Fehlerbehebung bei AnyConnect DNS-Abfragen an mus.cisco.com

Einleitung

In diesem Dokument wird das Verhalten des AnyConnect VPN Core-Moduls bei der Abfrage des vollqualifizierten Domänennamens (FQDN) mus.cisco.com in bestimmten Szenarien beschrieben. Diese Abfrage tritt auf, wenn der AnyConnect-Client festzustellen versucht, ob der Endpunkt über einen Internetzugang verfügt und kein VPN verwendet wird.

Beitrag von Peter Giang, Cisco BU.

Beitrag von Steve Sargent, Cisco BU Technical Leader

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• AnyConnect-Modulinstallation
• Erstellung von AnyConnect Diagnostic and Reporting Tool (DART)-Paketen
• Wireshark-Sniffer-Aufnahmen.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• AnyConnect Core VPN-Modul Version 4.8.03052
• Windows 10 Enterprise 10.0.18363, Build 18363

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Dieses Dokument kann auch mit folgenden Hardware- und Softwareversionen verwendet werden:

• Beliebige Betriebssysteme (MacOS, Windows, Linux)
• AnyConnect-Version vor 4.10.

Hintergrundinformationen

AnyConnect-Abfragen an mus.cisco.com werden vom Design erwartet.

Hinweis: Bei diesem Verhalten ist ein Verbesserungsfehler aufgetreten. Cisco Bug-ID CSCvu39643. Abfragen an mus.cisco.com vom VPN-Core dürfen nicht ausgeführt werden, wenn kein VPN-Modul verwendet wird.

Problem

Wenn das AnyConnect VPN-Core-Modul nicht verwendet wird (für VPN-Verbindungen ist kein XML-Profil konfiguriert), werden alle 15 Sekunden Abfragen an mus.cisco.com generiert.

Lösung 1

Fügen Sie einen DNS-Eintrag (Domain Name System) auf Ihrem DNS-Server hinzu, um Namensabfragen an mus.cisco.com aufzulösen. Wenn Sie keinen DNS-Server verwalten, leiten Sie diese Anforderungen an einen öffentlichen DNS-Server weiter.

Sobald mus.cisco.com FQDN aufgelöst werden kann, beendet AnyConnect den Abfrageversuch.

Lösung 2

Fügen Sie einen DNS-Eintrag zu Ihrer Betriebssystemdatei hinzu, um den FQDN mus.cisco.com aufzulösen.

AnyConnect-Abfragen an mus.cisco.com

Konfigurieren

Die Installation des AnyConnect VPN-Core-Moduls.

Netzwerkdiagramm

******************************************
Date : 06/17/2020
Time : 20:21:57
Type : Warning
Source : acvpnagent
Description : Function : CDNSRequest::OnSocketReadComplete
File: c:\temp\build\thehoff\negasonic_mr30.297045120452\negasonic_mr3\vpn\common\ip\dnsrequesct.cpp
Line: 1147
Timeout (per request) while trying to resolve [A] query mus.cisco.com via DNS server 10.88.240.69 (timeout interval = 10 sec)
******************************************

Fehlerbehebung

Um den ordnungsgemäßen Betrieb zu bestätigen, können Sie mithilfe von Wireshark eine Paketerfassung an der Ausgangsschnittstelle des Endpunkts aktivieren.

Auf der grafischen Benutzeroberfläche (GUI) des AnyConnect-Clients wird die Meldung "Network error" (Netzwerkfehler) angezeigt. Die Suche nach Hostnamen" ist nicht möglich (wie im Bild gezeigt).

Wenn eine der Problemumgehungen angewendet wird, können Sie auch eine Paketerfassung in Wireshark durchführen und den DNS-Filter verwenden, um die ständigen Abfragen an mus.cisco.com zu bestätigen:

Auf der GUI-Schnittstelle des AnyConnect-Clients wird die Meldung "Ready to connect" angezeigt (wie im Bild gezeigt).

Tipp: Auch wenn das AnyConnect VPN-Core-Modul nicht auf der GUI-Schnittstelle angezeigt wird, bedeutet dies nicht, dass das VPN-Core-Modul nicht in Betrieb ist. Suchen Sie die Datei VPNDisable_ServiceProfile.xml im Verzeichnis "C:\programdata\cisco on Windows" und "/opt/cisco/anyconnect/profile" auf Apple-Geräten. Unter Linux wird dies nicht unterstützt.