解決Active Directory和虛擬裝置的安全訪問錯誤

簡介

本文檔介紹「站點」和「Active Directory」頁上的常見錯誤、警告和資訊性消息，並提供解決步驟。

先決條件和重要警告

• 同步時間：更改後，最多需要10分鐘才能完成同步過程。
• 網路要求：確保聯結器、虛擬裝置、域控制器和安全訪問雲之間允許連線。
• 伺服器支援：使用Windows Server 2012或更高版本進行聯結器部署，以確保與TLS 1.2相容。
• 日誌收集：如果在執行提供的步驟後問題仍然存在，請收集相關AD連線器日誌以進一步進行調查。
  
  

虛擬裝置

虛擬裝置同步

• [資訊]此VA已註冊，但從未同步：驗證網路要求。如果問題仍然存在，請開啟支援案例。
• [錯誤]此VA曾同步一次，但已停止：如果VA已停用，請將其從Secure Access控制面板中刪除。否則，請檢驗網路連線。
  
  

聯結器連線

• [資訊]此VA以前連線到一個或多個聯結器，但現在未連線到任何聯結器：如果刪除了聯結器，請從儀表板中刪除它們。
• [警告]此虛擬裝置已連線到此站點的部分（但不是全部）聯結器：檢查先決條件並收集支援日誌。
• [警告]此VA向安全訪問轉發的DNS查詢未加密：當DNSCrypt失敗時會發生這種情況。確保防火牆不在埠53上執行深度包檢測。確保VA在3.1.x或更高版本上。

本地域和高可用性

• [資訊]此VA未配置任何本地域：通過本地DNS轉發設定配置本地域。
• [錯誤]此VA在其站點內不是冗餘的（每個站點需要2+ VA）：安裝第二台Virtual Appliance以確保高可用性。
• [錯誤]對此VA的大部分DNS查詢失敗：開啟支援問題單。
  
  

AD聯結器

聯結器同步和連線

• [資訊]此聯結器已註冊，但從未同步：等待10分鐘以進行同步。檢驗網路要求並收集日誌。
• [錯誤]此聯結器曾同步一次，但已停止：驗證伺服器是否支援TLS 1.2。確保聯結器版本為1.6.31或更高版本。
• [資訊]此聯結器沒有要連線的VA或沒有DC:確保站點至少包含一個VA和一個DC。

DC和VA連線

• [警告]聯結器連線到某些（但非全部）DC:驗證先決條件並收集日誌。
• [錯誤]聯結器曾連線過，但當前未連線到任何可用的DC:驗證先決條件並收集日誌。
• [警告]聯結器在嘗試連線到某些VA時報告超時錯誤：如果VA位於不同的LAN上，請考慮使用多個Umbrella站點。
• [資訊]聯結器未與VA並行同步事件：根據資產數量升級伺服器CPU容量。
• [警告]聯結器在嘗試向某些VA傳送事件時報告丟棄：如果事件速率超過每秒850個事件，請考慮通過開啟支援案例來啟用負載均衡。
  
  

域控制器

聯結器連線和WMI

• [資訊]此域控制器從未連線到聯結器：在與域控制器相同的站點中安裝聯結器。
• [錯誤]域控制器未同步：https://securitydocs.cisco.com/docs/csa/gov/olh/154807.dita