簡介
本文檔介紹對Active Directory和虛擬裝置的傘狀錯誤進行故障排除。
問題
本文檔概述了站點和Active Directory頁面上的常見錯誤、警告和資訊性消息並提供解決步驟。
虛擬裝置、Active Directory(AD)聯結器或域控制器(DC)的Umbrella Settings > Sites and AD頁上顯示一個或多個錯誤、警告或資訊消息。
環境
Umbrella Sites and Active Directory頁面位於Settings > Sites and AD。
- 受影響的元件包括虛擬裝置(VA)、AD聯結器和DC。
- VA版本1.5.x或更高版本提供DNSCrypt支援。
- 如果聯結器部署在Windows Server(WS)2012或更高版本上,並且已停止與Umbrella的同步,請確保該聯結器正在運行1.6.31或更高版本。
- 如果運行.NET 4.5.2或更高版本,則聯結器版本1.6.31或更高版本在WS 2008/2008 R2上運行,但建議在受支援的伺服器上重新部署。
- 思科宣佈傳輸層安全(TLS)1.0/1.1的生命週期終止(EOL)。預設情況下,不支援的Windows版本(Windows Server 2008、2008 R2或Windows 7)不支援TLS 1.2。在支援的伺服器版本(Windows Server 2012或更高版本)上重新安裝聯結器。
- 要將登入事件資訊傳送到虛擬裝置,域控制器(DC)必須在同一站點上安裝聯結器。
- 站點必須至少包含消息所註明的每種元件型別之一。
- Umbrella Connector服務經測試可支援每個CPU的10個資產(域控制器和虛擬裝置)。
- Umbrella聯結器服務經測試可支援在Umbrella站點中的所有域控制器中每秒大約850個連續事件(無硬限制)。
解析
使用與設定>站點和AD上顯示的元件型別相匹配的部分,然後選擇確切的消息文本。
- 虛擬裝置:VA註冊/同步狀態、聯結器關聯、DNSCrypt、本地域、冗餘和DNS查詢失敗消息。
- AD聯結器:聯結器註冊/同步狀態、DC/VA連線、超時、並行處理和事件丟棄消息。
- 域控制器:聯結器關聯和WMI連線消息。
虛擬裝置
"此VA已註冊,但從未同步"
- 最多允許10分鐘完成同步。
- 確保滿足網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
- 如果問題仍然存在,請收集日誌並開啟支援案例。
「此VA曾一度同步,但後來停止了」
使用以下步驟恢復VA同步並確認所需的連線。
- 如果刪除了VA,請將其從Umbrella控制面板中刪除:刪除說明 — Umbrella Insights。
- 確認網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
- 如果問題仍然存在,請開啟支援案例。
此VA以前連線到一個或多個聯結器,但現在沒有連線到任何聯結器
- 如果刪除了任何聯結器,請忽略此消息並從儀表板中刪除過時的「聯結器」條目。
- 確認網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
- 如果問題仍然存在,請開啟支援案例。
"此虛擬裝置已連線到此站點的一些(但不是全部)聯結器"
- 如果刪除了任何聯結器,請忽略此消息並從儀表板中刪除該聯結器。
- 確認前提條件:Virtual Appliance使用手冊:必要條件.
