※ 2018 年 8 月 17 日現在の情報をもとに作成しています
1. はじめに
Umbrella Dashboard に Virtual Appliance が登録されると、Deployments -> Site and Active Directory から現在のステータスと、異常がある場合のメッセージを確認できます。本記事では、運用中によく見られるステータスとメッセージについて紹介します。
※ Virtual Appliance を使うには Umbrella Insights 以上のサブスクリプションが必要です
2. よく見られるステータスとメッセージ
VMware ESXi や Hyper-V にデプロイしたばかりの Virtual Appliance を起動すると、IP アドレスなどのネットワーク情報を入力するためのコンソール画面が表示されます。
ここで必要な情報を入力し、Save を押すと、Umbrella API (67.215.92.210) との間で登録処理が行われ、無事登録が完了すると、Umbrella Dashboard の Deployments -> Sites and Active Directory に当該の Virtual Appliance のエントリーが表示されます。
登録直後は以下の画像のように Status アイコンの色がグレーになり、カーソルを当てると Pending Checks (チェック待ち) とポップアップ表示されます。
このチェック処理では、主に Umbrella API と Virtual Appliance の間で情報の同期が行われます。もし、この時の通信に問題が発生した場合、または、登録後すぐに Virtual Appliance をシャットダウンしてしまった場合、アイコンのポップアップ表示が Needs Attention になります。
そして、そのエントリーの下に、以下のようなメッセージが表示されます。
This VA has registered but has never synced
一方、特に通信に問題がなければ、数分間程度でチェック処理は完了し、Status アイコンが赤 (Error) に変わります。
この時のエラー メッセージは以下になります。
This VA is not redundant within its site (2+ VA required per site)
これは、同一サイトに Virtual Appliance が 2 台以上登録されていないことを示しています。実際のところ、Virtual Appliance が 1 台しか登録されていない現在の状態でも、この Virtual Appliance を使って Umbrella のセキュリティ機能を使用することが可能です。
ただし、1 つのサイトに Virtual Appliance を 2 台以上用意することは、可用性の観点からサポート上の必須事項となっています。また、Virtual Appliance のアップグレード時に、ダウンタイムを発生させないためにも重要です。
その後、2 台目の登録とチェック処理が完了すると、2 台ともアイコンが緑 (Healthy) に変わります。
さて、その後の運用でこのうちの 1 台に障害が発生し、通信が行えなくなったらどうなるでしょうか。実際に試してみると、ポーリングのタイミングにもよりますが、数十分後にアイコンが赤 (Error) に変わり、以下のようなエラー メッセージが表示されます。
This VA was syncing at one point but has since stopped
もし、運用中に Umbrella Dashboard で上記のエラー メッセージが表示されたら、まずは当該の Virtual Appliance のコンソール画面で現在の状態を確認してください。なお、コンソール画面に表示される情報 (Services や Connectivity) の詳細については、以前の記事で紹介しました。
また、クラウド上の Umbrella DNS サーバーまでの疎通性には問題がないけれども、DNS の暗号化パケット (UDP 53、443、5353) が経路途中のファイアウォールや IPS などでドロップされる場合、ステータスのアイコンはオレンジ (Attention) に変わります。
それとともに、以下の警告メッセージが表示されます。
DNS queries forwarded by this VA to Umbrella are not encrypted
この状態のままでも Umbrella の動作に問題はありませんが、EDNS0 付加情報を含む DNS クエリーが暗号化されない状態でインターネット上を流れることになり、セキュリティ面で懸念があります。そのため、DNS 暗号化パケットがドロップされないよう、経路途中の機器の設定を見直してください。
3. Active Directory Integration 使用時の場合
Active Directory Integration 使用時の場合、Virtual Appliance に各種データを送る役割の AD Connector 全てとの通信ができない際に、ステータスのアイコンが赤 (Error) に変わり、以下のエラー メッセージが表示されます。
This VA was previously connected to one or more Connectors, but is now connected to none
なお、一部の AD Connector とのみ通信ができない場合は、ステータスのアイコンはオレンジ (Warning) に変わります。
それとともに、以下の警告メッセージが表示されます。
This Virtual Appliance is connected to some, but not all, of the Connectors for this Site
これらのいずれの状態であっても、まずは AD Connector の現在の状態を確認してください。
4. その他のメッセージ
以下の記事の「Virtual Appliances」の項には、本記事で紹介したもの以外のメッセージについても記載がありますので、併せてご参照ください。
Common Messages for Active Directory Components and Virtual Appliances - How to resolve them
検索バーにキーワード、フレーズ、または質問を入力し、お探しのものを見つけましょう
シスコ コミュニティをいち早く使いこなしていただけるよう役立つリンクをまとめました。みなさんのジャーニーがより良いものとなるようお手伝いします
