具有IdleTimeout錯誤的企業防火牆後安全訪問間歇性斷開連線
問題
當終端連線到企業網路時，思科安全訪問客戶端會經歷間歇性斷開和立即重新連線。斷開連線是隨機發生的，客戶端大約在5秒後自動重新連線。當網際網路流量通過零信任訪問(ZTA)從位於Cisco FirePower和Meraki MX裝置後的終端代理到安全訪問時，會觀察到此行為。
Windows事件日誌捕獲這些斷開連線事件期間的特定「idleTimeout」錯誤。當使用者從家庭Internet連線進行連線時，不會出現斷開連線模式，這表明該問題與公司網路基礎設施特別相關。
該症狀會造成業務中斷，以便為公司網路環境中操作的使用者提供安全的遠端訪問連線，而遠端使用者仍然不受此連線問題的影響。
環境
思科安全訪問 — 優勢部署
Cisco Secure Internet Access(SIA)客戶端軟體
採用Cisco FirePower安全裝置的企業網路基礎設施
網路路徑中的Meraki MX安全裝置
將網際網路流量代理到安全訪問的零信任訪問(ZTA)配置
具有事件日誌記錄功能的Windows終結點
混合連線方案：公司網路（受影響）和家庭internet連線（不受影響）
解析
解決方案涉及在Meraki MX裝置上實施配置更改，並確保安全訪問整合的適當域排除和埠許可。
步驟 1:實施MX TTL緩衝區配置
在Meraki MX裝置上配置MX TTL緩衝區，以解決導致間歇性斷開問題的DNS TTL快取行為。此配置更改解決了DNS解析快取和Secure Access客戶端連線期望之間的定時衝突。
步驟 2:配置所需的域排除
確保正確將這些域從偵聽中排除，並新增到Cisco FirePower和Meraki MX裝置上的非解密清單中：
ztna.sse.cisco.com
zpc.sse.cisco.com
策略配置中標識的其他安全訪問服務域
步驟 3:驗證埠和協定允許範圍
配置企業防火牆基礎設施，以允許通過FirePower和Meraki MX裝置使用所需的安全接入埠和協定。確保正確處理流向安全訪問服務端點的埠443的流量，而不會受到可能導致超時條件的安全檢查的干擾。
步驟 4:監控和驗證解決方案
實施MX TTL緩衝區配置後，請連續幾天監控Secure Access客戶端的行為，以確認間歇性斷開和重新連線模式已停止。
原因
間歇性斷開是由企業網路基礎設施和安全訪問服務預期之間的DNS TTL（生存時間）快取行為衝突引起的。思科工程分析顯示，DNS TTL值會因解析程式快取行為而變化，而交替的IP地址則因安全訪問服務架構中的負載平衡機制而變化。
當企業網路裝置（Cisco FirePower和Meraki MX）處理安全訪問終端的DNS響應時，快取和TTL處理會生成計時不匹配，從而導致「idleTimeout」條件。此計時衝突導致Secure Access客戶端將連線解釋為空閒並啟動斷開連線/重新連線循環。
此問題特定於企業網路環境，因為家庭網際網路連線通常未實施可干擾Secure Access客戶端連線狀態管理的同級DNS快取和流量檢查。
相關內容
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
31-Aug-2026
|
初始版本 |
意見