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"此VA向Umbrella轉發的DNS查詢未加密"
DNSCrypt對從虛擬裝置(VA)轉發到Umbrella公共DNS解析器的DNS資料包進行加密,預設情況下啟用。
- 確認VA運行的是1.5.x版或更高版本。1.5.x或更高版本提供DNSCrypt支援。如果僅存在一個VA且它未升級,請升級它:更新虛擬裝置。
- 檢查防火牆和檢查策略,確保埠53(UDP/TCP)上的DNSCrypt探測器未被阻止或更改。如果入侵防禦系統(IPS)或入侵檢測系統(IDS)執行深度資料包檢測,並且只期望DNS流量,則探測可能失敗。
- 對於自適應安全裝置(ASA)部署,請檢視部署文檔所參考的資料包檢測指南。
- 如果警告仍然存在,請收集日誌:為AD聯結器日誌提供支持,然後開啟支援案例。
- 驗證受影響的VA的設定>站點和AD上的警告是否已清除。
更多詳細資訊:新VA警告:在虛擬裝置上啟用DNSCrypt。
"此VA未配置任何本地域"
- 確保配置了本地域:本地DNS轉發。
「此VA在其站點內不是冗餘的(每個站點需要2個以上的VA)」
- 安裝第二個VA以實現高可用性。有關每個站點運行兩個虛擬裝置的指導,請參閱Umbrella虛擬裝置部署文檔。
"對此VA的大部分DNS查詢失敗"
- 收集相關的VA和聯結器日誌並開啟支援案例。
- 驗證DNS查詢失敗率是否恢復正常以及受影響的VA在Settings > Sites and AD中是否清除錯誤。
AD聯結器
"此聯結器已註冊,但從未同步"
使用這些檢查可以確認初始同步已成功完成:
- 最多允許10分鐘完成同步。
- 確保滿足以下網路要求:身份整合:必要條件.
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"此聯結器曾經同步一次,但後來停止了"
- 確保滿足網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
- 思科宣佈了TLS 1.0/1.1的EOL。預設情況下,不支援的Windows版本(Windows Server 2008、2008 R2或Windows 7)不支援TLS 1.2。在支援的伺服器版本(Windows Server 2012或更高版本)上重新安裝聯結器。
- 如果聯結器部署在WS 2012或更高版本上,並且已停止與Umbrella同步,請確保聯結器運行的是1.6.31版或更高版本。
- 如果運行.NET 4.5.2或更高版本,則聯結器版本1.6.31或更高版本在WS 2008/2008 R2上運行,但建議在受支援的伺服器上重新部署。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"此聯結器沒有要連線的VA或沒有DC"
- 確保站點至少包含每種元件型別之一。
- 檢視安裝文檔:身份整合:必要條件和Active Directory整合>步驟2:準備Active Directory環境。
"此聯結器沒有要連線的DC"
- 確保站點至少包含每種元件型別之一。
- 檢視安裝文檔:準備Active Directory環境。
「聯結器可以連線一個或多個DC,但尚未連線到任何DC」
- 最多允許10分鐘完成同步。
- 確保滿足以下前提條件:身份整合:必要條件.
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
「聯結器連線到某些(但非全部)DC」
- 確認前提條件:身份整合:必要條件.
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
聯結器曾經連線,但當前未連線到任何可用的DC
- 確認前提條件:身份整合:必要條件.
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
「聯結器可以連線一個或多個VA,但尚未連線到任何VA」
- 從儀表板中刪除所有未使用的VA。
- 刪除後最多允許10分鐘進行同步。
- 確保滿足以下網路要求:身份整合:必要條件.
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"聯結器在嘗試連線到某些VA時報告超時錯誤"
- 如果虛擬裝置與聯結器不在相同的LAN上,請考慮使用Umbrella站點隔離部署:將多個Active Directory域連線到Umbrella。
- 從儀表板中刪除未使用的VA。
- 刪除後最多允許10分鐘進行同步。
- 確保滿足以下網路要求:身份整合:必要條件.
