排除Active Directory和VA的Umbrella錯誤

簡介

本文檔介紹對Active Directory和虛擬裝置的傘狀錯誤進行故障排除。

問題

本文檔概述了站點和Active Directory頁面上的常見錯誤、警告和資訊性消息並提供解決步驟。

虛擬裝置、Active Directory(AD)聯結器或域控制器(DC)的Umbrella Settings > Sites and AD頁上顯示一個或多個錯誤、警告或資訊消息。

環境

Umbrella Sites and Active Directory頁面位於Settings > Sites and AD。

• 受影響的元件包括虛擬裝置(VA)、AD聯結器和DC。
• VA版本1.5.x或更高版本提供DNSCrypt支援。
• 如果聯結器部署在Windows Server(WS)2012或更高版本上，並且已停止與Umbrella的同步，請確保該聯結器正在運行1.6.31或更高版本。
• 如果運行.NET 4.5.2或更高版本，則聯結器版本1.6.31或更高版本在WS 2008/2008 R2上運行，但建議在受支援的伺服器上重新部署。
• 思科宣佈傳輸層安全(TLS)1.0/1.1的生命週期終止(EOL)。預設情況下，不支援的Windows版本（Windows Server 2008、2008 R2或Windows 7）不支援TLS 1.2。在支援的伺服器版本（Windows Server 2012或更高版本）上重新安裝聯結器。
• 要將登入事件資訊傳送到虛擬裝置，域控制器(DC)必須在同一站點上安裝聯結器。
• 站點必須至少包含消息所註明的每種元件型別之一。
• Umbrella Connector服務經測試可支援每個CPU的10個資產（域控制器和虛擬裝置）。
• Umbrella聯結器服務經測試可支援在Umbrella站點中的所有域控制器中每秒大約850個連續事件（無硬限制）。

解析

使用與設定>站點和AD上顯示的元件型別相匹配的部分，然後選擇確切的消息文本。

• 虛擬裝置:VA註冊/同步狀態、聯結器關聯、DNSCrypt、本地域、冗餘和DNS查詢失敗消息。
• AD聯結器:聯結器註冊/同步狀態、DC/VA連線、超時、並行處理和事件丟棄消息。
• 域控制器:聯結器關聯和WMI連線消息。

虛擬裝置

"此VA已註冊，但從未同步"

1. 最多允許10分鐘完成同步。
2. 確保滿足網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
3. 如果問題仍然存在，請收集日誌並開啟支援案例。

「此VA曾一度同步，但後來停止了」

使用以下步驟恢復VA同步並確認所需的連線。

1. 如果刪除了VA，請將其從Umbrella控制面板中刪除：刪除說明 — Umbrella Insights。
2. 確認網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
3. 如果問題仍然存在，請開啟支援案例。

 此VA以前連線到一個或多個聯結器，但現在沒有連線到任何聯結器

1. 如果刪除了任何聯結器，請忽略此消息並從儀表板中刪除過時的「聯結器」條目。
2. 確認網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
3. 如果問題仍然存在，請開啟支援案例。

"此虛擬裝置已連線到此站點的一些（但不是全部）聯結器"

1. 如果刪除了任何聯結器，請忽略此消息並從儀表板中刪除該聯結器。
2. 確認前提條件：Virtual Appliance使用手冊：必要條件.
3. 收集日誌：為AD聯結器日誌提供支援。
4. 如果問題仍然存在，請開啟支援案例。

"此VA向Umbrella轉發的DNS查詢未加密"

DNSCrypt對從虛擬裝置(VA)轉發到Umbrella公共DNS解析器的DNS資料包進行加密，預設情況下啟用。

1. 確認VA運行的是1.5.x版或更高版本。1.5.x或更高版本提供DNSCrypt支援。如果僅存在一個VA且它未升級，請升級它：更新虛擬裝置。
2. 檢查防火牆和檢查策略，確保埠53(UDP/TCP)上的DNSCrypt探測器未被阻止或更改。如果入侵防禦系統(IPS)或入侵檢測系統(IDS)執行深度資料包檢測，並且只期望DNS流量，則探測可能失敗。
3. 對於自適應安全裝置(ASA)部署，請檢視部署文檔所參考的資料包檢測指南。
4. 如果警告仍然存在，請收集日誌：為AD聯結器日誌提供支持，然後開啟支援案例。
5. 驗證受影響的VA的設定>站點和AD上的警告是否已清除。

更多詳細資訊：新VA警告：在虛擬裝置上啟用DNSCrypt。

"此VA未配置任何本地域"

