guia para o Fluxo de Comunicação do Ative Diretory: Conectores > Dispositivos virtuais > DCs e a nuvem.
3. Se o problema persistir, colete logs e abra um caso de suporte.

"Este VA estava sincronizando em um ponto, mas parou desde então"

Use estas etapas para restaurar a sincronização de VA e confirmar a conectividade necessária.

1. Se o VA tiver sido excluído, remova-o do painel Umbrella: Instruções de remoção - Umbrella Insights.
2. Confirme os requisitos de rede. Consulte Guia para o Fluxo de Comunicação do Ative Diretory: Conectores > Dispositivos virtuais > DCs e a nuvem.
3. Abra um caso de suporte se o problema persistir.

 "Este VA estava conectado anteriormente a um ou mais Conectores, mas agora não está conectado a nenhum"

1. Se algum Conector tiver sido removido, ignore esta mensagem e remova a entrada de Conector obsoleta do painel.
2. Confirme os requisitos de rede. Consulte Guia para o Fluxo de Comunicação do Ative Diretory: Conectores > Dispositivos virtuais > DCs e a nuvem.
3. Abra um caso de suporte se o problema persistir.

"Este Virtual Appliance está conectado a alguns, mas não a todos, os Conectores deste site"

1. Se algum conector tiver sido removido, ignore esta mensagem e remova o conector do painel.
2. Confirmar pré-requisitos: Guia do usuário do Virtual Appliance: Pré-requisitos.
3. Coletar logs: Fornecendo suporte com logs do conector AD.
4. Abra um caso de suporte se o problema persistir.

"As consultas DNS encaminhadas por este VA para o Umbrella não estão criptografadas"

O DNSCrypt criptografa pacotes DNS encaminhados do Virtual Appliance (VA) para os resolvedores DNS públicos Umbrella e é habilitado por padrão.

1. Confirme se o VA está executando a versão 1.5.x ou posterior. O suporte ao DNSCrypt está disponível na versão 1.5.x ou posterior. Se houver apenas um VA e ele não estiver atualizado, atualize-o: Atualizar aplicativos virtuais.
2. Reveja as políticas de firewall e inspeção para garantir que a sonda DNSCrypt na porta 53 (UDP/TCP) não seja bloqueada ou alterada. Se um sistema de prevenção de intrusão (IPS - Intrusion Prevention System) ou um sistema de detecção de intrusão (IDS - Intrusion Detection System) executar uma inspeção profunda de pacotes e esperar apenas tráfego DNS, a sonda poderá falhar.
3. Para implantações do Adaptive Security Appliance (ASA), revise as orientações de inspeção de pacotes referenciadas pela documentação de implantação.
4. Se o aviso persistir, colete os logs: Fornecendo suporte com logs de conector do AD, abra um caso de suporte.
5. Verifique se o aviso é limpo em Settings > Sites e AD para o VA afetado.

Mais detalhes: Novo aviso de VA: Habilitando DNSCrypt no dispositivo virtual.

"Este VA não tem domínios locais configurados"

1. Verifique se os domínios locais estão configurados: Local DNS Forwarding (Encaminhamento DNS local).

"Este VA não é redundante em seu local (são necessários mais de 2 VA por local)"

1. Instale um segundo VA para alta disponibilidade. Consulte a documentação de implantação do Umbrella Virtual Appliance para obter orientação sobre a execução de dois Virtual Appliances por local.

"Uma grande porcentagem de consultas DNS para este VA está falhando"

1. Colete os registros relevantes de VA e conector e abra um caso de suporte.
2. Verifique se a taxa de falha de consulta DNS retorna ao normal e se o erro é limpo em Settings > Sites and AD para o VA afetado.

Conectores AD

"Este Conector foi registrado, mas nunca foi sincronizado"

Use estas verificações para confirmar se a sincronização inicial foi concluída com êxito:

1. Aguarde até 10 minutos para que a sincronização seja concluída.
2. Certifique-se de que os requisitos de rede sejam atendidos: Integrações de identidade: Pré-requisitos.
3. Coletar logs: Fornecendo suporte com logs do conector AD.
4. Abra um caso de suporte se o problema persistir.

"Este Conector estava sincronizando em um ponto, mas parou desde então"

1. Verifique se os requisitos de rede foram atendidos. Consulte Guia para o Fluxo de Comunicação do Ative Diretory: Conectores > Dispositivos virtuais > DCs e a nuvem.
2. A Cisco anunciou o EOL do TLS 1.0/1.1. As versões do Windows sem suporte (Windows Server 2008, 2008 R2 ou Windows 7) não oferecem suporte ao TLS 1.2 por padrão. Reinstale o conector em uma versão de servidor com suporte (Windows Server 2012 ou superior).
3. Se o conector estiver implantado no WS 2012 ou posterior e a sincronização com o Umbrella tiver sido interrompida, verifique se o conector está executando a versão 1.6.31 ou posterior.
4. Os conectores versão 1.6.31 ou posterior funcionam no WS 2008/2008 R2 se estiverem executando o .NET 4.5.2 ou posterior, mas a reimplantação em um servidor com suporte é recomendada.
5. Coletar logs: Fornecendo suporte com logs do conector AD.
6. Abra um caso de suporte se o problema persistir.