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
「聯結器連線到某些VA(但並非全部)」
- 從儀表板中刪除未使用的VA。
- 刪除後最多允許10分鐘進行同步。
- 確保滿足網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
「聯結器曾經連線過,但當前未連線到任何可用的VA」
- 從儀表板中刪除未使用的VA。
- 刪除後最多允許10分鐘進行同步。
- 確保滿足以下網路要求:Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
「聯結器不會與VA並行同步事件。事件處理速度可能比預期慢」
- 請注意,Umbrella Connector服務經測試可支援每個CPU的10個資產(域控制器和虛擬裝置)。
- 根據Umbrella站點中的域控制器和虛擬裝置數量,使用所需的CPU數量升級伺服器。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"Connector is reporting drops while attempting to send events to some VAs"
使用這些步驟可以減少事件丟棄,並恢復穩定的事件傳送。
- 檢查Umbrella站點中所有域控制器之間的總事件速率是否超過每秒大約850個事件經過測試的連續容量。
- 如果事件速率超過此測試容量,請增加聯結器主機上的CPU核心以提高處理吞吐量。
- 如果丟棄情況持續,請啟用與兩個或更多聯結器之間的負載平衡,以共用域控制器負載。必須通過開啟具有Umbrella支援的支援案例來啟用此高級功能。
域控制器
「曾經連線到一個或多個聯結器,但現在沒有連線到任何聯結器」
- 如果聯結器已被移除,請重新部署聯結器或移除域控制器。
- 確認網路要求。請參閱Active Directory通訊流指南:聯結器>虛擬裝置> DC和雲。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"此域控制器從未連線到聯結器"
- 要將有關登入事件的資訊傳送到虛擬裝置,域控制器(DC)必須在同一站點中安裝聯結器。
- 有關聯結器安裝資訊:安裝聯結器。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"此域控制器沒有要連線的聯結器"
- 要將有關登入事件的資訊傳送到虛擬裝置,域控制器(DC)必須在同一站點中安裝聯結器。
- 有關聯結器安裝資訊:安裝聯結器。
- 如果重新安裝聯結器或將它從一台電腦移動到另一台電腦,請忽略此消息。
"此域控制器已連線到部分(但不是全部)聯結器"
- 檢查許可權:Cisco_Connector使用者所需的許可權。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
"此域控制器的WMI狀態已關閉。域控制器沒有響應聯結器「 」的WMI連線
- 這可能是由於域控制器上的負載導致的臨時問題。
- 檢查是否可以使用WBEMTest工具建立Windows Management Instrumentation(WMI)連線。
- 通過停止監控安全事件的其他未使用的應用程式來減少DC上的負載。
- 在降低DC負載後,重新啟動聯結器服務以啟動新的WMI連線。
- 收集日誌:為AD聯結器日誌提供支援。
- 如果問題仍然存在,請開啟支援案例。
原因
- DNSCrypt警告消息(VA):預設情況下,啟用DNSCrypt以加密從虛擬裝置(VA)轉發到Umbrella公共DNS解析器的DNS資料包。如果防火牆或檢查策略阻止或更改埠53(UDP/TCP)上的DNSCrypt探測,則探測失敗。如果入侵防禦系統(IPS)或入侵檢測系統(IDS)執行深度資料包檢測,並且只需要DNS流量,則探測失敗。
- 聯結器同步停止消息(AD聯結器):思科宣佈傳輸層安全(TLS)1.0/1.1的生命週期終止(EOL)。不支援的Windows版本(Windows Server 2008、2008 R2或Windows 7)預設不支援TLS 1.2,這將導致聯結器同步停止。
- 聯結器效能消息(AD聯結器):Umbrella Connector服務經測試可支援每個CPU的10個資產(域控制器和虛擬裝置)。超出此大小後,事件處理速度將比預期慢。
- 事件丟棄警告消息(AD聯結器):Umbrella聯結器服務經測試可支援在Umbrella站點中的所有域控制器中每秒大約850個連續事件(無硬限制)。如果總速率超過此測試容量,則聯結器會丟棄事件。
- WMI關閉錯誤消息(域控制器):當域控制器處於載入狀態並且沒有響應聯結器的WMI連線時,WMI狀態關閉。
相關內容
修訂記錄
| 修訂 |
發佈日期 |
意見 |
2.0 |
24-Sep-2026
|
重新認證。 |
1.0 |
03-Sep-2025
|
初始版本 |