安全訪問資源聯結器證書到期和作業系統升級警告

問題

資源

在VMware ESXi上部署的聯結器顯示以下錯誤：

1.此聯結器已連線，但無法同步其配置。運行診斷程式並檢查防火牆設定，以解決連線問題。

2.配置狀態：無法檢索DNS配置或配置狀態。檢查防火牆設定。

3.聯結器版本：

• 未知

• v2.0.85

• (v2.0.93)

The data can be out-of-date.
Added
Jan 20, 2026 7:15 AM UTC

OS版本

• 未知

• 2509300328

• (2601240447)

• 資料可能已過時。

環境

• 思科安全存取資源聯結器版本2.0.85

• VMware ESXi虛擬化平台

• 以HA對部署的資源聯結器

• CSG防火牆，確認無防火牆丟棄

• 網路連線已確認，無路由或NAT更改

• 同一環境中的多個資源聯結器對具有相同的防火牆、路由、NAT和安全策略

• 大約每5週重複發生一次的問題模式

解析

原因

兩個RC均顯示以下錯誤：無法設定控制器連線error="SetupControllerConnection:：無法建立控制器連線 — err=無法建立連線：網路錯誤：已超過上下文截止時間」

未檢測到來自RC的連線問題。DNS正常。允許埠，但僅對這些URL執行PING操作失敗：

2026-02-12 14:26:39.736869500 SSE API -> [0;31mFAILED
2026-02-12 14:26:39.736870500 SSE ACME PureCA OCSP -> [0;31mFAILED
2026-02-12 14:26:39.736924500 =====================================

2026-02-12 14:10:21.892855500
2026-02-12 14:10:21.892856500 ###ping SSE API: ping -w 5 -c 3 api.sse.cisco.com
2026-02-12 14:10:26.899046500 PING api.sse.cisco.com (146.112.59.20) 56(84) bytes of data.
2026-02-12 14:10:26.899047500
2026-02-12 14:10:26.899048500 --- api.sse.cisco.com ping statistics ---
2026-02-12 14:10:26.899048500 5 packets transmitted, 0 received, 100% packet loss, time 4082ms


2026-02-12 14:10:30.922958500 ###ping SSE ACME PureCA OCSP: ping -w 5 -c 3 ssepki-prd.pureca.cryptosvcs.cisco.com
2026-02-12 14:10:35.926673500 PING ssepki-prd.pureca.cryptosvcs.cisco.com (3.225.142.190) 56(84) bytes of data.
2026-02-12 14:10:35.926674500
2026-02-12 14:10:35.926709500 --- ssepki-prd.pureca.cryptosvcs.cisco.com ping statistics ---
2026-02-12 14:10:35.926709500 5 packets transmitted, 0 received, 100% packet loss, time 4078ms


2026-02-12 14:15:54.892666500 =========== Ping ============
2026-02-12 14:15:54.892823500 self -> [0;32mSUCCESS
2026-02-12 14:15:54.892879500 gateway -> 0;32mSUCCESS
2026-02-12 14:15:54.892964500 SSE API -> 0;31mFAILED
2026-02-12 14:15:54.893022500 SSE Certificate API ->[0;32mSUCCESS
2026-02-12 14:15:54.893071500 SSE AC Headend -> SUCCESS
2026-02-12 14:15:54.893144500 SSE ACME PureCA OCSP -> [0;31mFAILED
2026-02-12 14:15:54.893168500 =====================================

上述消息為誤報。

當RC嘗試檢查SSE API的OCSP時，由於OCSP故障而續訂了相關證書。在日誌中，您可以看到返回的狀態是HTTP 403:

026-02-12T14:23:26Z ERR could not check for certificate revocation error="error validating cert revocation status err=exit status

以下調試行可能很有用：

 Error querying OCSP responder\n807BB6508C770000:error:1E800069:HTTP routines:parse_http_line1:received error:../crypto/http/http_client.c:440:code=403, reason=Forbidden\n807BB6508C770000:error:1E800076:HTTP routines:OSSL_HTTP_REQ_CTX_nbio:unexpected content type:../crypto/http/http_client.c:676:expected=application/ocsp-response, actual=text/html; charset=\"utf-8\"\n807BB6508C770000:error:1E800067:HTTP routines:OSSL_HTTP_REQ_CTX_exchange:error receiving:../crypto/http/http_client.c:874:server=http://ssepki.cryptosvcs.cisco.com:80\n" func=VerifyCertificateStatus

2026-02-12T14:23:26Z INF setting up controller connection

如果防火牆上有阻塞，則允許到http://ssepki.cryptosvcs.cisco.com:80\n的流量可消除更多證書錯誤。

作業系統更新

請參閱https://securitydocs.cisco.com/docs/csa/olh/120729.dita

資源聯結器繼續運行，但不再受支援。

相關內容

• 思科技術支援與下載

修訂記錄

修訂	發佈日期	意見
2.0	17-Jul-2026	重新認證
1.0	12-Mar-2026	初始版本