"Este conector não tem VA ou DC ao qual se conectar"

1. Verifique se o site contém pelo menos um de cada tipo de componente.
2. Revisar a documentação de configuração: Integrações de identidade: Pré-requisitos e Integração com o Ative Diretory > Etapa 2: Prepare seu ambiente do Ative Diretory.

"Este conector não tem um DC ao qual se conectar"

1. Verifique se o site contém pelo menos um de cada tipo de componente.
2. Revisar a documentação de configuração: Prepare seu ambiente do Ative Diretory.

"Há um ou mais DCs aos quais o Conector pode se conectar, mas ainda não se conectou a nenhum"

1. Aguarde até 10 minutos para que a sincronização seja concluída.
2. Verifique se os pré-requisitos foram atendidos: Integrações de identidade: Pré-requisitos.
3. Coletar logs: Fornecendo suporte com logs do conector AD.
4. Abra um caso de suporte se o problema persistir.

"O conector está conectado a alguns, mas não a todos, DCs"

1. Confirmar pré-requisitos: Integrações de identidade: Pré-requisitos.
2. Coletar logs: Fornecendo suporte com logs do conector AD.
3. Abra um caso de suporte se o problema persistir.

"O Conector já foi conectado, mas não está conectado atualmente a nenhum dos controladores de domínio disponíveis"

1. Confirmar pré-requisitos: Integrações de identidade: Pré-requisitos.
2. Coletar logs: Fornecendo suporte com logs do conector AD.
3. Abra um caso de suporte se o problema persistir.

"Há um ou mais VAs aos quais o Conector pode se conectar, mas ainda não se conectou a nenhum"

1. Remova todos os VAs não utilizados do painel.
2. Aguarde até 10 minutos para sincronização após a remoção.
3. Certifique-se de que os requisitos de rede sejam atendidos: Integrações de identidade: Pré-requisitos.
4. Coletar logs: Fornecendo suporte com logs do conector AD.
5. Abra um caso de suporte se o problema persistir.

"O Conector está relatando erros de tempo limite ao tentar se conectar a alguns VAs"

1. Se o Virtual Appliance não estiver na mesma LAN que o Connector, considere segregar a implantação usando sites Umbrella: Conecte vários domínios do Ative Diretory ao Umbrella.
2. Remova os VAs não utilizados do painel.
3. Aguarde até 10 minutos para sincronização após a remoção.
4. Certifique-se de que os requisitos de rede sejam atendidos: Integrações de identidade: Pré-requisitos.
5. Coletar logs: Fornecendo suporte com logs do conector AD.
6. Abra um caso de suporte se o problema persistir.

"O conector está conectado a alguns, mas não a todos, VAs"

1. Remova os VAs não utilizados do painel.
2. Aguarde até 10 minutos para sincronização após a remoção.
3. Verifique se os requisitos de rede foram atendidos. Consulte Guia para o Fluxo de Comunicação do Ative Diretory: Conectores > Dispositivos virtuais > DCs e a nuvem.
4. Coletar logs: Fornecendo suporte com logs do conector AD.
5. Abra um caso de suporte se o problema persistir.

"O Conector já foi conectado, mas não está conectado atualmente a nenhum dos VAs disponíveis"

1. Remova os VAs não utilizados do painel.
2. Aguarde até 10 minutos para sincronização após a remoção.
3. Certifique-se de que os requisitos de rede sejam atendidos: Guia para o fluxo de comunicação do Ative Diretory: Conectores > Dispositivos virtuais > DCs e a nuvem.
4. Coletar logs: Fornecendo suporte com logs do conector AD.
5. Abra um caso de suporte se o problema persistir.

"O Conector não está sincronizando eventos em paralelo com os VAs. O processamento de eventos pode ser mais lento do que o esperado"

1. Observe que o serviço Umbrella Connector foi testado para oferecer suporte a 10 ativos (controladores de domínio e dispositivos virtuais) por CPU.
2. Atualize o servidor com o número necessário de CPUs com base no número de controladores de domínio e dispositivos virtuais no site de guarda-chuva.
3. Coletar logs: Fornecendo suporte com logs do conector AD.
4. Abra um caso de suporte se o problema persistir.

"O Conector está relatando quedas ao tentar enviar eventos para alguns VAs"

Use estas etapas para reduzir a perda de eventos e restaurar a entrega estável de eventos.