1. 確保配置了本地域：本地DNS轉發。

「此VA在其站點內不是冗餘的（每個站點需要2個以上的VA）」

1. 安裝第二個VA以實現高可用性。有關每個站點運行兩個虛擬裝置的指導，請參閱Umbrella虛擬裝置部署文檔。

"對此VA的大部分DNS查詢失敗"

1. 收集相關的VA和聯結器日誌並開啟支援案例。
2. 驗證DNS查詢失敗率是否恢復正常以及受影響的VA在Settings > Sites and AD中是否清除錯誤。

AD聯結器

"此聯結器已註冊，但從未同步"

使用這些檢查可以確認初始同步已成功完成：

1. 最多允許10分鐘完成同步。
2. 確保滿足以下網路要求：身份整合：必要條件.
3. 收集日誌：為AD聯結器日誌提供支援。
4. 如果問題仍然存在，請開啟支援案例。

"此聯結器曾經同步一次，但後來停止了"

1. 確保滿足網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
2. 思科宣佈了TLS 1.0/1.1的EOL。預設情況下，不支援的Windows版本（Windows Server 2008、2008 R2或Windows 7）不支援TLS 1.2。在支援的伺服器版本（Windows Server 2012或更高版本）上重新安裝聯結器。
3. 如果聯結器部署在WS 2012或更高版本上，並且已停止與Umbrella同步，請確保聯結器運行的是1.6.31版或更高版本。
4. 如果運行.NET 4.5.2或更高版本，則聯結器版本1.6.31或更高版本在WS 2008/2008 R2上運行，但建議在受支援的伺服器上重新部署。
5. 收集日誌：為AD聯結器日誌提供支援。
6. 如果問題仍然存在，請開啟支援案例。

"此聯結器沒有要連線的VA或沒有DC"

1. 確保站點至少包含每種元件型別之一。
2. 檢視安裝文檔：身份整合：必要條件和Active Directory整合>步驟2:準備Active Directory環境。

"此聯結器沒有要連線的DC"

1. 確保站點至少包含每種元件型別之一。
2. 檢視安裝文檔：準備Active Directory環境。

「聯結器可以連線一個或多個DC，但尚未連線到任何DC」

1. 最多允許10分鐘完成同步。
2. 確保滿足以下前提條件：身份整合：必要條件.
3. 收集日誌：為AD聯結器日誌提供支援。
4. 如果問題仍然存在，請開啟支援案例。

「聯結器連線到某些（但非全部）DC」

1. 確認前提條件：身份整合：必要條件.
2. 收集日誌：為AD聯結器日誌提供支援。
3. 如果問題仍然存在，請開啟支援案例。

聯結器曾經連線，但當前未連線到任何可用的DC

1. 確認前提條件：身份整合：必要條件.
2. 收集日誌：為AD聯結器日誌提供支援。
3. 如果問題仍然存在，請開啟支援案例。

「聯結器可以連線一個或多個VA，但尚未連線到任何VA」

1. 從儀表板中刪除所有未使用的VA。
2. 刪除後最多允許10分鐘進行同步。
3. 確保滿足以下網路要求：身份整合：必要條件.
4. 收集日誌：為AD聯結器日誌提供支援。
5. 如果問題仍然存在，請開啟支援案例。

"聯結器在嘗試連線到某些VA時報告超時錯誤"

1. 如果虛擬裝置與聯結器不在相同的LAN上，請考慮使用Umbrella站點隔離部署：將多個Active Directory域連線到Umbrella。
2. 從儀表板中刪除未使用的VA。
3. 刪除後最多允許10分鐘進行同步。
4. 確保滿足以下網路要求：身份整合：必要條件.
5. 收集日誌：為AD聯結器日誌提供支援。
6. 如果問題仍然存在，請開啟支援案例。

「聯結器連線到某些VA（但並非全部）」

1. 從儀表板中刪除未使用的VA。
2. 刪除後最多允許10分鐘進行同步。
3. 確保滿足網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
4. 收集日誌：為AD聯結器日誌提供支援。
5. 如果問題仍然存在，請開啟支援案例。

「聯結器曾經連線過，但當前未連線到任何可用的VA」

1. 從儀表板中刪除未使用的VA。
2. 刪除後最多允許10分鐘進行同步。
3. 確保滿足以下網路要求：Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
4. 收集日誌：為AD聯結器日誌提供支援。
5. 如果問題仍然存在，請開啟支援案例。