1. Verifique se a taxa total de eventos em todos os controladores de domínio no Umbrella Site excede a capacidade contínua testada de aproximadamente 850 eventos por segundo.
2. Se a taxa de eventos exceder essa capacidade testada, aumente os núcleos da CPU no host do conector para melhorar a taxa de transferência do processamento.
3. Se as quedas persistirem, habilite o balanceamento de carga com dois ou mais Conectores para compartilhar a carga do Controlador de Domínio. Este recurso avançado deve ser habilitado abrindo-se um caso de suporte com suporte Umbrella.

Controladores de domínio

"Estava em um ponto conectado a um ou mais conectores, mas agora não está conectado a nenhum"

1. Se o conector tiver sido removido, reimplante o conector ou remova o controlador de domínio.
2. Confirme os requisitos de rede. Consulte Guia para o Fluxo de Comunicação do Ative Diretory: Conectores > Dispositivos virtuais > DCs e a nuvem.
3. Coletar logs: Fornecendo suporte com logs do conector AD.
4. Abra um caso de suporte se o problema persistir.

"Este controlador de domínio nunca se conectou a um conector"

1. Para enviar informações sobre eventos de logon a um Virtual Appliance, o Controlador de Domínio (DC) deve ter um Conector instalado no mesmo site.
2. Para obter informações sobre a instalação do Connector: Instale o conector.
3. Coletar logs: Fornecendo suporte com logs do conector AD.
4. Abra um caso de suporte se o problema persistir.

"Este Controlador de Domínio não tem Conectores para se conectar"

1. Para enviar informações sobre eventos de logon a um Virtual Appliance, o Controlador de Domínio (DC) deve ter um Conector instalado no mesmo site.
2. Para obter informações sobre a instalação do Connector: Instale o conector.
3. Se você reinstalar o Conector ou movê-lo de uma máquina para outra, ignore esta mensagem.

"Este Controlador de Domínio está conectado a alguns, mas não a todos, Conectores"

1. Verificar permissões: Permissões necessárias para o usuário do Cisco_Connector.
2. Coletar logs: Fornecendo suporte com logs do conector AD.
3. Abra um caso de suporte se o problema persistir.

"O estado WMI deste Controlador de Domínio está inoperante. O Controlador de Domínio não está respondendo à conexão WMI do Conector"

1. Isso pode ser um problema temporário devido à carga no controlador de domínio.
2. Verifique se a conexão WMI (Instrumentação de Gerenciamento do Windows) pode ser estabelecida usando a ferramenta WBEMTest.
3. Reduza a carga no DC parando outros aplicativos não utilizados que monitoram eventos de segurança.
4. Reinicie o serviço do Conector para iniciar uma nova conexão WMI depois de reduzir a carga de DC.
5. Coletar logs: Fornecendo suporte com logs do conector AD.
6. Abra um caso de suporte se o problema persistir.

Causas

• Mensagens de aviso (VA) DNSCrypt: O DNSCrypt é habilitado por padrão para criptografar pacotes DNS encaminhados do Virtual Appliance (VA) para resolvedores DNS públicos Umbrella. Se as políticas de firewall ou inspeção bloquearem ou alterarem a prova DNSCrypt na porta 53 (UDP/TCP), a prova falhará. Se um sistema de prevenção de intrusão (IPS - Intrusion Prevention System) ou um sistema de detecção de intrusão (IDS - Intrusion Detection System) executar uma inspeção profunda de pacotes e esperar apenas tráfego DNS, a sonda falhará.
• Mensagens de sincronização interrompida do conector (Conector AD): A Cisco anunciou o Fim da Vida Útil (EOL) do Transport Layer Security (TLS) 1.0/1.1. As versões não suportadas do Windows (Windows Server 2008, 2008 R2 ou Windows 7) não suportam o TLS 1.2 por padrão, o que faz com que a sincronização do conector seja interrompida.
• Mensagens de desempenho do conector (Conector AD): O serviço Umbrella Connector foi testado para oferecer suporte a 10 ativos (controladores de domínio e dispositivos virtuais) por CPU. Quando esse tamanho é excedido, o processamento de eventos é mais lento do que o esperado.
• Mensagens de aviso de queda de evento (Conector AD): O serviço Umbrella Connector foi testado para suportar aproximadamente 850 eventos contínuos (sem limite rígido) por segundo em todos os controladores de domínio em um site de guarda-chuva. Se a taxa geral exceder essa capacidade testada, o Conector descartará eventos.
• Mensagens de erro de inatividade do WMI (Controlador de Domínio): O estado WMI é desativado quando o Controlador de Domínio está sob carga e não responde à conexão WMI do Conector.

Conteúdo relacionado

• Examine o fluxo de integração do Ative Diretory Umbrella
• Enviar registros do Ative Diretory Connector para o suporte do Umbrella

Histórico de revisões

Revisão	Data de publicação	Comentários
2.0	24-Sep-2026	Recertificação.
1.0	03-Sep-2025	Versão inicial