「聯結器不會與VA並行同步事件。事件處理速度可能比預期慢」

1. 請注意，Umbrella Connector服務經測試可支援每個CPU的10個資產（域控制器和虛擬裝置）。
2. 根據Umbrella站點中的域控制器和虛擬裝置數量，使用所需的CPU數量升級伺服器。
3. 收集日誌：為AD聯結器日誌提供支援。
4. 如果問題仍然存在，請開啟支援案例。

"Connector is reporting drops while attempting to send events to some VAs"

使用這些步驟可以減少事件丟棄，並恢復穩定的事件傳送。

1. 檢查Umbrella站點中所有域控制器之間的總事件速率是否超過每秒大約850個事件經過測試的連續容量。
2. 如果事件速率超過此測試容量，請增加聯結器主機上的CPU核心以提高處理吞吐量。
3. 如果丟棄情況持續，請啟用與兩個或更多聯結器之間的負載平衡，以共用域控制器負載。必須通過開啟具有Umbrella支援的支援案例來啟用此高級功能。

域控制器

「曾經連線到一個或多個聯結器，但現在沒有連線到任何聯結器」

1. 如果聯結器已被移除，請重新部署聯結器或移除域控制器。
2. 確認網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
3. 收集日誌：為AD聯結器日誌提供支援。
4. 如果問題仍然存在，請開啟支援案例。

"此域控制器從未連線到聯結器"

1. 要將有關登入事件的資訊傳送到虛擬裝置，域控制器(DC)必須在同一站點中安裝聯結器。
2. 有關聯結器安裝資訊：安裝聯結器。
3. 收集日誌：為AD聯結器日誌提供支援。
4. 如果問題仍然存在，請開啟支援案例。

"此域控制器沒有要連線的聯結器"

1. 要將有關登入事件的資訊傳送到虛擬裝置，域控制器(DC)必須在同一站點中安裝聯結器。
2. 有關聯結器安裝資訊：安裝聯結器。
3. 如果重新安裝聯結器或將它從一台電腦移動到另一台電腦，請忽略此消息。

"此域控制器已連線到部分（但不是全部）聯結器"

1. 檢查許可權：Cisco_Connector使用者所需的許可權。
2. 收集日誌：為AD聯結器日誌提供支援。
3. 如果問題仍然存在，請開啟支援案例。

"此域控制器的WMI狀態已關閉。域控制器沒有響應聯結器「 」的WMI連線

1. 這可能是由於域控制器上的負載導致的臨時問題。
2. 檢查是否可以使用WBEMTest工具建立Windows Management Instrumentation(WMI)連線。
3. 通過停止監控安全事件的其他未使用的應用程式來減少DC上的負載。
4. 在降低DC負載後，重新啟動聯結器服務以啟動新的WMI連線。
5. 收集日誌：為AD聯結器日誌提供支援。
6. 如果問題仍然存在，請開啟支援案例。

原因

• DNSCrypt警告消息(VA):預設情況下，啟用DNSCrypt以加密從虛擬裝置(VA)轉發到Umbrella公共DNS解析器的DNS資料包。如果防火牆或檢查策略阻止或更改埠53(UDP/TCP)上的DNSCrypt探測，則探測失敗。如果入侵防禦系統(IPS)或入侵檢測系統(IDS)執行深度資料包檢測，並且只需要DNS流量，則探測失敗。
• 聯結器同步停止消息（AD聯結器）:思科宣佈傳輸層安全(TLS)1.0/1.1的生命週期終止(EOL)。不支援的Windows版本（Windows Server 2008、2008 R2或Windows 7）預設不支援TLS 1.2，這將導致聯結器同步停止。
• 聯結器效能消息（AD聯結器）:Umbrella Connector服務經測試可支援每個CPU的10個資產（域控制器和虛擬裝置）。超出此大小後，事件處理速度將比預期慢。
• 事件丟棄警告消息（AD聯結器）:Umbrella聯結器服務經測試可支援在Umbrella站點中的所有域控制器中每秒大約850個連續事件（無硬限制）。如果總速率超過此測試容量，則聯結器會丟棄事件。
• WMI關閉錯誤消息（域控制器）:當域控制器處於載入狀態並且沒有響應聯結器的WMI連線時，WMI狀態關閉。

相關內容

• 檢查Umbrella Active Directory整合流程
• 向Umbrella支援提交Active Directory聯結器日誌

修訂記錄

修訂	發佈日期	意見
2.0	24-Sep-2026	重新認證。
1.0	03-Sep-2025	初始版本